Il 1° settembre 2026 l’European Cybersecurity Competence Centre (ECCC) ha aperto una nuova call del programma Digital Europe dedicata a tecnologie, capacità e preparazione operativa in materia di cybersecurity. Il budget complessivo arriva a 96 milioni di euro, distribuiti su sette topic, e le proposte possono essere presentate fino al 14 gennaio 2027 alle 17:00 CET.
La cifra attira l’attenzione, ma il punto più interessante per imprese, PA, centri di ricerca e operatori della sicurezza è un altro: la call non finanzia una generica “digitalizzazione”. Chiede progetti capaci di collegare tecnologia, bisogni operativi, norme europee, competenze e risultati misurabili.
Per una PMI questo significa evitare due errori opposti. Il primo è pensare che basti acquistare un prodotto di cybersecurity. Il secondo è considerare il bando accessibile soltanto a grandi organizzazioni. Tra i topic ci sono azioni esplicitamente rivolte alle PMI e all’adozione di soluzioni basate sull’intelligenza artificiale, ma una proposta credibile deve partire da un problema verificabile e da una capacità reale di esecuzione.
Che cosa finanzia la call DIGITAL-ECCC-2027-DEPLOY-CYBER-11
La call comprende sette linee, ciascuna con un obiettivo specifico. Ogni proposta deve rivolgersi a un solo topic; chi intende concorrere su più linee deve presentare candidature separate.
Due topic riguardano direttamente il rapporto tra AI e cybersecurity. CYBER-11-CYBERAI, con 15 milioni di euro, sostiene sviluppo e diffusione di sistemi e servizi basati sull’AI per rilevare minacce e vulnerabilità, mitigare attacchi, supportare il ripristino, analizzare e condividere dati. La call precisa però che anche la robustezza e la sicurezza delle soluzioni AI devono essere affrontate: non basta usare un modello per qualificare un progetto come innovativo.
CYBER-11-AI4SME, con 20 milioni di euro, è orientato alla resilienza delle PMI e a strumenti accessibili per gestione del rischio, rilevamento delle minacce, risposta e notifica degli incidenti. Il focus è sull’adozione di soluzioni utili e già vicine ai contesti reali, non su una dimostrazione tecnologica isolata.
Le altre linee coprono test coordinati e preparazione nei settori critici, Regional Cable Hubs per la sicurezza dei cavi sottomarini, rafforzamento della rete dei National Coordination Centres, capacità necessarie ad applicare la legislazione europea e tecnologie dual use. I budget indicati dall’ECCC sono rispettivamente 15, 5, 11, 20 e 10 milioni di euro.
Perché il bando parla di capacità, non solo di prodotti
Il programma Digital Europe è pensato per ridurre la distanza tra ricerca e impiego concreto delle tecnologie. Nella cybersecurity questa distinzione è decisiva: un algoritmo promettente non produce resilienza se non entra in processi, ruoli e infrastrutture realmente utilizzabili.
La call cita attività molto diverse: threat detection, vulnerability monitoring, incident response, condivisione di informazioni, penetration test, esercitazioni, formazione e supporto all’attuazione normativa. È un segnale chiaro. L’output atteso non è soltanto un software, ma una capacità organizzativa che possa essere adottata, misurata e mantenuta.
Anche l’AI deve essere inserita in questo quadro. Un sistema che classifica alert o suggerisce priorità può ridurre il carico degli analisti, ma deve mostrare come gestisce errori, falsi positivi, accessi ai dati, dipendenze dai fornitori e supervisione umana. Se queste domande arrivano dopo lo sviluppo, il rischio è creare una soluzione tecnicamente interessante ma difficile da usare in produzione.
Dalla conformità a un caso d’uso operativo
Il topic CYBER-11-EULEG mette a disposizione 20 milioni di euro per rafforzare le capacità legate a Cyber Resilience Act, NIS2, GDPR, DORA, Cybersecurity Act e specifici requisiti dell’AI Act. È importante non leggere questo elenco come una promessa di “compliance finanziata”.
Una norma definisce responsabilità e risultati attesi; un progetto deve tradurli in processi, strumenti ed evidenze. Può farlo, per esempio, rendendo più sostenibile la gestione delle vulnerabilità, migliorando la notifica degli incidenti, creando canali sicuri di cooperazione oppure aiutando le PMI ad affrontare valutazioni e requisiti tecnici.
