KSeF – uprawnienia i autoryzacja (zagadnienia techniczne)

Wdrożenie Krajowego Systemu e-Faktur (KSeF) to największa zmiana w obszarze fakturowania od czasu wprowadzenia Jednolitego Pliku Kontrolnego. System ten, który stanie się obowiązkowy od 2026 roku, ma na celu pełną cyfryzację faktur oraz zapewnienie ich natychmiastowej dostępności zarówno dla kontrahentów, jak i dla organów podatkowych.

Jednak sam fakt technicznego wystawienia faktury w KSeF to tylko część wyzwania. Równie istotne jest zarządzanie uprawnieniami i autoryzacją w systemie, które decyduje o tym, kto może korzystać z danych funkcji systemu i w jakim zakresie.

KSeF – uprawnienia i autoryzacja (zagadnienia techniczne) - przepisy ustawy o VAT jasno wskazują ramy prawne:– Zgodnie z art. 106nb ust. 1 ustawy o VAT:„Podatnik może upoważnić inne osoby do korzystania z Krajowego Systemu e-Faktur w jego imieniu, wskazując zakres tego upoważnienia”.

– Natomiast art. 106nb ust. 4 ustawy o VAT stanowi:„Podmiot upoważniający ponosi odpowiedzialność za działania i zaniechania osoby upoważnionej, jak za własne działania i zaniechania”.

Oznacza to, że nawet jeśli podatnik powierzy obsługę KSeF księgowemu, doradcy podatkowemu czy pracownikowi działu księgowości, odpowiedzialność wobec fiskusa za błędy czy nadużycia nadal spoczywa na nim.

Uwierzytelnienie i autoryzacja – różnice

Aby dobrze zrozumieć działanie systemu, należy odróżnić dwa kluczowe pojęcia:

• Uwierzytelnienie – to potwierdzenie tożsamości użytkownika (np. za pomocą profilu zaufanego, podpisu kwalifikowanego, tokenu czy certyfikatu KSeF).

• Autoryzacja – to określenie, co dany użytkownik może robić w systemie po uwierzytelnieniu, czyli jakie operacje i dane są dla niego dostępne.

Podsumowując: najpierw system weryfikuje, kto się loguje (uwierzytelnienie), a następnie decyduje, co ta osoba może zrobić (autoryzacja).

Formy uwierzytelniania w KSeF

Zgodnie z regulacjami ustawy o VAT oraz rozporządzenia eIDAS (Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014):

1. Profil zaufany ePUAP

To najpopularniejsze i darmowe narzędzie do logowania się do usług publicznych. Działa w oparciu o mechanizmy kryptograficzne RSA i XAdES.

Podstawa prawna: art. 3 pkt 11 rozporządzenia eIDAS – „środek identyfikacji elektronicznej” oznacza materialne i niematerialne jednostkowe rozwiązanie w ramach systemu identyfikacji elektronicznej, w tym środki uwierzytelniania, stosowane do uwierzytelnienia użytkownika”.

Zalety:– darmowe,– dostępne dla każdego obywatela,– zintegrowane z wieloma usługami publicznymi.

Wady:– ograniczona funkcjonalność w stosunku do podpisu kwalifikowanego,– proces rejestracji bywa skomplikowany.

2. Podpis kwalifikowany

Najwyższa forma potwierdzenia tożsamości. Zgodnie z art. 3 pkt 12 rozporządzenia eIDAS:„Kwalifikowany podpis elektroniczny wywołuje taki sam skutek prawny jak podpis własnoręczny”.

Zalety:– pełna legalność w obrocie prawnym i podatkowym,– wysoki poziom bezpieczeństwa,– możliwość wykorzystania w wielu systemach, nie tylko w KSeF.

Wady:– koszty zakupu i odnowienia,– konieczność posiadania sprzętu (karta kryptograficzna, czytnik, oprogramowanie).

3. Kwalifikowana pieczęć elektroniczna

Rozwiązanie przewidziane dla organizacji. Podpis elektroniczny identyfikuje osobę fizyczną, natomiast pieczęć elektroniczna identyfikuje podmiot (np. spółkę z o.o.).

