L'elenco dei fornitori rilevanti NIS2: cosa chiede ACN e quali requisiti arrivano al fornitore

Un soggetto NIS deve comunicare ad ACN l’elenco dei propri fornitori rilevanti. Le FAQ dell’Agenzia per la Cybersicurezza Nazionale dicono che cosa, materialmente, si consegna: quali fornitori entrano in quell’elenco e quali informazioni vanno indicate per ciascuno. Dicono anche una seconda cosa, che interessa chi sta dalla parte opposta: entro quali limiti i requisiti di sicurezza si trasferiscono a chi fornisce. Quella parte riguarda le PMI che soggetti NIS non sono e che si vedono arrivare un questionario di sicurezza da un cliente che lo è: se è il vostro caso, un punto di partenza è perché il cliente vi coinvolge pur non rendendovi soggetti NIS.

Perché ACN chiede un elenco di fornitori

La richiesta non nasce da un generico interesse per la filiera. ACN la riconduce all’articolo 3, comma 9, lettera f), del decreto NIS, la disposizione che riguarda il soggetto «considerato critico quale elemento sistemico della catena di approvvigionamento».

Nei sette passaggi che ACN elenca per l’aggiornamento annuale delle informazioni — dal sostituto punto di contatto agli accordi di condivisione, passando per gli organi di amministrazione e direttivi, i servizi in ambito NIS offerti nell’UE, gli indirizzi IP statici pubblici e i nomi di dominio in uso — i fornitori rilevanti non compaiono, e la loro disciplina è in un’altra determinazione: le FAQ sull’aggiornamento annuale citano la Determinazione ACN 379887/2025, quelle sui fornitori rilevanti la Determinazione ACN 127437/2026.

I due criteri di rilevanza

Ai sensi dell’articolo 1, comma 1, lettera ll), della Determinazione ACN 127437/2026, un fornitore è rilevante quando:

Due osservazioni sul testo, prima di ogni interpretazione. La prima: il secondo criterio non qualifica la natura della fornitura, ma il suo effetto. Non parla di informatica, parla di impatto sulla capacità di erogare i servizi e di indisponibilità di alternative. La seconda: fra le informazioni richieste per ciascun fornitore ACN chiede il «criterio di rilevanza applicato», al singolare, il che presuppone che un fornitore possa essere rilevante per uno dei due. Le FAQ non contengono però una frase che dichiari espressamente i due criteri come alternativi: se vi serve una certezza formale su questo punto, va letta la determinazione, non la pagina delle FAQ.

Il criterio sbagliato che circola

Una scorciatoia possibile è filtrare i fornitori in base all’accesso: se non entra nei nostri sistemi, non lo dichiariamo. L’accesso non compare in nessuno dei due criteri di rilevanza. Compare altrove, ed è lì che nasce l’equivoco: è il primo dei cinque criteri che, secondo ACN, vanno considerati almeno nella valutazione del rischio associato alla fornitura, ai sensi del punto 1 della misura GV.SC-07. Le misure di sicurezza citate in questo articolo con i codici GV.SC sono quelle della Determinazione ACN 379907 del 19 dicembre 2025 — allegato 1 per i soggetti importanti, allegato 2 per gli essenziali — da non confondere con la 127437/2026, che è quella dei fornitori rilevanti. I cinque criteri sono:

• il livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS;
• l’accesso del fornitore alla proprietà intellettuale e ai dati, anche sulla base della loro criticità;
• l’impatto di una grave interruzione della fornitura;
• i tempi e i costi di ripristino in caso di indisponibilità dei servizi;
• i ruoli e le responsabilità del fornitore nel governo dei sistemi informativi e di rete.

Sono due passaggi distinti dello stesso processo: prima si stabilisce se un fornitore è rilevante, poi si valuta quanto rischio porta. Usare il secondo come filtro d’ingresso del primo esclude dall’elenco, per esempio, un fornitore che non tocca alcun sistema ma la cui interruzione fermerebbe il servizio.

