Per aprire la Partita IVA come cybersecurity specialist il codice ATECO di riferimento è normalmente 62.20.10 – Attività di consulenza informatica. ATECO 2025 include espressamente in questa voce la consulenza in materia di sicurezza informatica, quindi il codice è coerente con attività come security assessment, vulnerability assessment, penetration test autorizzati, hardening, consulenza su architetture sicure e supporto alla gestione del rischio cyber.
La parte delicata è descrivere bene ciò che viene realmente venduto. Chi fa consulenza e audit può usare 62.20.10; chi gestisce in modo continuativo infrastrutture o servizi informatici, sviluppa software di sicurezza, vende licenze oppure svolge formazione come attività autonoma può avere bisogno di un codice ulteriore o diverso. Sul piano previdenziale, il freelance senza Cassa professionale autonoma rientra normalmente nella Gestione Separata INPS.
Qual è il codice ATECO del cybersecurity specialist
ATECO 2025 colloca la consulenza in sicurezza informatica dentro 62.20.10 – Attività di consulenza informatica. Le note ufficiali ISTAT comprendono consulenza su hardware, software, sistemi informatici e, in modo esplicito, sicurezza informatica.
Il riferimento ufficiale è la classificazione ATECO 2025 di ISTAT.
Quali attività rientrano nel 62.20.10
- consulenza cybersecurity;
- security assessment e audit tecnici;
- vulnerability assessment;
- penetration test autorizzati;
- hardening di sistemi e infrastrutture;
- analisi delle architetture di sicurezza;
- consulenza su IAM, endpoint, rete e cloud security;
- supporto tecnico a policy, remediation e piani di sicurezza;
- vCISO e advisory tecnico-organizzativa quando prevale la consulenza IT.
Il nome della professione non basta: bisogna descrivere correttamente i deliverable previsti dal contratto.
Cybersecurity specialist e consulente informatico: qual è la differenza
Il cybersecurity specialist è una specializzazione della consulenza informatica, ma ha un intento professionale sufficientemente specifico da richiedere una gestione distinta. Lavora su rischio cyber, vulnerabilità, configurazioni, incidenti, accessi e protezione dei sistemi.
Per il quadro generale puoi consultare anche la guida APIVA sulla Partita IVA del consulente informatico; qui l’attenzione è invece sugli aspetti tipici della cybersecurity.
Quando può servire ATECO 62.20.20
Se il lavoro non è più principalmente consulenziale ma consiste nella gestione continuativa di sistemi, infrastrutture o ambienti IT del cliente, va verificata la voce dedicata alla gestione di strutture informatiche.
È il caso, per esempio, di servizi continuativi di gestione tecnica, monitoraggio operativo, amministrazione di infrastrutture o attività assimilabili a managed services. Un SOC gestito in modo continuativo può quindi richiedere una valutazione diversa rispetto a un security assessment svolto come progetto.
Sviluppo di software e tool di sicurezza
Se il professionista sviluppa stabilmente software, script, piattaforme o prodotti cybersecurity propri, l’attività di programmazione può assumere autonomia rispetto alla consulenza.
In quel caso va verificato un codice di programmazione informatica e, se le attività convivono, la possibilità di aggiungere un codice secondario. APIVA spiega la procedura nella guida su come aggiungere un codice ATECO.
Formazione cybersecurity: stesso ATECO?
Una sessione formativa accessoria a un progetto di consulenza può restare collegata all’incarico principale. Se invece corsi, academy, workshop o awareness diventano un’attività autonoma e abituale, va verificata una classificazione dedicata alla formazione.
Le note ATECO escludono infatti dalla consulenza informatica la formazione generale in materia di sicurezza informatica, che viene classificata separatamente.
Professionista o ditta individuale?
Il cybersecurity specialist che vende prevalentemente competenze, analisi e consulenza opera normalmente come libero professionista. In questa configurazione non apre automaticamente una ditta individuale commerciale e non entra nella Gestione Artigiani o Commercianti.
Se però l’attività evolve verso vendita abituale di hardware, rivendita di licenze, servizi organizzati come impresa o altre attività commerciali, l’inquadramento va rivalutato.
