Voucher Cloud e Cybersecurity MIMIT: 20.000 euro a fondo perduto e cosa fare adesso

Il MIMIT ha stanziato 150 milioni di euro per portare le PMI italiane sul cloud e in sicurezza, con un contributo a fondo perduto pari al 50% della spesa fino a un massimo di 20.000 euro. Le domande si presentano dal 10 novembre 2026.

La finestra di invio è larga — dal 10 novembre 2026 al 20 gennaio 2027 — ma non è lì che si decide l’esito: nel portale si compila, non si progetta. Il lavoro che determina la domanda si fa prima di presentarla, e presentare presto conta, perché le domande si istruiscono in ordine cronologico di arrivo e lo sportello può chiudere in anticipo se le risorse si esauriscono. Chi apre il modulo senza sapere cosa gli serve, quanto costa e in che ordine farlo, o lo compila su un piano improvvisato, o resta indietro mentre lo mette insieme.

Questo articolo non è un riassunto del bando: di quelli ne trovate molti. È l’elenco delle cose da avere pronte prima di presentare la domanda, e degli inciampi che dopo non si recuperano più.

I numeri, in breve

I riferimenti normativi sono il decreto ministeriale del 18 luglio 2025 e i successivi decreti attuativi.

⚠️ Una precisazione sulle fonti, perché la procedura è stata definita in due tempi e le date non stanno dove molti le cercano: termini e modalità di presentazione sono fissati dal decreto direttoriale del 4 agosto 2026, comunicato in Gazzetta Ufficiale n. 193 del 21 agosto 2026. È quel provvedimento, non il decreto ministeriale istitutivo, a stabilire le date qui sopra: chi cerca precompilazione, apertura e chiusura dello sportello nel testo del 2025 non le trova.

Cosa ci si può mettere dentro

Il perimetro è ampio e coincide in buona parte con quello che una PMI rimanda da anni:

• Sicurezza hardware: firewall, apparati di rete, sistemi di protezione perimetrale
• Sicurezza software: antivirus e antimalware, monitoraggio, gestione delle vulnerabilità
• Servizi cloud infrastrutturali e di piattaforma: macchine virtuali, storage, backup, database, VPN
• Software in modalità SaaS: ERP, CRM, contabilità, gestione del personale, strumenti di collaborazione, e-commerce
• Servizi di configurazione, monitoraggio e supporto continuativo

Sull’ultima voce c’è un limite che cambia il modo di costruire il piano: i servizi accessori di configurazione, monitoraggio e supporto continuativo — inclusi i servizi professionali — sono ammessi fino al 30% del piano di spesa complessivo, e devono essere connessi ad almeno uno degli altri servizi finanziati.

Attenzione a come si intitola quella voce. Il decreto non nomina mai la «consulenza», e le FAQ del Ministero escludono espressamente i corsi di formazione e la consulenza pura, intesa come gli assessment teorici non seguiti da implementazione. Quello che le FAQ ammettono, entro il 30%, è il blocco di configurazione, monitoraggio e supporto continuativo connesso ad almeno uno degli altri servizi finanziati: non dicono che l’analisi preliminare diventi finanziabile perché poi qualcosa viene implementato. La regola prudente è quindi una sola: a essere ammissibile è l’implementazione, non lo studio che la precede. Una riga di piano scritta come consulenza si fa respingere; la stessa attività descritta per quello che è — configurazione, monitoraggio, supporto continuativo — rientra nel 30%.

Sono esclusi anche i servizi di miglioramento delle competenze, anche quando sono erogati tramite piattaforme e-learning: il canale non cambia la natura della spesa.

La formazione è esclusa. Se avete in programma di formare le persone sugli strumenti nuovi — e dovreste — quella voce va finanziata altrove: esistono i fondi interprofessionali, che coprono esattamente quel capitolo e funzionano con regole proprie.

