Cyber security industriale, arriva l’iperammortamento: la roadmap in 4 fasi

Industria e cyber: l’iperammortamento prende il posto del credito d’imposta

Immaginate un capannone in Brianza, tre linee di assemblaggio, PLC installati nel 2011 e mai più toccati perché “funzionano, quindi perché cambiarli”.

È lo scenario più comune quando si parla di sicurezza industriale in Italia, e da quest’anno quello scenario ha anche una data di scadenza fiscale.

Il Credito d’Imposta 4.0/5.0, per un lustro la leva con cui i CFO convincevano i consigli di amministrazione a stanziare budget per la cyber security, è andato in pensione.

Al suo posto, la Legge di Bilancio 2026 (L. 199/2025) fa debuttare l’Iperammortamento, che promette maggiorazioni fino al 180% sul costo fiscalmente deducibile per chi mette in sicurezza gli ambienti OT (Operational Technology).

Sulla carta è una notizia ottima. Nella pratica, per chi deve firmare il dossier, le cose sono più complicate di così.

Perché il 4.0 non bastava più

Per capire il cambio di rotta bisogna guardare a cosa è successo nelle fabbriche italiane negli ultimi cinque anni.

Industria 4.0 ha unito i sistemi gestionali ERP con la rete di campo produttiva, portando efficienza e dati in tempo reale. Ha anche cancellato, quasi ovunque, quello che gli addetti ai lavori chiamavano “air gap”: la separazione fisica tra il mondo IT d’ufficio e quello OT di fabbrica.

Chi attacca lo ha capito prima di molti CISO: bloccare un controller PLC o cifrare una workstation di ingegneria ferma la produzione, e un fermo produzione costa più di qualsiasi furto di dati contabili.

La sicurezza informatica, insomma, ha smesso di essere una voce di spesa dell’ufficio IT ed è diventata una condizione di continuità del business.

C’è poi un secondo fattore, meno raccontato ma altrettanto decisivo: il credito d’imposta, con la sua compensazione rapida in F24, ha funzionato benissimo come acceleratore iniziale ma ha anche mostrato il fianco a un uso opportunistico.

Diverse aziende hanno acquistato pacchetti software di sicurezza generici con l’unico obiettivo di “chiudere la pratica”, senza mai integrarli davvero nei processi produttivi.

Il risultato è stato un doppio danno: plafond statali esauriti in tempi record e una protezione reale rimasta, in troppi casi, sulla carta.

NIS2, DORA e CRA: il fattore normativo

A completare il quadro c’è la pressione normativa europea. NIS2 (direttiva UE 2022/2555), DORA per il settore finanziario e il Cyber Resilience Act impongono ormai una responsabilità personale agli amministratori che non adottano misure adeguate di gestione del rischio, sicurezza della catena di fornitura inclusa.

L’Iperammortamento diventa così lo strumento con cui lo Stato prova a finanziare, indirettamente, la compliance a obblighi che altrimenti resterebbero solo un costo secco per le imprese.

Cosa cambia, in concreto

La differenza tecnica tra i due regimi non è cosmetica. Il credito d’imposta si traduceva in una compensazione diretta e immediata: un’azienda spendeva, calcolava l’aliquota (dal 20 al 45% a scaglioni) e la scontava in una o tre rate in F24.

L’iperammortamento funziona diversamente: non è un credito, ma una maggiorazione del costo fiscalmente deducibile ai fini IRES o IRPEF, che si spalma lungo il periodo di ammortamento civilistico del bene, in genere tra tre e cinque anni.

Un caso da manuale: quanto vale il 180%

Per capire l’ordine di grandezza conviene fare due conti, ed è esattamente quello che ogni CFO chiederà al proprio CISO nelle prossime settimane.

Si ipotizzi un investimento da 250.000 euro per una piattaforma XDR integrata con sonde di monitoraggio OT e un contratto pluriennale di SOC as a Service sulla rete di stabilimento.

Con la maggiorazione del 180%, il valore fiscalmente deducibile sale a 700.000 euro: 450.000 euro di costo extra deducibile.

Applicando un’aliquota IRES del 24%, il risparmio fiscale effettivo si aggira sui 108.000 euro, distribuiti lungo il periodo di ammortamento.

Tradotto in TCO, il costo lordo dell’infrastruttura si abbatte di circa il 43%. Numeri che, va detto, restano teorici finché il bene non supera davvero la prova dell’interconnessione con la produzione: è lì che si gioca la partita vera, come vedremo tra poco.

Il rischio più concreto non è tecnico, è documentale: un EDR installato solo sui laptop dell’amministrazione, senza alcun legame dimostrabile con la rete industriale, può far saltare l’intera maggiorazione in sede di verifica.