La seconda scorciatoia è la numerosità: fissare a priori quanti fornitori dichiarare — i dieci più grandi, i venti che pesano di più a bilancio — e fermarsi lì. Nei criteri della determinazione non c’è alcuna soglia numerica, e gli esempi di fornitura che ACN accosta ai codici CPV vanno dalla connettività al cloud fino alla corrente elettrica: il perimetro segue le dipendenze, non una classifica. Il numero di righe è un risultato, non un parametro di progetto.

Le cinque informazioni da comunicare

L’articolo 18 della Determinazione ACN 127437/2026 chiede, per ciascun fornitore rilevante, cinque campi: denominazione, codice fiscale, paese della sede legale, codici CPV relativi alle forniture, criterio di rilevanza applicato. Sono i cinque campi previsti dall’articolo; le FAQ non ne aggiungono altri.

Sul quarto campo vale una nota operativa: se lo stesso fornitore eroga forniture riferite a più codici CPV, «l’utente dovrà compilare nel file una nuova riga per ogni codice CPV indicando il medesimo fornitore». Un fornitore con tre CPV occupa tre righe. ACN accompagna la spiegazione con esempi di CPV per tipologia di fornitura — dalla connettività dati e voce non ridondante e la corrente elettrica al DNS, al cloud computing, ai data center, alla CDN, ai servizi fiduciari e ai servizi di sicurezza gestiti — ma i codici puntuali vanno letti sulla pagina ACN, non copiati da un articolo: sbagliarne una cifra significa dichiarare un’altra fornitura.

Restano tre casi di confine, che le FAQ risolvono in modo controintuitivo.

• Fornitori esteri, anche extra-UE: vanno elencati, perché «la maggior parte di questi fornitori, anche se extra-UE, è soggetta alla Direttiva NIS». La stessa risposta vale per i fornitori delle sedi estere di un soggetto NIS nazionale.
• Subfornitura: se il fornitore A contrattualizzato si avvale di B, in linea generale si segnala A, e B viene in rilievo solo quando il suo contributo alla fornitura rilevante è palese. Il caso si ribalta quando la fornitura è contrattualizzata da A ma erogata da B: allora si segnala B, e A va valutato, perché «è rilevante qualora non si occupi della sola “facilitazione dell’acquisizione della fornitura” ma sia funzionale all’erogazione stessa».
• Fornitore infragruppo: va valutato con lo stesso ragionamento. ACN rinvia esplicitamente alla risposta sulla fornitura erogata da un soggetto diverso da quello che l’ha contrattualizzata.

Dall’altro lato del tavolo: la PMI che riceve il questionario

Qui cambia il protagonista. Non siete un soggetto NIS, ma un vostro cliente lo è e vi ha mandato un questionario di sicurezza o una bozza di allegato contrattuale. Prima di rispondere conviene sapere da dove nasce quel documento.

ACN descrive un processo in quattro fasi:

1. Valutazione del rischio associato alla fornitura — il rischio associato alle forniture è valutato e documentato (misura GV.SC-07, punto 1).
2. Identificazione dei requisiti di sicurezza — in accordo agli esiti di quella valutazione, e coerenti con le misure di sicurezza applicate ai propri sistemi informativi e di rete (GV.SC-01, punto 1).
3. Enforcement dei requisiti — i requisiti definiti entrano nelle richieste di offerta, nei bandi di gara, nei contratti, negli accordi e nelle convenzioni relativi alle forniture con potenziali impatti sulla sicurezza (GV.SC-05, punto 1).
4. Verifica dei requisiti — la conformità delle forniture ai requisiti inseriti è verificata periodicamente e documentata (GV.SC-07, punto 2).

Il questionario che avete in mano appartiene alla terza o alla quarta fase. Se la prima non è stata fatta, quel documento non ha un criterio con cui essere costruito, ed è lì che si aprono i margini di discussione.

