Il piano di spesa si scrive prima della domanda.
Non dopo.

Il Voucher Cloud e Cybersecurity del MIMIT (Ministero delle Imprese e del Made in Italy) viene spesso raccontato come «il 50% a fondo perduto fino a 20.000 €». È vero, ma è la parte meno importante. Letto per intero, il decreto direttoriale del 4 agosto 2026 descrive un meccanismo diverso da un rimborso: il contributo premia un miglioramento documentato rispetto a uno stato di partenza dichiarato, e boccia tutto ciò che si limita a rinnovare, estendere o replicare quello che l’azienda ha già. Chi arriverà al 10 novembre con l’idea «compro, poi chiedo il rimborso» sbaglierà tre volte di seguito: avrà comprato prima della domanda, avrà allegato un preventivo che non basta, e avrà chiesto soldi per un piano che rientra in una delle quattro esclusioni. Le PMI che perderanno il voucher lo perderanno così — non per mancanza di fondi.

Abbiamo già raccontato l’elenco dei fornitori abilitati e le date dello sportello. Questa è la guida operativa: cosa fare, in che ordine, con quali documenti, e soprattutto cosa non fare. Tutto ciò che segue viene dal testo dei decreti e dalle FAQ ufficiali del Ministero, con il riferimento all’articolo.

Il calendario operativo, dalla domanda all’erogazione

Le date pubbliche sono due, ma i termini che contano davvero sono sette. Quasi tutti decorrono da un momento che l’azienda non controlla: la comunicazione del provvedimento di concessione, che arriva dopo un’istruttoria di 60 giorni in ordine cronologico.

Il vincolo che decide tutto: si compra dopo la domanda

L’articolo 4, comma 5 è la frase più costosa del decreto per chi non la legge: «i piani di spesa devono essere avviati successivamente alla data di presentazione della domanda». Le spese devono essere sostenute dopo quella data. Non c’è una riduzione proporzionale per chi ha già cominciato — una spesa anteriore semplicemente non entra nel piano. E il decreto chiude anche la scappatoia più comune: le fatture di acconto sono ammesse, ma solo se successive alla presentazione della domanda (art. 4 c. 4 lett. a).

Questo capovolge la sequenza abituale. Non si compra e poi si chiede: si costruisce il piano, si raccolgono le offerte nel formato richiesto, si presenta la domanda, e solo allora si firma il contratto o si emette l’ordine. Per un’azienda che ha un progetto di migrazione cloud o di rinnovo della sicurezza già pronto, la conseguenza pratica è dura ma chiara: se il progetto vale il voucher, va fermato fino al 10 novembre. Se non può aspettare, il voucher non è lo strumento giusto per quel progetto.

Cosa deve contenere la domanda, pena irricevibilità

La domanda è una dichiarazione sostitutiva di atto notorio e l’articolo 5, comma 3 elenca nove elementi la cui assenza la rende irricevibile — non integrabile, respinta. Tre di questi sorprendono chi ha letto solo i comunicati:

• Connettività di almeno 30 Mbps in download — non basta averla, serve un contratto attivo al momento della domanda (art. 3 c. 1), e la copia del contratto va allegata alla richiesta di erogazione (art. 7 c. 4 lett. b). Infratel la verifica a campione.
• Dichiarazione sull’assicurazione contro i rischi catastrofali — l’obbligo della legge 213/2023 (art. 1 c. 101) è requisito di accesso (DM 18/7/2025, art. 4 c. 2 lett. c) e va dichiarato in domanda (art. 5 c. 3 lett. i). Un’impresa non in regola su questo punto è fuori prima ancora che il piano venga letto.
• Lo stato di partenza e il miglioramento previsto — la dichiarazione deve descrivere l’effettiva adozione attuale di cloud e cybersecurity e il miglioramento che il piano realizza, «con evidenza delle nuove soluzioni tecnologiche acquisite e/o delle soluzioni più avanzate prescelte rispetto a quelle già in uso» (art. 5 c. 3 lett. d). È il cuore della domanda, ed è anche ciò che nessun preventivo contiene.

