Salta al contenuto
AYE·Solutions Parliamone

Strumento · Fornitori rilevanti · art. 1 e art. 18 della determinazione piattaforma

Il vostro codice fiscale può essere già all'Agenzia. Non l'avete mandato voi.

Il vostro nome e il vostro codice fiscale possono essere già in un elenco consegnato all'Agenzia per la Cybersicurezza Nazionale. Non da voi: da un vostro cliente. Non è una richiesta commerciale gentile, è un adempimento suo, con una finestra di calendario.

Chi è tenuto a farlo comunica, per ciascun fornitore rilevante, cinque dati.[1] L'ultimo è il più interessante: il criterio con cui vi ha classificati. È un giudizio che qualcun altro ha dato su di voi, e che voi non avete visto.

Tutto il calcolo avviene nel vostro browser. Nessuna risposta viene inviata, registrata o trasmessa a nessuno — qui più che altrove, perché vi stiamo chiedendo di descrivere le vostre debolezze.

Blocco A — Il vostro cliente è un soggetto NIS?

A1. Negli ultimi diciotto mesi vi è capitata almeno una di queste cose?

Le prime quattro sono il segnale che il processo è già cominciato dal lato del cliente. «Nessuna di queste» non è un'assoluzione: si prosegue.

A2. Fornite servizi o prodotti informatici — software, sistemi, reti, servizi gestiti, cloud, assistenza IT?

È il criterio 1: la fornitura riconducibile alle attività o ai servizi dell'allegato I, punti 8 e 9, del decreto NIS.[2]

Blocco B — Siete fungibili?

Il secondo criterio non riguarda l'informatica. Riguarda cosa succede al vostro cliente se voi vi fermate.

B1. Se la vostra fornitura si interrompesse domani, il vostro cliente potrebbe continuare a erogare il suo servizio?
B2. Esistono fornitori alternativi per quello che fornite?
B3. Nel vostro rapporto con quel cliente c'è una di queste?

⚠️ Come leggiamo le risposte del blocco B, e da dove viene questa regola. Nessuna fonte associa l'esclusiva, la lavorazione su disegno, l'attrezzatura dedicata o i tempi di riqualifica al criterio di non fungibilità: è un criterio nostro, basato su come questi rapporti funzionano in pratica. Lo scriviamo qui invece di nasconderlo nel codice, così potete discuterlo. La valutazione dell'impatto significativo la fa il soggetto NIS — non voi, e non noi.

Blocco C — Sapete cosa hanno scritto su di voi?

C1. Sapete se un vostro cliente vi ha inserito nel proprio elenco dei fornitori rilevanti?

Blocco D — Sapreste rispondere al questionario?

Se il criterio è soddisfatto, prima o poi il questionario arriva. Queste cinque domande sono quelle che tornano sempre.

Sapete indicare per iscritto chi risponde della sicurezza informatica nella vostra azienda?
Avete una valutazione del rischio documentata e approvata dalla proprietà?
Avete un piano di gestione degli incidenti, e sapreste dire al cliente entro quante ore lo avvisereste di una compromissione che lo riguarda?
Sapete elencare i vostri fornitori critici — il livello sotto di voi?
La copia dei dati è stata provata con un ripristino negli ultimi dodici mesi?

Su D3, una nota che cambia il conto. Se il vostro cliente è un soggetto NIS, la sua pre-notifica va trasmessa entro 24 ore — e il termine decorre dall'acquisizione dell'evidenza, non dal momento in cui l'incidente è avvenuto.[3] Se voi lo avvisate in tre giorni, gli avete fatto perdere il termine. È il punto in cui una domanda burocratica diventa un problema condiviso.

La vostra scheda

Rispondete alle domande qui sopra: la scheda si compila da sola.

Fonti

  1. Determinazione ACN in materia di piattaforma digitale NIS, art. 18 comma 1: per ciascun fornitore rilevante il soggetto NIS comunica denominazione, codice fiscale, Paese della sede legale, codici CPV della fornitura e criterio di rilevanza applicato. La finestra di aggiornamento annuale è all'art. 16 comma 1.
  2. Stessa determinazione, art. 1 comma 1 lettera ll): «un soggetto che assicura la fornitura di servizi o di prodotti a un soggetto NIS che soddisfa almeno uno dei seguenti criteri di rilevanza: 1) la fornitura è riconducibile alle attività o ai servizi di cui all'allegato I, punti 8 e 9, del decreto NIS; 2) l'interruzione o la compromissione della fornitura comporta un impatto significativo sulla capacità del soggetto NIS, anche per effetto della indisponibilità di fornitori alternativi, di erogare le attività o i servizi per i quali rientra nell'ambito di applicazione del decreto NIS».
  3. Guida alla lettura delle Specifiche di base, v2.1, aprile 2026: «L'acquisizione dell'evidenza è tipicamente successiva al verificarsi dell'incidente e definisce il momento dal quale decorre il termine per la trasmissione della pre-notifica (24 ore) e della notifica (72 ore)».