Ministerstwo Finansów planuje istotne zmiany w zasadach uwierzytelniania użytkowników Krajowego Systemu e-Faktur (KSeF). Wbrew wcześniejszym zapowiedziom tokeny autoryzacyjne nie mają zostać wycofane z końcem 2026 roku. Zgodnie z projektem nowelizacji rozporządzenia przedsiębiorcy będą mogli korzystać z nich również w 2027 roku i w kolejnych latach, równolegle z certyfikatami KSeF. Nowe regulacje mają jednak wprowadzić ograniczenia dotyczące okresu ważności tokenów, dodatkowe rodzaje certyfikatów oraz rozwiązania związane z identyfikowaniem płatności za faktury. Wyjaśniamy, na czym polegają proponowane zmiany, jakie znaczenie mają dla firm i biur rachunkowych oraz jak przygotować się do nowych obowiązków.
Tokeny KSeF nie znikną z końcem 2026 roku. Ministerstwo Finansów zmienia wcześniejsze założenia
Wprowadzenie obowiązkowego Krajowego Systemu e-Faktur stanowi jedną z najważniejszych zmian w sposobie dokumentowania transakcji gospodarczych w Polsce. Cyfryzacja fakturowania oznacza dla przedsiębiorców konieczność dostosowania nie tylko programów księgowych i sprzedażowych, ale również procedur związanych z bezpieczeństwem, zarządzaniem dostępem do dokumentów oraz nadawaniem uprawnień pracownikom i podmiotom zewnętrznym.
Jednym z kluczowych elementów funkcjonowania KSeF jest uwierzytelnianie, czyli proces potwierdzania tożsamości osoby lub systemu informatycznego, który chce uzyskać dostęp do określonych funkcji platformy. Bez odpowiedniego uwierzytelnienia i wymaganych uprawnień nie jest możliwe wykonywanie czynności takich jak wystawianie faktur, przeglądanie dokumentów czy zarządzanie dostępem innych użytkowników.
Wraz z uruchomieniem KSeF 2.0 w lutym 2026 roku przedsiębiorcy otrzymali możliwość korzystania z dwóch rozwiązań: dotychczasowych tokenów autoryzacyjnych oraz nowych certyfikatów KSeF.
Początkowo Ministerstwo Finansów zakładało, że okres równoległego funkcjonowania obu mechanizmów zakończy się 31 grudnia 2026 roku. Od początku 2027 roku podstawowym rozwiązaniem miały być certyfikaty, a tokeny miały zostać wycofane.
Takie podejście budziło jednak zastrzeżenia części przedsiębiorców oraz dostawców oprogramowania finansowo-księgowego. Tokeny były już wykorzystywane w istniejących integracjach, a ich obsługa była dla wielu firm stosunkowo prosta. Całkowite wycofanie tego mechanizmu oznaczałoby konieczność przeprowadzenia dodatkowych prac informatycznych, aktualizacji systemów oraz zmiany procedur wewnętrznych.
W odpowiedzi na zgłaszane potrzeby resort finansów przygotował projekt nowelizacji rozporządzenia w sprawie korzystania z KSeF. Przewiduje on utrzymanie tokenów jako jednego ze sposobów dostępu do systemu również po 2026 roku.
To istotna informacja szczególnie dla przedsiębiorstw, które zautomatyzowały już proces wystawiania faktur i wykorzystują tokeny do komunikacji swoich programów księgowych z KSeF.
Należy jednak podkreślić, że opisane rozwiązania dotyczą projektu przepisów. Ich ostateczny kształt będzie zależał od zakończenia procesu legislacyjnego i publikacji przyjętego rozporządzenia.
Czym jest uwierzytelnianie w KSeF i dlaczego ma tak duże znaczenie?
Uwierzytelnianie w Krajowym Systemie e-Faktur służy ustaleniu, kto faktycznie próbuje skorzystać z systemu. Może to być przedsiębiorca prowadzący jednoosobową działalność gospodarczą, pracownik działu księgowości, osoba reprezentująca spółkę, upoważnione biuro rachunkowe albo system informatyczny komunikujący się automatycznie z platformą Ministerstwa Finansów.
W praktyce należy odróżnić dwa pojęcia, które często są ze sobą utożsamiane: uwierzytelnianie i autoryzację.
Uwierzytelnianie odpowiada na pytanie, kto uzyskuje dostęp do systemu. Autoryzacja natomiast określa, jakie czynności ten użytkownik może wykonywać.
