Voucher Cloud e Cybersecurity 2026: domande dal 10 novembre

La risposta breve: il Voucher Cloud e Cybersecurity 2026 è il contributo a fondo perduto del MIMIT che copre il 50% delle spese in cloud e sicurezza informatica, fino a 20.000 euro, per PMI e lavoratori autonomi. Le date adesso ci sono: il decreto direttoriale del 4 agosto 2026 ha fissato la compilazione della domanda dalle 12.00 del 20 ottobre 2026 e la presentazione dalle 12.00 del 10 novembre 2026 alle 12.00 del 20 gennaio 2027, in ordine cronologico di invio. Anche l'elenco dei fornitori abilitati è già stato definito. Quindi la domanda non è più quando apre lo sportello, è cosa devi avere pronto entro il 20 ottobre.

Quando si presentano le domande? Il calendario ufficiale

L'articolo 5 del decreto direttoriale del 4 agosto 2026 divide l'iter in due tempi, entrambi sulla procedura informatica del Ministero:

1. Compilazione, dalle ore 12.00 del 20 ottobre 2026. Si accede con SPID, CIE o CNS, si inseriscono dati e allegati, si indica una PEC attiva (obbligatoria), si genera il modulo in pdf immodificabile, lo si firma digitalmente e lo si ricarica. La piattaforma rilascia il codice di predisposizione domanda: senza quel codice non si invia niente.
2. Presentazione, dalle ore 12.00 del 10 novembre 2026 alle ore 12.00 del 20 gennaio 2027. Si rientra in piattaforma, si inserisce il codice di predisposizione e si riceve l'attestazione di avvenuta presentazione, insieme al CUP del progetto, che poi va riportato su ogni giustificativo di spesa.

Due dettagli decidono l'esito più del resto. Primo: l'istruttoria segue l'ordine cronologico di presentazione, quindi conta il minuto dell'invio, non il giorno. Secondo: se le domande esauriscono i 150 milioni prima del 20 gennaio, il Ministero chiude lo sportello in anticipo e le istanze rimaste senza copertura vengono sospese, fino a decadere se non si liberano risorse. E si può presentare una sola domanda per beneficiario: non c'è un secondo tentativo.

Tradotto in pratica: chi arriva al 20 ottobre con piano di spesa e offerte già in mano compila in un pomeriggio e invia nel primo minuto utile del 10 novembre. Chi inizia a pensarci a novembre rincorre.

Cos'è il Voucher Cloud e Cybersecurity 2026?

È la misura del Ministero delle Imprese e del Made in Italy ("Sostegno alla domanda di servizi di cloud computing e cyber security", decreto ministeriale del 18 luglio 2025), attuata con il supporto di Invitalia e Infratel Italia. Lo stanziamento complessivo è di 150 milioni di euro, di cui circa 71 riservati ai piani di spesa realizzati in Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia. L'obiettivo dichiarato è spingere PMI e partite IVA ad adottare servizi cloud e di sicurezza nuovi o migliorativi rispetto a quelli già in uso: il decreto esclude esplicitamente i servizi con prestazioni analoghe a quelle che hai già. Non un rimborso dell'esistente, una leva per alzare il livello.

Il contributo è concesso in regime de minimis (plafond di 300.000 euro nell'arco di tre anni, calcolati su base mobile, regolamento UE 2023/2831) ed è cumulabile con altri aiuti nei limiti previsti dalla disciplina europea: se hai già incassato altre agevolazioni, è un conto da fare prima.

Chi può richiederlo?

• PMI, comprese le micro imprese, operanti sul territorio nazionale, indipendentemente da forma giuridica e organizzativa.
• Lavoratori autonomi e liberi professionisti con partita IVA, iscritti o meno a un ordine.
• Restano fuori i settori esclusi dall'articolo 1 del regolamento de minimis: la produzione primaria di prodotti agricoli e di prodotti della pesca e dell'acquacoltura, e in alcuni casi la loro trasformazione e commercializzazione.

