La soluzione

Il quesito è centrato e attuale perché il Cyber Innovation Network dell'Agenzia per la Cybersicurezza Nazionale rappresenta una delle iniziative più strutturate oggi disponibili per sostenere startup in ambito cybersecurity in fase early stage, soprattutto quando l'obiettivo è trasformare un prototipo o una tecnologia promettente in una soluzione validata in contesti reali. Il Programma si inserisce nel quadro delle responsabilità attribuite all'Agenzia dal decreto legislativo 14 giugno 2021 n. 82, con una finalità chiara sviluppare capacità industriali, scientifiche e tecnologiche nazionali nel dominio cyber, costruendo un ecosistema integrato tra operatori, startup e mondo della ricerca applicata. Nel caso specifico, l'agevolazione può essere considerata astrattamente accessibile perché la startup descritta rispetta i requisiti tipici richiesti anzianità inferiore a cinque anni, sede in Italia, proposta tecnologica coerente con le priorità dell'Agenda di Ricerca e Innovazione dell'ACN e natura innovativa della soluzione, in particolare se fondata su intelligenza artificiale applicata a use case cyber.  Occorre però chiarire un punto essenziale, spesso sottovalutato da chi si avvicina a questo strumento non si tratta di un bando a sportello liberamente accessibile a tutte le startup, ma di una misura che opera dentro la logica di filiera del Network. La selezione passa tramite gli Operatori del CIN che gestiscono programmi di incubazione e accelerazione dedicati. In altri termini la startup non entra da sola, entra se intercettata e selezionata da un Operatore e poi ammessa alla call collegata. Sul piano sostanziale, il contributo mira a finanziare le attività di validazione, che in questo contesto non coincidono con il semplice sviluppo software, ma con una sequenza di attività tipiche di un percorso di proof of value e proof of market.

 La validazione attesa dall'Agenzia include normalmente verifica della fattibilità tecnica, verifica della sostenibilità del modello di business, misurazione dell'impatto e valutazione del livello di maturità della soluzione in ambienti d'uso reali o simulati. In concreto, un progetto di validazione convincente dovrebbe esplicitare almeno quattro elementi il problema cyber affrontato e il mercato target, l'architettura della soluzione e gli aspetti distintivi, il piano di test con metriche misurabili, la strategia di go to market dopo la validazione. Un aspetto rilevante è la coerenza tecnologica. Il Programma valorizza startup che lavorano su tecnologie ad alto potenziale strategico come intelligenza artificiale, data science, Internet of Things, blockchain, crittografia e quantum computing. Questo significa che nel progetto è utile evidenziare chiaramente la componente deep tech e la sua rilevanza per la cybersicurezza, evitando descrizioni generiche o troppo commerciali. Sul piano economico, l'importo massimo è pari a 50.000 euro e il perimetro delle spese ammissibili è ampio. Tuttavia, per rendere la domanda solida, è consigliabile costruire un budget coerente con l'obiettivo di validazione e non un elenco di costi generico. Le spese devono essere riconducibili in modo diretto al progetto, tracciabili e giustificabili. In particolare, risultano tipicamente coerenti con la validazione:

• costo del personale tecnico dedicato a test, hardening, integrazioni e miglioramenti funzionali legati ai requisiti cyber;
• consulenze specialistiche su compliance, penetration test, threat modeling, audit, certificazioni o standard di sicurezza;
• licenze e servizi cloud strettamente necessari alla fase di testing e sperimentazione;
• acquisizione o sviluppo di know how, anche non brevettato, utile a completare la validazione;
• attività di progettazione e studi tecnici collegati alla sperimentazione in contesti d'uso;
• spese per formazione professionale mirata quando funzionale al progetto;
• una quota di spese generali, se prevista e rendicontabile secondo le regole applicabili.

Nella scrittura della proposta è cruciale anche la parte sugli output. Il valutatore deve percepire che i 50.000 euro non finanziano una ricerca indefinita, ma producono risultati concreti e misurabili entro la durata del programma, ad esempio un prototipo validato, una demo funzionante in ambiente reale, report di test e sicurezza, metriche di performance, validazione con utenti pilota, definizione del pricing, conferme di interesse commerciale. Rilevante anche il tema degli aiuti di Stato. Il contributo viene riconosciuto nel rispetto della disciplina applicabile e questo comporta una corretta impostazione documentale, soprattutto in caso di cumulo con altri incentivi o contributi ottenuti dalla startup. In questi casi è buona prassi verificare ex ante la compatibilità e predisporre un fascicolo ordinato, perché la qualità amministrativa della rendicontazione incide direttamente sui tempi di erogazione e sul rischio di contestazioni. Dal punto di vista procedurale, la sequenza tipica è la seguente selezione della startup nell'ambito di un programma di incubazione o accelerazione CIN, presentazione del progetto di validazione secondo gli schemi previsti dall'Operatore e dall'Agenzia, eventuale fase di negoziazione o integrazione documentale, avvio del progetto e rendicontazione secondo milestone. Il valore aggiunto è che l'Agenzia non finanzia la startup in modo isolato, ma dentro un percorso guidato dall'Operatore, con un impianto di accompagnamento e monitoraggio. Infine, è utile sottolineare l'aspetto strategico. L'ammissione al Programma non vale solo per il contributo economico. Le startup selezionate entrano in un network nazionale dell'innovazione cyber che può incidere su credibilità, partnership industriali, accesso a use case e opportunità di crescita, soprattutto nella fase successiva, quella di sviluppo, riservata a chi ha completato con successo la validazione. Nel caso esaminato la risposta è positiva in linea di principio, ma con una condizione determinante la startup deve essere effettivamente selezionata in un programma CIN gestito da un Operatore e presentare un progetto di validazione con obiettivi, metriche e budget coerenti. Se questi elementi sono rispettati, la misura rappresenta un acceleratore reale, sia finanziario sia di posizionamento nel mercato cybersecurity.