Per una PMI che deve acquistare un firewall, un produttore software che deve adeguarsi al Cyber Resilience Act e un’impresa cyber che vuole partecipare allo sviluppo di una nuova soluzione europea, i prossimi mesi aprono tre opportunità molto diverse.

Tra ottobre 2026 e gennaio 2027 si sovrappongono, infatti, tre canali di finanziamento pubblico dedicati, direttamente o indirettamente, alla cyber sicurezza: 150 milioni di euro del Mimit per l’adozione di cloud e tecnologie cyber da parte di PMI e lavoratori autonomi; 11,5 milioni della seconda call SECURE per accompagnare le piccole e medie imprese verso la compliance al Cyber Resilience Act; 96 milioni della nuova call Digital Europe gestita dall’ECCC per sviluppo e deployment di capacità cyber europee.

Le tre dotazioni arrivano complessivamente a 257,5 milioni di euro, ma è importante non trasformare questa somma in un inesistente “piano italiano da 257,5 milioni”: soltanto i 150 milioni del Mimit costituiscono una misura nazionale, mentre SECURE e Digital Europe sono strumenti europei nei quali le imprese italiane competono con quelle degli altri Paesi ammissibili.

La distinzione è ancora più importante sul piano operativo: il Mimit finanzia soprattutto l’adozione, la seconda call SECURE la compliance e il Digital Europe lo sviluppo e il deployment. Capire a quale di questi tre livelli appartiene il proprio progetto è, quindi, il primo passo per individuare il finanziamento realmente utilizzabile.

Voucher Cloud & Cybersecurity: 150 milioni per PMI e professionisti

La misura con l’accesso più diretto per il tessuto produttivo italiano è il Voucher Cloud & Cybersecurity del ministero delle Imprese e del Made in Italy.

La dotazione ufficiale è di 150 milioni di euro, a valere sulle risorse del Fondo sviluppo e coesione 2014-2020. Di questi, 71.065.813,34 euro sono riservati ai piani di investimento realizzati in Abruzzo, Basilicata, Calabria, Campania, Molise, Puglia, Sardegna e Sicilia.

Possono accedere all’incentivo PMI e lavoratori autonomi operanti sull’intero territorio nazionale. L’agevolazione copre fino al 50% delle spese ammissibili, con un contributo massimo di 20 mila euro; il piano di investimento deve avere un valore minimo di 4 mila euro.

Dal 20 ottobre si prepara la domanda, dal 10 novembre si invia

Il calendario merita particolare attenzione.

La precompilazione delle domande parte alle ore 12 del 20 ottobre 2026. L’invio formale sarà possibile dalle ore 12 del 10 novembre fino alle ore 12 del 20 gennaio 2027, salvo esaurimento anticipato delle risorse.

Non si tratta, quindi, di tre mesi equivalenti a disposizione delle imprese. La procedura è a sportello e l’istruttoria segue l’ordine cronologico delle domande. Preparare progetto, documentazione e fornitori soltanto a novembre potrebbe tradursi in uno svantaggio concreto.

È per questo che la fase che parte il 20 ottobre va considerata operativamente importante quanto l’apertura dello sportello.

Per l’accesso è inoltre necessario disporre di una connessione Internet con velocità minima in download di 30 Mbps e i prodotti e servizi finanziabili devono provenire dai fornitori inseriti nell’apposito elenco Mimit.

Il Ministero ha pubblicato anche FAQ aggiornate, nelle quali precisa tra l’altro i requisiti dei fornitori.

Cosa si può finanziare con il voucher Mimit

L’ampiezza del catalogo rende il voucher interessante anche dal punto di vista della sicurezza.

Tra le soluzioni ammissibili rientrano firewall e NGFW, router e switch, IDS/IPS, antivirus e antimalware, strumenti per il monitoraggio delle reti, crittografia, SIEM e vulnerability management.

Sul versante cloud sono previsti IaaS e PaaS, virtual machine, storage, backup e database, oltre a diverse categorie SaaS e a servizi accessori di configurazione, monitoraggio e supporto.

Sono finanziabili anche servizi professionali di configurazione, monitoraggio e supporto, entro determinati limiti.

La logica è quindi quella di un incentivo alla domanda. L’impresa non deve inventare una nuova tecnologia cyber: può utilizzare il contributo per migliorare concretamente la propria postura di sicurezza o il proprio ambiente cloud.

Il requisito da non perdere di vista è, però, l’addizionalità dell’investimento.

La misura è destinata all’acquisizione di soluzioni nuove e aggiuntive oppure più avanzate e sicure rispetto a quelle già utilizzate. Non dovrebbe quindi essere letta come un semplice meccanismo per abbattere il costo ordinario dell’IT aziendale. E non verranno finanziati semplici rinnovi o estensioni di licenze che non introducano un salto qualitativo.

Inoltre, i prodotti e i servizi devono essere acquistati da fornitori iscritti nell’apposito elenco Mimit.

