Aprire Partita IVA cybersecurity specialist 2026: ATECO, INPS e attività

Per aprire la Partita IVA come cybersecurity specialist nel 2026 bisogna prima definire il servizio effettivamente offerto: consulenza, audit, penetration test, vulnerability assessment, monitoraggio, gestione continuativa dei sistemi, sviluppo di software di sicurezza o formazione. ATECO 2025 include espressamente la consulenza in sicurezza informatica nel 62.20.10 – Attività di consulenza informatica, che è il riferimento principale per il freelance consulenziale.

ATECO 62.20.10 per consulenza e test di sicurezza

Le note ufficiali ISTAT ATECO 2025 comprendono nel 62.20.10 consulenza in sicurezza informatica, audit e certificazione di infrastrutture e servizi informatici, oltre a monitoraggio, test e analisi di reti e sistemi di sicurezza. Questo rende il codice particolarmente coerente per chi vende assessment, audit e pentest autorizzati.

Prima dell’apertura: descrivere bene i deliverable

È utile elencare ciò che verrà effettivamente consegnato ai clienti: report di vulnerability assessment, penetration test report, security assessment, revisione configurazioni, analisi dei rischi tecnici, hardening plan, supporto alla remediation o monitoraggio. Se il servizio prevalente cambia, può cambiare anche il codice ATECO più adatto.

Gestione operativa continuativa: verificare 62.20.20

Il codice 62.20.20 – Attività di gestione di strutture informatiche riguarda la gestione e il funzionamento on-site dei sistemi informatici dei clienti. Se il professionista non si limita a valutare la sicurezza ma assume stabilmente la gestione dell’infrastruttura, dei sistemi o di un presidio operativo, va verificato se il servizio prevalente si colloca in questo perimetro.

Sviluppo di tool e software di sicurezza

Scrivere script per automatizzare un test è normale nell’attività consulenziale. Se però il professionista vende sviluppo di software, applicazioni o prodotti di sicurezza come servizio autonomo, può diventare pertinente 62.10.00 – Attività di programmazione informatica. Contratti e fatture devono rendere chiaro se il cliente acquista una consulenza o un prodotto/software sviluppato.

Formazione e awareness

La formazione generale in materia di sicurezza informatica è esclusa da ISTAT dalla classe 62.20 e rientra nelle attività formative. Un workshop incluso in un progetto di assessment non comporta necessariamente una seconda attività; corsi venduti stabilmente come linea di ricavo autonoma richiedono invece una verifica specifica.

Apertura fiscale come libero professionista

Per il freelance individuale l’apertura fiscale viene normalmente effettuata comunicando l’inizio attività all’Agenzia delle Entrate. La forma professionale va distinta da una vera impresa organizzata. Se si assumono dipendenti, si vendono prodotti, si gestiscono strutture informatiche o si crea una società, gli adempimenti possono cambiare rispetto al consulente che presta personalmente la propria attività.

Regime forfettario e coefficiente 67%

Per il 62.20.10 il coefficiente di redditività è il 67%. Con 30.000 euro di compensi il reddito lordo forfettario è 20.100 euro. Il restante 33% rappresenta i costi presunti: computer, licenze, cloud, certificazioni, laboratori virtuali, assicurazione e formazione non vengono dedotti uno per uno.

Gestione Separata INPS 2026

Per il professionista senza altra cassa obbligatoria il riferimento è normalmente la Gestione Separata INPS. La circolare INPS n. 8/2026 indica il 26,07% per i professionisti senza altra previdenza obbligatoria e il 24% per pensionati o soggetti già assicurati altrove.

Dipendente cybersecurity e Partita IVA

Chi mantiene un impiego deve verificare cause ostative del forfettario, reddito di lavoro dipendente, rapporti economici con il datore attuale o precedente e clausole contrattuali di non concorrenza e riservatezza. Anche la previdenza può cambiare perché la presenza di un’altra forma obbligatoria incide sull’aliquota della Gestione Separata.

Pentest: autorizzazione scritta prima del test

Prima di eseguire test intrusivi occorre definire con il cliente un perimetro autorizzato: indirizzi, applicazioni, finestre temporali, tecniche consentite, eventuali esclusioni e contatti di emergenza. La Partita IVA e il codice ATECO non autorizzano accessi o test su sistemi di terzi. Il contratto deve documentare in modo chiaro il mandato tecnico.

Assicurazione professionale e limiti di responsabilità

Prima dei primi incarichi strutturati è utile valutare una copertura professionale coerente con penetration test, security assessment e consulenza tecnica. Il contratto dovrebbe chiarire massimali, esclusioni, responsabilità per indisponibilità dei sistemi, gestione degli incidenti durante i test e obblighi del cliente. Questi costi non sono deducibili analiticamente nel forfettario, ma incidono sulla tariffa minima sostenibile e sul rischio economico del professionista.

Certificazioni e formazione continua

Certificazioni tecniche, laboratori, corsi specialistici e aggiornamento continuo possono diventare una voce di costo rilevante. Non sono un requisito fiscale per aprire la Partita IVA, ma possono essere richiesti dai clienti o servire per qualificare il servizio offerto. Prima di scegliere il forfettario conviene quindi stimare il budget annuale di aggiornamento e confrontarlo con il 33% di costi presunti dal coefficiente 67%.

Riservatezza, credenziali e dati del cliente

Il professionista può ricevere credenziali, log, configurazioni, report di vulnerabilità e informazioni molto sensibili. Vanno definite modalità di trasferimento, conservazione, cifratura, cancellazione e accesso ai dati. Anche l’assicurazione professionale e le clausole di responsabilità meritano una valutazione prima di iniziare con clienti strutturati.

Clienti esteri e strumenti acquistati all’estero

Consulenze remote per aziende UE ed extra-UE sono frequenti. Il forfettario non elimina le regole sulla territorialità IVA e sugli adempimenti transfrontalieri. Anche abbonamenti a scanner, threat intelligence, cloud e software acquistati da fornitori esteri devono essere gestiti correttamente.

Checklist prima della prima fattura

• definire consulenza, audit, pentest o gestione operativa;
• confermare il codice ATECO prevalente;
• verificare requisiti del forfettario;
• aprire la Gestione Separata quando dovuta;
• predisporre fatturazione elettronica;
• definire contratti e autorizzazioni di test;
• organizzare gestione sicura di credenziali ed evidenze;
• valutare assicurazione e budget certificazioni;
• verificare clienti e fornitori esteri;
• stimare tasse, contributi e costi reali.

Guide collegate

Consulta il regime forfettario cybersecurity, il codice ATECO, il calcolo di tasse e contributi e la pagina sul commercialista per cybersecurity specialist.