Cosa il cliente può legittimamente chiedere

Requisiti di sicurezza nei documenti di gara e nel contratto, purché definiti in accordo agli esiti della valutazione del rischio sulla fornitura e coerenti con le misure che il cliente applica ai propri sistemi informativi e di rete. La verifica periodica e documentata della conformità della fornitura a quei requisiti. E la segnalazione degli eventi: nell’ambito della definizione dei requisiti di sicurezza ai sensi della misura GV.SC-01, il cliente soggetto NIS «è tenuto ad assicurarsi che il fornitore segnali tempestivamente il rilevamento di eventi di sicurezza che hanno impatto sui servizi del cliente». Questa clausola è dovuta e non si nega nella sostanza: quello che si negozia sono canale, tempi e soglie. Sul lato pratico — quali evidenze una PMI riesce a produrre con gli strumenti che ha già in casa — abbiamo mappato le misure di base sugli strumenti Microsoft 365 in una guida dedicata.

Cosa il cliente non può pretendere

Quattro limiti, tutti ricavabili dalle FAQ.

Non tutti i requisiti, e non alla lettera. «Non è richiesto che siano necessariamente inseriti tutti i requisiti previsti dalle misure di sicurezza di base» e «non è richiesto che i requisiti di sicurezza riportino fedelmente il testo delle misure di sicurezza NIS applicabili ma è sufficiente che ne recepiscano il contenuto sostanziale». Un allegato che ricopia l’intero elenco delle misure di base e lo fa firmare in blocco non applica la determinazione: la salta.

Non per tutte le forniture. «Non è richiesto che i requisiti di sicurezza siano definiti per tutte le forniture», ma per quelle con potenziali impatti sulla sicurezza: nella definizione di ACN sono le forniture la cui eventuale compromissione può incidere sulla capacità dei sistemi informativi e di rete di resistere a eventi che mettano a rischio disponibilità, autenticità, integrità o riservatezza dei dati e dei servizi.

Non i contratti già in essere. «Non è obbligatorio adeguare i contratti di fornitura già in essere.» L’inserimento dei requisiti è obbligatorio, fatte salve motivate e documentate ragioni normative o tecniche, per i contratti stipulati, rinnovati o prorogati a partire dal termine per l’adozione delle misure di sicurezza. Per i soggetti iscritti nell’elenco entro il 31 dicembre 2025 quel termine è di diciotto mesi dalla ricezione della comunicazione di inserimento; per chi è stato inserito per la prima volta nel corso dell’anno solare 2026 il termine per l’adozione delle misure scade il 31 luglio 2027, ma la FAQ sui contratti già in essere parla soltanto della prima platea e non estende esplicitamente la regola alla seconda. Attenzione al lessico: rinnovo e proroga contano come contratto nuovo.

Non oltre l’oggetto della prestazione. Alla domanda se le categorie di misure di gestione dei rischi di cybersicurezza dell’articolo 24 costituiscano un insieme minimo sempre applicabile, ACN risponde «No»: «l’applicazione di tali categorie deve essere modulata fino alla eventuale esclusione di talune di esse, in funzione del contesto operativo, del livello di rischio e della criticità dei servizi affidati». Gli esempi che la fonte porta sono servizi non ICT: pulizia, vigilanza senza strumenti digitali come la videosorveglianza, progettazione senza metodologia BIM. In quei casi, scrive ACN, «pur permanendo in capo all’amministrazione gli obblighi generali di gestione del rischio di cybersicurezza, i requisiti delle misure di sicurezza da applicare al fornitore dovranno essere coerenti con l’oggetto della prestazione e al concreto profilo di rischio». Lo stesso principio vale per i contratti misti, in cui coesistono componenti ICT e componenti non ICT: l’applicazione dei requisiti va modulata secondo proporzionalità, pertinenza e adeguatezza rispetto alle specifiche prestazioni affidate, evitando l’imposizione generalizzata di obblighi non coerenti con la natura dell’affidamento o con il rischio di cybersicurezza concretamente rilevabile.