Przykładowo pracownik firmy może zostać poprawnie uwierzytelniony w KSeF, ale nie oznacza to automatycznie, że będzie mógł przeglądać wszystkie faktury przedsiębiorstwa. Zakres jego działania zależy od nadanych mu uprawnień.
Podobna zasada dotyczy biur rachunkowych. Samo potwierdzenie tożsamości księgowego nie daje mu prawa do obsługi dokumentów dowolnego podatnika. Konieczne jest wcześniejsze przyznanie odpowiednich uprawnień przez uprawniony podmiot.
Prawidłowe zarządzanie uwierzytelnianiem i autoryzacją ma znaczenie dla ochrony informacji handlowych, danych kontrahentów oraz dokumentacji finansowej. Faktury mogą bowiem zawierać szczegółowe informacje dotyczące cen, wartości zamówień, zakresu świadczonych usług czy relacji biznesowych.
Z tego powodu wybór sposobu uwierzytelniania nie powinien być traktowany wyłącznie jako zagadnienie techniczne. Jest również elementem organizacji pracy i polityki bezpieczeństwa przedsiębiorstwa.
Token KSeF – jak działa i dlaczego przedsiębiorcy chcą z niego nadal korzystać?
Token autoryzacyjny jest specjalnym ciągiem znaków generowanym w KSeF, który umożliwia dostęp do systemu w określonym zakresie.
Jego charakterystyczną cechą jest powiązanie z uprawnieniami wskazanymi podczas generowania. Oznacza to, że token może zostać przygotowany do realizacji konkretnych operacji, na przykład wystawiania faktur lub uzyskiwania dostępu do dokumentów.
Rozwiązanie to jest szczególnie wygodne w przypadku integracji KSeF z oprogramowaniem wykorzystywanym w przedsiębiorstwie.
Firma korzystająca z systemu sprzedażowego może skonfigurować połączenie z KSeF w taki sposób, aby faktury były przekazywane automatycznie, bez konieczności każdorazowego ręcznego potwierdzania tożsamości przez pracownika.
Token może być wówczas wykorzystywany przez odpowiednio skonfigurowaną aplikację, która komunikuje się z systemem Ministerstwa Finansów.
Dużą zaletą tego rozwiązania jest stosunkowo prosta obsługa. Nie wymaga ono od użytkownika zarządzania parą kluczy kryptograficznych w taki sposób, jak ma to miejsce przy certyfikatach.
Nie oznacza to jednak, że token nie wymaga odpowiedniego zabezpieczenia. Wręcz przeciwnie – ponieważ jego posiadanie może umożliwiać wykonywanie określonych operacji, powinien być przechowywany w sposób ograniczający ryzyko przejęcia przez osoby nieuprawnione.
Przedsiębiorcy powinni w szczególności unikać umieszczania tokenów w publicznie dostępnych plikach, przesyłania ich niezabezpieczonymi kanałami komunikacji czy udostępniania pracownikom, którzy nie potrzebują ich do wykonywania obowiązków.
W przypadku podejrzenia ujawnienia tokenu konieczne może być jego unieważnienie i wygenerowanie nowego.
Jak długo będą ważne tokeny KSeF od 2027 roku?
Jedną z najważniejszych zmian przewidzianych w projekcie nowelizacji jest wprowadzenie zasad określających maksymalny okres ważności nowo generowanych tokenów.
Zgodnie z proponowanymi przepisami token będzie mógł być ważny przez okres nieprzekraczający 365 dni kalendarzowych. Projekt przewiduje jednocześnie możliwość przedłużenia jego ważności.
Oznacza to, że przedsiębiorcy korzystający z tokenów będą musieli zwracać większą uwagę na daty ich wygaśnięcia.
W firmach, w których fakturowanie odbywa się automatycznie, przeoczenie terminu ważności tokenu może spowodować problemy z komunikacją oprogramowania z KSeF. W konsekwencji konieczna może okazać się interwencja administratora systemu lub osoby odpowiedzialnej za obsługę integracji.
Z punktu widzenia organizacji pracy szczególnie istotne będzie więc wprowadzenie mechanizmów kontrolujących okres ważności wykorzystywanych tokenów.
Projekt przewiduje również szczególny sposób liczenia tego okresu. Ważność tokenu ma być ustalana według dni kalendarzowych, bez stosowania ogólnych reguł obliczania terminów wynikających z Ordynacji podatkowej.
W praktyce oznacza to, że przedsiębiorcy nie powinni zakładać automatycznego przesunięcia końca ważności tokenu tylko dlatego, że przypada on na dzień wolny od pracy.
