Certificazione di terze parti vs autocertificazione nella fiscalizzazione europea

La Francia ha riaperto il dibattito, e il resto d’Europa osserva

Le normative di fiscalizzazione in Europa variano da Paese a Paese, e soprattutto per modello di enforcement. Mentre alcune autorità fiscali richiedono la certificazione di terze parti del software PoS o di componenti di sicurezza, altre permettono l’auto-attestazione dei vendor tramite dichiarazioni formali. La Francia ha appena riacceso la miccia su una discussione che vendor PoS, software provider e autorità in tutta Europa portano avanti da anni: la conformità fiscale deve basarsi sull’auto-attestazione dei vendor oppure su una certificazione indipendente di terze parti?

Con le modifiche introdotte dalla Legge di Bilancio francese, l’auto-attestazione (“attestation individuelle de l’éditeur”) non è più un modo valido per dimostrare la conformità dei PoS a partire dal 16 febbraio 2025. Le autorità fiscali francesi hanno concesso un periodo di tolleranza fino al 31 agosto 2025 affinché gli operatori possano firmare contratti con organismi di certificazione prima del 1° settembre 2025; successivamente è attesa una certificazione completa, entro il 1° settembre 2026. Il processo di certificazione dei PoS deve essere condotto da un organismo accreditato come LNE o InfoCert (NF525), per garantire che tutti i sistemi PoS in Francia rispettino i requisiti ISCA (Immutabilità, Sicurezza, Conservazione, Archiviazione).

Ciò che rende il tema particolarmente interessante è che la discussione è ancora viva sul piano politico: una proposta di emendamento del Senato francese mira a reintrodurre l’opzione dell’attestazione individuale dell’editore accanto alla certificazione. Questa dinamica “stop–start” è esattamente il motivo per cui l’argomento è cruciale per i software vendor: il percorso regolatorio in Francia può diventare un bersaglio mobile, influenzando strategia di prodotto, tempistiche, costi, go-live e persino la retention dei clienti.

Vediamo come i principali Paesi europei affrontano la questione e cosa significa davvero per i vendor.

Panoramica dei modelli di certificazione fiscale in Europa

🇫🇷 Francia: dalla fine dell’auto-attestazione alla certificazione obbligatoria… o no?

Storicamente, in Francia gli editori di software PoS potevano auto-attestare la conformità ai requisiti anti-frode. Questa opzione è stata ora rimossa, con un periodo di transizione in corso e la certificazione di terze parti che diventa il percorso predefinito a partire dal 31agosto 2026. Anche se il dibattito politico continua, la direzione attuale indica una chiara preferenza per la validazione esterna rispetto alle dichiarazioni dei vendor. Ma il dibattito resta aperto: potrebbero riportare l’auto-attestazione sul tavolo.

Cosa significa la certificazione di terze parti per i vendor in Francia: naturalmente, maggiore impegno iniziale e costi più elevati, ma segnali di conformità più chiari per i clienti e minore ambiguità legale e fiscale nel lungo periodo. Se ti serve supporto per la certificazione del tuo software PoS in Francia, sia per ottenere la certificazione con LNE o InfoCert (NF525), contattaci qui: saremo felici di aiutarti.

🇩🇪 Germania: moduli di sicurezza certificati, non sistemi PoS certificati

Il framework tedesco KassensichV non certifica i sistemi PoS in sé. Invece, impone l’utilizzo di un Technical Security System (TSS) certificato, che protegge crittograficamente le transazioni. La conformità si ottiene integrando correttamente questi componenti certificati e rispettando gli obblighi di reporting e di esportazione dati. In ogni caso, i provider PoS devono ottenere la certificazione direttamente o integrare un partner certificato KassensichV come fiskaly.

• Cosa significa per vendor PoS e retailer in Germania: l’onere del processo (costi alti, iter lunghi, tecnicismi…) ricade sul livello di sicurezza. La qualità dell’integrazione e la conformità operativa contano più di un’approvazione formale del PoS.

🇪🇸 Spagna: autocertificazione a livello nazionale, con forte responsabilità

Il sistema nazionale Verifactu in Spagna si basa su un modello di autocertificazione: i software provider emettono una dichiarazione responsabile (declaración responsable) che attesta la conformità ai requisiti tecnici e legali. L’enforcement è supportato da audit e sanzioni significative, e le scadenze per i contribuenti sono state recentemente estese al 2027. Tuttavia, per i vendor di software PoS è già obbligatorio fornire software conforme ai nuovi clienti o in caso di rilascio di nuove versioni del sistema a partire da luglio 2025.

