KSeF bywa przedstawiany jako system, który „wie o firmie wszystko”. Z drugiej strony można spotkać opinie, że to po prostu kolejny sposób wysyłania faktur i właściwie nic się nie zmienia. Jak zwykle prawda leży gdzieś pośrodku.
KSeF nie pokazuje całej firmy jak na talerzu. Nie zna jej strategii, rzeczywistej marży, stanu kont bankowych ani powodów, dla których dany koszt został poniesiony. Pokazuje jednak uporządkowany i bardzo dokładny fragment działalności: faktury sprzedażowe i zakupowe wraz z danymi zapisanymi w ich strukturze.
To wystarczający powód, aby poważnie potraktować dostęp do systemu. Nie przez strach, ale przez zwykłą odpowiedzialność za dane i procesy firmy.
KSeF już działa. Teraz warto wrócić do podjętych decyzji
Pierwsze miesiące pracy z KSeF dla wielu firm oznaczały przede wszystkim konieczność szybkiego uruchomienia komunikacji pomiędzy systemami. Trzeba było wygenerować certyfikaty lub tokeny, nadać uprawnienia, skonfigurować integracje i sprawdzić, czy faktury można skutecznie wysyłać oraz odbierać.
Nie zawsze był to proces spokojny i uporządkowany. Pojawiały się problemy z logowaniem, generowaniem poświadczeń, nadawaniem dostępów oraz konfiguracją programów. W takiej sytuacji najważniejsze było często to, aby system w ogóle zaczął działać. Trudno się temu dziwić. Najpierw należało rozwiązać problemy techniczne i zapewnić ciągłość fakturowania.
Dzisiaj sytuacja wygląda inaczej. System działa, użytkownicy zdobyli pierwsze doświadczenia, a wiele początkowych problemów zostało rozwiązanych. To dobry moment, aby wrócić do decyzji podejmowanych podczas uruchamiania integracji i sprawdzić, czy dostęp został zorganizowany właściwie.
Był czas wdrożenia. Teraz jest czas powiedzenia: sprawdzam.
Co naprawdę znajduje się w fakturze XML?
Faktura ustrukturyzowana nie jest zwykłym PDF-em zapisanym w innym formacie. Powstaje według struktury logicznej FA(3), składającej się między innymi z nagłówka, danych podmiotów, szczegółowych danych faktury oraz jej pozycji. Każda informacja znajduje się w określonym polu, dzięki czemu może zostać automatycznie odczytana i przetworzona przez odpowiednie systemy.
W pliku znajdują się informacje dotyczące stron transakcji, dat, wartości, stawek VAT, pozycji faktury oraz danych związanych z płatnością, o ile zostały uzupełnione przez wystawcę. To dane, które mogą wiele powiedzieć o zakupach, sprzedaży, kontrahentach i charakterze zawieranych transakcji.
Nie oznacza to jednak, że pojedyncza faktura jest kompletną mapą kondycji przedsiębiorstwa. Cena sprzedaży nie pokazuje jeszcze rzeczywistej marży, termin płatności nie jest datą faktycznego przelewu, a wartość faktur zakupowych nie przedstawia pełnej struktury kosztów. Dopiero połączenie informacji z KSeF z księgowością, bankowością, magazynem i danymi zarządczymi pozwala budować szerszy obraz działalności.
KSeF nie pokazuje więc całej firmy. Zawiera jednak istotną i uporządkowaną część wiedzy o jej działalności. Dlatego nie można traktować dostępu do systemu jak zwykłego technicznego ustawienia w systemie księgowym czy innym systemie odpowiedzialnym za komunikację z KSeF.
Czy dane z KSeF są dostępne dla każdego?
Nie. Faktury nie stają się publiczne tylko dlatego, że zostały przesłane do systemu państwowego. Dostęp odbywa się w kontekście konkretnego podatnika i zależy od posiadanych uprawnień.
Firma może nadać dostęp pracownikom, współpracownikom lub podmiotom zewnętrznym, w tym dla biura rachunkowego. Zakres uprawnień może obejmować między innymi wystawianie faktur, ich przeglądanie oraz zarządzanie dostępem innych użytkowników.
Dlatego nie wystarczy pytanie: „Kto ma dostęp do KSeF?”. Trzeba sprawdzić również jakie operacje może wykonywać oraz czy nadal istnieje biznesowe uzasadnienie dla utrzymywania tego dostępu.
To właśnie tutaj zaczyna się rzeczywiste bezpieczeństwo KSeF.
Certyfikat i token nie są tym samym
Certyfikat i token bywają wrzucane do jednego worka jako „klucze do KSeF”. Oba rozwiązania mogą być wykorzystywane w komunikacji z systemem, ale działają inaczej.
Certyfikat KSeF jest elektronicznym poświadczeniem tożsamości osoby fizycznej albo podmiotu. Może zawierać dane konkretnej osoby lub dane firmy. Po uwierzytelnieniu system weryfikuje, jakie uprawnienia są powiązane z danym identyfikatorem.
