Cyber security 2026: voucher MIMIT da 20.000 euro, altri incentivi e i nuovi obblighi

Questo articolo ha finalità esclusivamente informative generali e non costituisce consulenza personalizzata, fiscale o legale.

Lo sportello è aperto dalle 12 del 10 novembre 2026 e chiude alle 12 del 20 gennaio 2027. Per la prima volta il Ministero delle Imprese e del Made in Italy mette sul tavolo 150 milioni di euro a fondo perduto per la sicurezza informatica e il cloud di PMI e lavoratori autonomi, con un contributo che copre fino il 50% delle spese ammissibili e un tetto di 20.000 euro per beneficiario.

La partenza è stata più rapida di quanto immaginassero gli stessi uffici: in poco più di 24 ore dalla apertura dello sportello sono pervenute richieste di contributo per 90 milioni di euro, cioè il 60% della dotazione complessiva. Il Ministero lo ha comunicato l'11 novembre 2026. La conseguenza pratica è che lo sportello chiude davvero quando finiscono i fondi, non il 20 gennaio: le domande restano in gara in ordine cronologico e chi arriva tardi rischia di restare senza contributo. Il dato rende il voucher un tema da decidere oggi, non da valutare a gennaio.

La notizia arriva in un momento preciso: nei primi nove mesi del 2026 l’Italia ha registrato 3.271 eventi cyber, più dei 2.729 dell’intero anno precedente, con 149 vittime di ransomware e quasi 72.000 comunicazioni di allertamento inviate alle organizzazioni italiane e 1.010 avvisi pubblicati sul sito dell’Agenzia. Non sono solo numeri da cronaca: sono la misura di un problema che per chi lavora online non riguarda più il server di un grande colosso, ma la casella email del libero professionista, il profilo social del creator, il gestionale del marketplace seller.

Questo articolo mette ordine in tre direzioni: cosa è successo nei numeri dell’Agenzia per la Cybersicurezza Nazionale, quali incentivi sono disponibili oltre a quello del MIMIT (e a chi spettano davvero), e quali obblighi stanno arrivando per chi sviluppa prodotti digitali o opera in settori critici.

In breve, le quattro risposte

Per il quadro di insieme sui pagamenti e gli adempimenti che riguardano chi lavora online, la sezione fisco è il punto di partenza; per la protezione degli accessi e degli account, la guida per i creator che perdono l’account copre il lato operativo. La sezione lavoro digitale raccoglie invece le implicazioni per creator, marketplace seller ed e-commerce.

Chi tocca la cyber security nel 2026

Sei profili ricorrono tra chi lavora online, e per ciascuno il vettore di attacco è diverso.

Freelance e P.IVA che gestiscono dati di clienti: il rischio non è il sito vetrina, è il documento con i dati anagrafici e fiscali del cliente, il file con le credenziali del gestionale, la cartella con i preventivi. Un attacco ransomware a una microimpresa non ha lo stesso impatto mediatico di quello a una multinazionale, ma ha lo stesso impatto economico: attività ferme, clienti persi, strumenti di lavoro bloccati.

Creator e affiliati: il punto debole è l’accesso all’account e il sistema di payout. I casi di account social rubati sono in aumento, e chi lavora con le piattaforme di monetizzazione ha oggi un problema specifico: i dati di pagamento del profilo devono essere coerenti con quelli della banca, e i sistemi di tracciamento delle campagne non devono essere confusi con i permessi di prelievo.

Marketplace seller ed e-commerce: qui si cumulano tre superfici di attacco, il gestionale dell’ordine, il magazzino e il sistema di pagamenti. Il settore retail, secondo l’ACN, è fra i tre più colpiti in Italia insieme al manifatturiero e al tecnologico.

