Voucher Cloud & Cybersecurity 2026: requisiti, spese e scadenze per PMI

Dal 20 ottobre 2026 PMI e lavoratori autonomi potranno iniziare a compilare la domanda per il Voucher Cloud & Cybersecurity. La misura dispone di 150 milioni di euro e riconosce un contributo a fondo perduto fino al 50% delle spese ammissibili, con un massimo di 20.000 euro per beneficiario.

La compilazione anticipata non coincide però con l’invio. La domanda potrà essere presentata formalmente dalle ore 12:00 del 10 novembre 2026 alle ore 12:00 del 20 gennaio 2027. L’istruttoria seguirà l’ordine cronologico e lo sportello potrà chiudere prima se le risorse saranno esaurite.

Per le imprese, il passaggio più importante è precedente alla piattaforma: il progetto deve dimostrare un miglioramento reale rispetto alle soluzioni già utilizzate. Un semplice rinnovo, l’aumento delle utenze o un aggiornamento privo di un salto sostanziale non sono sufficienti.

Come funziona il Voucher Cloud & Cybersecurity

Il contributo è rivolto alle micro, piccole e medie imprese e ai lavoratori autonomi operanti in Italia. Al momento della domanda il richiedente deve, tra gli altri requisiti, disporre di un contratto di connettività con velocità minima in download di 30 Mbps.

Il piano di spesa deve avere un valore almeno pari a 4.000 euro. Il contributo copre fino al 50% delle spese ammissibili e non può superare 20.000 euro. Ne deriva che un investimento di 4.000 euro può generare, in linea teorica, un contributo massimo di 2.000 euro; per raggiungere il tetto di 20.000 euro occorre un piano ammissibile di almeno 40.000 euro.

La dotazione complessiva è di 150 milioni di euro. Una quota di 71.065.813,34 euro è riservata ai piani che producono in via prevalente i propri effetti in Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia. La localizzazione rilevante è quella dell’unità locale interessata dal progetto, non soltanto la sede legale del richiedente.

L’agevolazione opera nel regime de minimis. Prima di presentare la domanda è quindi necessario verificare gli aiuti già ricevuti e la capienza disponibile, evitando di considerare il contributo come automaticamente cumulabile con ogni altra misura.

Quali investimenti possono essere agevolati

Il decreto comprende un perimetro ampio, ma non indistinto. Sono potenzialmente ammissibili soluzioni hardware di sicurezza, come firewall e sistemi IDS/IPS; software antivirus, di crittografia, monitoraggio, gestione delle vulnerabilità e SIEM; servizi IaaS e PaaS; storage, backup, database, VPN e protezione DDoS.

Rientrano anche servizi SaaS utilizzati nei processi aziendali: contabilità, gestione delle risorse umane, ERP e workflow, CMS, e-commerce, CRM, collaborazione e centralino virtuale. Il decreto include espressamente le soluzioni di produttività integrate con funzionalità di intelligenza artificiale.

I servizi di configurazione, monitoraggio e supporto continuativo possono essere inclusi, anche quando consistono in servizi professionali, ma soltanto come componenti accessorie collegate agli altri prodotti o servizi del piano. Il loro importo non può superare il 30% della spesa complessiva. La formazione è esclusa.

Non basta che una tecnologia appartenga a una categoria elencata nel decreto. Il prodotto o servizio deve essere offerto da un fornitore abilitato e deve comparire nell’elenco ufficiale con il proprio codice identificativo. Offerta, domanda e successivi documenti di spesa devono restare coerenti con quei dati.

Il requisito decisivo: un miglioramento sostanziale

La misura finanzia soluzioni nuove e aggiuntive oppure soluzioni più avanzate e sicure rispetto a quelle già in uso. Sono escluse le spese per prodotti con prestazioni analoghe, gli aggiornamenti di versione che non producono un miglioramento sostanziale, l’estensione di una licenza esistente e il semplice aumento di postazioni o utenti.

Questo requisito trasforma la domanda in un esercizio di progettazione. L’impresa deve descrivere il proprio punto di partenza e spiegare l’incremento ottenuto: maggiore resilienza, nuove funzioni di automazione, migliore protezione dei dati, capacità di rilevare gli incidenti, continuità operativa o integrazione di processi prima separati.

La scelta non dovrebbe quindi partire dal catalogo del fornitore. Conviene prima individuare il rischio o il processo da migliorare e soltanto dopo selezionare la soluzione ammissibile. L’approccio è coerente con gli obblighi NIS2 e la gestione dei fornitori rilevanti: acquistare tecnologia non sostituisce la valutazione del rischio, le responsabilità interne e le regole contrattuali.

Acquisto diretto e abbonamento: tempi diversi

Il piano può essere realizzato tramite acquisto diretto, abbonamento o una combinazione delle due modalità. Se l’impresa acquista direttamente prodotti o servizi, le spese e i pagamenti devono essere successivi alla presentazione della domanda e completati entro dodici mesi dalla comunicazione del provvedimento di concessione.

Per gli abbonamenti, la durata minima è di 24 mesi. Il contratto deve essere sottoscritto dopo la presentazione della domanda e, comunque, entro 30 giorni dalla comunicazione della concessione. Entro i successivi 60 giorni il beneficiario deve trasmettere la comunicazione di avvenuta sottoscrizione, pena la decadenza dall’agevolazione.

