Dal 10 novembre 2026 le PMI e i lavoratori autonomi possono chiedere il voucher cloud e cybersecurity: fino a 20.000 euro per comprare servizi cloud e di sicurezza, con lo Stato che ne copre il 50%. La dotazione della misura è di 150 milioni di euro, di cui oltre 71 milioni riservati alle regioni del Mezzogiorno.
Le date e le regole dello sportello le ha fissate il decreto direttoriale del 4 agosto 2026, che attua il decreto ministeriale del 18 luglio 2025. Trovate tutto sulla pagina ufficiale del Ministero delle Imprese e del Made in Italy.
Il voucher cloud e cybersecurity compra strumenti. Antivirus gestiti, backup, servizi cloud, firewall, monitoraggio. Non compra la cosa che, davanti al Garante, porta il vostro nome: la responsabilità di dimostrare che quelle misure erano adeguate, documentate e funzionanti il giorno in cui qualcosa è andato storto.
Voucher cloud e cybersecurity: lo Stato paga l’estintore, non il piano di evacuazione
Partiamo dai numeri, perché sono buoni. Il contributo copre il 50% delle spese ammissibili in regime de minimis, fino a un massimo di 20.000 euro per beneficiario, a fronte di un piano di investimento minimo di 4.000 euro. Serve un contratto di connettività attivo con velocità di download di almeno 30 Mbps e serve acquistare da fornitori iscritti nell’elenco del Ministero: non da chiunque.
Il calendario è a tre tappe. La precompilazione della domanda apre alle 12:00 del 20 ottobre 2026. La presentazione vera e propria va dalle 12:00 del 10 novembre 2026 alle 12:00 del 20 gennaio 2027. Chi arriva a gennaio senza aver preparato niente a ottobre, di norma, non arriva.
Fin qui la parte facile. Un voucher che paga metà del conto è una buona notizia per qualsiasi imprenditore, e chi può prenderlo dovrebbe prenderlo.
Ma c’è una domanda che il bando non vi fa, e che vi farà qualcun altro. Se domani i vostri dati finiscono su un sito di leak, cosa mostrate per dire che avevate fatto la vostra parte? L’articolo 32 del GDPR non chiede di comprare strumenti. Chiede misure tecniche e organizzative adeguate al rischio, e chiede di poterlo dimostrare. La fattura del firewall non è una prova di adeguatezza. È una prova di acquisto.
Cosa il voucher non paga
- La mappatura di chi tratta i vostri dati, dentro e fuori l’azienda
- I contratti con i fornitori che quei dati li toccano davvero
- La procedura che scatta nelle prime 72 ore dopo un incidente
- La formazione delle persone che aprono le mail
- La prova documentale che tutto questo esisteva prima dell’incidente, non dopo
Il vostro perimetro finisce dove comincia il vostro fornitore
Questa estate è successa una cosa che vale la pena guardare da vicino, anche se il settore colpito non è il vostro.
Il 20 agosto 2026 un gruppo criminale che si firma xpl0itrs ha rivendicato il furto di 6,1 terabyte di dati dal Gruppo Spaggiari Parma, uno dei principali fornitori di software per la scuola italiana, dichiarando di averli presi da oltre 3.000 istituti e mettendo il pacchetto in vendita per 50.000 dollari. L’intrusione risalirebbe al 30 giugno. Il giorno dopo la rivendicazione l’azienda ha diffuso un comunicato che ridimensiona l’evento: compromesso il solo componente “Modulistica Smart” della piattaforma Bergantini, registro elettronico ClasseViva su infrastruttura separata e non raggiunto. L’azienda ha notificato l’accaduto al Garante privacy, all’Agenzia per la Cybersicurezza Nazionale e all’autorità giudiziaria.
Le due versioni non coincidono, e non tocca a noi stabilire quale regga. Quello che conta per voi è un’altra cosa.
Le organizzazioni coinvolte, quante che siano, non avevano un problema di antivirus. Avevano un fornitore.
Chi risponde davanti al Garante
Voi siete il titolare del trattamento. Il fornitore che gestisce il gestionale, il CRM, il portale delle pratiche o la casella di posta è il responsabile, ai sensi dell’articolo 28 del GDPR, e deve esserlo con un contratto scritto che elenca cosa può fare, con quali misure di sicurezza, per quanto tempo e con quali sub-fornitori. Se quel contratto non c’è, o è un allegato firmato nel 2019 e mai più riaperto, l’anello debole non è il vostro fornitore. Siete voi.
Le 72 ore non partono da voi
Il termine di 72 ore per la notifica al Garante decorre da quando venite a conoscenza della violazione, e il responsabile ha l’obbligo di informarvi senza ingiustificato ritardo. Tradotto: il cronometro può partire da una mail del fornitore, di venerdì pomeriggio, mentre siete in ferie. Sul sito del Garante trovate la procedura di notifica e l’autovalutazione. Vale la pena leggerla prima, non durante.
