Le organizzazioni che si stanno adeguando alle misure di base definite dall'ACN per i soggetti NIS 2 possono trovare che una parte del lavoro tecnico rientra fra le tipologie di prodotti e servizi agevolabili dal Voucher Cloud & Cybersecurity. I due percorsi non sono coordinati fra loro. I termini del voucher sono fissi: compilazione della domanda a partire dalle ore 12.00 del 20 ottobre 2026, presentazione dalle ore 12.00 del 10 novembre 2026 alle ore 12.00 del 20 gennaio 2027. Le scadenze NIS 2 di ciascuna organizzazione dipendono invece dalla sua situazione specifica. Questo articolo indica dove i due percorsi si sovrappongono e dove no.
Decreto direttoriale 4 agosto 2026, articolo 5, commi 1 e 2.
Che cosa il voucher finanzia e che cosa non attesta
La misura sostiene l'acquisizione di soluzioni tecnologiche nuove e aggiuntive rispetto a quelle a disposizione, oppure più avanzate e sicure rispetto a quelle in uso. Finanzia acquisti: non attesta alcuna conformità normativa e non sostituisce un percorso di adeguamento, che comprende analisi del rischio, politiche, procedure e governance.
Il contributo è a fondo perduto, pari al 50% delle spese ammissibili, fino a 20.000 euro, su un piano di spesa di almeno 4.000 euro.
Decreto direttoriale 4 agosto 2026, articolo 4, commi 1 e 6.
Chi può presentare domanda
Possono beneficiare delle agevolazioni le PMI e i lavoratori autonomi che, all'atto della presentazione della domanda, dispongono di un contratto di connettività con velocità minima in download di 30 Mbps. Una grande impresa non può quindi accedere alla misura, anche se rientra nell'ambito della NIS 2. Ciascun soggetto può presentare una sola domanda.
Le FAQ ufficiali confermano che le PMI soggette agli obblighi NIS o NIS 2 possono beneficiare del voucher anche quando gli investimenti sono finalizzati al rispetto di tali obblighi, purché siano soddisfatti tutti i requisiti e le condizioni della misura.
Le domande sono istruite nell'ordine cronologico di presentazione. Se le risorse si esauriscono prima del termine, il Ministero ne dà comunicazione e chiude lo sportello: le domande rimaste prive di copertura sono sospese in attesa di eventuali economie e, in mancanza di ulteriori risorse, si considerano decadute.
Decreto ministeriale 18 luglio 2025, articolo 4, comma 1, e articolo 7, commi 5 e 7; decreto direttoriale 4 agosto 2026, articolo 5, commi 6 e 7, e articolo 6, comma 1; FAQ ufficiali MIMIT, sezione 2, n. 14.
Dove i due percorsi si sovrappongono
Diverse misure tecniche ricorrenti nei percorsi di adeguamento trovano corrispondenza nelle tipologie ammissibili:
| Ambito tecnico | Macrocategoria e tipologie ammissibili |
|---|---|
| Protezione perimetrale e segmentazione | Macrocategoria A: firewall, NGFW, dispositivi IDS/IPS. Macrocategoria C: network e security in cloud |
| Rilevamento, monitoraggio e raccolta dei log | Macrocategoria B: software di monitoraggio delle reti, sistemi SIEM |
| Gestione delle vulnerabilità | Macrocategoria B: software di gestione delle vulnerabilità |
| Continuità operativa, backup e ripristino | Macrocategoria C: servizi di storage e backup |
| Protezione dei dati | Macrocategoria B: soluzioni di crittografia dei dati |
| Protezione degli endpoint | Macrocategoria B: antivirus e antimalware |
Nessuna di queste voci ricade nella macrocategoria E, i servizi di configurazione, monitoraggio e supporto continuativo, ammissibili fino al 30% del piano e solo se connessi ad altri prodotti o servizi del piano. Le FAQ ufficiali precisano che i servizi professionali e continuativi tipici di una soluzione software di cybersecurity della macrocategoria B, ad esempio un servizio di monitoraggio della sicurezza basato su tecnologia antimalware, possono rientrare nella stessa macrocategoria B, fuori dal limite del 30%, a condizione che la soluzione sia erogata in modalità SaaS. In alternativa si classificano nella macrocategoria E.
L'hardware generico è escluso: l'acquisto di un server, anche dotato di sistemi di virtualizzazione, non rientra fra le soluzioni hardware di cybersecurity ammissibili. Il server può essere ammesso solo se fa parte di una soluzione integrata hardware e software, da censire nella categoria A.9, che realizza una specifica funzione di cybersecurity, e il fornitore deve dimostrare un effettivo miglioramento rispetto agli strumenti già in uso (FAQ ufficiali MIMIT, sezione 1, n. 58).
Per la continuità operativa vale una distinzione analoga. Un NAS destinato a una nuova architettura di backup, disaster recovery e protezione dei dati può rientrare nella categoria A.9, un software di backup con la stessa destinazione nelle categorie B.3 o B.9; non sono ammissibili se servono al solo aumento della capacità di archiviazione, e devono risultare nuovi o sostanzialmente migliorativi rispetto alle soluzioni già in uso (FAQ ufficiali MIMIT, sezione 1, n. 59).