Sviluppatori e piccole software house: qui il 2026 ha cambiato il regime giuridico. Il Cyber Resilience Act è in vigore dal 10 dicembre 2024, e dal 11 settembre 2026 scatta l’obbligo di segnalare all’ENISA le vulnerabilità sfruttate attivamente e gli incidenti gravi che riguardano i propri prodotti. È un obbligo di denuncia, non di certificazione, ed è già pienamente in vigore.

Host e property manager: chi gestisce strutture per conto terzi espone dati di ospiti, pagamenti e documenti di identità, e riceve pagamenti da piattaforme con flussi sempre più automatizzati.

E-commerce con logistica internazionale: la supply chain digitale è il canale privilegiato: un account di un gestore logistico compromesso apre accesso a ordini, indirizzi e fatture di centinaia di clienti.

Dove si applica: tre livelli di protezione

La protezione non è un blocco unico ma tre livelli distinti, e gli incentivi finanziano tutti e tre. Confonderli è l’errore più comune: comprare un antivirus da 40 euro e considerare risolta la questione.

• Livello 1 — il dispositivo: dispositivi terminali (endpoint), aggiornamenti di sistema, gestione delle password, autenticazione a due fattori sulle caselle che contengono le credenziali del lavoro. Copre la maggior parte degli attacchi effettivi, perché il vettore più comune non è un exploit fantascientifico: sono credenziali già compromesse altrove.
• Livello 2 — l’infrastruttura: backup verificati e non solo eseguiti, crittografia, segmentazione della rete, monitoraggio dei log, firewall e sistemi di gestione delle vulnerabilità. È il livello che il voucher MIMIT copre meglio, perché qui le spese sono alte e ricorrenti.
• Livello 3 — il prodotto digitale: se il lavoro consiste nel vendere software, plugin, app o hardware connesso, l’oggetto non è più solo l’infrastruttura interna ma il prodotto stesso, che entra nel perimetro del Cyber Resilience Act.

Quando: calendario degli adempimenti 2026-2027

La colonna di sinistra è la parte che va monitorata. Fra il 2026 e il 2027 si sovrappongono una misura di finanziamento che scade, due call europee che chiudono e l’entrata a regime di un regolamento che riguarda chi sviluppa prodotti digitali.

Cosa cambia: i numeri, poi gli incentivi

I numeri del 2026 in Italia

I dati dell’Agenzia per la Cybersicurezza Nazionale raccontano una crescita che merita una lettura attenta, perché l’Agenzia stessa avverte che l’aumento non equivale necessariamente a un aumento reale della minaccia.

Nel primo semestre 2026 sono stati registrati 2.171 eventi cyber, in aumento del 47% rispetto ai 1.474 dello stesso periodo del 2025, che hanno coinvolto 2.586 soggetti. Di questi, 1.093 appartengono alla constituency dell’Agenzia, cioè gli operatori dei settori critici. L’aumento è in buona parte attribuibile alla capacità di rilevamento: oltre 1.000 notifiche NIS sono state gestite dal CSIRT Italia nel periodo. In sostanza, una parte crescente di ciò che prima sfuggiva al rilevamento ora viene visto.

Il ransomware resta la minaccia con l’impatto operativo più pesante nonostante il calo: 181 attacchi nel primo semestre contro i 206 dell’anno precedente, una diminuzione del 12% che l’ACN definisce un miglioramento sistemico ma che non giustifica un abbassamento della soglia di attenzione. Le vittime si concentrano nel manifatturiero, nel commercio al dettaglio e nel settore tecnologico. Quanto ai vettori, i tre più frequenti sono l’utilizzo di credenziali valide compromesse in precedenza, lo sfruttamento di servizi di accesso remoto non adeguatamente configurati e lo sfruttamento di vulnerabilità note su servizi esposti.

A settembre 2026 si sono registrati 485 eventi, in aumento del 57% rispetto ai 309 di agosto, con 235 incidenti a impatto confermato. Le rivendicazioni di attacchi ransomware contro soggetti italiani sono scese da 49 a 19, ma l’episodio più grave del mese ha riguardo un polo ospedaliero articolato su due sedi, con chiusura temporanea di una struttura e limitazioni nella gestione dei pazienti nell’altra.

