Voucher Cloud e Cybersecurity 2026: guida per le PMI del Salento

Ci sono 71 milioni di euro riservati alle imprese del Mezzogiorno, e quasi nessuno se ne sta occupando adesso. Il Voucher Cloud e Cybersecurity del MIMIT mette sul tavolo 150 milioni complessivi, di cui 71.065.813,34 euro destinati esclusivamente ai piani di spesa realizzati in Puglia, Abruzzo, Basilicata, Calabria, Campania, Molise, Sardegna e Sicilia. Contributo a fondo perduto del 50%, fino a 20.000 euro.

La domanda si precompila dalle ore 12.00 del 20 ottobre 2026 e si invia dalle ore 12.00 del 10 novembre 2026 fino alle ore 12.00 del 20 gennaio 2027. Ordine cronologico, salvo esaurimento anticipato.

Ma il vero filtro non è la data. È l’elenco dei fornitori abilitati, pubblicato il 29 luglio 2026 e ormai chiuso: se il tuo fornitore IT non è dentro, quella spesa non è rimborsabile. Punto. E ci sono almeno cinque esclusioni tecniche che tagliano fuori piani di spesa costruiti in perfetta buona fede.

Qui trovi cosa dicono davvero i decreti, non il comunicato stampa.

Cos’è il Voucher Cloud e Cybersecurity e a che punto siamo

La misura nasce dentro la Strategia italiana per la Banda Ultralarga 2023-2026 e si finanzia con le risorse del Fondo Sviluppo e Coesione 2014-2020. L’obiettivo dichiarato è spingere PMI e professionisti verso soluzioni digitali più sicure, sostenendo la domanda anziché l’offerta.

La costruzione normativa è avvenuta per passaggi successivi, e conoscerli serve a leggere correttamente le scadenze.

Una precisazione che vale la pena fare, perché circola l’informazione sbagliata. Il decreto del 4 agosto 2026 non è stato firmato dal Ministro: è un decreto direttoriale, firmato dal Direttore generale per gli incentivi alle imprese. Cambia poco per l’impresa, ma se qualcuno ti cita “il decreto del Ministro Urso” sappi che sta leggendo il comunicato stampa e non l’atto.

La struttura a doppio sportello

Questa misura funziona diversamente dagli incentivi a cui sei abituato. Prima si è aperto uno sportello per i fornitori, che dovevano accreditarsi dimostrando determinate certificazioni. Solo dopo la pubblicazione dell’elenco si apre lo sportello per le imprese.

La finestra fornitori è andata dal 4 marzo al 27 maggio 2026 e non è stata riaperta. L’elenco approvato il 29 luglio è quello con cui si lavorerà per tutto lo sportello beneficiari. Nessuna integrazione, nessun recupero.

Chi può accedere davvero: requisiti e settori esclusi

L’articolo 4 del DM 18 luglio 2025 elenca i requisiti soggettivi. Possono accedere le PMI (secondo i parametri della Raccomandazione 2003/361/CE e dell’Allegato I al Regolamento UE 651/2014) e i lavoratori autonomi, su tutto il territorio nazionale, indipendentemente dalla forma giuridica.

Per le imprese servono, alla data di presentazione della domanda:

• regolare costituzione e iscrizione al Registro delle imprese, con stato “attiva”;
• pieno e libero esercizio dei propri diritti: no liquidazione volontaria, no procedure concorsuali con finalità liquidatorie;
• regolarità con l’obbligo assicurativo contro i danni da calamità naturali ed eventi catastrofali (art. 1, c. 101, L. 213/2023 e DL 39/2025);
• assenza di aiuti dichiarati illegali o incompatibili dalla Commissione europea e non rimborsati;
• non operare nei settori esclusi dall’articolo 1 del regolamento de minimis;
• assenza di sanzioni interdittive ex D.Lgs. 231/2001 e di condanne definitive dei legali rappresentanti per reati ostativi ai contratti pubblici.