Le tre domande da fare al fornitore questa settimana
Non servono audit costosi per iniziare. Servono tre risposte scritte: dove stanno fisicamente i nostri dati, chi altro può accedervi (sub-responsabili compresi), e in quanto tempo ci avvisate se succede qualcosa. Se un fornitore non risponde per iscritto a queste tre domande, avete già imparato qualcosa di utile.
La parola che il filtro non riesce a leggere
L’altra metà del problema entra dalla porta principale, quella che aprite voi.
L’esca da 95 euro
Il 3 settembre 2026 il CERT-AGID ha segnalato una campagna di phishing che promette un rimborso TARI di 95,00 euro per un pagamento in eccesso del 2025, con tanto di numero di pratica datato 28 agosto 2026. I siti replicano nome, logo e grafica di PagoPA. La raccolta dei dati è a imbuto: prima il codice fiscale, poi l’anagrafica completa, poi i contatti, infine numero della carta, scadenza e CVV.
Novantacinque euro. È questo il prezzo psicologico a cui si compra l’attenzione di una persona che sta lavorando e ha venti cose aperte.
Il messaggio che il filtro legge in un altro modo
Il 3 settembre 2026 Microsoft ha documentato una campagna su larga scala basata su una tecnica chiamata ASCII smuggling: caratteri Unicode invisibili del blocco Tags (da U+E0000 a U+E007F) inseriti dentro le parole. Per chi legge, “funding” resta “funding”. Per il filtro che cerca quella parola chiave, è un’altra stringa, spezzata a metà.
I numeri della campagna, riportati da Cybersecurity360, dicono quanto in fretta scala una cosa del genere: circa 21.000 messaggi l’8 febbraio 2026, oltre 2,3 milioni tre giorni dopo. Il 96% circa passava da almeno 148 domini temporanei, e gli attaccanti si appoggiavano a una piattaforma di email marketing legittima per il tracciamento dei clic, così da far transitare le vittime su domini con buona reputazione.
Il filtro antispam è una misura. Non è la misura. E questo è esattamente il punto in cui la cybersecurity smette di essere un acquisto e diventa un processo da documentare: chi è stato formato, quando, su cosa, e con quale esito.
I cinque segnali che il vostro perimetro è più corto di quanto pensiate
Segnale 1: non sapete elencare i fornitori che trattano i vostri dati
Se per rispondere dovete chiedere all’amministrazione, il registro dei trattamenti non è aggiornato. È il primo documento che vi chiedono in caso di controllo, e si costruisce in mezza giornata di lavoro serio.
Segnale 2: i contratti con i fornitori non citano l’articolo 28
Un ordine di acquisto non è un atto di nomina a responsabile. Se il fornitore tratta dati personali per vostro conto, quel contratto va integrato. Sempre.
Segnale 3: nessuno ha mai cronometrato le 72 ore
Chi decide che è un data breach? Chi firma la notifica? Chi avvisa gli interessati? Se le risposte non hanno un nome e cognome scritti da qualche parte, la procedura non esiste.
Segnale 4: la formazione antiphishing è un PDF letto una volta
Una campagna che passa da 21.000 a 2,3 milioni di messaggi in tre giorni non la ferma un corso del 2023. Serve una simulazione periodica, con i risultati messi per iscritto.
Segnale 5: il backup c’è, ma non è mai stato ripristinato per prova
Un backup mai testato è una speranza, non una misura di sicurezza. Il test di ripristino si fa una volta l’anno e si verbalizza.
Il piano fino al 20 gennaio
Il calendario del voucher, per una volta, vi dà una scadenza esterna a cui agganciare il lavoro interno. Usatela.
- Entro il 30 settembre: elenco dei fornitori che trattano dati per vostro conto, con il nome di chi in azienda li segue. Mezza giornata.
- Entro il 20 ottobre, quando apre la precompilazione: verifica del contratto di connettività (servono almeno 30 Mbps in download) e scelta dei fornitori dall’elenco del Ministero.
- Entro il 10 novembre, giorno di apertura delle domande: piano di investimento sopra i 4.000 euro, con dentro la voce che quasi nessuno mette, cioè la formazione delle persone.
- Entro il 20 gennaio 2027, chiusura dello sportello: domanda presentata, e in parallelo contratti articolo 28 aggiornati e procedura data breach testata almeno una volta.
Una nota a margine, ma decisiva: il voucher finanzia servizi acquistati da fornitori iscritti a un elenco ministeriale. La consulenza che vi rende dimostrabile quello che avete comprato segue regole sue. Verificate cosa rientra nel piano prima di firmare, non dopo.
Chi può chiedere il voucher cloud e cybersecurity?