Le luci: perché ai CISO conviene

Vista da chi in azienda deve difendere il budget di sicurezza davanti al Board, la riforma ha più di un lato positivo.

Il primo, forse il più politico: trasformare un investimento in cybersecurity da spesa operativa a bene capitalizzabile cambia il linguaggio con cui se ne discute in consiglio.

Non si tratta più di giustificare un costo ricorrente, ma di presentare un asset patrimoniale, ed è un argomento che i CFO capiscono meglio.

• Per chi in azienda deve difendere il budget di sicurezza davanti al Board, la riforma ha più di un lato positivo. Il primo, forse il più politico: trasformare un investimento in cyber security da spesa operativa a bene capitalizzabile cambia il linguaggio con cui se ne discute in consiglio. Non si tratta più di giustificare un costo ricorrente, ma di presentare un asset patrimoniale, ed è un argomento che i CFO capiscono meglio.
• Modelli “as-a-service” finalmente riconosciuti: il SOC gestito e le licenze SaaS legate a un bene fisico entrano nel perimetro agevolabile, superando un vecchio limite che penalizzava la sicurezza gestita in monitoraggio continuo.
• Allineamento naturale agli standard: i requisiti per l’interconnessione fiscale ricalcano da vicino NIST CSF, ISO/IEC 27001 e IEC 62443, quindi compliance fiscale e maturità difensiva finiscono per marciare insieme, invece che su binari separati.

Le ombre: il conto che nessuno racconta volentieri

Poi ci sono i problemi, e non sono pochi. Il primo è di cassa. Il beneficio si traduce in minori imposte a fine esercizio, non in liquidità immediata: l’azienda deve comunque anticipare il 100% della spesa, con tutto ciò che comporta in termini di accesso al credito, soprattutto per le PMI chef ino a ieri contavano sulla compensazione rapida in F24.

Il secondo problema è, se possibile, ancora più insidioso:il rischio di ontestazione sull’interconnessione.

Se, per esempio, la soluzione acquistata, un EDR finisce installata solo sui laptop della forza vendita o dell’amministrazione, senza alcun collegamento dimostrabile con la rete industriale o la catena logistico-produttiva, l’Agenzia delle Entrate può disconoscere la maggiorazione in sede di audit.

Non è un’ipotesi remota: è esattamente il tipo di scorciatoia che ha già affossato il vecchio credito d’imposta, e il legislatore lo sa bene.

A questo si aggiunge la complessità burocratica della perizia asseverata, che deve essere rilasciata da un ingegnere o da un perito iscritto all’albo e che richiede un dossier di audit tutt’altro che simbolico: log, diagrammi di rete, flussi di interconnessione documentati passo passo.

Infine, resta fuori dal perimetro chi non ha reddito d’impresa: enti pubblici puri, no-profit e professionisti individuali, che dovranno continuare a guardare ai fondi PNRR o ai voucher dell’Agenzia per la Cybersicurezza Nazionale.

Le tecnologie che, secondo la legge, contano davvero

Gli Allegati IV e V della norma non lasciano molto spazio all’interpretazione libera: per essere ammissibile, l’investimento deve dimostrare una reale integrazione con la produzione.

Sul campo, questo si traduce in quattro famiglie tecnologiche che i CISO più attenti stanno già inserendo nei capitolati.

EDR e XDR pensati per l’OT

Installare agenti tradizionali sui PC industriali è spesso impraticabile, per vincoli di garanzia dei costruttori di macchinari o per hardware datato che gira ancora su Windows Embedded.

La risposta più diffusa è un’architettura XDR ibrida: sonde passive di rete capaci di leggere protocolli come Modbus, Profinet, EtherNet/IP e BACnet, affiancate da agenti leggeri e certificati sui server HMI e SCADA dove è tecnicamente possibile installarli.

Identity Governance e Privileged Access Management

La porta d’ingresso più comune per un ransomware in fabbrica non è quasi mai un malware sofisticato: è l’accesso remoto di un manutentore terzo con credenziali condivise da anni.

Una soluzione PAM/IGA segrega le sessioni di manutenzione, impone l’autenticazione a più fattori anche su sistemi legacy privi di connessione diretta, registra le sessioni video dei tecnici esterni e revoca i privilegi in automatico allo scadere dell’intervento.

Non stupisce che questa componente sia esplicitamente incentivata: protegge esattamente il perimetro più fragile.

SOC as a Service e SOAR

Tenere un SOC interno attivo 24 ore su 24 resta fuori portata per la maggior parte delle PMI e delle PA locali, sia per i costi sia per la cronica carenza di analisti sul mercato.