Decreto direttoriale 4 agosto 2026, articolo 4, comma 2; FAQ ufficiali MIMIT, sezione 1, n. 36, 37, 58 e 59.
Dove non si sovrappongono
- La consulenza pura non è ammissibile fra i servizi professionali della macrocategoria E. Le FAQ ufficiali vi ammettono solo attività operative e tecniche collegate all'implementazione e alla gestione delle soluzioni, ed escludono gli assessment teorici non seguiti da implementazione (FAQ ufficiali MIMIT, sezione 1, n. 20).
- La formazione dei beneficiari è esclusa dalla macrocategoria dei servizi professionali. I sistemi che erogano formazione sono invece ammissibili fra i servizi cloud SaaS, con esclusione delle sole spese afferenti ai contenuti formativi.
- Le soluzioni già in uso non sono finanziabili. Non sono ammissibili le spese per prodotti e servizi con prestazioni analoghe a quelli già in uso, né gli aggiornamenti di versione che non realizzino contestualmente un miglioramento sostanziale, né l'estensione di licenze già possedute o l'aumento delle postazioni licenziate.
Quest'ultimo punto merita attenzione in sede di composizione del piano. Il decreto non menziona espressamente i rinnovi, ma una lettura dell'esclusione dei prodotti e servizi con prestazioni analoghe a quelli già in uso porta a ritenere che il semplice rinnovo di un contratto esistente per la stessa soluzione non sia una spesa ammissibile. Il passaggio a una soluzione con caratteristiche sostanzialmente diverse può invece esserlo, purché l'offerta documenti l'upgrade rispetto allo stato di partenza.
Decreto direttoriale 4 agosto 2026, articolo 4, commi 2 e 3; FAQ ufficiali MIMIT, sezione 1, n. 20 e 25.
La dichiarazione sullo stato di partenza
La domanda richiede una dichiarazione sull'effettivo stato di partenza in termini di adozione di servizi di cloud computing e cyber security e sul miglioramento previsto, con evidenza delle nuove soluzioni acquisite o di quelle più avanzate prescelte rispetto a quelle già in uso. Anche le offerte allegate devono contenere una propria descrizione dello stato di partenza e dell'upgrade garantito dai prodotti e servizi offerti oppure, in caso di nuovo prodotto o servizio, indicare che non è già nella disponibilità del richiedente.
Nel fac-simile del modulo di domanda questa parte corrisponde alla sezione B, con i campi «Stato di partenza» e «Obiettivi del programma». Nel fac-simile dell'offerta corrisponde alla sezione «Stato di partenza e miglioramento previsto», descritta nella guida all'offerta del fornitore. All'atto dell'inserimento della domanda è possibile produrre ogni altra documentazione ritenuta utile a comprova del miglioramento dichiarato.
Chi ha già svolto un'analisi delle lacune nell'ambito di un percorso di adeguamento dispone in sostanza del materiale necessario a compilare quella parte: l'esercizio consiste nel ricondurre ciascuna lacuna alla tipologia ammissibile corrispondente e nel richiedere l'offerta con il relativo codice identificativo. Come servizio professionale della macrocategoria E, un'analisi delle lacune non seguita da implementazione rientra invece nella consulenza pura esclusa dalle FAQ ufficiali.
Decreto direttoriale 4 agosto 2026, articolo 5, commi 3 e 4; modulo di domanda, sezione B e dichiarazione d); fac-simile dell'offerta del fornitore, sezione B; FAQ ufficiali MIMIT, sezione 1, n. 20 e 48.
Un vincolo di sequenza da considerare
I piani di spesa devono essere avviati dopo la presentazione della domanda, e le spese sostenute prima di quella data non sono ammissibili. Un intervento realizzato prima della presentazione resta quindi interamente a carico dell'organizzazione: quali interventi anticipare dipende dall'urgenza di ciascuno.
Dopo la concessione i termini sono stretti:
- per la parte realizzata mediante acquisto diretto, le spese e i relativi pagamenti devono intervenire entro 12 mesi dalla comunicazione del provvedimento di concessione;
- l'abbonamento, di durata non inferiore a 24 mesi, va sottoscritto dopo la presentazione della domanda ed entro e non oltre 30 giorni dalla comunicazione della concessione; entro 60 giorni dalla medesima data va trasmessa la comunicazione di avvenuta sottoscrizione, pena la decadenza.
Gli adempimenti successivi sono descritti nella guida su erogazione, variazioni e controlli; requisiti, tipologie e termini della misura nella guida completa al voucher.
Decreto direttoriale 4 agosto 2026, articolo 4, commi 4 e 5.
Riferimenti
- Decreto ministeriale 18 luglio 2025, articoli 4 e 7.
- Decreto direttoriale 21 novembre 2025, articolo 5.
- Decreto direttoriale 4 agosto 2026, articoli 4, 5 e 6.
- MIMIT, fac-simile del modulo di domanda e dell'offerta del fornitore, pubblicati l'8 ottobre 2026.
- MIMIT, risposte alle domande frequenti sulla misura, sezione 1, n. 20, 25, 36, 37, 48, 58 e 59; sezione 2, n. 14.
- Decreto legislativo 138/2024, di recepimento della direttiva NIS 2.
Il voucher non costituisce e non sostituisce un adempimento normativo.