Tre requisiti pratici da conoscere:

• Contratto di connettività con almeno 30 Mbps in download: si dichiara in domanda e la copia del contratto va trasmessa in fase di erogazione. Senza banda adeguata la domanda non passa, perché la misura finanzia servizi che vivono in cloud.
• Polizza contro i rischi catastrofali: in domanda si dichiara di avere adempiuto all'obbligo assicurativo dell'articolo 1, comma 101, della legge 213/2023, e il Ministero lo verifica prima di pagare. È il requisito che più aziende scoprono all'ultimo.
• La regolarità contributiva (DURC) non serve per fare domanda: viene acquisita d'ufficio al momento dell'erogazione.

Quanto vale il contributo?

Il voucher copre il 50% delle spese ammissibili, con due paletti: piano di spesa minimo di 4.000 euro (quindi contributo minimo di 2.000) e contributo massimo di 20.000 euro. Tre esempi per fissare le idee:

• Piano di spesa da 8.000 euro: 4.000 a fondo perduto.
• Piano di spesa da 24.000 euro: 12.000 a fondo perduto.
• Piano di spesa da 40.000 euro o più: 20.000 a fondo perduto, il massimo.

In pratica, un progetto di sicurezza serio costa la metà. È il tipo di occasione che per un'azienda mid-market capita di rado.

Cosa puoi comprarci davvero? Le 5 categorie ammissibili

Il decreto elenca cinque categorie precise. Vale la pena leggerle con gli occhi di chi fa security:

• Hardware di cybersecurity: firewall e firewall di nuova generazione (NGFW), router e switch, dispositivi di prevenzione delle intrusioni (IDS/IPS). Sì, l'hardware di security è finanziabile.
• Software di cybersecurity: SIEM, antivirus e antimalware, monitoraggio delle reti, crittografia dei dati, gestione delle vulnerabilità. È la categoria dove vive la detection.
• Cloud infrastrutturale (IaaS e PaaS): macchine virtuali, storage e backup, network e security (incluse VPN e servizi anti-DDoS), database.
• Applicativi SaaS: gestionali in cloud come ERP, CRM, HR, contabilità, CMS ed e-commerce, collaborazione e centralino virtuale. Rientrano anche i sistemi per erogare formazione, ma non le spese per i contenuti formativi.
• Configurazione, monitoraggio e supporto continuativo, fino al 30% del piano: i servizi professionali del fornitore, ammissibili solo se connessi ai servizi e prodotti acquistati. È la voce che copre il lavoro di chi implementa e presidia. La formazione dei beneficiari è esclusa, così come la consulenza slegata dagli acquisti.

Le esclusioni contano quanto le categorie. Fuori i servizi con prestazioni analoghe a quelle già in uso, fuori il semplice aggiornamento di versione di un prodotto che hai già se non porta un miglioramento sostanziale (per usare le parole del decreto, nuove funzioni di automazione o di intelligenza artificiale), fuori l'estensione di una licenza esistente o l'aumento del numero di postazioni e utenze. Il voucher premia l'upgrade, non il rinnovo.

Anche il timing è una regola, non un dettaglio: le spese vanno sostenute dopo la data di presentazione della domanda (niente acquisti anticipati), gli abbonamenti si sottoscrivono dopo l'invio e comunque entro 30 giorni dalla comunicazione del provvedimento di concessione, con comunicazione di avvenuta sottoscrizione entro 60 giorni da quella data, pena la decadenza.

Cosa contiene la domanda e cosa si allega

La domanda è resa come dichiarazione sostitutiva di atto notorio e deve contenere, pena l'irricevibilità:

• dati anagrafici e PEC del richiedente;
• ubicazione dell'unità locale dove il piano di spesa produce prevalentemente i suoi effetti: è il dato che vale per la riserva del Mezzogiorno;
• la dichiarazione sui requisiti, inclusi i 30 Mbps e l'obbligo assicurativo catastrofale;
• lo stato di partenza in termini di servizi cloud e di sicurezza già adottati e il miglioramento previsto, con evidenza delle soluzioni nuove o più avanzate scelte;
• i servizi e prodotti prescelti con i loro codici identificativi presi dall'elenco, i nomi dei fornitori, la modalità di acquisto (acquisto diretto, abbonamento di almeno 24 mesi, o combinazione), la durata e gli importi.