Token jest natomiast generowany z określonym zakresem uprawnień, które zostają z nim powiązane. Z tego powodu jego przegląd nie powinien ograniczać się do sprawdzenia, czy „jakiś token” został wprowadzony do programu. Firma powinna wiedzieć, jaki token został wygenerowany, jakie posiada uprawnienia, w którym systemie jest używany oraz kto odpowiada za jego unieważnienie, gdy przestanie być potrzebny.
Nie są to pełnomocnictwa w znaczeniu prawnym. Nie są to jednak nieistotne dane techniczne, które można swobodnie przesyłać e-mailem lub zapisywać we wspólnym folderze. Certyfikaty zawierają dane osobowe albo firmowe, dlatego Ministerstwo Finansów wprost zaleca, aby nie udostępniać ich osobom nieupoważnionym.
Tokeny mogą pozostać z nami dłużej
Pierwotnie zakładano, że tokeny będą mogły być wykorzystywane do końca 2026 roku, a następnie podstawową metodą uwierzytelniania staną się wyłącznie certyfikaty KSeF. Nie można już jednak kategorycznie pisać, że tokeny na pewno przestaną działać 31 grudnia 2026 roku.
Podczas konsultacji przeprowadzonych 9 czerwca 2026 roku Ministerstwo Finansów zaproponowało pozostawienie tokenów jako jednej ze stałych metod logowania do KSeF również po zakończeniu okresu przejściowego. Resort uzasadniał tę propozycję zainteresowaniem przedsiębiorców, wygodą codziennego użytkowania oraz bezpieczeństwem tego rozwiązania. Przedstawiono również pomysł wprowadzenia określonego terminu ważności tokenów i możliwości ich automatycznego odnawiania.
Na moment publikacji artykułu jest to propozycja przedstawiona w ramach konsultacji, a nie ostatecznie wdrożona zmiana. Nie należy więc przesądzać ani tego, że tokeny znikną, ani tego, że ich bezterminowe pozostawienie zostało już formalnie zagwarantowane.
Z punktu widzenia firmy najważniejszy wniosek jest jednak inny. Nie warto odkładać kontroli tokenów z założeniem, że po zakończeniu roku same przestaną działać i problem rozwiąże się automatycznie. Skoro mogą pozostać w użyciu dłużej, tym bardziej trzeba wiedzieć, kto je wygenerował, do czego służą i czy nadal powinny być aktywne.
Jedno wspólne poświadczenie dla wszystkich?
Współdzielenie jednego certyfikatu, tokena lub danych do logowania przez kilka osób może wydawać się wygodne, ale na pewno nie bezpieczne. Problem pojawia się później, gdy trzeba jednoznacznie ustalić, kto wykonał konkretną operację.
Jeżeli kilka osób korzysta z tego samego poświadczenia technicznego, KSeF identyfikuje użyte poświadczenie, ale niekoniecznie pracownika, który w danym momencie siedział przy komputerze. Certyfikat zawierający dane konkretnej osoby pozwala wskazać tę osobę jako działającą w imieniu firmy. W przypadku certyfikatu wystawionego na podmiot widoczne są dane firmy, dlatego rozliczalność poszczególnych użytkowników musi być zapewniona również na poziomie używanego oprogramowania.
Bezpieczeństwo nie kończy się zatem na logach KSeF. Potrzebne są imienne konta w systemach, historia wykonywanych operacji, podział ról i szybkie odbieranie dostępu. System powinien pozwalać ustalić nie tylko, jakiego certyfikatu lub tokena użyto, ale również kto rzeczywiście zainicjował dane działanie.
Zasada najmniejszych uprawnień: czas sprawdzić, czy nie nadaliśmy ich za dużo
Na początku uruchamiania KSeF naturalnym priorytetem było zapewnienie, że integracja działa. Gdy występowały problemy techniczne, nadanie szerszych uprawnień mogło wydawać się najszybszym sposobem ich rozwiązania. Czasami dostęp otrzymywała większa liczba osób, czasami wykorzystywano jedno poświadczenie dla kilku użytkowników, a czasami generowano kolejne tokeny i certyfikaty podczas poszukiwania działającej konfiguracji.
To nie musi oznaczać, że wdrożenie zostało przeprowadzone źle. Oznacza natomiast, że po kilku miesiącach należy wrócić do tego obszaru i sprawdzić, które rozwiązania były tylko doraźne, a które rzeczywiście powinny pozostać.
Zasada najmniejszych uprawnień mówi, że użytkownik powinien mieć dostęp wyłącznie do danych i funkcji niezbędnych do wykonywania jego pracy. Osoba wystawiająca faktury nie zawsze musi przeglądać wszystkie faktury zakupowe. Pracownik pobierający dokumenty nie musi automatycznie zarządzać dostępem innych użytkowników. A system służący wyłącznie do odbierania faktur nie powinien korzystać z poświadczenia pozwalającego także na ich wystawianie, jeżeli nie jest to potrzebne.
