Commercialista cybersecurity specialist 2026: ATECO, INPS e clienti esteri

Un commercialista per cybersecurity specialist nel 2026 deve distinguere consulenza, audit e penetration test dalla gestione continuativa dei sistemi, dallo sviluppo software e dalla formazione. Per la normale attività consulenziale ATECO 2025 indica il 62.20.10 – Attività di consulenza informatica, con coefficiente di redditività del 67%. La gestione fiscale deve poi coordinare previdenza, clienti esteri, software acquistati fuori Italia e costi reali dell’attività.

Prima verifica: cosa vende davvero il professionista

Security assessment, penetration test, vulnerability assessment, audit, incident review, monitoraggio continuativo, gestione dell’infrastruttura e sviluppo di tool non sono la stessa attività. Il commercialista dovrebbe leggere contratti, offerte e descrizioni delle fatture per capire quale servizio genera la maggior parte dei compensi e se esistono linee autonome da classificare separatamente.

ATECO 62.20.10 per consulenza, audit e test

Le note ISTAT ATECO 2025 includono espressamente nel 62.20.10 la consulenza in sicurezza informatica, l’audit e certificazione di infrastrutture e servizi informatici e il monitoraggio, test e analisi di reti e sistemi di sicurezza. Per il consulente cybersecurity questo dato deve essere il punto di partenza della posizione fiscale.

Quando verificare 62.20.20

Se il professionista assume stabilmente la gestione e il funzionamento on-site dei sistemi del cliente, può diventare pertinente 62.20.20 – Attività di gestione di strutture informatiche. Un assessment periodico non equivale a una presa in carico operativa continuativa. Il commercialista deve capire se il contratto remunera una valutazione tecnica o una gestione del sistema.

Sviluppo software e formazione come attività secondarie

Lo sviluppo di software di sicurezza può richiedere 62.10.00 quando diventa una linea di ricavo autonoma. La formazione generale in cybersecurity è invece esclusa da ISTAT dalla classe 62.20 e va verificata nel perimetro formativo. Un professionista che combina consulenza, sviluppo e corsi non dovrebbe usare un solo codice per nascondere attività economicamente distinte.

Regime forfettario e coefficiente 67%

Con 50.000 euro di compensi e coefficiente 67%, il reddito lordo forfettario è 33.500 euro. Il restante 33% rappresenta costi presunti. Licenze di scanning, cloud, laboratori, threat intelligence, hardware, certificazioni, corsi e assicurazione non vengono dedotti analiticamente: per questo la convenienza va confrontata con i costi reali sostenuti.

Gestione Separata INPS 2026

Per il libero professionista senza altra cassa obbligatoria il riferimento è normalmente la Gestione Separata INPS. La circolare INPS n. 8/2026 prevede il 26,07% per chi non è assicurato presso altra forma obbligatoria e il 24% per pensionati o soggetti già assicurati altrove.

Dipendente IT con attività autonoma

Chi mantiene un rapporto di lavoro dipendente deve verificare sia le cause ostative del forfettario sia i rapporti con l’attuale o precedente datore. Nel settore cybersecurity vanno inoltre considerate clausole di non concorrenza, proprietà intellettuale, uso degli strumenti aziendali e riservatezza. L’altra copertura previdenziale può modificare l’aliquota INPS applicabile alla libera professione.

Esempio di pianificazione su 50.000 euro

Con 50.000 euro di compensi il reddito forfettario è 33.500 euro. Con Gestione Separata al 26,07%, i contributi teorici sono circa 8.733,45 euro. I contributi obbligatori effettivamente deducibili riducono la base dell’imposta sostitutiva. Con aliquota fiscale al 15%, la simulazione standard porta a un’imposta di circa 3.714,98 euro, ma il calcolo dichiarativo dipende dai contributi realmente versati e deducibili nel periodo.

Clienti UE ed extra-UE

Molti specialisti lavorano da remoto per aziende estere. Il commercialista deve gestire correttamente territorialità IVA, fatture a soggetti business o privati, eventuali adempimenti connessi e incassi in valuta. Essere in forfettario non significa poter trattare ogni operazione estera come una normale fattura nazionale.

Software, cloud e SaaS acquistati all’estero

Scanner, piattaforme di threat intelligence, cloud lab, VPN, password manager, strumenti SIEM e servizi SaaS possono essere acquistati da fornitori esteri. Pur non essendo costi deducibili analiticamente nel forfettario, possono generare obblighi IVA o documentali che devono essere gestiti. È quindi utile consegnare periodicamente al commercialista anche la documentazione dei servizi digitali esteri.

Contratti di pentest e autorizzazioni

Il commercialista non definisce il perimetro tecnico del pentest, ma una gestione professionale dovrebbe verificare che l’attività fatturata abbia un contratto coerente: sistemi autorizzati, finestra temporale, modalità di accesso, responsabilità, gestione delle evidenze e riservatezza. Questo riduce il rischio che un incarico tecnicamente delicato venga trattato come una consulenza generica priva di perimetro.

Assicurazione professionale e responsabilità

Un errore durante un test o una valutazione può avere impatti rilevanti. Assicurazione professionale, massimali, esclusioni e limiti contrattuali sono costi da includere nel budget. Nel forfettario queste spese non si deducono una per una, ma incidono comunque sulla convenienza economica e sulla tariffa minima necessaria per lavorare in modo sostenibile.

Quando confrontare il forfettario con il regime ordinario

Se cloud, licenze, certificazioni, collaboratori e assicurazione superano stabilmente il 33% dei compensi, il forfettario può diventare meno conveniente. Il confronto è particolarmente importante per chi crea un piccolo team, acquista servizi costosi o gestisce progetti che richiedono infrastrutture dedicate. La simulazione va fatta prima del nuovo anno e non soltanto quando si prepara la dichiarazione.

Attività miste e controllo annuale dell’ATECO

Un professionista può iniziare con assessment e poi spostarsi verso managed security, sviluppo software o formazione. Almeno una volta l’anno è utile controllare quali attività hanno generato i ricavi e se il codice prevalente rappresenta ancora il lavoro svolto. Un secondo codice serve quando la seconda attività è realmente autonoma e stabile, non per ogni tecnica utilizzata in un progetto.

Controlli periodici utili

• compensi incassati e soglie del forfettario;
• coerenza tra ATECO e servizi fatturati;
• Gestione Separata e altra previdenza;
• fatture e acquisti esteri;
• costi reali rispetto al 33% presunto;
• attività secondarie e loro peso;
• contratti e assicurazione professionale;
• accantonamento per saldo e acconti.

Guide collegate

Consulta il regime forfettario cybersecurity, l’apertura della Partita IVA, il codice ATECO e il calcolo di tasse e contributi.