Insieme alla domanda vanno trasmesse le offerte dei fornitori scelti, e qui sta il lavoro vero: ogni offerta deve riportare i codici identificativi dei prodotti e descrivere lo stato di partenza dell'azienda e l'upgrade garantito, oppure attestare che il servizio non era nella sua disponibilità. Non è un preventivo qualsiasi, è un documento che va scritto per il decreto.

Il Ministero renderà disponibili gli schemi di domanda e allegati nell'area dedicata del portale con congruo anticipo rispetto all'apertura: quando escono, l'unica cosa che manca dovrebbe essere la compilazione.

L'elenco dei fornitori: com'è fatto e come si consulta

La fase dei fornitori è chiusa da tempo. La finestra di iscrizione (4 marzo - 23 aprile 2026, poi prorogata al 27 maggio 2026) ha selezionato gli operatori con un filtro severo: servivano certificazioni ISO 9001 e ISO/IEC 27001 per tutte le categorie, più ISO/IEC 27017 (o CSA STAR) per i servizi cloud, oppure servizi già qualificati nel catalogo ACN, con verifiche affidate a Infratel Italia. Con il decreto direttoriale del 29 luglio 2026 il Ministero ha definito l'elenco dei soggetti abilitati alla fornitura dei prodotti e servizi agevolabili.

L'elenco si consulta sulla piattaforma dedicata di Invitalia, accedendo con la propria identità digitale: non è un pdf da scaricare, è un catalogo in cui ogni prodotto o servizio ammesso ha un codice identificativo. Quel codice è il filo che tiene insieme tutta la pratica: compare nell'offerta allegata alla domanda, viene indicato in domanda e va riportato sulle fatture in fase di rendiconto. In istruttoria il Ministero verifica proprio questo, che i fornitori scelti siano in elenco e che i servizi corrispondano a quelli del piano di spesa.

Come e quando arriva il contributo?

Punto che quasi nessuno spiega: il voucher non è uno sconto in fattura. Paghi i fornitori, poi il Ministero ti rimborsa il 50%. Puoi chiedere l'erogazione in un'unica quota a piano completato, oppure in due quote: la prima quando hai sostenuto almeno il 50% del piano ammesso, il saldo alla fine.

• L'erogazione non può essere richiesta prima di 3 mesi dalla comunicazione del provvedimento di concessione.
• Servono i titoli di spesa con il CUP e il codice identificativo del singolo servizio agevolato, la prova dei pagamenti, la copia del contratto di connettività e, per gli abbonamenti, il contratto sottoscritto.
• Il Ministero completa le verifiche (inclusi DURC acquisito d'ufficio e obbligo assicurativo) entro 60 giorni dalla richiesta e, in caso di esito positivo, eroga.
• Attenzione agli abbonamenti: durata minima 24 mesi e sono ammissibili solo i canoni dei primi 24; recesso anticipato o cambio fornitore interrompono il beneficio e fanno perdere il contributo residuo. I piani ad acquisto diretto vanno sostenuti e pagati entro 12 mesi dalla comunicazione della concessione.

Per la cassa di un'azienda il messaggio è: il beneficio è reale ma arriva a rimborso e non prima di qualche mese, quindi il piano va dimensionato su spese che sosterresti comunque, al 50% del costo.

