--- title: Voucher cloud e cybersecurity e misure tecniche NIS 2 description: Quali misure tecniche di un percorso di adeguamento rientrano nelle tipologie agevolabili, che cosa resta escluso e quale vincolo di sequenza considerare. canonical: https://www.aegister.com/it/cms/insights/voucher-cloud-cybersecurity-nis2-baseline/ url: /it/cms/insights/voucher-cloud-cybersecurity-nis2-baseline/ lang: it --- ![](https://www.aegister.com/static/images/header-contact.webp) # Voucher cloud e cybersecurity e misure tecniche NIS 2 Una parte delle misure tecniche ricorrenti nei percorsi di adeguamento alla direttiva NIS 2 rientra nelle tipologie di prodotti e servizi agevolabili: protezione perimetrale, monitoraggio, gestione delle vulnerabilità, backup e cifratura. Il voucher finanzia acquisti e non attesta alcuna conformità. Questo articolo indica le corrispondenze, le esclusioni e il vincolo di sequenza fra spese e presentazione della domanda. 24 settembre 2026 7 min di lettura ![Due persone davanti a un planner annuale appeso al muro indicano una scadenza](https://www.aegister.com/static/images/cms/theme-roadmap-planner.webp) Realizzata con IA adeguamento NIS 2 costibackup e ripristino vouchergestione delle vulnerabilitàmisure tecniche NIS 2 Indice 1. [Che cosa il voucher finanzia e che cosa non attesta](#che-cosa-il-voucher-finanzia-e-che-cosa-non-attesta) 2. [Chi può presentare domanda](#chi-puo-presentare-domanda) 3. [Dove i due percorsi si sovrappongono](#dove-i-due-percorsi-si-sovrappongono) 4. [Dove non si sovrappongono](#dove-non-si-sovrappongono) 5. [La dichiarazione sullo stato di partenza](#la-dichiarazione-sullo-stato-di-partenza) 6. [Un vincolo di sequenza da considerare](#un-vincolo-di-sequenza-da-considerare) 7. [Riferimenti](#riferimenti) Le organizzazioni che si stanno adeguando alle [misure di base definite dall'ACN](https://www.aegister.com/it/cms/insights/misure-di-base-nis2-acn/) per i soggetti NIS 2 possono trovare che una parte del lavoro tecnico rientra fra le tipologie di prodotti e servizi agevolabili dal [Voucher Cloud & Cybersecurity](https://www.aegister.com/it/voucher-cloud-cybersecurity/). I due percorsi non sono coordinati fra loro. I termini del voucher sono fissi: compilazione della domanda a partire dalle ore 12.00 del 20 ottobre 2026, presentazione dalle ore 12.00 del 10 novembre 2026 alle ore 12.00 del 20 gennaio 2027. Le scadenze NIS 2 di ciascuna organizzazione dipendono invece dalla sua situazione specifica. Questo articolo indica dove i due percorsi si sovrappongono e dove no. *Decreto direttoriale 4 agosto 2026, articolo 5, commi 1 e 2.* ## Che cosa il voucher finanzia e che cosa non attesta La misura sostiene l'acquisizione di soluzioni tecnologiche nuove e aggiuntive rispetto a quelle a disposizione, oppure più avanzate e sicure rispetto a quelle in uso. Finanzia acquisti: **non attesta alcuna conformità normativa** e non sostituisce un percorso di adeguamento, che comprende analisi del rischio, politiche, procedure e governance. Il contributo è a fondo perduto, pari al 50% delle spese ammissibili, fino a 20.000 euro, su un piano di spesa di almeno 4.000 euro. *Decreto direttoriale 4 agosto 2026, articolo 4, commi 1 e 6.* ## Chi può presentare domanda Possono beneficiare delle agevolazioni le PMI e i lavoratori autonomi che, all'atto della presentazione della domanda, dispongono di un contratto di connettività con velocità minima in download di 30 Mbps. Una grande impresa non può quindi accedere alla misura, anche se rientra nell'ambito della NIS 2. Ciascun soggetto può presentare una sola domanda. Le FAQ ufficiali confermano che le PMI soggette agli obblighi NIS o NIS 2 possono beneficiare del voucher anche quando gli investimenti sono finalizzati al rispetto di tali obblighi, purché siano soddisfatti tutti i requisiti e le condizioni della misura. Le domande sono istruite nell'ordine cronologico di presentazione. Se le risorse si esauriscono prima del termine, il Ministero ne dà comunicazione e chiude lo sportello: le domande rimaste prive di copertura sono sospese in attesa di eventuali economie e, in mancanza di ulteriori risorse, si considerano decadute. *Decreto ministeriale 18 luglio 2025, articolo 4, comma 1, e articolo 7, commi 5 e 7; decreto direttoriale 4 agosto 2026, articolo 5, commi 6 e 7, e articolo 6, comma 1; FAQ ufficiali MIMIT, sezione 2, n. 14.