Gli altri elementi: dati anagrafici e PEC; l’unità locale in cui il piano produce prevalentemente i suoi effetti (il piano può riguardarne più d’una, ma una sola determina l’eventuale accesso alla riserva Sud); i servizi scelti con i codici identificativi dell’elenco e la modalità di acquisizione; i nomi dei fornitori, che devono essere in elenco; la durata del piano o dell’abbonamento; importo delle spese e contributo richiesto. La domanda va redatta in italiano e può essere compilata da un delegato (art. 5 c. 1). Ogni soggetto può presentarne una sola (art. 5 c. 6): non esiste una seconda possibilità per correggere un piano debole.

I quattro piani che vengono esclusi

L’articolo 4, comma 1 fissa il criterio positivo: soluzioni «nuove e aggiuntive rispetto a quelle a disposizione» oppure «più avanzate e sicure rispetto a quelle in uso». Il comma 3 traduce il criterio in quattro esclusioni. Sono formulate in modo da colpire esattamente i piani che le PMI tendono a scrivere per primi.

• 1Prestazioni analoghe a quelle già in uso — il decreto non elenca casi: il criterio è funzionale. Se il nuovo prodotto fa quello che fa il vecchio, cambiare marca non basta.
• 2Aggiornamento di versione senza miglioramento sostanziale — qui il decreto offre l’unico esempio esplicito: il miglioramento sostanziale può realizzarsi «ad esempio attraverso l’introduzione di nuove funzioni di automazione o di intelligenza artificiale». Un passaggio di piano si difende se porta funzioni che prima non c’erano, non se cambia il numero sull’etichetta.
• 3Estensione di una licenza già in possesso — il rinnovo di ciò che si usa già, anche pluriennale, è fuori.
• 4Aumento del numero di postazioni licenziate o di utenze — più utenti dello stesso servizio è crescita, non miglioramento. Il decreto la esclude.

Le FAQ ufficiali aggiungono due paletti che vale la pena conoscere prima di scrivere il piano: un server generico, anche con virtualizzazione e sistema operativo server, non rientra tra le soluzioni hardware di cybersecurity ammissibili; e ERP e CRM sono ammessi solo nella categoria dei servizi SaaS — un gestionale installato nel data center del cliente non è ammissibile perché la modalità di erogazione non è cloud.

Acquisto diretto o abbonamento: una scelta che non si cambia

L’articolo 4, comma 4 prevede tre modalità di acquisizione — acquisto diretto, abbonamento, o una combinazione delle due — con regole diverse su tempi e spese ammissibili. L’articolo 8, comma 4 aggiunge il vincolo che rende la scelta importante: non è consentito passare da acquisto diretto ad abbonamento o viceversa rispetto a quanto indicato nella domanda. Si decide prima, e si resta lì.

Le FAQ ufficiali chiariscono un punto che confonde molti: un contratto per servizi SaaS può essere ricondotto all’acquisto diretto, quindi non è obbligato nel binario dei 24 mesi. È una scelta di convenienza da fare con i numeri in mano, ricordando che i due binari hanno tempi, documenti e rischi diversi.

Il tetto del 30% ai servizi professionali, e cosa non sono

L’elenco dei servizi ammissibili ha cinque categorie: hardware di cybersecurity, software di cybersecurity, servizi cloud infrastrutturali e di piattaforma, servizi SaaS, e «servizi di configurazione, monitoraggio e supporto continuativo dei servizi, ivi inclusi i servizi professionali». Su quest’ultima categoria l’articolo 4, comma 2, lettera e) mette due limiti: è ammissibile al massimo per il 30% del piano di spesa complessivo, e deve essere connessa a uno o più degli altri servizi del piano. In pratica almeno il 70% del piano deve essere fatto di prodotti e servizi delle altre quattro categorie: un piano costruito intorno all’attività di chi configura e gestisce, con poca tecnologia dentro, non regge.

