Voucher cloud e cyber: sfruttare al meglio i fondi per ridurre il gap delle pmi italiane

Dal 20 ottobre 2026 le piccole e medie imprese e i lavoratori autonomi possono preparare la domanda per finanziare la sicurezza dei propri sistemi informatici con un contributo a fondo perduto fino a 20mila euro. Il nuovo voucher cloud e cybersecurity del ministero delle Imprese e del Made in Italy dispone di 150 milioni di euro. Sostiene progetti che introducono protezioni più efficaci, backup affidabili, infrastrutture cloud e software aziendali.

Per una piccola impresa può essere l’occasione di superare alcune debolezze concrete: dati conservati in un solo posto, computer poco protetti, mancanza di strumenti per scoprire un’intrusione e difficoltà a riprendere l’attività dopo un ransomware. La finestra per predisporre le richieste apre il 20 ottobre alle 12; l’invio che determina la precedenza nell’accesso ai fondi comincia il 10 novembre alle 12. La misura è illustrata da Invitalia, che gestisce la procedura, e dal Mimit.

Il rischio delle PMI: attacchi in aumento, difese ancora deboli

Una misura che giunge in un momento opportuno.

Secondo il Rapporto Clusit 2026, nel 2025 gli incidenti informatici gravi censiti in Italia sono stati 507, contro i 357 del 2024: un aumento del 42%. Al nostro Paese è attribuito il 9,6% degli incidenti registrati nel mondo. Sono eventi ricostruiti dall’associazione a partire dai casi noti, non la totalità degli attacchi subiti da aziende e cittadini.

La pressione è rimasta elevata anche nel 2026. Nell’audizione al Senato del 13 ottobre, il direttore generale dell’Agenzia per la cybersicurezza nazionale Andrea Quacivi ha riferito 3.271 eventi cyber rilevati nei primi nove mesi del 2026, rispetto a 2.729 nell’intero 2025. Circa duemila eventi del 2026 sono stati classificati come incidenti con impatto confermato. Questi numeri dell’agenzia seguono una classificazione diversa da quella di Clusit; l’ampliamento delle segnalazioni legato alla direttiva Nis2 contribuisce inoltre alla crescita degli eventi rilevati.

Intanto cresce la spesa, anche se da una base ridotta. L’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano ha calcolato che il mercato italiano di prodotti e servizi per la cybersecurity ha raggiunto 2,78 miliardi di euro nel 2025, il 12% in più rispetto all’anno precedente. Sette grandi imprese su dieci prevedono un ulteriore aumento dei budget nel 2026. Proprio nelle aziende di dimensioni inferiori, però, la disponibilità di risorse e competenze resta più limitata.

I ritardi da colmare sono grandi. Si veda il Cyber Index PMI 2025, elaborato da Confindustria e Generali con il Politecnico di Milano e l’Agenzia per la cybersicurezza nazionale. Su 1.582 piccole e medie imprese, soltanto il 16% raggiunge un livello di preparazione cyber considerato adeguato. Il 24% dichiara di aver subito almeno un attacco negli ultimi tre anni. Il divario riguarda soprattutto l’individuazione delle vulnerabilità e la capacità di intervenire quando l’attacco è già in corso.

Alcuni indicatori mostrano con precisione dove intervenire: l’autenticazione a più fattori per gli accessi remoti è presente nel 43% delle imprese intervistate; appena il 26% utilizza soluzioni di rilevazione e risposta sui dispositivi e il 9% ha formalizzato processi di gestione delle vulnerabilità. Un progetto finanziato dal voucher può affrontare queste debolezze, selezionando prodotti effettivamente ammissibili e servizi tecnici per gestirli.

Quanto vale il voucher, a chi spetta e quali sono i requisiti

Il contributo copre il 50% delle spese ammesse, a partire da un progetto di 4mila euro, fino al tetto di 20mila euro di rimborso. Un investimento da 8mila euro può quindi ottenere 4mila euro; con 40mila euro di spesa ammissibile si arriva al massimo del contributo. Per ciascun beneficiario è possibile presentare una sola domanda.

Quanto può ricevere l’impresa: esempi di contributo

Fonte: Elaborazione sui massimali del decreto Mimit del 4 agosto 2026. Importi esemplificativi, in presenza dei requisiti e dell’ammissione delle spese.