* ## Dove i due percorsi si sovrappongono Diverse misure tecniche ricorrenti nei percorsi di adeguamento trovano corrispondenza nelle tipologie ammissibili: | Ambito tecnico | Macrocategoria e tipologie ammissibili | | --- | --- | | Protezione perimetrale e segmentazione | Macrocategoria A: firewall, NGFW, dispositivi IDS/IPS. Macrocategoria C: network e security in cloud | | Rilevamento, monitoraggio e raccolta dei log | Macrocategoria B: software di monitoraggio delle reti, sistemi SIEM | | Gestione delle vulnerabilità | Macrocategoria B: software di gestione delle vulnerabilità | | Continuità operativa, backup e ripristino | Macrocategoria C: servizi di storage e backup | | Protezione dei dati | Macrocategoria B: soluzioni di crittografia dei dati | | Protezione degli endpoint | Macrocategoria B: antivirus e antimalware | Nessuna di queste voci ricade nella macrocategoria E, i servizi di configurazione, monitoraggio e supporto continuativo, ammissibili fino al 30% del piano e solo se connessi ad altri prodotti o servizi del piano. Le FAQ ufficiali precisano che i servizi professionali e continuativi tipici di una soluzione software di cybersecurity della macrocategoria B, ad esempio un servizio di monitoraggio della sicurezza basato su tecnologia antimalware, possono rientrare nella stessa macrocategoria B, fuori dal limite del 30%, a condizione che la soluzione sia erogata in modalità SaaS. In alternativa si classificano nella macrocategoria E. L'hardware generico è escluso: l'acquisto di un server, anche dotato di sistemi di virtualizzazione, non rientra fra le soluzioni hardware di cybersecurity ammissibili. Il server può essere ammesso solo se fa parte di una soluzione integrata hardware e software, da censire nella categoria A.9, che realizza una specifica funzione di cybersecurity, e il fornitore deve dimostrare un effettivo miglioramento rispetto agli strumenti già in uso (FAQ ufficiali MIMIT, sezione 1, n. 58). Per la continuità operativa vale una distinzione analoga. Un NAS destinato a una nuova architettura di backup, disaster recovery e protezione dei dati può rientrare nella categoria A.9, un software di backup con la stessa destinazione nelle categorie B.3 o B.9; non sono ammissibili se servono al solo aumento della capacità di archiviazione, e devono risultare nuovi o sostanzialmente migliorativi rispetto alle soluzioni già in uso (FAQ ufficiali MIMIT, sezione 1, n. 59). *Decreto direttoriale 4 agosto 2026, articolo 4, comma 2; FAQ ufficiali MIMIT, sezione 1, n. 36, 37, 58 e 59.* ## Dove non si sovrappongono - **La consulenza pura non è ammissibile** fra i servizi professionali della macrocategoria E. Le FAQ ufficiali vi ammettono solo attività operative e tecniche collegate all'implementazione e alla gestione delle soluzioni, ed escludono gli assessment teorici non seguiti da implementazione (FAQ ufficiali MIMIT, sezione 1, n. 20). - **La formazione dei beneficiari è esclusa** dalla macrocategoria dei servizi professionali. I sistemi che erogano formazione sono invece ammissibili fra i servizi cloud SaaS, con esclusione delle sole spese afferenti ai contenuti formativi. - **Le soluzioni già in uso non sono finanziabili.** Non sono ammissibili le spese per prodotti e servizi con prestazioni analoghe a quelli già in uso, né gli aggiornamenti di versione che non realizzino contestualmente un miglioramento sostanziale, né l'estensione di licenze già possedute o l'aumento delle postazioni licenziate. Quest'ultimo punto merita attenzione in sede di composizione del piano. Il decreto non menziona espressamente i rinnovi, ma una lettura dell'esclusione dei prodotti e servizi con prestazioni analoghe a quelli già in uso porta a ritenere che il semplice rinnovo di un contratto esistente per la stessa soluzione non sia una spesa ammissibile. Il passaggio a una soluzione con caratteristiche sostanzialmente diverse può invece esserlo, purché l'offerta documenti l'upgrade rispetto allo stato di partenza. *Decreto direttoriale 4 agosto 2026, articolo 4, commi 2 e 3; FAQ ufficiali MIMIT, sezione 1, n. 20 e 25.