Per i lavoratori autonomi il quadro è più leggero: chi non è tenuto all’iscrizione al Registro delle imprese deve possedere unicamente la partita IVA, fatta salva l’iscrizione all’ordine professionale dove necessaria. Rientrano sia i professionisti ordinistici sia gli esercenti professioni non organizzate ai sensi della L. 4/2013.

Il regime fiscale non è un criterio di esclusione. Un forfettario con partita IVA attiva e connessione adeguata accede come chiunque altro.

La polizza catastrofale non è un dettaglio

Molte guide la citano di sfuggita. Sbagliano. La regolarità assicurativa è un requisito di ammissibilità ex art. 4, comma 2, lettera c) del DM, va dichiarata in domanda a pena di irricevibilità, e viene riverificata in fase di erogazione ai sensi dell’art. 7, comma 5, lettera d) del decreto del 4 agosto. In più, l’articolo 12 del DM elenca il mancato possesso dei requisiti dell’art. 4 tra le cause di revoca.

Tradotto: se la polizza scade tra la domanda e la rendicontazione, il problema è tuo. E arriva quando i soldi li hai già spesi.

L’elenco dei fornitori abilitati: come si consulta

Qui c’è la parte più mal spiegata di tutta la misura.

L’elenco è stato definito con il decreto direttoriale del 29 luglio 2026 ed è consultabile su una piattaforma telematica dedicata gestita da Invitalia. Non è un PDF che scarichi dal sito del Ministero: l’accesso avviene tramite i sistemi di identificazione previsti (SPID, CIE o CNS), nella sezione dedicata alla misura.

Questo significa che per sapere se il tuo fornitore è dentro devi autenticarti ed entrare. Non puoi cercarlo su Google.

Le cinque categorie e le certificazioni richieste

I fornitori si sono accreditati per categoria, non in blocco. L’abilitazione vale per le categorie coperte dalle certificazioni possedute o dalla qualificazione ACN.

In alternativa alle certificazioni, il fornitore poteva accreditarsi presentando servizi con qualifica almeno di livello 1 (QC1) nel catalogo ACN delle infrastrutture digitali e dei servizi cloud. Le due strade sono alternative tra loro, ma i requisiti dentro ciascuna categoria sono cumulativi: servono tutte le certificazioni indicate, non una a scelta.

Trovi girare online tabelle che parlano di “dichiarazione di conformità ENISA” per l’hardware o di “esperienza documentata nel settore” per i servizi professionali. Non esistono nella misura. L’Allegato 1 al decreto del 21 novembre chiede ISO 9001 e ISO/IEC 27001, e basta.

Il caso del fornitore IT sotto casa

È la situazione più comune nelle imprese del Salento: l’informatico di fiducia, il system integrator locale, il rivenditore che ti segue da dieci anni.

Il Ministero ha chiarito il punto nelle FAQ ufficiali. Non basta che sia accreditato il produttore della soluzione: anche il rivenditore deve essere iscritto in proprio, indicando almeno un prodotto o servizio per il quale è qualificato QC1 o certificato. Il system integrator che offre servizi di configurazione di prodotti di terzi si iscrive nella categoria e) con le relative certificazioni.

Il meccanismo funziona così: il vendor censisce i propri prodotti nell’elenco, il rivenditore si accredita per i servizi professionali, e in fase di offerta propone al cliente i prodotti censiti dal vendor. Se invece il rivenditore possiede in proprio le certificazioni per le altre categorie, può integrare nella propria offerta anche prodotti di terzi non presenti in elenco, purché rientrino nelle categorie per cui è certificato.

Fa eccezione il partner puramente commerciale: chi promuove i servizi senza intrattenere rapporti contrattuali né di fatturazione diretti con il beneficiario non deve iscriversi.

I codici identificativi

A ciascun servizio o prodotto ammesso l’elenco attribuisce un codice identificativo. Quel codice va riportato nell’offerta del fornitore, nella domanda di agevolazione e sui titoli di spesa in fase di rendicontazione, insieme al CUP.