Sul fronte europeo, il quadro è in crescita: in base al rapporto ENISA pubblicato a settembre 2026, il 73% delle organizzazioni colpite dagli incidenti analizzati appartiene alle categorie NIS2 di enti essenziali o importanti, e la pubblica amministrazione rappresenta il 32% dei casi. In parallelo, sono in aumento gli attacchi a infrastrutture non tradizionali: nel corso del 2026 sono stati colpiti sistemi di refrigerazione di supermercati in sette Paesi europei, con impatti diretti sulla disponibilità dei prodotti, e in Italia è stata colpita anche una società che prepara i pasti per mense scolastiche e ospedali.

Il voucher cloud e cybersecurity in dettaglio

La misura è disciplinata dal decreto ministeriale del 18 luglio 2025, con l’elenco dei fornitori abilitati definito dal decreto direttoriale del 29 luglio 2026 secondo le modalità fissate dal decreto direttoriale del 21 novembre 2025 e i termini e le modalità di presentazione fissati dal decreto direttoriale del 4 agosto 2026.

Il meccanismo del 50% ha una conseguenza pratica che va anticipata: non esiste un massimo di spesa agevolabile, esiste un massimo di contributo. Il calcolo è semplice. Un piano da 8.000 euro ammissibili produce 4.000 euro di contributo; un piano da 20.000 euro produce 10.000; per arrivare ai 20.000 euro servono 40.000 euro di spese ammissibili. Chi dispone di un budget limitato deve costruire il piano attorno a un obiettivo di contributo realistico, non attorno al tetto massimo.

Gli altri due canali di finanziamento

Il voucher MIMIT non è l’unico. Fra ottobre 2026 e gennaio 2027 si sovrappongono tre canali pubblici con destinatari e finalità diverse.

La distinzione conta. Il MIMIT finanzia l’acquisto di tecnologia disponibile sul mercato. SECURE finanzia l’adeguamento a un obbligo di legge e il progetto SECURE è coordinato proprio dall’Agenzia per la Cybersicurezza Nazionale, con il finanziamento del programma Europa digitale. La call CYBER-11 del Centro europeo di competenza per la cibersicurezza, aperta il 1° settembre 2026 con 96 milioni di euro, copre sette linee: soluzioni di sicurezza basate sull’intelligenza artificiale per le PMI, preparazione coordinata, usi duali, supporto alla legislazione, coordinamento nazionale e capacity building.

Il Cyber Resilience Act: la scadenza che è già passata

È il punto che molti hanno perso di vista. Il Regolamento (UE) 2024/2847 è entrato in vigore il 10 dicembre 2024, ma l’articolo 14 ha previsto un’ anticipazione: dal 11 settembre 2026 la segnalazione delle vulnerabilità sfruttate attivamente e degli incidenti gravi che incidono sulla sicurezza di un prodotto con elementi digitali è un obbligo, non una buona pratica.

Le scadenze sono stringenti: allerta entro 24 ore dalla consapevolezza, notifica completa entro 72 ore, relazione finale sulle vulnerabilità entro 14 giorni dalla disponibilità di una misura correttiva, relazione finale sugli incidenti gravi entro un mese dalla notifica. Le segnalazioni passano dalla piattaforma unica di ENISA, operativa dall’11 settembre 2026. Le sanzioni per il mancato rispetto degli obblighi di cui agli articoli 13 e 14 possono arrivare a 15 milioni di euro o al 2,5% del fatturato globale annuo, a seconda di quale sia il valore maggiore.