* ## La dichiarazione sullo stato di partenza La domanda richiede una dichiarazione sull'effettivo stato di partenza in termini di adozione di servizi di cloud computing e cyber security e sul miglioramento previsto, con evidenza delle nuove soluzioni acquisite o di quelle più avanzate prescelte rispetto a quelle già in uso. Anche le offerte allegate devono contenere una propria descrizione dello stato di partenza e dell'upgrade garantito dai prodotti e servizi offerti oppure, in caso di nuovo prodotto o servizio, indicare che non è già nella disponibilità del richiedente. Nel fac-simile del modulo di domanda questa parte corrisponde alla sezione B, con i campi «Stato di partenza» e «Obiettivi del programma». Nel fac-simile dell'offerta corrisponde alla sezione «Stato di partenza e miglioramento previsto», descritta nella [guida all'offerta del fornitore](https://www.aegister.com/it/cms/insights/voucher-cloud-cybersecurity-offerta-fornitore/). All'atto dell'inserimento della domanda è possibile produrre ogni altra documentazione ritenuta utile a comprova del miglioramento dichiarato. Chi ha già svolto un'analisi delle lacune nell'ambito di un percorso di adeguamento dispone in sostanza del materiale necessario a compilare quella parte: l'esercizio consiste nel ricondurre ciascuna lacuna alla tipologia ammissibile corrispondente e nel richiedere l'offerta con il relativo codice identificativo. Come servizio professionale della macrocategoria E, un'analisi delle lacune non seguita da implementazione rientra invece nella consulenza pura esclusa dalle FAQ ufficiali. *Decreto direttoriale 4 agosto 2026, articolo 5, commi 3 e 4; modulo di domanda, sezione B e dichiarazione d); fac-simile dell'offerta del fornitore, sezione B; FAQ ufficiali MIMIT, sezione 1, n. 20 e 48.* ## Un vincolo di sequenza da considerare I piani di spesa devono essere avviati dopo la presentazione della domanda, e le spese sostenute prima di quella data non sono ammissibili. Un intervento realizzato prima della presentazione resta quindi interamente a carico dell'organizzazione: quali interventi anticipare dipende dall'urgenza di ciascuno. Dopo la concessione i termini sono stretti: - per la parte realizzata mediante **acquisto diretto**, le spese e i relativi pagamenti devono intervenire entro 12 mesi dalla comunicazione del provvedimento di concessione; - l'**abbonamento**, di durata non inferiore a 24 mesi, va sottoscritto dopo la presentazione della domanda ed entro e non oltre 30 giorni dalla comunicazione della concessione; entro 60 giorni dalla medesima data va trasmessa la comunicazione di avvenuta sottoscrizione, pena la decadenza. Gli adempimenti successivi sono descritti nella guida su [erogazione, variazioni e controlli](https://www.aegister.com/it/cms/insights/voucher-cloud-cybersecurity-rendicontazione-erogazione/); requisiti, tipologie e termini della misura nella [guida completa al voucher](https://www.aegister.com/it/cms/insights/voucher-mimit-cloud-cybersecurity-2026-pmi/). *Decreto direttoriale 4 agosto 2026, articolo 4, commi 4 e 5.* ## Riferimenti - Decreto ministeriale 18 luglio 2025, articoli 4 e 7. - Decreto direttoriale 21 novembre 2025, articolo 5. - Decreto direttoriale 4 agosto 2026, articoli 4, 5 e 6. - MIMIT, fac-simile del modulo di domanda e dell'offerta del fornitore, pubblicati l'8 ottobre 2026. - MIMIT, risposte alle domande frequenti sulla misura, sezione 1, n. 20, 25, 36, 37, 48, 58 e 59; sezione 2, n. 14. - Decreto legislativo 138/2024, di recepimento della direttiva NIS 2. Il voucher non costituisce e non sostituisce un adempimento normativo. Questo articolo è stato revisionato con strumenti di intelligenza artificiale per la correzione di