Le cinque verifiche da fare adesso

1. Il de minimis: quanto spazio è rimasto

Questa verifica viene prima di tutte le altre perché può chiudere la partita in partenza, ed è quella che manca più spesso nei conti: il contributo è concesso in regime de minimis, ai sensi del Regolamento (UE) 2023/2831. Se il massimale disponibile risulta superato, l’agevolazione non può essere concessa, in tutto o in parte — anche a fronte di un piano impeccabile.

Quattro cose da sapere, prima di fare qualsiasi altro conto:

• Il massimale. L’articolo 3 del regolamento lo fissa così: «L’importo complessivo degli aiuti “de minimis” concessi da uno Stato membro a un’impresa unica non supera 300 000 EUR nell’arco di tre anni».
• Il triennio è mobile, non di bilancio. Per ogni nuova concessione si guardano i tre anni precedenti a quella data: non ci sono esercizi finanziari fissi che azzerano il conto a gennaio.
• Conta la data della concessione, non quella del bonifico. Un aiuto si considera concesso quando è accordato il diritto di riceverlo, indipendentemente da quando viene erogato: un contributo deliberato due anni fa e incassato oggi pesa sull’anno della delibera.
• La verifica è a livello di impresa unica, non del singolo codice fiscale. Qui si decide anche il numero di domande: ciascun soggetto beneficiario può presentarne una sola, mentre imprese giuridicamente distinte della stessa impresa unica possono presentare domande autonome, purché ciascuna abbia i requisiti — restando però dentro il massimale comune.

Dove si controlla. Dal 1° gennaio 2026 gli aiuti concessi sono tracciati nel registro centrale previsto dall’articolo 6 del regolamento, accessibile al pubblico: in Italia è il Registro Nazionale Aiuti di Stato. È lì che si legge quanto spazio resta, non nella memoria dell’ufficio amministrativo.

Sul cumulo c’è una regola, e non è una scorciatoia. Gli aiuti de minimis non sono cumulabili con altri aiuti di Stato relativi agli stessi costi ammissibili, quando il cumulo supererebbe le intensità o gli importi massimi applicabili. Non esiste una risposta valida per tutte le misure: va verificata misura per misura, voce per voce del piano. La domanda giusta non è «posso sommare questo bando a quell’altro», è «su quali costi, esattamente, sto chiedendo due aiuti».

2. Capire cosa manca davvero, non cosa scade

Le soluzioni devono essere nuove o migliorative rispetto a quelle già in uso. Rinnovare l’esistente non basta: rifare lo stesso antivirus per un altro anno non è un miglioramento, sostituire un firewall di otto anni con uno che fa ispezione del traffico cifrato sì.

Questo obbliga a un passaggio che molte aziende salterebbero volentieri: una fotografia onesta di cosa c’è e cosa manca. È il lavoro che richiede più tempo di calendario, e l’unico che non si può comprimere nei giorni che precedono l’invio.

Un punto di partenza gratuito, se il tema è la sicurezza: il nostro NIS2 Self-Assessment porta a un elenco di misure presenti e assenti in una decina di minuti. Non è pensato per il bando, ma la domanda a cui risponde — quali misure di base non abbiamo — è la stessa da cui parte un piano di spesa difendibile. Da mettere in chiaro, perché qui vale la regola vista sopra: un assessment, il nostro compreso, non è la voce che si mette nel piano di spesa. Nel piano vanno le misure che decidete di mettere in opera, e i servizi di configurazione, monitoraggio e supporto che le accompagnano, entro il 30%.

3. Il fornitore in elenco, e il preventivo fatto come serve

Le forniture devono arrivare da soggetti iscritti nell’elenco dei fornitori abilitati tenuto dal MIMIT. L’elenco è stato definito con il decreto direttoriale del 29 luglio 2026: non è un adempimento futuro, esiste da adesso.

Questo è l’inciampo più costoso, perché si scopre tardi. Scegliere il fornitore a ottobre, costruirci il piano sopra e accorgersi a novembre che non è in elenco significa rifare il piano quando non c’è più tempo. La verifica costa una telefonata: chiedete al vostro fornitore se è iscritto, e fatevelo confermare per iscritto.

