Voucher Cloud & Cybersecurity: lo sportello apre il 10 novembre, lo «stato di partenza» resta sparso in sei sistemi

Uno scenario tipico, non un caso nostro. Uno studio di progettazione meccanica del Modenese, otto dipendenti, nel settore manifatturiero, valuta di chiedere il contributo pubblico per sostituire il backup e aggiungere un firewall di nuova generazione. L’amministrazione ha le fatture dei canoni in corso, non sa quante postazioni sono attive sul gestionale; l’IT sa quante licenze girano, non sa se il canone già pagato includa una funzione equivalente a quella da comprare. Nessuno dei due sa rispondere alla prima domanda che il modulo farà: rispetto a che cosa, esattamente, sarebbe un miglioramento?

Tre decreti, e ciò che la Gazzetta pubblica davvero

La Gazzetta Ufficiale Serie generale n. 193 del 21 agosto 2026 pubblica, a pag. 45, il comunicato 26A04230 del Ministero delle imprese e del made in Italy: «Con decreto del direttore generale per gli incentivi alle imprese 4 agosto 2026 sono stati definiti i termini e le modalità di funzionamento dello sportello per la presentazione delle domande di ammissione alle agevolazioni previste dal decreto ministeriale 18 luglio 2025». La misura — «Voucher Cloud & Cybersecurity» per il sito del Ministero — «è volta a sostenere la domanda di servizi di cloud computing e cybersecurity da parte delle piccole e medie imprese e dei lavoratori autonomi […], attraverso il riconoscimento di un contributo a fondo perduto per l’acquisizione di soluzioni tecnologiche nuove e aggiuntive rispetto a quelle a disposizione e/o […] più avanzate e sicure rispetto a quelle in uso». Le domande si presentano «dalle ore 12,00 del 10 novembre 2026 e fino alle ore 12,00 del 20 gennaio 2027».

Dietro c’è una catena più lunga. La Gazzetta n. 286 del 10 dicembre 2025 pubblica il decreto del Ministro 18 luglio 2025, che istituisce l’intervento con le economie del Fondo sviluppo e coesione 2014-2020, e il decreto direttoriale 21 novembre 2025, che apre l’iscrizione fornitori «dalle ore 12,00 del 4 marzo 2026 alle ore 12,00 del 23 aprile 2026». Prorogato al 27 maggio, l’elenco definitivo — «non modificabile», dice il decreto che lo chiude — arriva solo il 29 luglio 2026: sei giorni prima che quello del 4 agosto fissi cifre e requisiti.

La base giuridica non cambia lungo la catena: i comunicati del 2025 richiamano l’art. 8, comma 3, della legge delega 160/2023; quello del 2026 richiama l’art. 22, comma 3, del d.lgs. 184/2025, che riformula la stessa regola — e riserva alla Gazzetta soltanto «avvisi sintetici sui provvedimenti generali adottati per la disciplina e l’accesso agli incentivi». La pubblicità legale sta sul sito del Ministero e su Incentivi.gov.it: è esattamente ciò che abbiamo appena letto, un avviso, non il decreto.

Il decreto del 4 agosto destina allo sportello 150 milioni dal Fondo sviluppo e coesione 2014-2020 — 71.065.813,34 riservati alle otto regioni del Mezzogiorno — con un contributo a fondo perduto del 50% della spesa ammissibile (minimo 4.000 euro), fino a 20.000. Lo sportello si apre in due tempi: compilazione dalle 12:00 del 20 ottobre 2026, presentazione — con il «codice di predisposizione domanda» generato nella prima fase — dalle 12:00 del 10 novembre alle 12:00 del 20 gennaio 2027, istruita «nel rispetto dell’ordine cronologico di presentazione delle istanze».

Dove sta, davvero, il dato

Il decreto non affida la prova a un solo ufficio: la domanda — «dichiarazione sostitutiva di atto notorio» — deve contenere, pena l’irricevibilità, sei tipi di informazione, e ciascuno vive altrove. Il primo, il più importante, è lo stato di partenza: serve «dichiarazione sull’effettivo stato di partenza del soggetto richiedente […], con evidenza delle nuove soluzioni tecnologiche acquisite e/o delle soluzioni più avanzate prescelte rispetto a quelle già in uso» — e sta nell’inventario di licenze, postazioni e utenze, se esiste ed è aggiornato. Il secondo è il contratto di connettività, «con velocità minima in download di 30 Mbps»: sta dal gestore telefonico. Il terzo è l’ubicazione dell’unità locale «ove il piano di spesa esplica prevalentemente i propri effetti»: sta nella visura, e decide l’accesso alla riserva per il Mezzogiorno. Il quarto sono le offerte dei fornitori con «i codici identificativi attribuiti […] dall’elenco»: i fornitori devono starci, e quell’elenco è «non modificabile», consultabile solo autenticandosi con SPID, CNS o CIE — non una pagina archiviabile come prova di ciò che era disponibile in quel momento. Il quinto è il plafond «de minimis», verificato «tramite il Registro Nazionale degli Aiuti»: sta in un registro pubblico, e può da solo bloccare una domanda già istruita. Il sesto è ciò che la domanda richiama senza generare: il DURC d’ufficio, l’obbligo assicurativo dell’art. 1, comma 101, l. 213/2023, e il codice unico di progetto che «deve essere riportato su ciascun giustificativo di spesa» — su fatture che i fornitori emetteranno nei mesi successivi.