Su quest’ultimo limite servono due precisazioni nostre, che nelle FAQ non ci sono. La prima è di riferimenti: l’articolo 24 è quello del decreto NIS, il d.lgs. 138/2024 — l’articolo 21 è la disposizione corrispondente della direttiva — mentre le FAQ scrivono soltanto «l’articolo 24». La seconda pesa di più: queste due risposte sono formulate in un contesto di committenza pubblica. Parlano di «Amministrazioni di riferimento», e il soggetto su cui restano gli obblighi generali è l’amministrazione che affida il servizio. Il criterio di proporzionalità che esprimono è a nostro avviso un argomento spendibile anche davanti a un committente privato, ma è appunto una nostra lettura: chi lo porta al tavolo lo presenti come tale, non come una regola che ACN abbia scritto per i rapporti fra privati.

Raggruppamenti temporanei e consorzi

Il caso è frequente nelle gare e la risposta è netta. Quando l’operatore economico aggiudicatario è costituito in forma di RTI, o di consorzio stabile o di altro tipo di consorzio, «le misure di sicurezza dovranno essere soddisfatte dai soli componenti che erogano (anche parzialmente) la prestazione contrattuale che ha impatti sulla sicurezza informatica». La formulazione è positiva — dice chi deve soddisfarle — e ACN la motiva con i diversi ruoli e le possibili ripartizioni delle attività all’interno del raggruppamento, oltre che con i principi di accountability, adeguatezza e proporzionalità. Se ne ricava, per differenza, che il mandante il cui apporto non ha impatti sulla sicurezza informatica non è chiamato a soddisfarle in quanto membro del raggruppamento: è una lettura a contrario, non un enunciato della fonte.

Chi notifica l’incidente, e chi no

È l’altra domanda che arriva insieme al questionario. Se l’incidente significativo avviene sui sistemi del cliente e voi gli erogate servizi — gli esempi di ACN sono un Security Operation Center e la manutenzione di un impianto HVAC — l’obbligo di notifica allo CSIRT Italia è in capo al cliente, che «potrà poi coinvolgere il fornitore nella fase di gestione dell’incidente». Se l’incidente avviene sui vostri sistemi, l’obbligo è vostro nel caso in cui siate a vostra volta un soggetto NIS, e ricade anche sul cliente quando si configura come significativo anche in relazione ai suoi servizi e attività. Per i servizi cloud l’obbligo è di norma di entrambi, salvo che il servizio sia di tipo IaaS o di hosting dell’infrastruttura del cliente: in quel caso resta in capo al solo cliente. Su tempi e contenuto della segnalazione abbiamo scritto un runbook dedicato alla pre-notifica di 24 ore e alla notifica completa.

Un ultimo punto riguarda chi vende sicurezza gestita, e conviene partire da chi è il soggetto obbligato, perché non è il fornitore. Gli accordi di condivisione delle informazioni sulla sicurezza informatica sono adottati dai soggetti essenziali e importanti, ed è il cliente soggetto NIS a comunicarli ad ACN: l’elenco degli accordi di condivisione è l’ultimo dei sette passaggi dell’aggiornamento annuale. L’obbligo di comunicare l’accordo, per questa via, non ricade quindi sulla PMI fornitrice che non sia essa stessa soggetto NIS.

Il punto la riguarda comunque, perché lo scambio di informazioni che avviene «nel contesto di forniture che hanno oggetto, anche in parte, servizi di sicurezza informatica» si configura come condivisione di informazioni sulla sicurezza informatica, e i relativi contratti rientrano fra quelli che il cliente comunica: ACN elenca NOC, MDR, SOC, CSOC, CERT, VA/PT, Red Teaming e Cyber Threat Intel. Se il cliente vi chiede il contratto per questa ragione, il vostro unico coinvolgimento è consegnargliene una parte: «ai fini della notifica è sufficiente comunicare l’estratto del contratto inerente allo scambio delle informazioni». Non il contratto intero. Restano fuori, invece, le forniture che non hanno per oggetto servizi di sicurezza informatica e in cui il fornitore segnala al cliente eventi di sicurezza di suo interesse, su base volontaria o per clausola contrattuale.