La telefonata, però, non chiude il punto: il requisito non è solo che il fornitore sia iscritto, perché il preventivo deve essere firmato dal fornitore e riportare i codici identificativi dell’Elenco. L’offerta deve indicare il fornitore originario e il suo codice identificativo, perché è così che il Ministero verifica l’accreditamento. Un PDF senza firma e senza codice va rifatto — e rifarlo richiede il tempo del fornitore, non il vostro.

Una nota per chi scopre che il proprio fornitore non è in elenco: il termine di iscrizione era fissato al 27 maggio 2026 ed è stato poi prorogato, e una nuova scadenza non è indicata. Vale la pena chiedergli se intende iscriversi, ma il piano non si costruisce su quell’ipotesi.

4. Verificare la connettività, con la misura giusta

Fra i requisiti di ammissibilità c’è una connessione con almeno 30 Mbps in download. È il dettaglio che passa inosservato perché sembra ovvio, e non lo è per tutte le sedi produttive italiane — capannoni, laboratori e magazzini in zone mal servite sono più comuni di quanto si pensi.

Due precisazioni rendono però il requisito meno severo di come viene letto in giro. La prima: la soglia si misura sulla velocità nominale, o massima, del contratto — non sulla banda minima garantita. Una connessione commerciale ordinaria la supera quasi sempre, pur senza alcuna garanzia in SLA. La seconda: in fase di domanda basta una dichiarazione; il contratto va prodotto in fase di erogazione, ma deve essere già in essere alla data della domanda. Può anche essere intestato a un terzo — il proprietario dell’immobile, un consorzio, un’altra società del gruppo — con dichiarazione dell’intestatario.

Resta un caso in cui il problema è reale e va risolto prima: le connessioni mobili non sono ammesse. Se una sede sta in piedi su una SIM o su un router mobile, quella non è una linea ammissibile, e sostituirla non è una pratica che si chiude in tre settimane.

5. Mettere a budget il secondo anno

Il piano di spesa ha due durate diverse a seconda di come si acquista: massimo 12 mesi per l’acquisto diretto, minimo 24 mesi per gli abbonamenti.

La conseguenza pratica è che un piano costruito su sottoscrizioni — licenze SaaS, servizi cloud, servizi gestiti — impegna l’azienda per due anni, e il contributo copre metà del totale, non metà del primo anno. Va scritto nel budget del 2027, non solo in quello del 2026. È una buona notizia sul valore complessivo dell’agevolazione, ma è una decisione di cassa che va presa consapevolmente.

Cosa serve per entrare nel portale, e chi può firmare

Lo sportello è gestito da Invitalia per conto del MIMIT. Prima del contenuto del piano c’è una fila di requisiti formali, e sono quelli che fanno perdere i giorni peggiori: quelli in cui non si lavora al progetto, si rincorre un certificato.

Serve avere pronti:

• SPID, CIE o CNS del soggetto che accede alla piattaforma;
• una firma digitale valida e una PEC attiva;
• la descrizione della situazione tecnologica iniziale e del miglioramento atteso: è la verifica numero 2 messa in forma di testo;
• le offerte dei fornitori, con i codici identificativi e il dettaglio dei costi;
• la connessione di almeno 30 Mbps;
• per le PMI, la dichiarazione sostitutiva di atto notorio sulla polizza catastrofale.

Poi c’è il passaggio che vale la pena leggere due volte, perché è lo stesso tipo di inciampo dell’elenco fornitori — si scopre tardi e non si recupera: la domanda la firma il legale rappresentante. Può firmarla anche un procuratore speciale registrato nel sistema, ma il semplice delegato no: un delegato può operare sulla pratica, non sottoscriverla.