Cosa avere pronto entro il 20 ottobre

1. I requisiti formali, verificati e non supposti: posizione attiva (o partita IVA), contratto di connettività da almeno 30 Mbps, polizza contro i rischi catastrofali in regola. Sono le tre cose che a ottobre non si sistemano in una settimana.
2. Identità digitale e PEC: SPID, CIE o CNS di chi presenterà la domanda, PEC attiva, e la firma digitale funzionante, perché il modulo va firmato prima di ottenere il codice di predisposizione.
3. La fotografia dello stato di partenza: cosa usi oggi per sicurezza e cloud. Serve a dimostrare che quello che compri è nuovo o migliorativo, ed è la parte che in istruttoria viene guardata davvero.
4. Il piano di spesa con i codici: quali servizi, in quali categorie, con quali importi, rispettando il tetto del 30% per configurazione, monitoraggio e supporto e la soglia minima di 4.000 euro.
5. Le offerte dei fornitori in elenco: con codici identificativi, stato di partenza e upgrade descritti. Se il fornitore non è in elenco, la spesa non è ammissibile: si verifica prima di firmare qualsiasi cosa.

Come usare bene il voucher: il consiglio da specialisti

La tentazione classica è usare il contributo per rinnovare quello che hai già. Ma il decreto non lo permette: finanzia solo soluzioni nuove e aggiuntive o più avanzate e sicure di quelle in uso. E il contesto spinge nella stessa direzione: secondo il Rapporto Clusit 2026, gli incidenti gravi rilevati in Italia nel 2025 sono stati 507 contro i 357 del 2024, il 42% in più, e l'Italia concentra il 9,6% degli incidenti gravi censiti nel mondo (507 su 5.265) (i numeri sugli attacchi cyber in Italia). Tre modi concreti di spendere bene questi 20.000 euro:

• Passare dagli alert ignorati alla detection e response gestita. Il software di monitoraggio della sicurezza e i servizi continuativi di monitoraggio e supporto sono tra le categorie ammissibili, il software senza tetto e i servizi continuativi fino al 30% del piano: per un'azienda senza team dedicato è l'upgrade con più impatto in assoluto, qualcuno che guarda, indaga e risponde anche di notte. Se non è chiaro cosa cambia rispetto a un antivirus, parti da cos'è un servizio MDR e quando serve.
• Mettere in ordine le fondamenta: SIEM, sicurezza degli endpoint, vulnerability management, backup in cloud. Tutte voci che rientrano nelle categorie software e cloud del decreto.
• Se rientri nella NIS2, doppio dividendo. Il voucher non paga la consulenza normativa in sé, ma finanzia proprio le capability tecniche che la direttiva ti chiede: monitoraggio, detection, backup, gestione delle vulnerabilità. Ti adegui e paghi la metà. Per il quadro completo degli obblighi c'è la guida alla NIS2, e per capire se sei tra i soggetti obbligati parti da a chi si applica la NIS2.

Se vuoi costruire il piano di spesa e la fotografia dello stato di partenza per arrivare al 10 novembre con la domanda pronta da inviare, parliamone adesso: le offerte con i codici identificativi le rilascia il fornitore che scegli dall'elenco. Nel frattempo puoi vedere come lavoriamo sulla cybersecurity gestita e sul monitoraggio continuativo.

Come scegliere il fornitore (e perché il tempo stringe)

Tre criteri, in ordine. Primo: deve essere in elenco, con i codici identificativi dei servizi che ti interessano, e questo si verifica sulla piattaforma Invitalia prima di qualsiasi trattativa. Secondo: deve saper scrivere un'offerta che regge l'istruttoria, con stato di partenza e upgrade documentati, non un preventivo generico. Terzo: se compri in abbonamento, tieni presente che cambiare fornitore in corsa ti fa perdere il contributo residuo, quindi la scelta va fatta pensando a 24 mesi, non a un trimestre.

In sintesi: 50% a fondo perduto fino a 20.000 euro, cinque categorie di spesa (hardware e software di security, cloud, SaaS, servizi di supporto fino al 30%), si spende solo con fornitori in elenco e si viene rimborsati dopo le spese. Il calendario è quello del decreto del 4 agosto 2026: si compila dal 20 ottobre, si invia dal 10 novembre 2026 al 20 gennaio 2027, in ordine cronologico e fino a esaurimento fondi. Chi vuole restare davanti costruisce il piano di spesa ora, non a ottobre.