Allo stesso tempo, regolamenti regionali come TicketBAI (Paesi Baschi) seguono un modello simile, in cui i vendor devono registrarsi tramite auto-attestazione presso la rispettiva autorità fiscale.

• Cosa significa per i vendor PoS in Spagna: maggiore flessibilità e rollout più rapido a livello nazionale, ma alta responsabilità legale e il rischio di sanzioni molto elevate (condivise tra vendor PoS e clienti). La sfida: restare aggiornati con requisiti in continua evoluzione da parte delle autorità fiscali (5 enti pubblici diversi in Spagna). Per questo è fortemente consigliata l’integrazione di un’API conforme che supporti legislazioni diverse nel Paese, come SIGN ES.

🇮🇹 Italia: dall’hardware certificato al software certificato

L’Italia ha applicato a lungo la fiscalizzazione attraverso dispositivi fiscali hardware approvati (RT). Questo approccio sta evolvendo: dal 2026 saranno consentite, in alternativa, soluzioni di fiscalizzazione software certificate. Inoltre, fiskaly è uno dei pochi provider in early access che partecipa alla fase pilota dell’Agenzia delle Entrate per testare le soluzioni che permettono l’invio dei corrispettivi telematici via software., Un traguardo fondamentale nel processo di certificazione software per soluzioni in cloud. Tuttavia, anche mentre si apre la strada a un modello più moderno e flessibile,  passando dall’hardware al cloud, certificazione e approvazione da parte dell’autorità fiscale restano essenziali. L’auto-attestazione non fa parte del modello.

• Cosa significa per i vendor PoS in Italia: forte certezza normativa e sicurezza, ma spazio limitato per sperimentare senza un’approvazione formale. Inoltre, almeno per ora, la certificazione del software cloud è accessibile solo a pochi player. Il processo è lungo, costoso e richiede competenze tecniche elevate. Per questo è fortemente consigliata l’integrazione di una soluzione già certificata, come lo sarà presto SIGN IT.

🇵🇹 Portogallo: software di fatturazione certificato dall’autorità fiscale

Il Portogallo è uno degli esempi più chiari di certificazione obbligatoria da parte dell’autorità fiscale per i software di fatturazione ed e-invoicing. Solo le soluzioni certificate possono essere utilizzate, e la conformità è strettamente legata a identificativi di fattura, QR code e obblighi di reporting.

• Cosa significa per i vendor PoS in Portogallo: la certificazione non è opzionale e diventa un prerequisito commerciale. Questo comporta un ingresso sul mercato più lungo, ma garantisce anche una maggiore sicurezza del sistema. Se sei interessato al mercato portoghese e non hai familiarità con ATCUD, QR code, firme digitali o UBL 2.1/CIUS-PT, ti conviene leggere questo articolo per trovare alcune risposte.

🇸🇪 Svezia: PoS auto-dichiarati, unità di controllo certificate

La Svezia segue un modello ibrido: i registratori di cassa devono includere una dichiarazione del produttore che conferma la conformità, ma ogni installazione deve collegarsi a un’unità di controllo certificata che protegge i dati delle transazioni. Una volta certificati, registratori di cassa e unità di controllo devono essere registrati online presso l’autorità fiscale svedese (Skatteverket) tramite il loro portale.

• Cosa significa per i vendor PoS in Svezia: la Svezia non richiede setup solo hardware; le unità di controllo possono anche essere soluzioni cloud certificate via API, purché siano soddisfatti tutti i requisiti funzionali e di sicurezza. Questo offre più flessibilità a livello PoS, ma con requisiti di infrastruttura di sicurezza non negoziabili. Una situazione win-win.

🇵🇱 Polonia: soluzioni fiscali approvate dal governo

La Polonia si basa su dispositivi fiscali approvati dal governo. I registratori di cassa devono essere certificati prima di entrare sul mercato. Sia hardware che software vengono esaminati dalle autorità fiscali polacche, il Central Office of Measures. La conformità si ottiene utilizzando modelli approvati e seguendo regole rigorose di attivazione e reporting.

• Cosa significa per i vendor PoS in Polonia: nessuno spazio per l’auto-attestazione; la conformità è applicata tramite meccanismi fiscali approvati, hardware o cloud.

🇧🇪 Belgio: sistemi certificati “by design”

Il sistema di fiscalizzazione GKS in Belgio (per il settore HoReCa) combina sistemi di cassa certificati collegati a un Fiscal Data Module (FDM) e a una Virtual Smart Card (VSC). In questo caso, la conformità dipende molto dall’hardware e dal funzionamento all’interno di un ecosistema chiaramente definito e approvato dalle autorità.