bozze e la verifica degli errori. Nonostante i controlli può contenere inesattezze: per decisioni di conformità fate sempre riferimento ai testi ufficiali. Autovalutazione · NIST CSF 2.0 · ISO 27001 ### Cyber Check-up Un'autovalutazione che restituisce il profilo cyber della vostra azienda: la postura di sicurezza e le raccomandazioni per mitigare i rischi e avviare il percorso di cybersecurity. [Inizia il Cyber Check-up](https://www.aegister.com/it/assessment/?source=voucher) Il nostro servizio ### Servizi Aegister per il voucher I codici identificativi dei nostri servizi da riportare nell'offerta e nella domanda, e come prepariamo l'offerta nel formato richiesto dalla misura. [Maggiori informazioni](https://www.aegister.com/it/voucher-cloud-cybersecurity/#servizi-aegister) Condividete questo articolo: Autovalutazione ### Cyber Check-up Rispondete al questionario e ricevete il profilo cyber della vostra azienda: postura di sicurezza e raccomandazioni per mitigare i rischi. [Inizia il Cyber Check-up](https://www.aegister.com/it/assessment/?source=voucher) ### Servizi Aegister per il voucher I codici identificativi dei nostri servizi da riportare nell'offerta e nella domanda, e come prepariamo l'offerta nel formato richiesto dalla misura. [Maggiori informazioni](https://www.aegister.com/it/voucher-cloud-cybersecurity/#servizi-aegister) ## Notizie correlate 24 settembre 2026 ### [Voucher cloud e cybersecurity: come si compone il piano di spesa](https://www.aegister.com/it/cms/insights/voucher-cloud-cybersecurity-piano-di-spesa/) Il piano di spesa determina il contributo, i termini di realizzazione e ciò che dovrà essere rendicontato. Questa guida spiega il limite del 30% sui … abbonamento 24 mesi voucher esempi piano di spesa limite 30% macrocategoria E +5 4 febbraio 2026 ### [Piano NIS 2 di gestione delle vulnerabilità: guida pratica per approvazione ID.RA-08](https://www.aegister.com/it/cms/insights/nis2-piano-gestione-vulnerabilita-guida-template/) Il piano di gestione delle vulnerabilità è obbligatorio ai sensi dell’Appendice C NIS 2 (ID.RA-08). Questa guida copre cosa deve mostrare un piano ap… [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/) [ACN](https://www.aegister.com/it/cms/keyword/acn/) [Governance](https://www.aegister.com/it/cms/keyword/governance/) +8 29 ottobre 2026 ### [Invio della domanda del voucher cloud e cybersecurity dal 10 novembre: codice di invio e checklist](https://www.aegister.com/it/cms/insights/voucher-cloud-cybersecurity-invio-domanda-checklist/) Come si presenta la domanda del voucher cloud e cybersecurity dal 10 novembre 2026: codice di invio, attestazione e CUP, ordine cronologico, una sola… checklist domanda voucher cloud cybersecurity codice di invio codice di predisposizione domanda +5 ## Note legali 1. Gli articoli riflettono norme e informazioni disponibili alla data di pubblicazione o di aggiornamento indicata. 2. I contenuti del sito hanno scopo informativo e non costituiscono consulenza legale o fiscale. 3. I nomi e i marchi di prodotti, società e organizzazioni di terzi citati nel sito appartengono ai rispettivi titolari. Li citiamo per descrivere i nostri servizi, le norme e gli standard di riferimento; salvo dove indicato, la citazione non indica affiliazione, sponsorizzazione o approvazione. 4. Le informazioni sul Voucher Cloud e Cybersecurity riassumono i decreti e le FAQ ufficiali del MIMIT: in caso di differenza prevalgono i testi ufficiali. Siamo soggetto abilitato con identificativo VCCFA2600000933 e prepariamo l'offerta; la domanda e il rispetto dei requisiti restano a carico dell'impresa richiedente, e il contributo dipende dalle verifiche previste dalla misura e dalle risorse disponibili. 5. Le immagini con l'etichetta «Realizzata con IA» sono generate con strumenti di intelligenza artificiale, hanno scopo illustrativo e non ritraggono persone o eventi reali. 6. Il Cyber Check-up è un'autovalutazione: risultati e indicazioni dipendono dalle risposte fornite e non sostituiscono una verifica tecnica, un audit o una certificazione.