Entro il 31 maggio 2026 i soggetti NIS, essenziali e importanti, devono completare sul Portale ACN l’aggiornamento annuale delle informazioni. Quest’anno c’è una voce nuova: l’elenco dei fornitori rilevanti NIS. Qui trovi cosa va comunicato, chi deve farlo e come si compila il file. Poi ti raccontiamo come la piattaforma si occupa della parte più noiosa.
Da dove nasce l’obbligo
Lo introduce la Determinazione ACN 127437/2026, firmata il 13 aprile 2026 e applicabile dal 15 aprile. Ha sostituito la Determinazione 379887/2025 sulle modalità di accesso alla piattaforma e sui Servizi NIS.
L’art. 16 colloca l’elenco dei fornitori (comma 3, lett. g) dentro l’aggiornamento annuale, che si fa dal 15 aprile al 31 maggio di ogni anno tramite il «Servizio NIS/Aggiornamento annuale informazioni». L’art. 18 dice quali dati servono. Non è quindi un invio separato, e non è una tantum: si ripete ogni anno.
Lo scopo, indicato nella determinazione, è permettere all’ACN di individuare gli elementi sistemici della catena di approvvigionamento (art. 3, comma 9, lett. f del D.Lgs. 138/2024). L’obbligo vale per tutti i soggetti NIS. Vale anche per le entità finanziarie soggette a DORA: l’esenzione prevista per loro dall’art. 16, comma 13 riguarda altre voci, non l’elenco dei fornitori.
Chi è un fornitore rilevante
Non tutti i fornitori, ma solo quelli che soddisfano almeno uno dei due criteri di rilevanza dell’art. 1, comma 1, lett. ll) della determinazione:
- fornitura ICT: la fornitura è riconducibile alle attività o ai servizi dell’allegato I, punti 8 e 9, del decreto NIS (infrastrutture digitali e gestione dei servizi TIC);
- fornitura non fungibile: la sua interruzione o compromissione avrebbe un impatto significativo sulla tua capacità di erogare le attività o i servizi per cui sei soggetto NIS, anche perché non ci sono fornitori alternativi.
I due criteri possono valere da soli o insieme. Per questo il modello ACN distingue tre valori: fornitura ICT, fornitura non fungibile e fornitura ICT non fungibile.
Quali dati servono
Per ogni fornitore rilevante l’art. 18 chiede:
- la denominazione;
- il codice fiscale;
- il Paese in cui ha la sede legale;
- i codici CPV delle forniture di cui fruisci;
- il criterio di rilevanza utilizzato.
I CPV sono i codici del Common Procurement Vocabulary, il vocabolario comune europeo per gli appalti pubblici (Reg. CE 2195/2002, modificato dal Reg. CE 213/2008). Chi lavora con le gare li conosce bene. Per tutti gli altri sono stringhe come 72000000-5, da ritrovare in un elenco di migliaia di voci.
Il file .ods, una riga per ogni CPV
Il portale chiede di caricare l’elenco con un foglio di calcolo predisposto dall’ACN. Il modello che si scarica dal portale, nella versione che abbiamo usato, è un file .ods con sei colonne: paese, codice fiscale o IPA, ragione sociale, codice CPV, note, criterio di rilevanza.
Dove il modello si fa sentire
- Una riga per ogni CPV. Se un fornitore ti dà hosting e anche consulenza, compare su due righe, con gli stessi dati anagrafici ripetuti. Con qualche decina di fornitori le righe si moltiplicano, e con loro le occasioni di errore.
- Tendine poco loquaci. Nella nostra esperienza, i menu a tendina del modello non aiutano molto a capire che cosa si sta scegliendo: si procede a forza di codici e di pazienza.
- Copia e incolla. Codici fiscali, CPV e criteri si ricopiano a mano da altri file, ed è lì che nascono gli errori.
A mano, su un foglio di calcolo, si può fare. Ma è un lavoro che si rifà ogni anno, e conviene non ripartire ogni volta da zero.
Come ti aiuta Teseo NIS2 GRC Software
Per questa scadenza abbiamo rilasciato quattro funzioni nella gestione dei fornitori. L’obiettivo è arrivare al file senza scrivere righe a mano.
1. Anagrafica con verifica al VIES
Accanto al campo Partita IVA della scheda fornitore c’è il pulsante «Verifica al VIES». Con un clic la piattaforma interroga VIES, il sistema della Commissione europea per la verifica delle partite IVA comunitarie, e ti propone in un’unica finestra i dati disponibili: ragione sociale e indirizzo, già suddiviso in CAP, città e provincia.
Tu confermi e l’anagrafica si compila. Se la partita IVA non risulta attiva al VIES, lo sai subito e puoi verificare con il fornitore prima di andare avanti. Per i fornitori extra-UE, o non iscritti al VIES, i dati si inseriscono a mano.
2. Un catalogo con oltre 500 codici CPV
La piattaforma ha già a catalogo oltre 500 codici CPV scelti per la NIS2: l’area informatica (sviluppo software, hosting, cloud, manutenzione, telecomunicazioni) e i servizi tipicamente non fungibili. Ogni codice ha la descrizione ufficiale in italiano e in inglese, allineata al vocabolario CPV pubblicato dalla UE (SIMAP/TED). Per le forniture più comuni il codice è già lì, senza andarlo a cercare altrove.
3. Più CPV per fornitore
Un fornitore spesso fa più cose: un provider che offre hosting e consulenza, un consulente IT che fa anche assistenza on-site. Sulla scheda fornitore aggiungi tutti i CPV che servono, ognuno con il proprio criterio di rilevanza: fornitura ICT, fornitura non fungibile o fornitura ICT non fungibile.
Ogni CPV diventa una riga distinta dell’elenco per l’ACN, come chiede il modello. L’anagrafica, invece, la scrivi una volta sola.
4. Export .ods con un clic
La piattaforma genera il file .ods conforme al modello ufficiale, con le sei colonne già compilate, pronto da caricare sul portale. Il sistema segnala anche i fornitori con dati incompleti: sai prima dell’invio quali schede vanno completate, non dopo.
Tutti i file che la piattaforma prepara per l’Agenzia sono descritti nella pagina Portale ACN.
Cosa fare entro il 31 maggio
Parti dai fornitori che hai già: contratti, ordini, fatture. Applica i due criteri e tieni solo quelli rilevanti. Per ciascuno annota i CPV delle forniture e il criterio che vale per ognuna. Poi compila il file, caricalo nell’aggiornamento annuale e fai confermare e trasmettere tutto dal punto di contatto, senza ridurti agli ultimi giorni.
E tieni traccia delle motivazioni: perché quel fornitore è non fungibile e quell’altro no. L’elenco si rifà ogni anno, e l’anno prossimo ti servirà ricordare come hai deciso. Il calendario degli altri adempimenti è nella Guida NIS2.
Se usi già Teseo NIS2 GRC Software e non hai ancora attivato queste funzioni, o se vuoi vederle all’opera, scrivici: basta una breve sessione di onboarding, o una demo.