Lo stesso obbligo di documentare un prima e un dopo, con la prova sparsa fra uffici che non si parlano, ricorre nello «stato di partenza» dell’iperammortamento per la manutenzione predittiva, nell’accreditamento ancora senza criteri dei servizi di sicurezza gestiti, nel fascicolo che l’ACN pretende in ispezione e nella prova documentale NIS2, e nella migrazione dei dati critici verso il cloud qualificato.

Il dato che nessun sistema aziendale contiene per intero

Il pezzo che manca non è uno dei sei: è la loro somma, alla stessa data. Il decreto, all’art. 4, comma 3, esclude le spese per prodotti «aventi prestazioni analoghe a quelle dei prodotti e/o servizi già in uso», l’aggiornamento di versione «qualora non realizzi contestualmente un miglioramento sostanziale», e «l’estensione di una licenza già in possesso» o l’aumento di postazioni e utenze. Per dichiarare — sotto responsabilità di atto notorio — che nessuna di queste tre cose è vera, servono insieme l’inventario delle licenze, postazioni e utenze alla data della domanda e le funzioni effettive della soluzione in uso: informazioni in luoghi diversi, che nessuna PMI tiene allineate se non gliel’ha chiesto nessuno prima.

C’è anche un problema di sequenza: l’istruttoria segue l’ordine cronologico, e la compilazione — con l’obbligo di dichiarare lo stato di partenza — apre già il 20 ottobre, tre settimane prima della presentazione, quando si gioca solo la velocità. Lo stato di partenza andrebbe dunque fissato prima — lettura nostra degli articoli 5 e 6, non un termine scritto — ma chi ha scelto il fornitore lo ha fatto senza ancora conoscere le regole con cui quella scelta sarebbe stata giudicata.

Se fra un anno il Ministero, «a campione», vi chiedesse di dimostrare che il firewall comprato non aveva prestazioni analoghe a quello che avevate già, in quanti di questi sei posti dovreste entrare — e chi, in azienda, il giorno della domanda, avrebbe saputo davvero rispondere?

Vedi il servizio · Parlane con un tecnico

Quello che non sappiamo

La domanda richiama l’obbligo assicurativo dell’art. 1, comma 101, l. 213/2023: non ne abbiamo verificato il contenuto, e non lo descriviamo. Non sappiamo se l’elenco fornitori riaprirà: il decreto del 29 luglio lo dichiara chiuso senza escludere una tornata futura. Il collegamento fra ordine cronologico e tempistica dello stato di partenza è una nostra deduzione, non un termine del decreto. Non abbiamo seguito casi concreti di esaurimento anticipato delle risorse. Lo scenario in apertura è un modello tipico, dichiarato come tale.

I due assi, applicati

Adempiere. La dichiarazione sullo stato di partenza che il decreto chiede come atto notorio diventa, nel nostro impianto, un controllo che gira sui documenti e sui sistemi del cliente — licenze, postazioni, contratti dei fornitori, configurazioni, DURC, plafond de minimis — con un allarme quando ciò che si è dichiarato non trova più riscontro nei documenti sottostanti. Fascicolo esportabile e datato, pronto per il controllo a campione o per la richiesta di erogazione.

Decidere. Lo stesso impianto tiene insieme acquisti, IT, amministrazione e unità locali in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando: non solo rispondere al controllo, ma sapere in anticipo se un acquisto rischia di essere giudicato «prestazioni analoghe» a quanto già in uso. Per imprese con più sedi, reti di fornitori e pubblica amministrazione, sempre in due modalità: on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure cloud dedicato con VPN dedicata e data center in Italia — sempre con gestione condivisa.

Dalla prima sessione, senza costi, esce la mappa datata di quali dei sei pezzi dello stato di partenza sono già pronti, in quale sistema stanno e chi li aggiorna — comprese le caselle ancora vuote. Resta a voi anche se non proseguiamo insieme. Parlatene con un nostro tecnico.

Tre decreti, e ciò che la Gazzetta pubblica davvero

Dove sta, davvero, il dato

Il dato che nessun sistema aziendale contiene per intero

Quello che non sappiamo

I due assi, applicati

Fonti