Co stanie się z tokenami wygenerowanymi wcześniej?
Osobne zasady mają dotyczyć tokenów utworzonych przed wejściem w życie projektowanej nowelizacji.
Według przedstawionych propozycji zachowają one ważność na dotychczasowych zasadach, ale nie bezterminowo. Przewidziano bowiem ich automatyczne wygaśnięcie 30 listopada 2027 roku.
Data ta będzie szczególnie ważna dla firm, które korzystają z tokenów wygenerowanych jeszcze przed rozpoczęciem obowiązywania nowych regulacji.
Przedsiębiorstwa powinny odpowiednio wcześniej ustalić, które aplikacje i procesy wykorzystują starsze tokeny, a następnie zaplanować ich wymianę albo zmianę sposobu uwierzytelniania.
Warto również pamiętać, że poszczególne tokeny mogą utracić możliwość wykorzystania wcześniej, na przykład wskutek ich unieważnienia lub zmiany okoliczności związanych z dostępem do systemu.
Certyfikaty KSeF – czym różnią się od tokenów autoryzacyjnych?
Certyfikaty KSeF stanowią alternatywny mechanizm uwierzytelniania, wprowadzony wraz z nową wersją systemu.
Ich zadaniem jest potwierdzanie tożsamości użytkownika lub podmiotu korzystającego z KSeF. W odróżnieniu od tokenów certyfikaty nie zawierają przypisanego zakresu uprawnień.
To bardzo istotna różnica.
Posiadanie certyfikatu nie oznacza samo w sobie możliwości wystawiania faktur w imieniu dowolnego przedsiębiorcy. Uprawnienia są zarządzane niezależnie i wynikają z odpowiednich ustawień w KSeF.
Dzięki takiemu rozdzieleniu możliwe jest bardziej elastyczne zarządzanie dostępem. Administrator może zmieniać zakres uprawnień użytkownika bez konieczności traktowania samego certyfikatu jako nośnika tych uprawnień.
Certyfikaty wykorzystują mechanizmy kryptografii asymetrycznej, opartej na powiązanej parze kluczy: prywatnym i publicznym.
Klucz prywatny powinien pozostawać pod kontrolą jego posiadacza. Jego odpowiednie zabezpieczenie ma podstawowe znaczenie dla bezpieczeństwa całego mechanizmu.
Zastosowanie certyfikatów może ułatwiać budowanie bardziej zaawansowanych rozwiązań informatycznych, zwłaszcza w przedsiębiorstwach posiadających rozbudowaną infrastrukturę IT oraz formalne procedury zarządzania dostępem.
Jednocześnie wdrożenie tego mechanizmu może wymagać dodatkowej konfiguracji oprogramowania i przeszkolenia osób odpowiedzialnych za administrację systemami.
Token czy certyfikat KSeF – porównanie najważniejszych różnic
Oba rozwiązania umożliwiają korzystanie z Krajowego Systemu e-Faktur, ale różnią się sposobem działania, zarządzania dostępem oraz wymaganiami technicznymi.
| Cecha | Token KSeF | Certyfikat KSeF |
|---|---|---|
| Główne zastosowanie | Dostęp do KSeF w określonym zakresie | Potwierdzanie tożsamości |
| Uprawnienia | Powiązane z tokenem | Nadawane niezależnie w KSeF |
| Technologia | Ciąg znaków autoryzacyjnych | Kryptografia asymetryczna |
| Okres ważności | Według projektu maksymalnie 365 dni dla nowych tokenów, z możliwością przedłużenia | Co do zasady 2 lata |
| Integracja z programami | Stosunkowo prosta | Wymaga obsługi certyfikatów i kluczy |
| Tryb offline24 | Nie zastępuje certyfikatu wymaganego w tym trybie | Umożliwia obsługę przewidzianych funkcji offline |
| Dostępność po 2026 r. | Planowane dalsze stosowanie | Dalsze stosowanie |
Nie można jednoznacznie stwierdzić, że jeden z tych mechanizmów będzie najlepszy dla wszystkich przedsiębiorców.
W niewielkich firmach, korzystających z prostych systemów fakturowania, tokeny mogą pozostać wygodnym rozwiązaniem. Natomiast większe organizacje, w których istotne są rozbudowane mechanizmy kontroli dostępu i zarządzania tożsamością, mogą preferować certyfikaty.
