Bandi per la cybersecurity: che cosa finanziano e come scegliere il fornitore

Un bando per la cybersecurity paga una parte della spesa, ma non garantisce che quella spesa renda l’azienda più sicura. Il risultato dipende da tre scelte che il bando non fa al posto dell’impresa: che cosa proteggere per primo, quali strumenti servono davvero, chi li configura e li segue dopo la rendicontazione. Prima di firmare conviene quindi leggere con attenzione che cosa copre la misura e fare al fornitore poche domande precise. Chi le salta rischia di chiudere il progetto sulla carta e restare esposto come prima.

Quali misure finanziano la sicurezza informatica?

Il quadro cambia spesso. Il riepilogo che segue è aggiornato al 16 settembre 2026 e riguarda le misure italiane più rilevanti per piccole e medie imprese.

Il voucher del ministero ha una dotazione complessiva di 150 milioni di euro, con una quota riservata alle regioni del Mezzogiorno, e rientra nel regime de minimis: gli aiuti pubblici di piccola entità che ogni impresa può ricevere entro un tetto calcolato su tre anni. Importo massimo per impresa e spesa minima sono fissati dal decreto e vanno letti nel testo ufficiale. Queste sono misure italiane: per le imprese sammarinesi il quadro è diverso e va valutato caso per caso.

Che cosa paga il voucher, e che cosa no?

Il voucher del ministero è pensato soprattutto per acquistare strumenti: apparati e programmi di sicurezza, servizi cloud, applicazioni in abbonamento. I servizi professionali sono ammessi entro il 30% del piano di spesa e solo se collegati agli strumenti acquistati. Le domande frequenti del ministero precisano che si tratta di servizi operativi e tecnici, diversi dalla consulenza, ed escludono sia la consulenza pura, cioè le valutazioni teoriche non seguite da un’installazione, sia la formazione.

La conseguenza pratica è importante. L’analisi che dovrebbe decidere quali strumenti servono non rientra in questa misura: va fatta prima, con risorse proprie o con altri contributi, come i voucher camerali che ammettono consulenza e formazione. Chi salta questo passaggio rischia di comprare ciò che è finanziabile invece di ciò che serve.

Scenario tipico. Un’azienda di distribuzione acquista con il contributo un nuovo firewall e un antivirus in abbonamento. Il firewall resta con le regole di fabbrica, nessuno legge gli avvisi dell’antivirus, le copie dei dati stanno sullo stesso server che dovrebbero proteggere. La rendicontazione è in ordine, il rischio è rimasto lo stesso. Il tema delle copie ben fatte è raccontato nel backup del nonno.

C’è poi il tempo dopo il contributo. Quando il periodo finanziato finisce, gli abbonamenti si pagano per intero: il costo degli anni successivi va messo a bilancio prima di firmare, non scoperto al primo rinnovo.

Da dove partire, prima della domanda?

L’ordine giusto è il contrario di quello che suggerisce la fretta dello sportello.

1. Capire che cosa non può fermarsi. Quali servizi, per quanto tempo al massimo, quanti dati si accetta di perdere. Sono le due misure della continuità operativa: RTO, il fermo massimo tollerabile, e RPO, la perdita di dati accettabile.
2. Sapere dove si è esposti. Sistemi raggiungibili da internet, accessi dei fornitori, account con privilegi, password che circolano fuori: i segnali esterni dicono molto prima ancora di un test.
3. Scegliere gli strumenti in base ai rischi, e solo dopo verificare quali sono finanziabili.
4. Scegliere il fornitore con le domande che seguono.
5. Verificare il risultato a installazione conclusa, con prove documentate.

Quali domande fare al fornitore prima di firmare?

Una lista da stampare e portare all’incontro.

1. È iscritto nell’elenco dei fornitori abilitati per questa misura, e per quali categorie? L’elenco è pubblico e si consulta sul portale di Invitalia.
2. Chi esegue materialmente il lavoro? Ruoli, sede, e che cosa viene affidato ad altri.
3. Da quale analisi nasce la proposta? Quali sistemi, dati e processi ha esaminato prima di indicare gli strumenti.
4. Che cosa resta alla consegna? Configurazioni documentate, account amministrativi intestati all’azienda, procedura per gli avvisi, copie verificate.
5. Chi legge gli avvisi degli strumenti dopo l’installazione, con quali tempi e con quali responsabilità scritte nel contratto.
6. Quanto costano rinnovi e assistenza dopo il periodo coperto dal contributo.
7. Come si dimostra che funziona? Un ripristino di prova dalle copie, una verifica tecnica dopo l’installazione, come un penetration test su un perimetro concordato.
8. Quali evidenze può mostrare? Se il fornitore cita certificazioni, se ne chiedono numero, ente che le ha rilasciate, attività coperte e scadenza: una certificazione riguarda i processi indicati nel certificato, non ogni servizio dell’azienda.