Przegląd powinien objąć nie tylko obecnych pracowników, ale również osoby, które zmieniły stanowisko albo zakończyły współpracę, zewnętrznych wdrożeniowców, poprzednich dostawców systemów, testowe poświadczenia oraz integracje, które nie są już wykorzystywane. Dostęp nadany „na chwilę” bardzo łatwo pozostaje aktywny znacznie dłużej, niż ktokolwiek planował.
Jak powinien wyglądać dostęp biura rachunkowego?
Przegląd uprawnień powinien obejmować także współpracę z biurem rachunkowym. Bezpieczny model nie wymaga przekazywania biuru certyfikatu właściciela firmy, prywatnych danych do logowania ani jednego wspólnego tokena używanego przez wszystkich.
KSeF umożliwia działanie biura w kontekście NIP konkretnego klienta. Aby pobierać albo wystawiać faktury danego przedsiębiorcy, biuro musi posiadać odpowiednie uprawnienia właśnie w kontekście tego podmiotu. Proces autoryzacji może być automatyzowany w aplikacjach komercyjnych za pomocą tokena lub certyfikatu KSeF.
Zakres dostępu powinien odpowiadać faktycznemu modelowi współpracy. Innych uprawnień potrzebuje biuro, które jedynie pobiera i księguje dokumenty, innych takie, które wystawia również faktury sprzedażowe, a jeszcze innych podmiot odpowiedzialny za zarządzanie dostępami.
Warto więc sprawdzić, jakie uprawnienia otrzymało biuro, czy może delegować je swoim pracownikom, kto faktycznie obsługuje firmę oraz co stanie się z dostępem po zakończeniu współpracy. Sam fakt, że integracja działa prawidłowo, nie oznacza jeszcze, że dostęp został nadany w odpowiednim zakresie.
KSeF nie jest elektronicznym obiegiem dokumentów
KSeF odpowiada za wystawienie, przesłanie, odebranie i przechowywanie faktury ustrukturyzowanej. Nie wie jednak, czy zakup został zamówiony, czy towar rzeczywiście dotarł, kto odpowiada za dany koszt ani czy dokument powinien zostać zaakceptowany przez konkretną osobę.
Faktura może być poprawna technicznie i podatkowo, a jednocześnie budzić uzasadnione pytania biznesowe. Może zostać wystawiona na prawidłowy NIP, mimo że firma nie rozpoznaje transakcji, albo dotyczyć innej kwoty niż wcześniej uzgodniona. Dlatego samo odebranie dokumentu z KSeF nie powinno oznaczać jego automatycznej akceptacji.
Potrzebny jest system z elektronicznym obiegiem dokumentów, który odpowiada nie tylko za techniczną komunikację z KSeF, ale również za imienne konta użytkowników, podział ról, historię działań, weryfikację dokumentów oraz kontrolę tego, kto widzi poszczególne dane. To właśnie na poziomie takiego rozwiązania można zachować rozliczalność działań i wdrożyć zasadę najmniejszych uprawnień w codziennej pracy.
Czas powiedzieć: sprawdzam
Po pierwszych miesiącach działania KSeF warto przeprowadzić przegląd, który odpowie na kilka podstawowych pytań:
- kto może obecnie przeglądać faktury firmy,
- kto może wystawiać dokumenty i działać w jej imieniu,
- kto może nadawać kolejne uprawnienia,
- jakie certyfikaty i tokeny pozostają aktywne,
- w których systemach są wykorzystywane,
- czy nadal istnieje uzasadnienie dla ich zakresu,
- czy odebrano dostęp osobom i podmiotom, które już go nie potrzebują,
- czy firma potrafi wskazać osobę odpowiedzialną za konkretną operację.
Jeżeli odpowiedź na część tych pytań brzmi „nie wiemy”, nie oznacza to, że trzeba ponownie wdrażać KSeF. Oznacza natomiast, że trzeba uporządkować decyzje podjęte w czasie, gdy głównym celem było szybkie i skuteczne uruchomienie systemu.
KSeF dotyka danych, odpowiedzialności i sposobu reprezentowania firmy. Zawiera ważną, uporządkowaną wiedzę o jej transakcjach, klientach i dostawcach. Dlatego dostęp do tej wiedzy powinny mieć konkretne osoby i podmioty, w odpowiednim zakresie i tylko tak długo, jak jest to rzeczywiście potrzebne.
Pierwszym etapem było uruchomienie komunikacji z KSeF. Po kilku miesiącach pracy nadszedł czas, aby sprawdzić, czy zachowaliśmy właściwy podział odpowiedzialności, czy nadane uprawnienia odpowiadają realnym obowiązkom i czy wszystkie aktywne poświadczenia nadal powinny funkcjonować. Był czas działania pod presją i rozwiązywania problemów technicznych. Teraz jest czas świadomego zarządzania dostępem i powiedzenia sprawdzam.
Masz pytania? Zadzwoń lub napisz.
📞 +48 532 454 856
📧 info@hakon.pl