Un singolo codice può coprire più servizi della stessa tipologia. Non è un dettaglio burocratico: è l’elemento su cui si regge l’istruttoria, perché il Ministero verifica la corrispondenza tra i codici dichiarati e quelli effettivamente presenti in elenco.

Cosa si può finanziare e cosa no

Il principio guida è nel decreto: sono ammissibili soluzioni nuove e aggiuntive rispetto a quelle già disponibili, oppure soluzioni più avanzate e sicure rispetto a quelle in uso.

Le categorie ammissibili sono le cinque viste sopra. L’elenco dei servizi dentro ogni categoria è esemplificativo, non esaustivo: il Ministero ha confermato, ad esempio, che rientrano nella categoria d) anche le dashboard di business intelligence.

Le esclusioni che tagliano fuori i piani costruiti male

L’articolo 4, comma 3 del decreto del 4 agosto chiude tre porte, e sono quelle che nella pratica si aprono più spesso per abitudine.

Fermiamoci un attimo sulle prime tre esclusioni, perché è lì che si concentra l’equivoco. Rinnovare l’abbonamento del gestionale aggiungendo cinque postazioni non è una spesa ammissibile. Passare alla versione superiore dello stesso software senza che questo porti funzioni realmente nuove, nemmeno. La misura finanzia un salto, non la continuità.

Sull’ERP c’è una seconda insidia. Molte PMI salentine hanno il gestionale installato sul server in azienda e stanno valutando di rinnovarlo. Se resta on-premise, fuori dal voucher. Se migra in SaaS presso un fornitore accreditato, dentro. La differenza non è tecnica: è la modalità di erogazione.

Acquisto diretto o abbonamento: la scelta che vincola tutto

Il decreto prevede tre modalità di acquisizione: acquisto diretto, sottoscrizione di abbonamento, oppure una combinazione delle due. Sembra una scelta amministrativa. Non lo è: determina tempi, importi ammissibili e obblighi di comunicazione.

C’è un chiarimento ministeriale che vale oro e che praticamente nessuno riporta: un contratto di acquisto di servizi Cloud SaaS può essere ricondotto anche alla fattispecie dell’acquisto diretto, non necessariamente all’abbonamento.

Perché conta? Perché cambia completamente l’esposizione. Con l’abbonamento ti vincoli per 24 mesi, devi comunicare la sottoscrizione entro 60 giorni pena decadenza, e se recedi perdi il residuo. Con l’acquisto diretto hai 12 mesi per completare il piano e nessuno di quegli obblighi.

Come si presenta la domanda: procedura e documenti

La domanda si presenta esclusivamente tramite la procedura informatica resa disponibile sul sito del MIMIT, a pena di invalidità e irricevibilità. Ciascun soggetto può presentare una sola domanda.

Fase 1 — Compilazione, dalle 12.00 del 20 ottobre 2026

1. Accesso alla procedura tramite SPID, CNS o CIE
2. Inserimento dei dati e caricamento degli allegati. Serve una PEC attiva: è obbligatoria
3. Generazione del modulo di domanda in PDF immodificabile e firma digitale
4. Caricamento della domanda firmata e rilascio del codice di predisposizione domanda

Fase 2 — Presentazione, dalle 12.00 del 10 novembre 2026

1. Accesso alla procedura
2. Inserimento del codice di predisposizione ottenuto in fase di compilazione
3. Rilascio dell’attestazione di avvenuta presentazione e assegnazione del CUP, che dovrà comparire su ogni giustificativo di spesa

Le tre settimane tra le due date sono la vera partita. Chi arriva al 10 novembre con il codice di predisposizione già in mano invia in pochi istanti. Chi quel giorno sta ancora raccogliendo preventivi parte in ritardo su una procedura dove conta l’ordine cronologico.