Wybór powinien uwzględniać możliwości techniczne wykorzystywanego oprogramowania, liczbę użytkowników, sposób organizacji procesów księgowych oraz wymagania dotyczące bezpieczeństwa.
Nowe rodzaje certyfikatów KSeF. Jakie rozwiązania przewiduje projekt?
Projekt nowelizacji nie ogranicza się do utrzymania tokenów. Ministerstwo Finansów proponuje również rozszerzenie katalogu certyfikatów wykorzystywanych w KSeF.
Zmiany te mają znaczenie przede wszystkim dla podmiotów obsługujących wielu podatników oraz dla organizacji korzystających z elektronicznego fakturowania w zamówieniach publicznych.
Certyfikat powiązany z konkretnym numerem NIP lub identyfikatorem wewnętrznym
Pierwsze z proponowanych rozwiązań zakłada możliwość uzyskania certyfikatu przypisanego do określonego kontekstu, identyfikowanego numerem NIP lub identyfikatorem wewnętrznym.
Takie rozwiązanie może być szczególnie przydatne w biurach rachunkowych obsługujących wielu klientów.
Obecnie istotnym elementem zarządzania dostępem jest ustalenie, w imieniu którego podatnika wykonywane są czynności. W przypadku obsługi dużej liczby przedsiębiorstw prawidłowe rozdzielenie poszczególnych kontekstów ma znaczenie zarówno organizacyjne, jak i bezpieczeństwa.
Projektowany certyfikat kontekstowy ma umożliwić ograniczenie jego zastosowania do konkretnego podatnika lub wskazanego kontekstu.
Przykładowo biuro rachunkowe posiadające odpowiednie uprawnienia od przedsiębiorcy będzie mogło uzyskać certyfikat przeznaczony do pracy wyłącznie w kontekście tego klienta.
Może to zmniejszyć ryzyko niezamierzonego wykorzystania niewłaściwego kontekstu podczas obsługi dokumentów oraz ułatwić zarządzanie integracjami.
Nie oznacza to jednak automatycznego nadania nowych uprawnień. Nadal konieczne będzie posiadanie odpowiedniego umocowania w KSeF.
Certyfikaty dla podmiotów korzystających z Peppol ID
Drugą kategorią przewidzianą w projekcie są certyfikaty związane z podmiotami uwierzytelnionymi przy wykorzystaniu certyfikatu Peppol ID.
Rozwiązanie to dotyczy przede wszystkim elektronicznego fakturowania w obszarze zamówień publicznych oraz powiązania KSeF z Platformą Elektronicznego Fakturowania (PEF).
PEF jest wykorzystywana do obsługi elektronicznych dokumentów w relacjach z podmiotami realizującymi zamówienia publiczne. Integracja odpowiednich mechanizmów identyfikacji może mieć znaczenie dla sprawnego przekazywania faktur pomiędzy systemami.
Projekt przewiduje, że uzyskanie certyfikatu tego rodzaju będzie możliwe wyłącznie poprzez interfejs programistyczny API KSeF.
Nie będzie natomiast możliwości wygenerowania go bezpośrednio w Aplikacji Podatnika KSeF 2.0.
Z tego względu rozwiązanie będzie miało przede wszystkim znaczenie dla dostawców oprogramowania oraz podmiotów posiadających odpowiednio przygotowane systemy informatyczne.
Jak uzyskać certyfikat KSeF? Procedura krok po kroku
Uzyskanie certyfikatu KSeF wymaga wcześniejszego potwierdzenia tożsamości osoby lub podmiotu występującego o jego wydanie.
Proces ten ma zapewnić, że certyfikat zostanie powiązany z właściwym użytkownikiem i nie trafi do osoby nieuprawnionej.
Pierwszym etapem jest uwierzytelnienie w KSeF za pomocą dostępnej metody potwierdzania tożsamości. W zależności od sytuacji można wykorzystać profil zaufany, kwalifikowany podpis elektroniczny albo kwalifikowaną pieczęć elektroniczną.
Następnie użytkownik może przejść do procedury uzyskania certyfikatu.
Dostępne są dwie podstawowe ścieżki:
- Aplikacja Podatnika KSeF – rozwiązanie udostępnione przez administrację skarbową, pozwalające na obsługę przewidzianych funkcji systemu.
- Oprogramowanie komercyjne zintegrowane z API KSeF – program księgowy, finansowy lub inna aplikacja posiadająca funkcjonalność obsługi certyfikatów.
Wybór sposobu uzyskania certyfikatu zależy od możliwości technicznych oraz organizacji pracy w przedsiębiorstwie.