• Cosa significa per i vendor PoS in Belgio: la conformità è binaria: o sei certificato e pronto per il mercato, oppure no. Elevati standard di sicurezza aiutano a garantire qualità del sistema e registrazione accurata dei dati.

Autocertificazione vs certificazione di terze parti: le implicazioni reali per i vendor PoS

Scegliere (o essere soggetti a) un modello invece dell’altro non è un dettaglio normativo: definisce anche come le soluzioni di fiscalizzazione vengono progettate, vendute e mantenute.

**﹟**1. Speed to market vs stabilità normativa

• L’autocertificazione consente lanci più rapidi, release più frequenti e di solito costi iniziali più bassi.
• La certificazione di terze parti allunga i tempi  (audit, cicli di test, re-test dopo modifiche), ma contribuisce a creare un processo strutturato che riduce l’incertezza per i clienti.
• Quando il quadro non è regolamentato, spetta a te scegliere se muoverti velocemente o pianificare per la coerenza.

﹟2. Profondità dei controlli prima del go-live

• Con l’auto-attestazione, la robustezza dei controlli dipende in gran parte dai processi interni e dall’implementazione del vendor. La certificazione esterna introduce verifiche indipendenti prima dell’uso in produzione, riducendo le aree di rischio meno visibili. Nel contesto della fiscalizzazione, questo aiuta a ridurre errori, evitare sanzioni e minimizzare il rischio di reclami o perdita di clienti attivi.
• Rischio: i problemi scoperti dopo il deployment sono sempre più costosi.

﹟3. Esposizione legale e sanzioni

• L’autocertificazione concentra la responsabilità sul software provider: se qualcosa non va, hai firmato la dichiarazione. La certificazione non elimina la responsabilità, ma fornisce una prova forte e, in alcuni casi, una responsabilità più condivisa.
• Realtà: gli audit avvengono quasi sempre dopo che i sistemi sono live, quindi farli controllare prima da un ente esterno riduce i rischi.

﹟4. Rischio di cambiamento normativo improvviso

• L’esempio della Francia mostra quanto rapidamente le regole possano cambiare. Un mercato basato su auto-attestazione può improvvisamente richiedere certificazione, costringendo i vendor a progetti urgenti e mettendo a rischio le relazioni con i clienti.
• I processi di certificazione con enti esterni raramente partono immediatamente: significa che la timeline di go-to-market con una soluzione certificata non dipenderà solo da te, quindi è fondamentale pianificare per evitare interruzioni del servizio.
• Lezione chiave: un approccio superficiale alla conformità amplifica l’impatto dei cambiamenti normativi.

﹟5. Fiducia dei clienti e procurement

• Per molti merchant, soprattutto enterprise, la certificazione risulta più affidabile rispetto all’auto-certificazione.. Le soluzioni PoS certificate spesso incontrano meno ostacoli nel procurement e cicli di vendita più brevi.
• Impatto commerciale: la certificazione può diventare un vantaggio competitivo. Lo abbiamo visto in mercati come la Germania: chi si è mosso presto con la certificazione ha guadagnato la maggiore quota di mercato.

﹟6. Cybersecurity and data integrity

• I sistemi di fiscalizzazione gestiscono dati transazionali molto sensibili. La certificazione di terze parti spesso impone standard minimi di sicurezza e integrità, mentre l’autocertificazione dipende dalla maturità del vendor.
• Rischio reputazionale: una violazione dei dati fiscali non è mai solo una questione fiscale.. È un aspetto da valutare attentamente prima di scegliere. 

﹟7. Product architecture and scalability

• L’autocertificazione favorisce un’evoluzione rapida. La certificazione di solito favorisce architetture stabili e modulari, dove i componenti regolati sono isolati dalle funzionalità che cambiano velocemente.
• Best practice: mantenere separato  il core regolamentato  dal layer commerciale del PoS. Questo può essere ottenuto integrando API specializzate di fiscalizzazione come i nostri servizi SIGN nei sistemi PoS per aiutarti a rispettare i requisiti.

Conclusione: i modelli di enforcement plasmano i mercati, non solo il software

L’Europa è allineata sull’obiettivo della fiscalizzazione, ma non sul metodo. Alcuni Paesi si fidano dei vendor, altri delle certificazioni, e molti stanno rafforzando i controlli nel tempo.

Per i vendor PoS, la vera sfida non è scegliere una parte, ma progettare soluzioni che resistano ai cambi normativi. La recente mossa della Francia è un promemoria: le strategie di conformità fiscale devono essere resilienti, non solo “conformi”.

In fiskaly, crediamo che la fiscalizzazione debba essere sicura, scalabile e future-proof, indipendentemente dal fatto che un Paese richieda certificazione, auto-attestazione o un modello ibrido.