Come aprire la Partita IVA da cybersecurity specialist
- definire con precisione i servizi offerti;
- scegliere ATECO 62.20.10 ed eventuali codici secondari;
- scegliere il regime fiscale;
- aprire la Partita IVA presso l’Agenzia delle Entrate;
- iscriversi alla Gestione Separata INPS se dovuto;
- attivare fatturazione elettronica e conservazione;
- valutare RC professionale/cyber professionale;
- predisporre contratti, NDA e limiti di responsabilità;
- organizzare eventuali clienti UE/extra-UE e VIES;
- gestire correttamente acquisti SaaS, cloud e software esteri.
Gestione Separata INPS nel 2026
Per il libero professionista senza Cassa autonoma il riferimento previdenziale è normalmente la Gestione Separata INPS. Nel 2026 l’aliquota complessiva per i professionisti non assicurati presso altra forma previdenziale obbligatoria è pari al 26,07%.
Per pensionati o soggetti già assicurati presso un’altra forma previdenziale obbligatoria, l’aliquota 2026 è invece del 24%. I dati sono indicati dalla circolare INPS sulla Gestione Separata 2026.
APIVA approfondisce il tema nella guida alla Gestione Separata INPS 2026.
Il cybersecurity specialist paga contributi fissi?
No, nella normale configurazione da libero professionista iscritto alla Gestione Separata non esiste il contributo minimo fisso tipico di artigiani e commercianti. I contributi vengono calcolati sul reddito professionale secondo le regole della Gestione Separata.
Questo rende la struttura previdenziale diversa da quella di una ditta individuale artigiana o commerciale.
Regime forfettario e coefficiente di redditività 67%
Per le attività informatiche riconducibili al gruppo 62 il coefficiente di redditività del regime forfettario è normalmente del 67%. Con 40.000 euro di compensi incassati, il reddito forfettario iniziale è quindi 26.800 euro.
Da questo reddito possono essere dedotti i contributi previdenziali obbligatori versati; sulla base residua si applica l’imposta sostitutiva del 15% oppure del 5% quando ricorrono tutti i requisiti per una nuova attività.
Per i requisiti generali puoi consultare la guida APIVA sul regime forfettario.
Quando il forfettario può essere meno conveniente
Il coefficiente del 67% presume costi pari al 33% dei compensi. Molti consulenti cybersecurity hanno costi effettivi relativamente contenuti, ma alcune attività possono sostenere spese importanti per hardware, ambienti di test, cloud, licenze, scanner professionali, threat intelligence, formazione, certificazioni e assicurazioni.
Se i costi reali superano stabilmente il 33% dei compensi, oppure se si acquistano molti servizi esteri soggetti a IVA con reverse charge, il confronto con il regime ordinario diventa più rilevante.
Pentest: autorizzazione scritta prima del test
Un penetration test non dovrebbe iniziare sulla base di una semplice richiesta informale. Il contratto deve definire con precisione sistemi autorizzati, indirizzi IP, applicazioni, finestre temporali, tecniche consentite, esclusioni, contatti di emergenza e modalità di gestione dei risultati.
L’autorizzazione scritta serve a delimitare l’incarico e a evitare che attività tecniche invasive vengano eseguite su asset non compresi nel perimetro concordato.
NDA, credenziali e dati del cliente
Il cybersecurity specialist può accedere a log, configurazioni, credenziali, vulnerabilità, dati personali e informazioni riservate. Per questo contratto e procedure operative devono disciplinare riservatezza, conservazione dei dati, cancellazione dei file, accessi temporanei e gestione degli incidenti.
Se il professionista tratta dati personali per conto del cliente, possono essere necessari anche accordi e istruzioni coerenti con il GDPR, in base al ruolo concretamente assunto.
RC professionale e responsabilità
Per il cybersecurity specialist una polizza RC professionale può essere particolarmente utile perché un errore di configurazione, un test mal gestito o un’interruzione di servizio possono generare richieste di risarcimento rilevanti.
Il contratto dovrebbe inoltre definire responsabilità, limiti, esclusioni, obblighi del cliente e dipendenze da fornitori terzi. APIVA ha una guida dedicata alla RC professionale per Partita IVA.
Clienti UE: VIES e fatturazione
La cybersecurity è un’attività spesso svolta da remoto per clienti esteri. Con clienti business stabiliti in altri Paesi UE bisogna verificare iscrizione VIES, territorialità IVA, fattura e adempimenti collegati.