W przypadku firm korzystających z rozbudowanych systemów ERP proces ten może być realizowany przy wsparciu administratorów IT albo dostawców oprogramowania.
Certyfikat KSeF jest co do zasady wydawany na okres dwóch lat. Może być związany z osobą fizyczną identyfikowaną numerem NIP lub PESEL, przy spełnieniu wymaganych warunków.
Po uzyskaniu certyfikatu szczególne znaczenie ma odpowiednie zabezpieczenie klucza prywatnego.
Przedsiębiorstwo powinno także ustalić, kto odpowiada za kontrolowanie terminu ważności certyfikatu, jego odnowienie oraz reagowanie na ewentualne incydenty bezpieczeństwa.
Certyfikaty KSeF a wystawianie faktur w trybie offline24
Jednym z istotnych zastosowań certyfikatów jest obsługa faktur wystawianych w przewidzianym przepisami trybie offline24.
Tryb ten pozwala na wystawienie faktury poza bieżącą komunikacją z KSeF, przy zachowaniu obowiązku jej późniejszego przekazania do systemu w odpowiednim terminie.
Może to mieć znaczenie dla przedsiębiorstw, które z przyczyn organizacyjnych lub technicznych nie zawsze korzystają z bieżącego połączenia z platformą.
Nie należy jednak utożsamiać trybu offline24 z całkowitym zwolnieniem z obowiązku korzystania z KSeF.
Dokument wystawiony w tym trybie musi zostać odpowiednio obsłużony, a podatnik powinien przestrzegać zasad dotyczących jego przekazania do systemu.
Certyfikat odgrywa w tym procesie istotną rolę, ponieważ umożliwia realizację określonych mechanizmów związanych z identyfikacją wystawcy i weryfikacją dokumentu.
Firmy planujące wykorzystywanie trybu offline24 powinny zatem upewnić się, że ich program fakturujący obsługuje wymagane funkcje oraz że dysponują odpowiednim certyfikatem.
Warto także przygotować procedurę postępowania na wypadek awarii połączenia internetowego lub problemów z dostępnością systemów informatycznych.
KSeF a biura rachunkowe. Co zmieni utrzymanie tokenów i rozwój certyfikatów?
Projektowane zmiany mogą mieć szczególne znaczenie dla biur rachunkowych, które w imieniu klientów wykonują czynności związane z obsługą faktur.
W takich podmiotach zarządzanie uprawnieniami jest zazwyczaj bardziej skomplikowane niż w firmach prowadzących księgowość samodzielnie.
Jedno biuro może obsługiwać kilkudziesięciu lub kilkuset przedsiębiorców, a poszczególni pracownicy mogą odpowiadać za różne obszary księgowości.
W takiej sytuacji niezwykle ważne jest odpowiednie rozdzielenie dostępu do dokumentów poszczególnych klientów.
Utrzymanie tokenów po 2026 roku pozwoli biurom rachunkowym zachować część dotychczasowych rozwiązań technicznych. Może to ograniczyć konieczność natychmiastowego przebudowywania wszystkich integracji.
Jednocześnie możliwość uzyskiwania certyfikatów przypisanych do określonego kontekstu może ułatwić tworzenie bardziej uporządkowanego modelu zarządzania dostępem.
Biura rachunkowe powinny jednak pamiętać, że obsługa dokumentów klienta wymaga odpowiednich uprawnień. Samo posiadanie tokenu lub certyfikatu nie zastępuje konieczności prawidłowego określenia zakresu dostępu.
Warto również uwzględnić sytuacje, w których przedsiębiorca zmienia biuro rachunkowe.
W takim przypadku istotne będzie sprawdzenie, czy dotychczasowe uprawnienia zostały odpowiednio cofnięte, a wykorzystywane mechanizmy dostępu nie pozwalają byłemu usługodawcy na dalsze wykonywanie czynności w imieniu klienta.
Numer KSeF w przelewach od 2027 roku. Kolejny obowiązek dla przedsiębiorców
Zmiany dotyczące uwierzytelniania są powiązane z innym istotnym obszarem funkcjonowania systemu, czyli identyfikowaniem płatności za faktury.
Zgodnie z przedstawionym harmonogramem od 1 stycznia 2027 roku mają zacząć obowiązywać regulacje dotyczące podawania numeru KSeF faktury albo identyfikatora zbiorczego przy określonych płatnościach realizowanych poleceniem przelewu.
Rozwiązanie ma umożliwić powiązanie płatności z dokumentami znajdującymi się w systemie.