Chi rientra? I prodotti con elementi digitali, hardware e software, purché collegabili direttamente o indirettamente a un dispositivo o a una rete. Il perimetro non è limitato ai prodotti messi sul mercato dopo il 2027: la segnalazione si applica anche a quelli già presenti. Restano da valutare i confini: il SaaS puro è escluso, salvo il caso in cui costituisca un trattamento di dati remoto essenziale alla funzionalità principale di un prodotto coperto, e il software open source non commerciale è fuori perimetro. Per i gestori di software open source che partecipano allo sviluppo di prodotti con elementi digitali, gli obblighi di segnalazione scatteranno dal 11 dicembre 2027.

La revisione della direttiva NIS2

Il 20 gennaio 2026 la Commissione ha presentato un pacchetto di modifica della direttiva NIS2, insieme alla proposta di un nuovo Cybersecurity Act. La direttiva è in vigore dal 18 ottobre 2024 e la sua trasposizione non è completa in tutti gli Stati membri. Secondo la Commissione, le semplificazioni riguardano 28.700 aziende, di cui 6.200 micro e piccole imprese. Le modifiche proposte vanno nella direzione della semplificazione: eliminazione dei provider DNS micro e piccoli dall’ambito di applicazione, introduzione di una nuova categoria di “small mid-cap” (meno di 750 dipendenti, con fatturato annuo non superiore a 150 milioni di euro oppure un bilancio complessivo non superiore a 129 milioni di euro) che diventa “importante” e non “essenziale” riducendo il carico di vigilanza, massima armonizzazione degli atti esecutivi sulle misure di gestione del rischio, e raccolta armonizzata dei dati sugli attacchi ransomware. La proposta non è ancora legge: l’adozione è attesa fra la fine del 2026 e il 2027, seguita da un periodo di attuazione nazionale di dodici mesi.

Perché: quattro ragioni per cui la protezione conviene economicamente

Il costo dell’evento è discontinuo e non proporzionato. Per un’impresa con fatturato ridotto, un’interruzione di servizio di tre giorni e la perdita dei dati clienti possono valere più di un anno di canone per strumenti di sicurezza. Il calcolo razionale è semplice: la protezione costa un importo noto e prevedibile, l’incidente costa un importo ignoto che include danni diretti, perdita di fatturato, costi legali e reputazionali.

Il perimetro normativo si è spostato dal foglio di lavoro al prodotto. Fino a poco tempo fa gli obblighi di sicurezza riguardavano l’organizzazione che opera un servizio. Con il CRA, la responsabilità si estende al produttore del software per tutto il ciclo di vita del prodotto, con obblighi di documentazione tecnica, gestione delle vulnerabilità e segnalazione. Chi sviluppa e rivende strumenti digitali non opera più solo nel proprio perimetro.

La superficie d’attacco è cresciuta più della consapevolezza. La digitalizzazione degli incassi, l’uso di piattaforme di intermediazione, la consegna delle newsletter, il gestionale in cloud: ogni nuovo passaggio è un punto in cui un insieme di credenziali può essere compromesso. I dati ACN indicano che il vettore principale non è un attacco mirato e sofisticato, ma l’uso di credenziali già compromesse altrove e di servizi di accesso remoto mal configurati.

Il rischio ha una componente sistemica. Gli attacchi osservati nel 2026 hanno colpito infrastrutture non tradizionali: la refrigerazione dei supermercati, i sistemi di navigazione satellitare, i portali istituzionali. Un attacco a un fornitore critico si propaga a una filiera di attività che non ha nessun rapporto con il fornitore stesso. Questo cambia la natura della responsabilità: la sicurezza non è più solo un costo interno, è una condizione di continuità per chi dal fornitore dipende.

Come fare: la checklist operativa per profilo

Per freelance e P.IVA: come proteggere i dati dei clienti

1. Backup con copia offline o immutabile, con ripristino provato almeno una volta l’anno.
2. Autenticazione a due fattori su casella email, gestionale, banca e servizi di pagamento.
3. Gestore di password unico per tutte le credenziali di lavoro, mai riutilizzate fra servizi.
4. Dispositivo aziendale separato da quello personale, quando l’attività lo consente.
5. Verifica della configurazione SPF, DKIM e DMARC del dominio aziendale: la casella email è il sistema operativo del lavoro digitale, e la sua compromissione invalida ogni altra protezione.