Se l’abbonamento supera 24 mesi, il contributo copre soltanto i canoni riferibili ai primi due anni. Recesso anticipato e variazione del fornitore interrompono inoltre la fruizione del beneficio per la parte residua. Durata, rinnovi, livelli di servizio e condizioni di uscita diventano quindi elementi del progetto finanziato, non semplici clausole commerciali.

Le date da distinguere

La procedura è articolata in due fasi:

• dal 20 ottobre 2026, ore 12:00: compilazione, caricamento degli allegati, generazione del modulo, firma digitale e rilascio del codice di predisposizione;
• dal 10 novembre 2026, ore 12:00, al 20 gennaio 2027, ore 12:00: presentazione formale mediante inserimento del codice e rilascio dell’attestazione.

La sola compilazione non prenota le risorse. La domanda entra nell’ordine cronologico soltanto con la presentazione formale. Poiché il Ministero può chiudere lo sportello in caso di esaurimento dei fondi, la fase che precede il 10 novembre serve a eliminare incoerenze documentali, non soltanto a riempire campi.

Documenti e controlli da preparare prima del 20 ottobre

La domanda richiede PEC attiva, firma digitale e autenticazione tramite SPID, Carta nazionale dei servizi o Carta d’identità elettronica. Può essere compilata dal rappresentante legale o da un delegato, con le formalità previste dal decreto.

Occorre inoltre disporre delle offerte dei fornitori. Ogni offerta deve indicare voci di costo e codici identificativi dei prodotti o servizi; deve anche descrivere lo stato di partenza del richiedente e il miglioramento garantito dal progetto. Una proposta commerciale generica rischia quindi di non essere sufficiente.

Tra le dichiarazioni richieste rientra l’adempimento dell’obbligo di stipulare le polizze contro i danni da calamità naturali ed eventi catastrofali previsto dalla legge n. 213/2023. Il requisito va verificato sulla posizione concreta del richiedente: non è opportuno rinviare il controllo alla fase finale della domanda.

Il piano dovrebbe essere accompagnato da una scheda interna che colleghi ciascuna spesa a un’esigenza, un risultato atteso, un fornitore abilitato e un responsabile dell’attuazione. Questa traccia rende più semplice sia la domanda sia la successiva rendicontazione.

Ordine cronologico e rischio di esaurimento delle risorse

La procedura è valutativa, ma l’istruttoria segue l’ordine cronologico di presentazione. Non si tratta quindi di una graduatoria nella quale tutti i progetti vengono confrontati dopo la chiusura. Completezza e tempestività operano insieme.

Il Ministero verifica documenti, requisiti, fornitori e corrispondenza tra il piano e le soluzioni registrate nell’elenco. Se le risorse terminano, le domande prive di copertura possono essere sospese in attesa di eventuali economie; in mancanza di nuove disponibilità decadono.

Presentare rapidamente una domanda incompleta non risolve il problema. La preparazione utile consiste nel chiudere prima le verifiche su requisiti, regime de minimis, polizza catastrofale, offerta, codici e firma. L’ordine cronologico premia la prontezza organizzativa, non l’improvvisazione.

Dopo la concessione: CUP, pagamenti e variazioni

Alla presentazione viene rilasciato il Codice unico di progetto (CUP), che deve essere riportato sui giustificativi di spesa insieme al codice identificativo del prodotto o servizio agevolato. Contratti, fatture e pagamenti devono consentire di ricostruire il collegamento con il piano approvato.

Il contributo può essere erogato in due quote oppure in un’unica soluzione alla conclusione del progetto. La prima quota è richiedibile dopo aver sostenuto almeno il 50% del piano; in ogni caso la richiesta di erogazione non può essere presentata prima di tre mesi dalla comunicazione della concessione.

Operazioni societarie, cessioni dell’attività, recesso dall’abbonamento e cambio del fornitore devono essere comunicati. Per le imprese che prevedono una riorganizzazione o un’operazione straordinaria, il voucher va quindi coordinato con il calendario societario e con i contratti tecnologici.

Il voucher non sostituisce la governance tecnologica

Il contributo riduce il costo di ingresso, ma non garantisce che la soluzione sia adeguata, sicura o compatibile con gli obblighi dell’impresa. Prima della firma conviene chiarire titolarità e portabilità dei dati, livelli di servizio, localizzazione, subfornitori, gestione degli incidenti, audit, continuità operativa e uscita dal contratto.

Lo stesso vale per i prodotti che integrano intelligenza artificiale. La loro ammissibilità finanziaria non risolve le questioni di responsabilità, tracciabilità e prova analizzate nell’approfondimento sui danni da intelligenza artificiale.

Il punto operativo è semplice: il voucher funziona quando finanzia una decisione già governata. Fornitore, contratto, sicurezza, rendicontazione e responsabilità interne devono descrivere lo stesso progetto. Se questi elementi vengono costruiti separatamente, il rischio non è soltanto perdere il contributo, ma acquistare una tecnologia che l’impresa non è pronta a gestire.

Fonti ufficiali

• MIMIT, pagina ufficiale del Voucher Cloud & Cybersecurity.
• Decreto direttoriale 4 agosto 2026, termini e modalità dello sportello.
• Decreto ministeriale 18 luglio 2025, disciplina dell’intervento.
• Decreto direttoriale 21 novembre 2025, elenco dei fornitori abilitati.

Quadro verificato al 4 ottobre 2026. La procedura di compilazione non è ancora aperta; le informazioni operative e gli schemi definitivi devono essere controllati sulla pagina ufficiale della misura prima dell’invio.