Cosa deve contenere la domanda

La domanda è resa in forma di dichiarazione sostitutiva di atto notorio e deve indicare, a pena di irricevibilità:

• dati anagrafici del richiedente e PEC;
• ubicazione dell’unità locale dove il piano esplica prevalentemente i propri effetti — è il dato che determina l’accesso alla riserva Mezzogiorno, e il piano può comunque riguardare più unità locali;
• dichiarazione sul possesso dei requisiti, inclusa la connettività a 30 Mbps;
• dichiarazione sull’effettivo stato di partenza in termini di soluzioni cloud e cybersecurity già adottate, e sul miglioramento atteso;
• servizi e prodotti prescelti con i relativi codici identificativi, e modalità di acquisizione;
• nome dei fornitori, che devono essere in elenco;
• durata prevista del piano o dell’abbonamento;
• importo delle spese ammissibili e del contributo richiesto;
• dichiarazione sull’adempimento dell’obbligo assicurativo catastrofale.

Vanno allegate le offerte di acquisto, che devono riportare i codici identificativi e contenere una descrizione dello stato di partenza dell’impresa e dell’upgrade garantito, oppure attestare che si tratta di un prodotto nuovo non nella disponibilità del richiedente.

Su questo punto insisto, perché è dove si perde tempo. La dichiarazione sullo stato di partenza non è una formalità: è l’elemento su cui il Ministero, con il supporto di Infratel, verifica a campione la validità dei presupposti tecnici. Un’offerta generica che non descrive cosa c’era prima e cosa cambia dopo è un’offerta che espone la domanda.

Istruttoria ed erogazione

L’istruttoria si svolge in ordine cronologico entro 60 giorni dalla presentazione. Verifica completezza documentale, requisiti, presenza dei fornitori in elenco e corrispondenza dei servizi con i codici dichiarati.

L’erogazione avviene su richiesta, in due quote oppure in un’unica soluzione a piano ultimato, e non può comunque essere richiesta prima di 3 mesi dalla comunicazione di concessione. La prima quota si sblocca dopo aver sostenuto almeno il 50% del piano ammesso. La richiesta di saldo va presentata entro 30 giorni dal termine ultimo di ultimazione.

In fase di erogazione servono i titoli di spesa con CUP e codice identificativo, la prova dei pagamenti, copia del contratto di connettività a 30 Mbps e, in caso di abbonamento, copia del contratto sottoscritto. Il Ministero verifica anche il DURC e, di nuovo, la posizione assicurativa catastrofale.

La riserva Mezzogiorno e cosa significa per il Salento

Dei 150 milioni complessivi, 71.065.813,34 euro sono riservati ai piani di spesa realizzati in Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia. La riserva serve a rispettare la chiave di riparto 80/20 del Fondo Sviluppo e Coesione.

Il criterio di accesso alla riserva è l’ubicazione dell’unità locale dove il piano di spesa esplica in via prevalente i propri effetti, come dichiarato in domanda. Non la sede legale: l’unità locale operativa.

Cosa comporta in pratica. Una PMI di Lecce, Brindisi o Taranto compete su una dotazione proporzionalmente più capiente rispetto a un’impresa del Nord, perché quasi la metà delle risorse è vincolata a un bacino di imprese molto più ristretto. È un vantaggio relativo reale, che però non elimina la logica dello sportello: le risorse restano finite e l’ordine cronologico resta il criterio.

Un’impresa con sede legale a Milano e stabilimento produttivo nel Salento può accedere alla riserva, se il piano di spesa esplica prevalentemente i suoi effetti sull’unità locale pugliese. Vale anche il contrario, ed è il caso a cui prestare attenzione: chi ha la sede a Lecce ma l’unità locale principale altrove dichiara quest’ultima e finisce fuori riserva.