Per dev e piccole software house: quando scatta il Cyber Resilience Act

1. Valutazione formale del perimetro CRA sul prodotto specifico, con l’attenzione al caso SaaS con trattamento remoto dei dati.
2. Policy di segnalazione delle vulnerabilità pubblicata e canale di contatto, come richiede la buona pratica e come presuppone il regolamento.
3. Inventario delle dipendenze e valutazione del loro ciclo di vita di manutenzione.
4. Se il prodotto rientra, iscrizione alla piattaforma unica di segnalazione di ENISA e definizione della procedura interna per le scadenze di 24 e 72 ore.
5. Verifica della conformità del prodotto prima della commercializzazione: dal 11 dicembre 2027 i requisiti di sicurezza by design e la documentazione tecnica entrano nel perimetro della conformità.

Per e-commerce e marketplace seller: proteggere ordini e pagamenti

1. Separazione dei ruoli e degli accessi: chi gestisce gli ordini non gestisce anche i pagamenti.
2. Verifica della copertura assicurativa sui danni cyber, distinguendo la responsabilità civile del titolare del dato dai danni alla propria attività.
3. Revisione periodica dei permessi delle integrazioni: marketplace, CRM, tool di marketing e contabilità condividono dati con permessi che raramente vengono rivisti.
4. Verifica dei processi di recesso dai fornitori logistici e dai gestori di pagamento.

Per la richiesta del voucher MIMIT: come si presenta la domanda

1. Verificare la presenza dei requisiti: identità digitale SPID, CNS o CIE, firma digitale e PEC attiva.
2. Verificare il contratto di connettività: soglia 30 Mbps in download, con rete fissa, VDSL, FWA o satellitare.
3. Costruire il piano attorno a un obiettivo di contributo, non al tetto massimo: ogni 1.000 euro di spese ammissibili in più corrispondono a 500 euro di contributo in più.
4. Acquistare esclusivamente da fornitori iscritti nell’elenco MIMIT: un acquisto da un fornitore non abilitato rende la spesa non ammissibile.
5. Predisporre la documentazione: descrizione dello stato tecnologico iniziale, miglioramento previsto, offerte con codici identificativi dei prodotti e dettaglio dei costi.
6. Per le PMI, predisporre la dichiarazione sull’obbligo assicurativo contro gli eventi catastrofali.
7. Presentare prima del 20 gennaio 2027: la valutazione è cronologica e le risorse possono esaurirsi in anticipo.

Le 8 domande più frequenti

Chi può chiedere il voucher cloud e cybersecurity?

Possono accedere alla misura le micro, piccole e medie imprese e i lavoratori autonomi, inclusi i liberi professionisti, operanti su tutto il territorio nazionale. Le imprese devono risultare costituite, iscritte al Registro delle imprese e attive, non devono trovarsi in liquidazione o in procedure concorsuali e devono essere in regola con l’obbligo di assicurazione contro le calamità naturali. Un requisito comune a tutti i richiedenti è la disponibilità, al momento della presentazione della domanda, di un contratto di connettività con velocità minima di download di 30 Mbps. La misura è soggetta al regime de minimis e non è cumulabile con aiuti dichiarati illegali.

Quanto deve valere il piano di spesa per ottenere 20.000 euro di contributo?

Il contributo a fondo perduto copre il 50% delle spese ammissibili, con un tetto massimo di 20.000 euro e una spesa ammissibile minima di 4.000 euro. Per raggiungere il tetto massimo è quindi necessario un piano di spesa pari almeno a 40.000 euro. Un piano da 8.000 euro ammissibili genera un contributo di 4.000 euro. Il piano deve riguardare prodotti e servizi acquistati da fornitori iscritti nell’apposito elenco del MIMIT e deve essere riferito a soluzioni nuove e aggiuntive o più avanzate e sicure rispetto a quelle già in uso.