È anche il motivo per cui, come abbiamo già analizzato su Cybersecurity360, conviene partire dal rischio e non dal catalogo. Una PMI dovrebbe individuare prima le lacune della propria postura – continuità operativa, protezione degli endpoint, accessi remoti, backup, visibilità, vulnerabilità – e solo dopo scegliere gli strumenti finanziabili. È il principio alla base della nostra analisi su come le PMI dovrebbero sfruttare il Voucher Cloud & Cybersecurity.

Per gli aspetti procedurali resta utile anche la guida dedicata a come presentare la domanda per il Voucher Cloud & Cybersecurity.

SECURE: 11,5 milioni per preparare le PMI al Cyber Resilience Act

Dal primo ottobre è aperta una seconda opportunità, molto più focalizzata: la Second SECURE Open Call.

SECURE, acronimo di Strengthening EU SMEs Cyber Resilience, è un progetto europeo coordinato dall’Agenzia per la cybersicurezza nazionale e finanziato nell’ambito di Digital Europe. L’obiettivo è aiutare micro, piccole e medie imprese a rafforzare la cyber resilience e ad affrontare gli obblighi introdotti dal Cyber Resilience Act.

La seconda call mette a disposizione 11,5 milioni di euro, più del doppio dei 5 milioni della prima tornata conclusa a marzo. Le candidature sono aperte dal primo ottobre all’11 dicembre 2026. Ogni progetto può ricevere fino a 30 mila euro, con un cofinanziamento del 50%.

Qui la domanda da porsi cambia.

Il voucher Mimit parte dall’investimento tecnologico dell’impresa; SECURE parte, invece, dal prodotto digitale e dagli obblighi che il CRA impone lungo il suo ciclo di vita.

Il Cyber Resilience Act introduce infatti requisiti obbligatori di cybersecurity per i prodotti con elementi digitali. Il regolamento si applicherà pienamente dall’11 dicembre 2027, anche se alcuni obblighi entreranno in vigore prima.

Il finanziamento diventa una leva per il secure by design

Il valore di SECURE non sta, quindi, soltanto nei 30 mila euro disponibili per singola impresa.

La misura prova a trasformare un costo regolatorio in un investimento sul ciclo di sviluppo del prodotto.

Vulnerability assessment e penetration test, code review, application security, sicurezza ICT, OT e IoT, governance e risk management possono diventare componenti di un percorso che porta l’impresa verso un modello secure by design.

Per produttori e sviluppatori di hardware e software questo significa evitare un errore abbastanza comune: trattare il CRA come una certificazione da affrontare alla fine dello sviluppo.

La sicurezza deve, invece, entrare prima nel processo: progettazione, sviluppo, vulnerability handling, aggiornamenti e gestione del prodotto durante il suo ciclo di vita.

È su questo terreno che SECURE si distingue nettamente dal voucher Mimit.

Digital Europe: 96 milioni per costruire capacità cyber europee

Il terzo canale cambia completamente scala.

La call DIGITAL-ECCC-2027-DEPLOY-CYBER-11, gestita dallo European Cybersecurity Competence Centre nell’ambito del programma Digital Europe, dispone di 96 milioni di euro.

È aperta dal primo settembre 2026 e le proposte possono essere presentate fino alle ore 17 del 14 gennaio 2027.

Qui non siamo più davanti a un voucher destinato a un’impresa che vuole comprare tecnologie disponibili sul mercato: la call, infatti, finanzia progetti di sviluppo, deployment e rafforzamento delle capacità europee e comprende sette linee di intervento.

Quindici milioni sono destinati a strumenti e servizi cyber basati sull’intelligenza artificiale per autorità, Cyber Hub, CSIRT, soggetti NIS2 e altri stakeholder; altri 20 milioni finanziano soluzioni AI-powered rivolte specificamente alla resilienza delle PMI.

Altri 15 milioni sono destinati ai test coordinati di preparedness e ad attività che comprendono penetration testing, threat assessment, vulnerability monitoring, esercitazioni e formazione.

Cinque milioni finanziano i Regional Cable Hubs per la sicurezza dei cavi sottomarini, 11 milioni il rafforzamento della rete dei National Coordination Centres e 20 milioni l’implementazione del quadro normativo europeo, includendo NIS2, Cyber Resilience Act, DORA, Cybersecurity Act e specifici requisiti dell’AI Act.

Gli ultimi 10 milioni, invece, sono dedicati alle tecnologie cyber dual use, con applicazioni civili e di difesa.

Come avevamo già analizzato nella precedente news analysis su AI, resilienza e NIS2 tra le priorità dei 96 milioni europei, emerge quindi una politica industriale della cyber security che affianca alla compliance lo sviluppo di capacità tecnologiche europee.