Numer KSeF jest unikalnym identyfikatorem nadawanym fakturze w systemie. Nie należy go mylić z numerem faktury stosowanym przez przedsiębiorcę w jego własnym programie księgowym.
Firma może bowiem oznaczać dokumenty według przyjętego schematu, na przykład numerem kolejnym, miesiącem i rokiem. Numer KSeF stanowi natomiast odrębny identyfikator systemowy.
Wprowadzenie obowiązku posługiwania się tym identyfikatorem przy określonych przelewach oznacza konieczność dostosowania procesów płatniczych.
Przedsiębiorstwa powinny zwrócić uwagę nie tylko na sposób wystawiania i odbierania faktur, ale również na to, jak dane o dokumentach są przekazywane do systemów bankowych i modułów obsługujących zobowiązania.
Warto przy tym zaznaczyć, że zakres obowiązku oznaczania płatności wynika z odpowiednich przepisów ustawowych i nie powinien być interpretowany jako dotyczący automatycznie każdego przelewu wykonywanego przez dowolną osobę.
Czym jest identyfikator zbiorczy KSeF i kiedy może być przydatny?
Identyfikator zbiorczy jest rozwiązaniem pozwalającym powiązać jedną płatność z większą liczbą faktur.
Ma to szczególne znaczenie w relacjach biznesowych, w których kontrahenci nie regulują każdej faktury oddzielnym przelewem.
Przykładowo przedsiębiorstwo może otrzymywać od jednego dostawcy kilkanaście faktur w miesiącu, a następnie dokonywać jednej zbiorczej płatności obejmującej wszystkie dokumenty.
W takim przypadku wpisywanie wielu numerów KSeF w danych przelewu mogłoby być niewygodne lub utrudnione ze względu na ograniczenia techniczne systemów płatniczych.
Identyfikator zbiorczy ma pozwalać na wskazanie zestawu faktur objętych daną płatnością bez konieczności podawania każdego numeru osobno.
Projekt nowelizacji przewiduje w związku z tym rozszerzenie zakresu uprawnień dostępnych w KSeF.
Nowe uprawnienia mają obejmować generowanie, dekodowanie, przeglądanie identyfikatorów zbiorczych oraz wyszukiwanie ich na podstawie numeru KSeF konkretnej faktury.
Zgodnie z projektem uprawnienia te będą powiązane z prawem do wystawiania faktur nadanym przez podmiot zarządzający uprawnieniami.
Dla przedsiębiorstw oznacza to konieczność zwrócenia uwagi na to, które osoby będą mogły wykonywać operacje związane z identyfikatorami zbiorczymi oraz w jaki sposób rozwiązanie zostanie wdrożone w używanym oprogramowaniu.
Harmonogram zmian w KSeF. Najważniejsze daty dla przedsiębiorców
- Listopad 2025 r.Udostępnienie możliwości uzyskiwania i testowania certyfikatów w ramach przygotowań do wdrożenia KSeF 2.0.
- 1 lutego 2026 r.Uruchomienie KSeF 2.0 i rozpoczęcie etapowego obowiązku wystawiania faktur ustrukturyzowanych. Równoległe funkcjonowanie tokenów i certyfikatów.
- 1 kwietnia 2026 r.Rozszerzenie obowiązku wystawiania faktur w KSeF na kolejną grupę przedsiębiorców, z uwzględnieniem ustawowych wyjątków i przepisów przejściowych.
- 1 stycznia 2027 r.Planowane wejście w życie zmian dotyczących dalszego wykorzystywania tokenów, ich okresu ważności, nowych rodzajów certyfikatów i uprawnień związanych z identyfikatorami zbiorczymi. Planowany termin rozpoczęcia stosowania obowiązków oznaczania określonych płatności.
- 30 listopada 2027 r.Projektowana data automatycznego wygaśnięcia tokenów wygenerowanych przed wejściem w życie nowelizacji.
Daty dotyczące projektowanej nowelizacji należy traktować jako planowane do czasu ostatecznego przyjęcia przepisów.
Jak przedsiębiorcy powinni przygotować się do zmian w uwierzytelnianiu KSeF?
Chociaż utrzymanie tokenów po 2026 roku może ograniczyć zakres koniecznych modyfikacji technicznych, nie oznacza to, że przedsiębiorcy mogą całkowicie zrezygnować z przygotowań.
Warto wykorzystać okres przejściowy do uporządkowania procedur związanych z dostępem do KSeF i zarządzaniem uprawnieniami.