Prima di iniziare rapporti B2B intra-UE è utile consultare la guida APIVA sulla Partita IVA comunitaria e VIES.
Clienti extra-UE
Anche con clienti extra-UE la fattura va impostata in base alla natura B2B/B2C del rapporto e alle regole sulla territorialità. Il fatto che il servizio venga erogato online non elimina gli adempimenti fiscali italiani.
È importante raccogliere correttamente i dati del cliente e conservare la documentazione che dimostra il suo status e la localizzazione.
Software, cloud e SaaS acquistati all’estero
Molti strumenti cybersecurity vengono acquistati da fornitori esteri: cloud, scanner, threat intelligence, password manager, VPN aziendali, piattaforme EDR, SIEM e servizi SaaS.
Anche un forfettario può avere obblighi IVA sugli acquisti dall’estero, ad esempio mediante reverse charge. APIVA approfondisce questi casi nella guida su IVA e reverse charge nel regime forfettario.
Quanto costa mantenere la Partita IVA da cybersecurity specialist
- contributi Gestione Separata INPS;
- commercialista o servizio fiscale;
- PEC e strumenti amministrativi quando necessari;
- RC professionale;
- hardware e dispositivi di test;
- cloud e ambienti laboratorio;
- software e licenze professionali;
- threat intelligence e servizi specializzati;
- certificazioni e formazione continua;
- trasferte presso clienti;
- strumenti di backup e sicurezza per la propria infrastruttura.
Checklist prima della prima fattura
- descrivere esattamente i servizi cybersecurity offerti;
- verificare ATECO 62.20.10 ed eventuali secondari;
- scegliere il regime fiscale;
- aprire la Partita IVA;
- iscriversi alla Gestione Separata INPS;
- configurare fatturazione elettronica;
- predisporre NDA e contratto di incarico;
- definire un modello di autorizzazione per pentest e vulnerability assessment;
- valutare RC professionale;
- verificare VIES se si lavorerà con clienti UE;
- impostare correttamente gli acquisti SaaS/cloud esteri.
Errori da evitare
- scegliere un ATECO generico senza distinguere consulenza, gestione e sviluppo;
- trattare un SOC gestito come semplice progetto consulenziale senza verificare l’attività prevalente;
- fare pentest senza autorizzazione scritta e perimetro definito;
- ignorare Gestione Separata e contributi;
- considerare automatico il 5% del forfettario;
- non gestire NDA, credenziali e dati riservati;
- lavorare con clienti UE senza verificare VIES e territorialità IVA;
- dimenticare il reverse charge sugli acquisti esteri quando applicabile;
- non aggiornare l’ATECO se il modello di business cambia.
Domande frequenti
Qual è il codice ATECO del cybersecurity specialist?
Per consulenza, audit e attività di sicurezza informatica il riferimento principale ATECO 2025 è normalmente 62.20.10.
Qual è il coefficiente del forfettario?
Per le attività informatiche del gruppo 62 il coefficiente di redditività è normalmente del 67%.
Quanto paga di INPS un cybersecurity freelance nel 2026?
Un professionista senza altra previdenza obbligatoria, iscritto alla Gestione Separata, applica nel 2026 l’aliquota complessiva del 26,07% sul reddito professionale secondo le regole INPS.
Serve una ditta individuale?
Non necessariamente. Se l’attività consiste principalmente in consulenza e prestazioni intellettuali, il cybersecurity specialist opera normalmente come libero professionista.
Serve un’autorizzazione per fare penetration test?
Il test deve essere eseguito soltanto sugli asset espressamente autorizzati dal cliente, con perimetro, tecniche e limiti definiti per iscritto nel contratto o nella lettera di autorizzazione.
In sintesi
Aprire la Partita IVA da cybersecurity specialist richiede soprattutto di definire bene l’attività: ATECO 62.20.10 è il riferimento per la consulenza in sicurezza informatica, ma servizi gestiti, sviluppo software e formazione possono richiedere codici differenti o aggiuntivi.
La gestione fiscale va poi coordinata con Gestione Separata INPS, forfettario, clienti esteri e acquisti SaaS/cloud. Sul piano operativo, contratti, autorizzazioni di pentest, riservatezza e responsabilità professionale sono elementi essenziali tanto quanto la Partita IVA.