La proposta diventa più forte quando parte da un collo di bottiglia osservabile: tempi lunghi per qualificare gli alert, inventari incompleti, informazioni che non circolano tra fornitori e clienti, assenza di evidenze riutilizzabili o difficoltà a integrare la sicurezza nel ciclo di sviluppo. Il riferimento normativo orienta il risultato, ma non sostituisce l’analisi del problema.
Cinque verifiche prima di costruire il partenariato
1. Definire un problema misurabile
“Migliorare la cybersecurity” è troppo ampio. Occorre indicare utenti, contesto, punto di partenza e cambiamento atteso. Ridurre il tempo necessario a valutare una vulnerabilità, aumentare la copertura degli asset o rendere tracciabile una notifica sono obiettivi più verificabili.
2. Scegliere un solo topic realmente coerente
I sette topic si toccano, ma non sono intercambiabili. Una piattaforma AI per PMI, uno strumento destinato a CSIRT e Cyber Hubs e un progetto di preparazione per settori critici hanno utenti, vincoli e risultati diversi. Forzare la stessa idea dentro più linee indebolisce la proposta.
3. Separare maturità tecnica e prontezza organizzativa
Bisogna sapere che cosa esiste già, che cosa deve essere sviluppato e chi potrà adottarlo. Demo, dati di prova e architettura sono importanti quanto governance, formazione, supporto e continuità. La diffusione non può essere relegata all’ultima fase.
4. Governare dati e intelligenza artificiale dall’inizio
Se il progetto usa telemetria, log, indicatori di compromissione o dati personali, servono regole su provenienza, qualità, minimizzazione, accessi e conservazione. Per i componenti AI vanno documentati scopo, limiti, verifiche, metriche, supervisione e sicurezza della catena di fornitura.
5. Assegnare responsabilità ed evidenze
Ogni risultato dovrebbe avere un responsabile, una scadenza, un criterio di accettazione e una prova. Questo vale per il software, ma anche per test, manuali, procedure, corsi e attività di adozione. Le evidenze rendono il progetto valutabile e, dopo il finanziamento, governabile.
Una checklist essenziale per partire
Prima di investire tempo nella candidatura conviene verificare:
- corrispondenza tra problema, destinatari e topic;
- condizioni di ammissibilità, sicurezza ed eleggibilità nel documento ufficiale;
- disponibilità dei dati e legittimità del loro utilizzo;
- maturità della soluzione e ambienti in cui sarà validata;
- ruoli del partenariato, capacità operativa e sostenibilità dopo il progetto;
- indicatori che misurino adozione, efficacia e riduzione del rischio;
- coerenza tra piano tecnico, costi, tempi e obblighi di rendicontazione.
La call è soggetta alle condizioni di sicurezza previste dall’articolo 12, paragrafo 5, del regolamento Digital Europe. Per requisiti, tassi di finanziamento, composizione dei consorzi e documenti obbligatori fa quindi fede la documentazione del singolo topic sul Funding & Tenders Portal, non una sintesi promozionale.
Il vero vantaggio è costruire capacità riutilizzabili
La scadenza del 14 gennaio 2027 lascia alcuni mesi, ma un progetto credibile non nasce compilando un formulario a ridosso della chiusura. Nasce quando bisogno, tecnologia, governance e impatto vengono progettati insieme.
Anche per chi non presenterà una candidatura, la call offre una traccia utile: censire i problemi operativi, misurare la maturità, selezionare casi d’uso AI proporzionati, coinvolgere gli utenti finali e produrre evidenze riutilizzabili. È lo stesso approccio che trasforma la conformità da esercizio documentale a capacità quotidiana.
Se vuoi valutare la coerenza di un’idea progettuale o tradurre requisiti di cybersecurity e AI governance in un piano operativo, contattami: posso aiutarti a mettere a fuoco priorità, ruoli, controlli ed evidenze prima che la tecnologia diventi un vincolo.
Fonti
- ECCC, New call for proposals under the Digital Europe Programme, 1 settembre 2026
- ECCC, call DIGITAL-ECCC-2027-DEPLOY-CYBER-11
- ECCC, documento ufficiale della call
- Commissione europea, Digital Europe Programme
- Commissione europea, EU Action Plan on Cybersecurity and Artificial Intelligence
- EUR-Lex, Regolamento (UE) 2021/694 che istituisce il programma Europa digitale
Nota di trasparenza: il testo e le immagini associati a questo articolo sono stati realizzati in parte con il supporto di sistemi di intelligenza artificiale e sottoposti a revisione editoriale umana.