Pierwszym krokiem powinno być ustalenie, jakie mechanizmy uwierzytelniania są obecnie wykorzystywane w firmie. Należy sprawdzić, czy poszczególne aplikacje korzystają z tokenów, certyfikatów czy innych dostępnych metod.
Następnie warto sporządzić wewnętrzny rejestr tokenów i certyfikatów, obejmujący ich przeznaczenie, termin ważności oraz osoby odpowiedzialne za zarządzanie nimi. W takim rejestrze nie powinno się jednak przechowywać samych sekretów uwierzytelniających w niezabezpieczonej postaci.
Kolejnym etapem jest weryfikacja uprawnień użytkowników.
Pracownicy powinni posiadać dostęp wyłącznie do tych funkcji i dokumentów, które są niezbędne do wykonywania powierzonych im zadań. Ograniczanie uprawnień zmniejsza ryzyko przypadkowego lub nieuprawnionego działania.
Przedsiębiorstwa korzystające z zewnętrznych biur rachunkowych powinny również sprawdzić, czy zakres udzielonych uprawnień odpowiada rzeczywistym obowiązkom usługodawcy.
Nie mniej istotna jest współpraca z dostawcą oprogramowania.
Warto upewnić się, że program księgowy lub system ERP będzie obsługiwał nowe zasady ważności tokenów, odpowiednie typy certyfikatów oraz funkcje związane z identyfikatorami zbiorczymi.
Firmy realizujące dużą liczbę płatności powinny ponadto przeanalizować sposób przekazywania numerów KSeF do modułów bankowych.
W praktyce przygotowania do zmian mogą wymagać współpracy działu księgowości, działu finansowego, administratorów IT oraz osób odpowiedzialnych za bezpieczeństwo informacji.
Czy utrzymanie tokenów oznacza, że certyfikaty KSeF nie będą potrzebne?
Dalsza dostępność tokenów nie oznacza rezygnacji z certyfikatów ani ograniczenia ich znaczenia.
Oba rozwiązania pełnią określone funkcje i mogą być wykorzystywane w różnych scenariuszach.
Tokeny pozostają wygodnym mechanizmem w wielu integracjach, szczególnie tam, gdzie najważniejsza jest prostota konfiguracji oraz możliwość powiązania dostępu z określonym zakresem czynności.
Certyfikaty zapewniają natomiast odmienny model uwierzytelniania, oparty na mechanizmach kryptograficznych i oddzielnym zarządzaniu uprawnieniami.
Mają także znaczenie w kontekście wystawiania faktur w trybie offline24 oraz nowych rozwiązań przewidzianych dla określonych grup użytkowników.
W wielu przedsiębiorstwach uzasadnione może być równoległe stosowanie obu mechanizmów.
Przykładowo jedna aplikacja może korzystać z tokenu, podczas gdy inny system lub proces biznesowy będzie wymagał certyfikatu.
Najważniejsze jest, aby sposób uwierzytelniania był zgodny z wymaganiami technicznymi i prawnymi oraz zapewniał odpowiedni poziom bezpieczeństwa.
Bezpieczeństwo tokenów i certyfikatów KSeF. O czym trzeba pamiętać?
Wraz z rosnącym znaczeniem elektronicznego fakturowania zwiększa się również potrzeba odpowiedniego zabezpieczania dostępu do systemów finansowych.
Zarówno tokeny, jak i klucze prywatne powiązane z certyfikatami powinny być traktowane jako wrażliwe elementy infrastruktury informatycznej.
Nieuprawnione uzyskanie dostępu do takich danych może stwarzać ryzyko wykonywania operacji w KSeF w zakresie wynikającym z posiadanych uprawnień.
Dlatego przedsiębiorcy powinni zadbać o odpowiednie procedury przechowywania i wykorzystywania danych uwierzytelniających.
W szczególności warto stosować bezpieczne mechanizmy przechowywania sekretów, ograniczać dostęp administratorów i użytkowników, rejestrować istotne operacje oraz regularnie weryfikować aktualność nadanych uprawnień.
Ważnym elementem bezpieczeństwa jest również szybkie reagowanie na zmiany kadrowe.
Jeżeli pracownik kończy współpracę z przedsiębiorstwem, należy zweryfikować jego dostęp do KSeF oraz innych systemów finansowo-księgowych.
Podobne działania powinny być podejmowane w przypadku zakończenia współpracy z biurem rachunkowym lub dostawcą usług informatycznych.