Con il canale del Digital Europe cambiano completamente scala e destinatari. Il bando è rivolto a soggetti pubblici e privati, imprese tecnologiche, autorità, centri di ricerca, università e altri attori dell’ecosistema cyber, spesso organizzati in consorzi. Non si tratta quindi, nella maggior parte dei casi, di chiedere qualche decina di migliaia di euro per comprare un firewall, ma di costruire progetti europei di sviluppo e deployment tecnologico.

Anche le percentuali di finanziamento cambiano a seconda del topic. Il modello ordinario dei Simple Grants copre generalmente il 50% dei costi ammissibili. Per la linea dedicata alle soluzioni AI per le PMI il finanziamento arriva al 75% per le PMI, mentre per i Regional Cable Hubs la percentuale è stata eccezionalmente portata al 70%, vista l’importanza geopolitica della protezione delle infrastrutture sottomarine.

Tre fondi cyber, tre domande diverse per le imprese

Accostare semplicemente 150, 11,5 e 96 milioni rischia, quindi, di nascondere la parte più interessante. I tre strumenti rappresentano tre momenti differenti della filiera cyber.

Per una PMI o un professionista italiano che deve rafforzare la propria infrastruttura, acquistare soluzioni di sicurezza o migrare verso servizi cloud più evoluti, il canale naturale è il voucher Mimit che sovvenziona soprattutto l’adozione di tecnologie disponibili sul mercato.

Per una PMI che produce hardware o software e deve preparare prodotto e organizzazione al Cyber Resilience Act, SECURE offre invece uno strumento molto più mirato.

Per vendor cyber, università, centri di ricerca, pubbliche amministrazioni, autorità e imprese capaci di partecipare a progetti europei, Digital Europe apre opportunità di dimensione e complessità completamente differenti, finanziando la costruzione di capacità europee e la diffusione di nuove soluzioni

La differenza dovrebbe orientare anche il modo in cui viene costruita la candidatura. Un’impresa non dovrebbe partire dalla domanda “quali fondi posso ottenere?”, ma da quale trasformazione deve finanziare.

È una distinzione utile anche per evitare investimenti opportunistici: acquistare uno strumento perché è finanziabile raramente equivale a migliorare la postura di sicurezza.

Nel 2027 altri 71,8 milioni per AI, post-quantum e cloud security

La finestra che si apre in questi mesi non esaurisce inoltre la pipeline europea.

Il Work Programme 2026-2027 – Civil Security for Society di Horizon Europe programma per il 2027 una nuova call cybersecurity ECCC da 71,8 milioni di euro.

L’apertura è prevista il 2 marzo 2027, con scadenza il 15 settembre. La dotazione è ripartita in quattro aree: 24,8 milioni per applicazioni dell’intelligenza artificiale alla cybersecurity; 24 milioni per la sicurezza del continuum IoT-edge-cloud-data space; 19 milioni per implementazioni post-quantum, crittoanalisi e digital trust; 4 milioni per nuove primitive e protocolli destinati alle future reti ibride classico-quantistiche e quantistiche.

Con questa call il quadro potenziale sale da 257,5 a 329,3 milioni di euro, ma anche in questo caso il numero va letto correttamente: i 71,8 milioni Horizon appartengono a una futura competizione europea per ricerca e innovazione e non aumentano la dotazione del voucher italiano.

Dai voucher alla ricerca: prende forma una filiera del finanziamento cyber

Letti insieme, questi strumenti mostrano una tendenza più interessante del loro semplice valore economico.

Il finanziamento pubblico alla cyber security sta iniziando a coprire quasi l’intero ciclo della capacità tecnologica: adozione, compliance, deployment e ricerca.

Il Mimit interviene sul punto più vicino alla domanda, aiutando PMI e professionisti a comprare e adottare tecnologie. SECURE utilizza il finanziamento come leva per accompagnare le imprese verso il nuovo quadro regolatorio europeo. Digital Europe sostiene la costruzione e la diffusione di capacità cyber su scala continentale. Horizon Europe sposta infine il baricentro verso AI, post-quantum e sicurezza delle architetture future.

Per le imprese italiane è un’opportunità, ma anche un segnale.

NIS2, CRA, DORA e AI Act stanno aumentando la domanda di sicurezza proprio mentre l’Unione europea cerca di rafforzare la propria capacità tecnologica e industriale. I finanziamenti non servono quindi soltanto a “spendere di più in cyber security”: cercano di orientare dove e come quella spesa deve produrre capacità.

Per le PMI il criterio dovrebbe essere altrettanto concreto. Il voucher Mimit ha senso se permette di chiudere un gap reale di sicurezza; SECURE se consente di integrare il CRA nel ciclo di vita del prodotto; le call ECCC se l’organizzazione possiede competenze, partnership e capacità progettuale sufficienti per contribuire a un programma europeo.

La finestra tra ottobre e gennaio offre, dunque, una combinazione poco comune di risorse.

Ma la vera occasione sta nel non confonderle: 257,5 milioni raccontano tre politiche diverse della cyber security e, soprattutto, tre differenti livelli di maturità richiesti a chi vuole utilizzarli.