Le FAQ del Ministero chiariscono anche cosa quella categoria non contiene: i servizi professionali «sono diversi dalla mera consulenza: sono servizi operativi e tecnici direttamente collegati all’implementazione e gestione delle soluzioni. Restano esclusi i corsi di formazione e la consulenza pura». La formazione del personale è esclusa anche come servizio a sé (art. 4 c. 2 lett. e). Chi progetta il piano deve quindi separare con cura l’attività tecnica — configurazione, migrazione, monitoraggio, supporto — dall’attività consulenziale, che va tenuta fuori dal perimetro del voucher.

Come costruire il piano di spesa: sei passi

• 1Verificare i requisiti che escludono prima del merito — contratto di connettività ad almeno 30 Mbps in download; assicurazione catastrofale in regola; impresa attiva, non in liquidazione, non in un settore escluso dal de minimis (DM 18/7/2025, art. 4 c. 2). Per i lavoratori autonomi, partita IVA ed eventuale iscrizione all’ordine (art. 4 c. 3).
• 2Fotografare lo stato di partenza — un inventario onesto di cosa è già in uso in cloud e sicurezza: prodotti, versioni, licenze, numero di utenti. È la base della dichiarazione dell’art. 5 c. 3 lett. d, ed è anche il documento che permette di verificare in anticipo che il piano non ricada nelle quattro esclusioni.
• 3Definire il miglioramento, non la lista della spesa — per ogni voce, la domanda a cui rispondere è: cosa fa questa soluzione che oggi non facciamo, o cosa fa in modo più sicuro? Se la risposta è «lo stesso, ma più utenti» o «lo stesso, versione più recente», la voce va tolta.
• 4Scegliere fornitori in elenco e recuperare i codici — ogni servizio ha un codice identificativo per tipologia che va in domanda e in fattura. L’elenco è sulla piattaforma Invitalia; come si leggono i codici lo spieghiamo nella pagina dedicata al voucher.
• 5Farsi fare le offerte nel formato dell’art. 5 c. 4 — voci di costo, codici, stato di partenza e upgrade garantito. Decidere qui, per ogni voce, se acquisto diretto o abbonamento, sapendo che non si cambia più. Tenere i servizi professionali sotto il 30%.
• 6Preparare gli strumenti prima del 20 ottobre — identità digitale (SPID, CNS o CIE) di chi compila, PEC attiva, firma digitale valida, dati per il Registro Nazionale degli Aiuti. Il Ministero pubblicherà lo schema di domanda «con congruo anticipo» (art. 5 c. 5): al momento in cui scriviamo non è ancora disponibile, e la sezione delle FAQ ufficiali dedicata ai beneficiari è ancora vuota.

Riserva Sud, ordine cronologico, due quote, de minimis

Dei 150 milioni, 71.065.813,34 € sono riservati ai piani realizzati in Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia (art. 2 c. 3). Conta l’ubicazione dell’unità locale in cui il piano produce prevalentemente i suoi effetti, non la sede legale. Per chi è nel resto d’Italia restano circa 79 milioni, assegnati in ordine cronologico di presentazione: il 10 novembre alle 12:00 la velocità conterà, e conterà solo per chi avrà già in mano il codice di predisposizione generato dal 20 ottobre.

Il contributo è del 50% delle spese ammissibili, con spesa minima di 4.000 € e tetto di 20.000 € (art. 4 c. 6): il massimo si raggiunge quindi con 40.000 € di spesa ammissibile, oltre i quali il contributo non cresce. È concesso in regime de minimis (Reg. UE 2023/2831; DM 18/7/2025, art. 6 c. 2) e il Ministero respinge la domanda se dal Registro Nazionale degli Aiuti risulta superato il massimale (art. 6 c. 4): chi ha ricevuto altri aiuti de minimis negli ultimi tre anni deve verificare lo spazio residuo con il proprio consulente prima di presentarla.

Infine il flusso di cassa. L’erogazione avviene in due quote — la prima dopo aver sostenuto almeno il 50% del piano, la seconda a conclusione — oppure in un’unica quota, e in nessun caso prima di tre mesi dalla concessione (art. 7). Il beneficiario anticipa quindi il 100% della spesa e recupera il 50% in seguito, dopo una verifica documentale di 60 giorni che include il DURC. Un piano da 40.000 € richiede 40.000 € di liquidità, non 20.000.