Hardware vs. fiscalizzazione cloud: una panoramica Paese per Paese

Un pendrive USB si guasta a una cassa a Monaco di Baviera. Una smart card scade in un bar a Vienna. Un registratore telematico ha bisogno della sua Verificazione Periodica biennale a Milano. Una kontrollenhet raggiunge la fine della sua vita certificata in un caffè a Stoccolma.

Quattro Paesi, quattro obblighi di fiscalizzazione, e la stessa domanda di fondo con cui ogni fornitore di soluzioni POS finisce per fare i conti: la conformità vive in una scatola fisica avvitata alla cassa, o in una chiamata API? La KassenSichV tedesca, la RKSV austriaca, le norme italiane sui corrispettivi telematici e la legge svedese sul kassaregister sono partite tutte con un obbligo hardware, e tutte e quattro riconoscono oggi un'alternativa cloud nell'ambito della stessa legge. Questa guida mette a confronto cosa significano davvero "hardware" e "cloud" in ciascun mercato, perché il meccanismo cambia da Paese a Paese invece di essere la stessa normativa copiata e incollata quattro volte.

Punti chiave

Il regime di conformità dell'alternativa cloud di ogni mercato risponde alla stessa autorità di quello hardware — tranne l'Austria, che non certifica nessuno dei due —, e il cloud non è automaticamente più economico, più affidabile o più avanzato ovunque.

• La TSS tedesca (chiamata TSE, Technische Sicherheitseinrichtung, nella normativa) può essere un modulo USB/SD fisico oppure una TSS cloud certificata dal BSI. Entrambe le varianti devono essere certificate: TSE e TSS sono la stessa cosa. Il certificato attuale di fiskaly per la sua TSS cloud è valido fino al 2033, ma questa data riguarda il certificato proprio di fiskaly, non quello di ogni altro fornitore né un'eventuale ricertificazione futura.
• La RKSV austriaca non prevede alcuno schema di certificazione statale, né per l'hardware né per il cloud. La conformità si basa su un certificato qualificato rilasciato da un prestatore di servizi fiduciari ai sensi di eIDAS (come A-Trust, PrimeSign o GlobalTrust), oltre alla dichiarazione di conformità del fornitore POS stesso — e la registrazione dell'unità di firma presso FinanzOnline resta comunque una responsabilità legale propria del commerciante.
• Il percorso cloud certificato dell'Italia, SIGN IT full, non è ancora omologato. fiskaly fa parte del gruppo pilota dell'Agenzia delle Entrate che lavora in tal senso ai sensi del Decreto Legislativo 1/2024, articolo 24; le prime omologazioni sono attese entro la fine del 2026 o all'inizio del 2027. Nel frattempo, SIGN IT lite funziona sul portale Documento Commerciale Online della stessa AdE, attivo dal 2016.
• L'opzione cloud della Svezia precede l'ingresso di fiskaly in quel mercato di quattro anni. Lo SKVFS 2020:9 ha legalizzato i sistemi di controllo in cloud (kontrollsystem) il 1° gennaio 2021; l'acquisizione di InfraSec Sweden AB da parte di fiskaly nel 2025 ha integrato in SIGN SE un'infrastruttura cloud già consolidata, invece di crearla da zero.
• Gli argomenti realmente solidi a favore del cloud sono la scalabilità e, guardando al futuro, la possibilità di applicare patch — non l'idea che "l'hardware si guasta e il cloud no". Anche i servizi cloud hanno interruzioni; la vera differenza sta nel carico di manutenzione e nella velocità con cui una correzione raggiunge tutte le casse contemporaneamente.

Come funziona la TSE tedesca in versione hardware, e cosa sostituisce il cloud?

La KassenSichV tedesca (Kassensicherungsverordnung) impone a ogni registratore di cassa elettronico di utilizzare un Sistema di Sicurezza Tecnica (TSS) — chiamato TSE nella normativa stessa — che firma ogni transazione e la memorizza in modo inviolabile. La guida di fiskaly su KassenSichV e TSE copre l'insieme più ampio di obblighi che questo crea; questa sezione si concentra sulla scelta tra hardware e cloud al suo interno.

Una TSS hardware viene fornita come chiavetta USB, scheda SD o modulo integrato da fornitori accreditati dal BSI, principalmente Swissbit, i cui moduli sono venduti anche con i marchi Epson e Diebold Nixdorf. Ogni TSS — hardware o cloud — deve essere certificata dal BSI (Bundesamt für Sicherheit in der Informationstechnik), e questa certificazione corre su due orologi distinti, facili da confondere: la piattaforma hardware in sé è certificata per 5 anni, mentre la chiave di firma della TSS ha un proprio limite di validità separato di 8 anni. Alla scadenza di uno dei due, il dispositivo non può più firmare legalmente le transazioni, ed è proprio questo a imporre la sostituzione dell'hardware — non esiste una tariffa di rinnovo BSI separata per unità.