Che cosa portare al tavolo

Se siete il soggetto NIS, l’elenco si costruisce partendo dalle dipendenze e non dai fornitori più grandi, e si chiude con cinque campi per riga. Se siete la PMI fornitrice, la posizione difendibile non è «non ci riguarda»: è chiedere che i requisiti siano ancorati a una valutazione del rischio sulla fornitura, proporzionati all’oggetto della prestazione, non retroattivi sui contratti in corso e non pretesi alla lettera del testo delle misure. Sono quattro obiezioni che poggiano tutte sulle FAQ dell’Autorità — la quarta con l’avvertenza vista sopra sul contesto di committenza pubblica in cui è formulata — e che, messe per iscritto, spostano la discussione dal rapporto di forza al merito. Il resto — l’attuazione effettiva dei requisiti che accettate — è lavoro tecnico, ed è l’unica parte che non si negozia.

Se l’elenco dei fornitori o l’allegato di sicurezza è già sulla vostra scrivania, la nostra assistenza cybersecurity gestita include la conformità NIS2 e la reportistica, cioè la documentazione che serve a dimostrare le misure adottate. Scriveteci dicendoci se siete il soggetto NIS o il fornitore: le due posizioni si preparano in modo diverso.

Domande frequenti

Quando un fornitore è un «fornitore rilevante NIS»?

Quando fornisce servizi o prodotti a un soggetto NIS e soddisfa almeno uno di due criteri, che possono valere in alternativa o congiuntamente: la fornitura è riconducibile alle attività o ai servizi dell’allegato I, punti 8 e 9 del decreto NIS (fornitura ICT), oppure la sua interruzione o compromissione comporta un impatto significativo sulla capacità del soggetto NIS di erogare le attività e i servizi per cui rientra in ambito, anche per indisponibilità di fornitori alternativi (fornitura non fungibile).

Basta elencare i fornitori che accedono ai nostri sistemi?

No: l’accesso ai sistemi non è uno dei due criteri. Una fornitura non digitale ma insostituibile rientra anche senza alcun accesso; un fornitore ICT che non accede a nulla rientra comunque se la fornitura ricade nell’allegato I, punti 8 e 9. Filtrare per accesso è una scorciatoia che restringe l’elenco su un criterio diverso da quello della norma.

Esiste un numero massimo di fornitori da dichiarare?

No. Nei criteri della determinazione non c’è alcuna soglia numerica: l’insieme si determina applicando i due criteri, quindi può contenerne tre o quaranta. Fissare a priori i dieci più grandi, o i venti che pesano di più a bilancio, non è un modo di applicare la regola.

Quali informazioni si comunicano per ciascun fornitore?

L’articolo 18 della Determinazione ACN 127437/2026 chiede cinque campi: denominazione, codice fiscale, paese della sede legale, codici CPV relativi alle forniture e criterio di rilevanza applicato. Nota operativa sul quarto: se lo stesso fornitore eroga forniture riferite a più codici CPV, «l’utente dovrà compilare nel file una nuova riga per ogni codice CPV indicando il medesimo fornitore».

Dobbiamo adeguare i contratti di fornitura già in essere?

No. ACN afferma che, ai fini della misura sulla sicurezza della catena di approvvigionamento, non è obbligatorio adeguare i contratti di fornitura già in essere. L’inserimento dei requisiti di sicurezza riguarda i contratti stipulati, rinnovati o prorogati a partire dal termine per l’adozione delle misure di sicurezza, e restano salve motivate e documentate ragioni normative o tecniche.

Il cliente può pretendere che applichiamo tutte le misure dell’articolo 24?

ACN afferma che le categorie di misure dell’articolo 24 del decreto non sono un insieme minimo sempre applicabile agli affidamenti, e che l’applicazione va modulata in funzione della fornitura. È un criterio di proporzionalità: una fornitura non ICT, o solo in parte ICT, non attrae per questo l’intero impianto delle misure.

Fonte: Agenzia per la Cybersicurezza Nazionale, FAQ NIS — aggiornamento delle informazioni e misure di sicurezza e notifica di incidenti, consultate il 27 agosto 2026. Questo articolo ne descrive il contenuto e non costituisce interpretazione autentica.