PMI e lavoratori autonomi su tutto il territorio nazionale, con un contratto di connettività attivo da almeno 30 Mbps in download. Il contributo copre il 50% delle spese ammissibili in regime de minimis, fino a 20.000 euro, a fronte di un investimento minimo di 4.000 euro. I servizi vanno acquistati da fornitori iscritti nell elenco del Ministero delle Imprese e del Made in Italy.
Quando si presentano le domande?
La precompilazione apre alle 12:00 del 20 ottobre 2026. Le domande si presentano dalle 12:00 del 10 novembre 2026 alle 12:00 del 20 gennaio 2027. Le regole dello sportello sono fissate dal decreto direttoriale del 4 agosto 2026, che attua il decreto ministeriale del 18 luglio 2025.
Il voucher mi mette in regola con il GDPR?
No. Il voucher finanzia strumenti e servizi. L articolo 32 del GDPR chiede misure adeguate al rischio e la capacità di dimostrarle: registro dei trattamenti, contratti con i fornitori, procedura di gestione degli incidenti, formazione tracciata. Nessuno di questi documenti si compra con una licenza.
Se il data breach avviene dal mio fornitore, chi paga?
Risponde il titolare del trattamento, cioè voi, per la scelta e la sorveglianza del fornitore. Il fornitore è responsabile ai sensi dell articolo 28 e risponde di quello che il contratto gli affida. Senza atto di nomina scritto, la posizione più scoperta è la vostra.
Le 72 ore per la notifica da quando partono?
Da quando venite a conoscenza della violazione, non da quando è avvenuta. Se l incidente è del fornitore, il termine parte dalla sua comunicazione, che per legge deve arrivare senza ingiustificato ritardo. Per questo nel contratto va scritto un tempo massimo di avviso, in ore.
Devo notificare ogni incidente al Garante?
No. La notifica va fatta quando la violazione comporta un rischio per i diritti e le libertà delle persone. La valutazione va però documentata anche quando decidete di non notificare: è la decisione che dovrete spiegare in caso di controllo. Il Garante mette a disposizione uno strumento di autovalutazione.
Un antivirus aggiornato basta contro il phishing?
No. Nella campagna documentata da Microsoft il 3 settembre 2026 i messaggi contenevano caratteri Unicode invisibili che spezzavano le parole chiave cercate dai filtri, restando leggibili per la persona. Il volume è passato da circa 21.000 messaggi a oltre 2,3 milioni in tre giorni. La misura che regge è la formazione, ripetuta e verbalizzata.
Come riconosco una finta comunicazione PagoPA?
PagoPA non chiede numero di carta, scadenza e CVV per erogare un rimborso. La campagna segnalata dal CERT-AGID il 3 settembre 2026 prometteva un rimborso TARI di 95,00 euro e raccoglieva i dati a imbuto, partendo dal codice fiscale. Verificate sempre il dominio e non seguite link ricevuti via email o SMS.
Sono una PMI: devo nominare un DPO?
Dipende. L obbligo scatta per gli enti pubblici e per chi tratta dati su larga scala o categorie particolari in modo sistematico. Molte PMI non sono obbligate, ma restano titolari a tutti gli effetti: registro, informative, contratti con i fornitori e gestione degli incidenti sono dovuti comunque.
Da dove inizio se non ho niente di tutto questo?
Dai fornitori. Elencate chi tratta dati per vostro conto, recuperate i contratti, verificate quali contengono un atto di nomina a responsabile. È mezza giornata di lavoro e vi dice esattamente quanto siete esposti. Il resto (registro, procedura incidenti, formazione) si costruisce sopra quella lista.
Risorse utili (tutte gratuite)
- MIMIT (mimit.gov.it): pagina ufficiale della misura, con decreti, elenco fornitori e istruzioni di domanda
- CERT-AGID (cert-agid.gov.it): bollettini settimanali sulle campagne di phishing attive in Italia, con indicatori di compromissione
- Garante privacy (garanteprivacy.it): procedura telematica di notifica del data breach e strumento di autovalutazione
- ACN (acn.gov.it): linee guida e segnalazioni per le imprese sulla gestione degli incidenti
Abbiamo già scritto di come si gestisce un incidente quando è troppo tardi per prevenirlo, nella guida alla gestione del data breach, e di quali sanzioni sono arrivate davvero in Italia, nella guida su sanzioni e compliance. Sono le due facce della stessa moneta: la procedura che avete scritto prima decide quanto vi costa il giorno dopo.
Ventimila euro di contributo sono una buona ragione per comprare strumenti migliori. Non sono una ragione per pensare che il problema sia risolto. Gli strumenti li sceglie il fornitore, il rischio resta intestato a voi.
Il voucher paga metà degli strumenti. La responsabilità resta intera.
Maiora Labs Srl (Roma) affianca imprese e istituti nella consulenza privacy e GDPR: mappatura dei trattamenti, contratti con i fornitori, procedure di gestione degli incidenti e la piattaforma con cui dimostrarlo. Per capire cosa vi manca prima del 10 novembre, scriveteci.