Il Cyber Resilience Act riguarda anche chi sviluppa software?

Sì, se il software è un prodotto con elementi digitali, cioè un prodotto che può connettersi direttamente o indirettamente a un dispositivo o a una rete. Restano però da chiarire i confini: il SaaS puro è escluso, salvo il caso in cui il servizio costituisca un trattamento di dati remoto essenziale per la funzionalità principale di un prodotto coperto, e il software open source non commerciale è escluso. Non è quindi automatico che ogni sviluppatore rientri, né automatico che ne resti fuori: la valutazione va fatta sul prodotto specifico.

Entro quando bisogna denunciare un attacco a un prodotto digitale?

Dal 11 settembre 2026 i fabbricanti e gli steward open source devono segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi attraverso la piattaforma unica di segnalazione istituita da ENISA. Le scadenze sono: allerta entro 24 ore dalla consapevolezza, notifica completa entro 72 ore, relazione finale sulle vulnerabilità entro 14 giorni dalla disponibilità di una correzione e relazione finale sugli incidenti gravi entro un mese dalla notifica. Le sanzioni per l’inadempimento possono arrivare a 15 milioni di euro o al 2,5% del fatturato globale annuo.

Il voucher copre la formazione cybersecurity?

No. I servizi di formazione sono espressamente esclusi dalle spese ammissibili. Sono invece ammissibili i servizi accessori di configurazione, monitoraggio e supporto continuativo, compresi i servizi professionali, purché non superino il 30% del piano complessivo. Il perimetro ammissibile comprende soluzioni hardware e software di cybersecurity, servizi cloud infrastrutturali e di piattaforma, servizi cloud SaaS e le relative spese di configurazione e supporto.

Il voucher è disponibile solo nel Mezzogiorno?

No. Può presentare domanda qualunque PMI o lavoratore autonomo operante su tutto il territorio nazionale. I 71.065.813,34 euro riservati su 150 milioni di dotazione complessiva riguardano i piani di spesa realizzati nelle regioni Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia: la riserva si applica in base all’ubicazione dell’unità locale in cui il piano di spesa esplica i propri effetti in via prevalente, secondo l’articolo 1, comma 3 del decreto direttoriale del 4 agosto 2026. Non esistono quindi bandi regionali separati, né condizioni d’accesso diverse per chi opera nel Mezzogiorno: c’è un solo sportello telematico e le domande sono valutate in ordine cronologico.

Posso comprare qualsiasi prodotto o servizio di cybersecurity?

No. Il prodotto o il servizio deve essere acquistato da un fornitore iscritto nell’elenco istituito dal MIMIT e deve essere nuovo e aggiuntivo rispetto a quanto già in uso, oppure più avanzato e sicuro. Non sono ammissibili l’aggiornamento di versione privo di miglioramento sostanziale, l’estensione di licenze già possedute e l’aumento delle postazioni. Rientrano invece i gestionali in cloud con funzioni di intelligenza artificiale e le piattaforme per la gestione di contenuti ed e-commerce, purché acquistate da fornitori abilitati: i contenuti formativi restano esclusi.

Come funziona l’erogazione del contributo?

Il contributo è erogato a rendicontazione, su richiesta del beneficiario, in due quote oppure in un’unica soluzione alla conclusione del piano di spesa. La richiesta non può essere presentata prima di tre mesi dalla comunicazione del provvedimento di concessione e, se si opta per le due quote, la prima arriva solo dopo aver speso almeno metà del piano. Con acquisto diretto, spese e pagamenti devono essere chiusi entro 12 mesi dalla concessione; con abbonamento, il contratto deve avere almeno 24 mesi, essere firmato entro 30 giorni dalla concessione e la sottoscrizione deve essere comunicata entro 60 giorni, pena la decadenza.