Una TSS cloud non dipende da una piattaforma hardware locale, quindi evita questa specifica sostituzione — ma la sua chiave di firma è comunque soggetta allo stesso limite di 8 anni, salvo ricertificazione. Il componente certificato dietro SIGN DE di fiskaly è la fiskaly sign Cloud-TSE; SIGN DE in sé è un prodotto che incorpora quella TSS certificata, non una TSS né un componente certificato di per sé, e il certificato attuale di fiskaly per questo componente è valido fino al 2033. Eliminare l'hardware non elimina tutto il carico di manutenzione: anche i servizi cloud possono avere interruzioni proprie, e qualsiasi flotta di TSS, hardware o cloud, deve comunque tenere traccia del rinnovo della propria chiave di firma. La guida di fiskaly su cosa succede quando un certificato TSS hardware scade silenziosamente mostra come si presenta questo scenario nella pratica.

Cosa è cambiato con il passaggio dell'Austria dalle smart card A-Trust alla RKSV in cloud?

La RKSV austriaca (Registrierkassensicherheitsverordnung) richiede che un'unità di creazione della firma (Signaturerstellungseinheit) firmi ogni scontrino prima della stampa, oltre a un registro di acquisizione dati — il DEP ai sensi del § 7 RKSV — e la registrazione presso FinanzOnline (FON). La panoramica di fiskaly sulla RKSV copre l'insieme completo dei requisiti che questo genera.

La maggior parte delle imprese entrate in funzione quando la RKSV è entrata in vigore, il 1° aprile 2017, ha integrato un dispositivo di firma legato all'hardware, tipicamente una smart card A-Trust. Queste schede portano un certificato qualificato con scadenza fissa, e il parco installato austriaco dell'epoca 2017 sta ora raggiungendo quella finestra di rinnovo.

Una configurazione basata su cloud, come fiskaly SIGN AT, sostituisce la smart card con un'integrazione API che produce la stessa acquisizione DEP ai sensi del § 7 RKSV. Ciò che non cambia è la responsabilità della burocrazia: la registrazione della cassa e dell'unità di firma presso FinanzOnline, e la segnalazione di un'unità di firma offline per un periodo prolungato, restano entrambe obblighi legali propri del contribuente — l'unità di firma stessa fornisce solo i numeri di serie crittografici e le chiavi pubbliche di cui il commerciante ha bisogno per adempiere. E a differenza degli altri tre mercati di questa guida, in Austria nessun ente statale certifica affatto l'unità di firma: la conformità si basa invece su un certificato qualificato rilasciato da un prestatore di servizi fiduciari ai sensi di eIDAS (A-Trust, PrimeSign, GlobalTrust), con il fornitore POS che deposita la propria dichiarazione di conformità anziché ottenere una certificazione statale.

A che punto è oggi il percorso software della fiscalizzazione in Italia?

Il Decreto Legislativo 127/2015 impone all'hardware certificato del Registratore Telematico (RT) di trasmettere i corrispettivi telematici — la trasmissione elettronica giornaliera degli scontrini di vendita — all'Agenzia delle Entrate (AdE), un obbligo in vigore dal 2020.

I dispositivi RT necessitano di una Verificazione Periodica, un'ispezione tecnica obbligatoria, ogni 2 anni — un problema ricorrente di costi e logistica per qualsiasi catena con centinaia di punti vendita. Un'alternativa puramente software esiste in realtà dal 2016: il portale web Documento Commerciale Online della stessa AdE (Provvedimento 28/10/2016, § 1.11), che fiskaly offre oggi come SIGN IT lite. Un percorso pienamente certificato, SIGN IT full, è in fase di costruzione ai sensi del Decreto Legislativo 1/2024, articolo 24. fiskaly fa parte del gruppo pilota dell'AdE che lavora in tal senso, ma, al 2026, nessuna soluzione software è ancora stata certificata o omologata — certificazione (un ente autorizzato come CNR o PoliMi che testa la soluzione) e omologazione (l'approvazione della Commissione Misuratori Fiscali) sono due fasi distinte, e nessuna delle due si è ancora completata per alcun fornitore. Le prime omologazioni sono attese entro la fine del 2026 o all'inizio del 2027. La guida di fiskaly ai requisiti di certificazione 2026 in Italia descrive il processo in modo più dettagliato.

