NIS 2: preparare il registro fornitori
Approfondimento a cura di Stefano Gazzella, DPO DITEDI
Nel periodo fra il 15 aprile e il 31 maggio di ogni anno, i soggetti NIS devono comunicare tramite il portale ACN l’elenco dei fornitori rilevanti, corredato dalle informazioni richieste dalla Determinazione ACN n. ACN n. 127437 del 13 aprile 2026.
Lo scopo è quello di mappare le catene di approvvigionamento dei soggetti NIS 2, individuando quali possano influire in modo rilevante su sicurezza o continuità dei servizi. Questa categoria non contempla esclusivamente i fornitori ICT (es. cloud, software, servizi di connettività, datacenter, etc.) richiamati dall’allegato I, punti 8 e 9, del d.lgs. 138/2024, ma anche tutti i fornitori la cui interruzione può compromettere in modo significativo la continuità operativa, anche per indisponibilità di fornitori alternativi. Particolare attenzione va fatta dunque sul criterio della non fungibilità della fornitura, che deve essere oggetto di attenta analisi e valutazione.
Per ciascun fornitore rilevante sarà necessario raccogliere informazioni dettagliate tramite il template disponibile sul portale ACN, ovverosia:
- Denominazione sociale
- Codice fiscale / VAT number
- Paese della sede legale
- Codici CPV della fornitura
- Criterio di rilevanza (lett. a o b)
Dopodiché dovrà essere classificato in base al Common Procurement Vocabulary (il sistema di classificazione europeo degli appalti pubblici), in modo dettagliato.
L’invio avviene tramite il Servizio NIS / Aggiornamento annuale informazioni sul Portale ACN.
L’elenco dei fornitori deve integrare un registro aggiornato della supply chain in modo tale da consentire la gestione continua del rischio e annotare cambi di fornitori e modifiche significative.
Registro fornitori NIS 2: 5 passaggi essenziali.
Di seguito, alcuni passaggi per formare il registro fornitori NIS 2:
- estrarre l’elenco dei propri fornitori per individuare i fornitori rilevanti:
- filtrare i fornitori ICT riconducibili all’allegato I, punti 8 e 9, del d.lgs. 138/2024;
- filtrare i fornitori la cui interruzione ha un impatto significativo sui servizi (per non fungibilità o per dipendenza non sostituibile);
- classificare i fornitori con i codici CPV (Reg. (CE) 2195/2002). per ciascun servizio;
- documentare la rilevanza dei fornitori, con motivazione coerente con la BIA;
- verificare la coerenza con il registro fornitori interno entro il 30 aprile;
- trasmettere l’elenco tramite il Servizio NIS / Aggiornamento annuale informazioni entro il 31 maggio.