Possono partecipare micro, piccole e medie imprese attive in Italia e professionisti con partita Iva, inclusi avvocati, architetti e consulenti. Le imprese appena nate sono ammesse anche senza bilanci già depositati. Per le medie imprese si applica la soglia ordinaria di meno di 250 occupati, con fatturato fino a 50 milioni oppure totale di bilancio fino a 43 milioni di euro. Il Mimit precisa nelle FAQ aggiornate al 1° ottobre 2026 che gli studi professionali associati, come soggetti autonomi, sono esclusi: possono richiedere il beneficio i singoli professionisti in possesso dei requisiti.

Serve un contratto per una connessione a Internet di almeno 30 Mbps in download al momento dell’invio. Sono utilizzabili connessioni fisse, anche via radio, e satellitari che rispettano le condizioni previste; le FAQ escludono le SIM dati e le connessioni basate su rete mobile. Le imprese soggette all’obbligo di assicurazione contro le calamità naturali devono risultare in regola. Il contributo opera inoltre nel regime europeo degli aiuti de minimis: l’impresa deve avere capienza rispetto agli eventuali incentivi già ricevuti.

Dei 150 milioni, 71,07 milioni sono riservati agli investimenti nel Mezzogiorno: Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia. Ai fini della riserva conta la sede operativa nella quale il progetto produce prevalentemente i suoi effetti.

Firewall, backup, protezione dei dispositivi: cosa si può finanziare

Il decreto direttoriale del 4 agosto 2026 ammette firewall tradizionali e di nuova generazione, dispositivi di prevenzione delle intrusioni, antimalware, sistemi di monitoraggio della rete, cifratura dei dati, strumenti per la gestione delle vulnerabilità e piattaforme che raccolgono e analizzano gli eventi di sicurezza. L’obiettivo è introdurre difese nuove o significativamente più avanzate rispetto alla situazione di partenza.

Sul versante della continuità operativa rientrano infrastrutture cloud, server virtuali, database, archiviazione, backup e servizi di recupero dei dati. Per un’azienda che conserva archivi e applicazioni in ufficio, un backup esterno ben configurato permette di ripristinare informazioni e attività dopo guasti o attacchi ransomware. Prima di firmare il contratto è utile stabilire ogni quanto vengono salvati i dati, chi verifica le copie e in quanto tempo il fornitore è in grado di ripristinarli.

Il voucher finanzia anche software cloud per contabilità, gestione del personale, commercio elettronico, relazioni con i clienti, centralini virtuali e produttività, comprese applicazioni con funzioni di AI. Configurazione, monitoraggio e assistenza tecnica continuativa possono rappresentare fino al 30% del piano di spesa, purché collegati alle tecnologie acquistate. Restano escluse la formazione del personale e la consulenza puramente teorica priva di implementazione.

La differenza tra un acquisto ammissibile e uno respinto può stare proprio nel miglioramento promesso: il semplice rinnovo delle licenze, l’aggiunta di postazioni o un aggiornamento senza nuove capacità sostanziali sono esclusi. Nell’offerta devono comparire lo stato tecnologico iniziale e le nuove funzioni o protezioni che saranno effettivamente introdotte.

Domanda dal 20 ottobre: come compilare e quando inviare

Il primo passaggio è consultare l’elenco ufficiale dei fornitori abilitati e farsi rilasciare un’offerta contenente servizi, costi e codici identificativi dei prodotti ammessi. L’offerta deve descrivere ciò che l’azienda usa oggi e l’incremento di sicurezza o capacità digitale previsto. È utile chiedere più preventivi e controllare quali attività siano incluse nel canone, dalla messa in funzione al monitoraggio degli allarmi.

Dalle 12 del 20 ottobre 2026 si accede alla piattaforma Invitalia con Spid, carta d’identità elettronica o Carta nazionale dei servizi. Occorrono una Pec attiva e la firma digitale. Si inseriscono i dati del soggetto richiedente, l’unità locale, la descrizione del progetto, la spesa e le offerte ricevute. Al termine il sistema genera un modulo Pdf da firmare digitalmente e ricaricare: viene così rilasciato il codice di predisposizione della domanda.