Dal 1° gennaio 2026, la Legge di Bilancio 2025 dell'Italia (Legge 207/2024, articolo 1, commi 74-77) richiede inoltre che ogni soluzione di fiscalizzazione, hardware o cloud, conosca la matricola del POS a cui è collegata — nell'uso italiano, POS indica il terminale di pagamento elettronico, non il software di punto vendita — e abbia dichiarato tale abbinamento all'AdE. Si tratta di un requisito di identificazione del dispositivo, non di una certificazione: non esiste una "matricola certificata"; una matricola è semplicemente il numero di serie o l'abbinamento logico registrato, e la regola si applica allo stesso modo sia che il dispositivo fiscale sottostante sia hardware o cloud.

Come tratta la legge svedese sul kassaregister l'hardware rispetto ai sistemi di controllo in cloud?

La legge svedese sui registratori di cassa (SFS 2007:592, oggi parte della legge sulla procedura fiscale, Skatteförfarandelag SFS 2011:1244) richiede a ogni impresa che riceve pagamenti in contanti di utilizzare un kassaregister certificato abbinato a un sistema di controllo che genera l'avstämningskod (codice di controllo) di 113 caratteri allegato a ogni scontrino. Quel sistema di controllo era storicamente una kontrollenhet fisica, cablata alla cassa e certificata ai sensi dello SKVFS 2014:9.

I sistemi di controllo in cloud (kontrollsystem) sono legalmente ammessi dal 1° gennaio 2021, ai sensi dello SKVFS 2020:9 — anni prima che fiskaly entrasse nel mercato svedese. L'acquisizione di InfraSec Sweden AB da parte di fiskaly nel 2025 ha integrato l'infrastruttura di conformità cloud già consolidata della Svezia in SIGN SE, un'unica API che copre la struttura IVA obbligatoria a quattro livelli e i 13 campi dello scontrino richiesti ai sensi dello SKVFS 2021:17, senza una kontrollenhet fisica in loco. Skatteverket (l'agenzia fiscale svedese) continua a richiedere lo stesso processo di registrazione in tre fasi e una finestra di notifica di 14 giorni quando cambia un sistema di controllo, qualunque sia il tipo. La guida di fiskaly su cosa significa davvero "certificato" per un registratore di cassa svedese descrive la meccanica degli enti accreditati dietro questa certificazione.

Cosa cambia operativamente quando un'impresa passa dall'hardware al cloud?

La fiscalizzazione hardware lega la conformità a un'unità fisica: qualcosa che richiede manutenzione, scade o richiede un tecnico in loco. La fiscalizzazione cloud la lega a un'integrazione API che un fornitore aggiorna a livello centrale. Non tutte le unità hardware di una flotta si guastano davvero, e una flotta hardware funziona di solito con un'unica versione di TSS con un'unica scadenza di certificato condivisa invece di centinaia di date di rinnovo separate — lo stesso vale per una flotta di TSS cloud, poiché dipende dalla versione tanto quanto l'hardware che sostituisce.

I due vantaggi che reggono a un esame attento sono la scalabilità e, sempre più, la possibilità di applicare patch. Predisporre dieci istanze aggiuntive di TSS cloud richiede un minuto o meno, contro l'ordinare, spedire e installare altrettanti moduli hardware. E guardando al futuro, una TSS cloud può essere corretta a livello centrale contro una vulnerabilità appena scoperta — una preoccupazione crescente man mano che si moltiplicano gli attacchi assistiti dall'IA — mentre una flotta hardware richiede il rilascio di un aggiornamento firmware o, nel peggiore dei casi, una sostituzione fisica dispositivo per dispositivo. Nulla di tutto ciò rende il cloud immune dalle interruzioni: anche i servizi cloud hanno le proprie interruzioni, quindi l'inquadramento onesto è un minor carico di manutenzione e correzioni più rapide, non una garanzia di affidabilità che l'hardware non può offrire.

Tabella di confronto: fiscalizzazione hardware vs. cloud, per mercato

In conclusione

La scelta tra hardware e cloud è, in fondo, una questione di certificazione travestita da questione hardware: tre di questi quattro Paesi richiedono che il percorso cloud risponda alla stessa autorità di certificazione dell'hardware che sostituisce, e il quarto, l'Austria, non certifica nessuno dei due. I veri vantaggi del cloud sono la scalabilità e, nel tempo, la possibilità di applicare patch — non l'immunità dalle interruzioni, né, nel caso della Germania, il fatto di evitare una tariffa per dispositivo che in realtà non è mai stata effettivamente addebitata. Dove l'opzione cloud di un mercato è ancora realmente indietro — l'omologazione di SIGN IT full in Italia, in sospeso al 2026 — vale la pena saperlo prima di dare per scontato che il percorso cloud sia ugualmente maturo in ogni Paese. fiskaly SIGN copre Germania, Austria, Italia e Svezia con un'unica API per qualsiasi impresa che stia valutando il passaggio, mentre fiskaly SAFE si occupa dell'archiviazione pronta per l'audit che l'autorità fiscale di ciascun Paese si aspetta dietro di essa.