La delega esiste e funziona, va solo messa in conto come attività a sé. Passa dalla funzionalità Anagrafica e Deleghe e sono cinque passi in sequenza: accreditare l’impresa sulla piattaforma, compilare i dati del delegato e i permessi, generare il modello di delega, firmarlo digitalmente e caricarlo. Invitalia pubblica una guida dedicata proprio ad Anagrafica e Deleghe: se la domanda non la presenta direttamente il legale rappresentante, questo è il primo fascicolo da aprire, non l’ultimo.

L’ordine in cui conviene lavorare

Il vincolo vero non è la scadenza di gennaio, ed è bene saperlo prima di prendersela comoda: le domande si istruiscono in ordine cronologico di presentazione, e se le risorse si esauriscono il Ministero chiude lo sportello in anticipo. Il 20 gennaio 2027 è un termine teorico, non una garanzia. La data che conta è quella in cui presentate voi, e chi ha il piano già pronto presenta prima — perché la qualità del piano si decide prima di presentarlo.

Il margine, però, non è lo stesso per tutti: dipende da quando volete presentare, e la precompilazione è aperta dal 20 ottobre 2026. L’ordine dei passi non cambia; quanto tempo avete per ciascuno dipende dalla data che vi date.

1. Subito, prima di tutto il resto: la verifica de minimis — è una consultazione del registro, non un progetto, ma può dire che il contributo non è disponibile — e poi la fotografia dell’esistente: cosa c’è, cosa manca, in che ordine. Quest’ultima è il passo che non conviene comprimere, perché è quello che si vede nel risultato.
2. In parallelo, subito: aprire la precompilazione. È attiva dal 20 ottobre 2026 e il decreto non le fissa un termine di chiusura, quindi non c’è ragione di attendere: si apre il modulo, si fa l’accreditamento dell’impresa e, se serve, la delega, e lo si riempie man mano invece di arrivare all’invio con tutto da inserire.
3. Prima dell’invio: preventivi firmati dai fornitori con i codici dell’Elenco, verifica della connettività e di chi firma, scelta fra 12 e 24 mesi. Il tempo, qui, non è vostro ma dei fornitori: è la ragione per chiedere i preventivi ora e non la settimana prossima.
4. Dal 10 novembre 2026, ore 12:00: presentazione, il prima possibile dentro la finestra.

Chi salta il primo punto arriva al terzo con un piano che non regge, e il fondo perduto non compensa un investimento fatto male: il 50% di una spesa sbagliata resta una spesa sbagliata.

Cosa verificare sul testo ufficiale

Questo articolo riporta i valori pubblicati dal MIMIT e dai decreti attuativi, ma su un bando in corsa il testo che conta è sempre quello ufficiale. Prima di impegnare risorse, due cose vanno lette sugli allegati del decreto:

• La procedura di assegnazione: come vengono allocate le risorse fra le domande presentate e cosa succede se le richieste superano la dotazione.
• Il perimetro esatto delle spese ammissibili, voce per voce, e la documentazione richiesta a rendiconto.

Sono i due punti su cui una sintesi — inclusa questa — non può sostituire il provvedimento.

Stato delle informazioni: riverificate il 31 ottobre 2026 sulle FAQ ufficiali del MIMIT pubblicate su mimit.gov.it e sul decreto direttoriale del 4 agosto 2026 — comunicato in Gazzetta Ufficiale n. 193 del 21 agosto 2026 — oltre che, per la parte de minimis, sul Regolamento (UE) 2023/2831. È un bando a sportello: prima di presentare la domanda ricontrollate date e requisiti sul sito del MIMIT, perché lo sportello può chiudere prima del termine se le risorse si esauriscono.

Se state già valutando di rifare firewall, backup o di spostare qualcosa in cloud, questa è la differenza fra pagare tutto e pagare metà — e si imposta prima della domanda, non dopo, perché si istruisce in ordine di arrivo e lo sportello può chiudere in anticipo. Se volete un confronto sul piano tecnico, la nostra cybersecurity gestita e le sottoscrizioni Azure sono i due perimetri su cui lavoriamo più spesso con le PMI in questa situazione: scriveteci e ne parliamo.