Voucher Cloud e Cybersecurity: cumulabilità con altre agevolazioni

Il contributo è concesso in regime de minimis ai sensi del Regolamento UE 2023/2831 e, secondo l’articolo 6, comma 2 del DM 18 luglio 2025, può essere cumulato con altri aiuti di Stato, anche de minimis, nei limiti previsti dalla disciplina europea di riferimento.

Il massimale de minimis è di 300.000 euro per impresa unica su tre esercizi finanziari. Prima di presentare domanda conviene verificare il plafond residuo sul Registro Nazionale degli Aiuti: se il superamento emerge in istruttoria, il Ministero comunica il mancato accoglimento e la domanda salta. Se vuoi fare un calcolo rapido puoi usare il nostro calcolatore del plafond de minimis.

Iperammortamento e Voucher sullo stesso investimento digitale

Questa è la domanda che arriva più spesso, e la risposta che circola è troppo ottimistica. Vale la pena smontarla per bene.

Partiamo dalla regola. L’articolo 1, comma 431 della Legge 199/2025 stabilisce che l’iperammortamento è cumulabile con ulteriori agevolazioni finanziate con risorse nazionali ed europee aventi ad oggetto i medesimi costi, a due condizioni: che il sostegno non copra le medesime quote di costo dei singoli investimenti e che non si superi il costo complessivamente sostenuto. La base di calcolo della maggiorazione va assunta al netto degli altri contributi ricevuti sulle stesse spese — il principio della nettizzazione.

Fin qui la teoria dice sì. Ma la teoria non serve a costruire un piano di spesa.

Primo filtro: la natura del costo. L’iperammortamento è una maggiorazione del costo fiscalmente deducibile ai fini degli ammortamenti. Presuppone quindi un bene strumentale ammortizzabile. I canoni cloud, gli abbonamenti SaaS, le licenze periodiche e i servizi professionali sono costi di esercizio: si deducono per competenza, non si ammortizzano. Non c’è nessun ammortamento da maggiorare.

Questo taglia fuori, da solo, la gran parte di ciò che il voucher finanzia. Le categorie c), d) ed e) — cloud infrastrutturale, SaaS e servizi professionali — restano fuori dall’iperammortamento per costruzione.

Secondo filtro: l’Allegato IV. Resta l’hardware di cybersecurity della categoria a). E qui bisogna leggere con attenzione l’Allegato IV alla L. 199/2025, che tra le infrastrutture di sicurezza informatica OT/IT include appliance e sistemi hardware per la cybersecurity industriale, inclusi firewall industriali, sistemi IDS/IPS per reti OT e soluzioni di segmentazione conformi allo standard IEC 62443.

Il vincolo prosegue: quei beni devono essere interconnessi ai sistemi informativi aziendali e funzionalmente destinati all’esecuzione di software dell’Allegato V, oppure al supporto operativo dei beni dei primi tre gruppi dell’allegato stesso.

E l’esclusione è esplicita. Sono in ogni caso esclusi gli apparati di rete domestici o per piccoli uffici (SOHO), i sistemi di archiviazione non integrati con i processi operativi, e i beni destinati ad attività amministrative, contabili o di office automation non direttamente connesse ai processi operativi.

Terzo filtro, quello che nessuno fa: la convenienza. Anche quando il cumulo è tecnicamente possibile, va verificato che abbia senso economico.

L’iperammortamento 2026 richiede la perizia tecnica asseverata e il passaggio dalla piattaforma GSE, con adempimenti che non hanno soglia di esenzione per importo. Su un firewall industriale da 6.000 euro, sul quale il voucher ha già coperto 3.000 euro e la base iperammortizzabile scende quindi a 3.000, il beneficio fiscale aggiuntivo va confrontato con il costo della perizia e della gestione documentale. Spesso il conto non torna.

Il ragionamento cambia se l’hardware di sicurezza è una componente di un progetto 4.0 più ampio, per il quale la perizia si fa comunque. In quel caso il costo marginale di includere anche il firewall industriale è vicino a zero, e il cumulo diventa sensato.