Un contratto di SOC esterno, purché alimentato da sonde installate fisicamente presso gli impianti e gestito su piattaforme SIEM/SOAR, rientra nell’agevolazione come servizio immateriale connesso al bene principale: una precisazione che chiude una vecchia ambiguità normativa.

Microsegmentazione e Zero Trust in chiave Purdue

Sostituire la classica rete piatta con una struttura a zone e condotti secondo lo standard IEC 62443 resta il pilastro più “strutturale”.

Firewall industriali di nuova generazione posizionati tra il livello Site Operations e il controllo di campo bloccano la propagazione laterale del malware, evitando che un’infezione partita da un PC amministrativo arrivi fino alla linea di montaggio.

La roadmap in 4 fasi (e perché conviene partire subito)

Chi ha già affrontato un audit fiscale su un credito d’imposta sa che la differenza tra un’agevolazione confermata e una revocata si gioca quasi sempre sulla qualità della documentazione, più che sulla bontà tecnica del progetto.

Per questo la maggior parte degli studi di consulenza consiglia ai CISO di muoversi lungo quattro fasi ben scandite.

• Fase 1, assessment (mese 1): mappatura degli asset OT e SCADA, gap analysis rispetto a NIS2 e IEC 62443, coinvolgimento immediato di CFO e consulente fiscale.
• Fase 2, progettazione e business case (mese 2): definizione dell’architettura (XDR + PAM SOC as a Service), capitolato tecnico con vincoli espliciti di interconnessione, calcolo del TCO netto con la maggiorazione.
• Fase 3, prenotazione GSE e deployment (mesi 3-6): comunicazione preventiva sulla piattaforma GSE, acconto di almeno il 20%, implementazione tecnica con test di isolamento e incident response.
• Fase 4, audit e perizia giurata (post-deployment): collaudi operativi, dossier di audit curato dal CISO con log, policy e architettura, rilascio della perizia da parte del perito abilitato.

Il caso particolare delle utility e delle partecipate pubbliche

Un capitolo a parte merita la Pubblica Amministrazione, o meglio, quella fetta di PA che gestisce servizi essenziali.

Gli enti pubblici territoriali puri restano fuori, perché non producono reddito d’impresa ai fini IRES.

Ma le società in house, le municipalizzate e i gestori di servizi pubblici essenziali, dal ciclo idrico ai rifiuti fino alle reti energetiche e ai trasporti locali, rientrano a pieno titolo nel perimetro dell’Iperammortamento 2026.

Per questi soggetti la finestra si apre su un’opportunità che finora era rimasta quasi solo teorica: mettere in sicurezza sistemi SCADA e di telecontrollo distribuiti su un intero territorio, allineandosi alle direttive dell’Agenzia per la Cybersicurezza Nazionale e agli obblighi di segnalazione tempestiva al CSIRT Italia.

Cosa deve fare da lunedì chi guida la sicurezza in azienda

Al netto degli entusiasmi e delle cautele, il messaggio che arriva dal nuovo impianto normativo è piuttosto chiaro: la cyber security industriale smette di essere trattata come una spesa da giustificare anno per anno e diventa parte del patrimonio strumentale dell’impresa, con tutto quello che ne consegue in termini di pianificazione e responsabilità.

Non è un cambiamento indolore, e chi si aspettava un semplice restyling del vecchio credito d’imposta rischia di trovarsi spiazzato dalla complessità documentale richiesta.

Tre indicazioni, più che altro operative, tornano con una certa costanza nel confronto con chi si sta occupando del dossier in queste settimane.

Primo: non trattare la spesa in sicurezza come un capitolo isolato, ma inserirla dentro il piano più ampio di ammodernamento degli impianti o di transizione digitale della fabbrica.

Secondo: pretendere prove concrete dell’interconnessione, verificando che ogni soluzione EDR, XDR o PAM acquistata sia davvero collegata al monitoraggio della rete produttiva, e non solo alla rete d’ufficio.

Terzo, e probabilmente decisivo: costruire un tavolo di lavoro stabile tra CISO, CFO e perito, perché il successo dell’operazione, così come la protezione da eventuali sanzioni fiscali, dipende dal dialogo continuo tra chi progetta le difese, chi gestisce i bilanci e chi certifica la conformità legale.

Nei prossimi mesi, con la chiusura dei bilanci d’esercizio che si avvicina, sarà proprio la qualità di questo dialogo a fare la differenza tra un investimento che passa un audit e uno che, nel migliore dei casi, resta un costo senza benefici fiscali.