Alle 12 del 10 novembre occorre rientrare e trasmettere formalmente la domanda inserendo quel codice. Soltanto allora il sistema rilascia la ricevuta di presentazione e il codice unico di progetto (Cup), da riportare sui documenti di spesa. Lo sportello resterà aperto fino alle 12 del 20 gennaio 2027, salvo esaurimento anticipato. Le domande vengono istruite nell’ordine in cui sono inviate: compilare prima consente di essere pronti, ma il click del 20 ottobre non assegna i fondi.

Rimborso e abbonamenti: i costi da pianificare prima

Il contributo arriva dopo acquisto, pagamento e rendicontazione. Il ministero può erogarlo in un’unica soluzione a conclusione del progetto, oppure in due quote: la prima è richiedibile dopo aver sostenuto almeno metà delle spese ammesse. La richiesta di erogazione può partire soltanto dopo almeno tre mesi dalla comunicazione di concessione. Un’impresa deve quindi prevedere la liquidità necessaria per anticipare le fatture.

Le spese devono essere successive all’invio della domanda del 10 novembre. Gli acquisti diretti vanno realizzati nei termini del progetto, ordinariamente entro 12 mesi dalla concessione; gli abbonamenti devono durare almeno 24 mesi, e il contributo copre i canoni dei primi due anni. Il contratto di abbonamento deve essere sottoscritto dopo la presentazione della domanda ed entro 30 giorni dalla comunicazione della concessione, con successiva conferma secondo la procedura. Sono condizioni che incidono sui tempi di attivazione e sui flussi di cassa.

Prima di scegliere un servizio cloud conviene calcolare anche la spesa dal venticinquesimo mese: canoni futuri, assistenza, trasferimento dei dati e possibilità di cambiare fornitore. Per la cybersecurity è altrettanto importante precisare chi riceverà gli allarmi, con quali orari di presidio, quali tempi di intervento sono contrattuali e come saranno verificati i ripristini. Sono aspetti operativi che rendono confrontabili preventivi apparentemente simili.

Le offerte di Tim, Fastweb e Vodafone, WindTre, Retelit e Unidata

I principali operatori hanno predisposto percorsi commerciali per il voucher, con offerte personalizzate che combinano cloud, prodotti cyber e supporto tecnico. La presenza di un operatore nell’elenco non rende automaticamente ammissibile qualunque suo servizio: in domanda devono essere indicati i codici delle soluzioni effettivamente abilitate, associati al progetto e al preventivo.

Esempi di servizi proposti dagli operatori per il voucher

Fonte: Pagine voucher dei singoli operatori, consultate a ottobre 2026; servizio effettivamente ammesso da verificare attraverso elenco e codici ministeriali.

La scelta dipende dalla necessità prevalente. Per uno studio che gestisce archivi riservati può avere priorità il backup con ripristino verificabile e la protezione dei dispositivi; per una piccola azienda manifatturiera può pesare di più il controllo degli accessi alla rete e il presidio degli allarmi. Le offerte pubblicate dai fornitori rimandano spesso a un preventivo individuale, per cui la comparazione economica va fatta su configurazioni e durate equivalenti.

Il voucher come primo investimento in una difesa continuativa

Il ritardo delle PMI è innanzitutto organizzativo. Nel Cyber Index PMI 2025 il 23% del campione ha un budget esclusivamente dedicato alla sicurezza; un altro 45% usa risorse del bilancio informatico generale, mentre il 18% intende stanziare fondi in futuro e il 14% non lo prevede. Complessivamente, le aziende che destinano già risorse alla cybersecurity sono il 68%, contro il 52% della rilevazione precedente: un progresso importante, ancora distante da una preparazione adeguata.

Il rapporto segnala anche un limite nell’accesso ai contributi: solo il 12% delle PMI intervistate ha già beneficiato di finanziamenti pubblici per la cybersecurity, mentre il 39% ignora l’esistenza di queste opportunità. Il voucher da 150 milioni può aiutare a colmare parte del divario, soprattutto nelle imprese che finora hanno rinviato gli investimenti.

Bene, ma è un punto di partenza. La priorità ora è costruire un progetto che rimanga utile anche dopo la fine dell’incentivo: proteggere gli accessi, rilevare gli attacchi, salvare i dati e saper ripartire. La tecnologia acquistata con il contributo funzionerà davvero soltanto se saranno chiari i responsabili, le procedure di intervento e i costi per mantenerla operativa negli anni successivi.