Odpowiednio przygotowane procedury mogą ograniczyć ryzyko nieuprawnionego dostępu, a jednocześnie ułatwić zachowanie ciągłości fakturowania.
Najczęściej zadawane pytania dotyczące tokenów i certyfikatów KSeF
Czy tokeny KSeF zostaną wycofane 31 grudnia 2026 roku?
Zgodnie z projektem nowelizacji rozporządzenia nie. Ministerstwo Finansów przewiduje utrzymanie tokenów także w 2027 roku i kolejnych latach. Ostateczne zasady będą zależały od przyjętych przepisów.
Jak długo będzie ważny nowy token KSeF?
Projekt zakłada maksymalny okres ważności wynoszący 365 dni kalendarzowych, z możliwością jego przedłużenia.
Do kiedy będą działały tokeny wygenerowane przed zmianą przepisów?
Według projektu tokeny wygenerowane przed wejściem w życie nowelizacji mają automatycznie wygasnąć 30 listopada 2027 roku, o ile wcześniej nie utracą ważności z innych przyczyn.
Czy certyfikat KSeF zawiera uprawnienia do wystawiania faktur?
Nie. Certyfikat służy uwierzytelnianiu, natomiast uprawnienia do wykonywania poszczególnych czynności są zarządzane niezależnie w KSeF.
Czy biuro rachunkowe może korzystać z certyfikatu KSeF?
Tak, przy spełnieniu odpowiednich warunków i posiadaniu wymaganych uprawnień. Projekt przewiduje dodatkowo certyfikaty powiązane z konkretnym kontekstem, co może ułatwić obsługę poszczególnych klientów.
Czy certyfikat KSeF jest ważny bezterminowo?
Nie. Certyfikaty KSeF są co do zasady wydawane na dwa lata. Przedsiębiorca powinien kontrolować termin ich ważności.
Czy numer KSeF będzie trzeba wpisywać w każdym przelewie?
Nie należy przyjmować takiego uproszczenia. Obowiązek ma dotyczyć określonych płatności objętych odpowiednimi regulacjami. Przedsiębiorcy powinni sprawdzić, czy i w jakim zakresie nowe zasady będą miały zastosowanie do realizowanych przez nich przelewów.
Czy po 2026 roku trzeba będzie przejść z tokenów na certyfikaty?
Projektowana nowelizacja nie przewiduje powszechnego obowiązku rezygnacji z tokenów na rzecz certyfikatów. Wybór mechanizmu będzie jednak zależał od rodzaju wykonywanych operacji i możliwości technicznych wykorzystywanego systemu.
Podsumowanie. KSeF w 2027 roku z tokenami i certyfikatami
Planowane utrzymanie tokenów autoryzacyjnych po 2026 roku jest istotną zmianą w podejściu do uwierzytelniania użytkowników Krajowego Systemu e-Faktur. Ministerstwo Finansów, uwzględniając potrzeby przedsiębiorców i dostawców oprogramowania, proponuje pozostawienie dwóch równoległych mechanizmów dostępu do systemu.
Dla firm oznacza to większą elastyczność i możliwość dalszego wykorzystywania istniejących integracji. Nie eliminuje jednak konieczności dostosowania procedur do nowych zasad.
Szczególnej uwagi będą wymagały terminy ważności tokenów, zasady przedłużania ich działania oraz projektowane wygaśnięcie starszych tokenów 30 listopada 2027 roku.
Równolegle rozwijany będzie system certyfikatów KSeF, w tym rozwiązania umożliwiające ograniczenie ich wykorzystania do określonego podatnika oraz obsługę wybranych procesów związanych z elektronicznym fakturowaniem w zamówieniach publicznych.
Kolejnym ważnym obszarem będą obowiązki dotyczące oznaczania określonych płatności numerem KSeF lub identyfikatorem zbiorczym. Mogą one wymagać zmian w programach księgowych, systemach bankowych i wewnętrznych procedurach regulowania zobowiązań.
Przedsiębiorcy nie powinni więc traktować pozostawienia tokenów jako końca przygotowań do zmian w KSeF. Najbardziej racjonalnym rozwiązaniem jest uporządkowanie już teraz sposobów uwierzytelniania, weryfikacja uprawnień oraz sprawdzenie gotowości wykorzystywanego oprogramowania.
Jednocześnie należy monitorować dalszy przebieg prac legislacyjnych. Dopiero ostateczna wersja rozporządzenia pozwoli jednoznacznie określić wszystkie szczegóły nowych zasad obowiązujących od 2027 roku.