Come si riconosce un progetto fatto solo per la rendicontazione?

Alcuni segnali ricorrono.

• La proposta è costruita sull’importo massimo del bando, non sui sistemi dell’azienda.
• Nessuno chiede quali dati si trattano, quali servizi sono critici, quanto costerebbe un giorno di fermo.
• La consegna si esaurisce in fattura e verbale, senza documenti operativi.
• Non è prevista alcuna prova finale.
• Dopo la chiusura del progetto nessuno ha l’incarico di leggere avvisi e registri.

Lo stesso vale per i progetti di adeguamento alla NIS2: un documento di procedure senza verifiche sui sistemi resta un documento. Non esiste un certificato che attesti l’adeguamento di un’azienda alla direttiva nel suo insieme.

In sintesi

• Un contributo pubblico abbassa il costo; la sicurezza dipende da analisi, configurazione e controllo nel tempo.
• Il voucher del MIMIT finanzia soprattutto strumenti e servizi cloud; i servizi tecnici collegati entro il 30% del piano; esclusi consulenza pura e formazione.
• I voucher delle Camere di commercio che aderiscono all’iniziativa ammettono anche consulenza e formazione, con regole diverse da Camera a Camera.
• Per la misura del ministero il fornitore deve essere iscritto nell’elenco pubblico.
• L’analisi dei rischi viene prima della domanda, la verifica del risultato dopo l’installazione.
• Otto domande al fornitore separano un progetto utile da uno fatto solo per la rendicontazione.

Domande frequenti

Il voucher del ministero copre anche la consulenza sulla sicurezza?

Solo i servizi tecnici collegati agli strumenti acquistati, come configurazione e supporto, entro il 30% del piano di spesa. Le domande frequenti del MIMIT escludono la consulenza pura, cioè le valutazioni non seguite da un’installazione, e la formazione. I voucher delle Camere di commercio che aderiscono al bando Doppia Transizione ammettono invece consulenza specialistica e formazione.

Si può scegliere qualunque fornitore?

Per il voucher del ministero no: prodotti e servizi vanno acquistati da fornitori iscritti nell’elenco dei soggetti abilitati, consultabile sul portale di Invitalia, per le categorie in cui sono iscritti. Per i bandi camerali e regionali valgono le regole di ciascun bando, da leggere prima di chiedere i preventivi.

Un’impresa di San Marino può partecipare?

Le misure descritte sono italiane e si rivolgono alle imprese che hanno i requisiti fissati da ciascun bando. Per le imprese sammarinesi il quadro è diverso e va valutato caso per caso, con il proprio commercialista.

Un progetto finanziato basta per adeguarsi alla NIS2?

Da solo no. La NIS2 chiede misure tecniche e organizzative, responsabilità dei vertici, controllo dei fornitori e procedure per segnalare gli incidenti. Gli strumenti acquistati con un contributo possono coprire una parte delle misure tecniche, ma vanno inseriti in un piano e verificati.

Un’analisi dei rischi prima di scegliere gli strumenti, una verifica tecnica dopo l’installazione e un piano per gestire gli incidenti sono attività della divisione Cybersecurity di Strategic, che lavora con l’IT dell’azienda e con i fornitori già presenti.

Fonti

Consultate il 16 settembre 2026.

• MIMIT, Sostegno alla domanda di servizi di cloud computing e cyber security
• MIMIT, Decreto direttoriale 4 agosto 2026, termini e modalità di presentazione delle domande
• MIMIT, Decreto direttoriale 29 luglio 2026, elenco dei soggetti abilitati
• MIMIT, Risposte alle domande frequenti sul voucher cloud computing e cyber security
• Invitalia, elenco dei fornitori abilitati
• Punto Impresa Digitale, Bando Voucher Doppia Transizione 2026
• Incentivi.gov.it, portale degli incentivi del MIMIT
• Decreto legislativo 4 settembre 2024, n. 138, Normattiva