Podstawa prawna: art. 3 pkt 27 rozporządzenia eIDAS:„Kwalifikowana pieczęć elektroniczna ma skutek prawny równoważny pieczęci tradycyjnej”.

Zalety:– przypisana do organizacji, nie do osoby,– profesjonalny wizerunek i wysoki poziom bezpieczeństwa.

Wady:– wyższe koszty,– konieczność posiadania dodatkowej infrastruktury.

4. Token (do 31 grudnia 2026 r.)

Dotychczasowe rozwiązanie techniczne, które umożliwiało integrację systemów. Token działa jako elektroniczny „klucz dostępu”.

Zalety:– przydatny przy integracji oprogramowania księgowego z KSeF,– umożliwia automatyzację procesów.

Wady:– ryzyko przejęcia przy utracie,– zostanie wycofany z końcem 2026 roku.

5. Certyfikat KSeF (od 1 listopada 2025 r.)

Nowa forma uwierzytelniania, która zastąpi tokeny. Certyfikaty wydawane będą na okres 2 lat.

Zalety:– wyższy poziom bezpieczeństwa,– możliwość użycia w trybach awaryjnych,– dostępne zarówno dla osób fizycznych, jak i dla podmiotów gospodarczych.

Podstawa prawna: art. 106nd ustawy o VAT (dodany nowelizacją) – „Minister właściwy do spraw finansów publicznych zapewnia podatnikom możliwość uwierzytelniania w Krajowym Systemie e-Faktur z wykorzystaniem certyfikatu KSeF, wydawanego na wniosek podatnika”.

Nadawanie uprawnień – ZAW-FA

Cały proces powierzania uprawnień w KSeF odbywa się poprzez złożenie zawiadomienia ZAW-FA.

– Art. 106nb ust. 3 ustawy o VAT:„Zawiadomienie o nadaniu lub odebraniu uprawnień (ZAW-FA) składa się do naczelnika urzędu skarbowego właściwego dla podatnika, którego dotyczą uprawnienia”.

W praktyce oznacza to, że każdy przedsiębiorca musi świadomie zdecydować, komu przyzna dostęp do systemu.

Przykłady:

• spółka może nadać pełne uprawnienia głównej księgowej,

• pracownik działu sprzedaży może otrzymać tylko możliwość wystawiania faktur, ale już nie ich anulowania czy nadawania uprawnień innym osobom,

• biuro rachunkowe otrzyma dostęp na podstawie pełnomocnictwa UPL-1 lub ZAW-FA.

Odpowiedzialność podatnika

Nawet jeśli uprawnienia otrzymają zewnętrzni księgowi czy doradcy podatkowi, odpowiedzialność wobec fiskusa spoczywa na podatniku.

Przykładowo – jeżeli biuro rachunkowe omyłkowo wystawi fakturę korygującą w KSeF w nieprawidłowy sposób, to zgodnie z art. 106nb ust. 4 ustawy o VAT – to podatnik, a nie biuro rachunkowe, odpowiada za skutki podatkowe tego błędu.

Dlatego tak ważne jest wdrożenie wewnętrznej polityki zarządzania uprawnieniami, która określi, kto, kiedy i w jakim zakresie ma dostęp do KSeF.

Testowanie uprawnień i bezpieczeństwo

Ministerstwo Finansów udostępnia Aplikację Podatnika KSeF, w której można testować różne scenariusze nadawania uprawnień i sprawdzać ich poprawność.

Zasady bezpieczeństwa, które warto wdrożyć w organizacji:– stosowanie zasady minimalnych uprawnień („dostęp tylko do tego, co niezbędne”),– regularny przegląd uprawnień,– stosowanie silnych metod uwierzytelniania, np. podpis kwalifikowany lub certyfikat KSeF,– dokumentowanie i archiwizacja procedur w razie kontroli podatkowej.

KSeF – uprawnienia i autoryzacja (zagadnienia techniczne)– podsumowanie

Krajowy System e-Faktur to nie tylko narzędzie do wystawiania i odbierania faktur. To system, w którym kluczową rolę odgrywa zarządzanie uprawnieniami i autoryzacją użytkowników.

W świetle przepisów ustawy o VAT, a także rozporządzenia eIDAS, każdy przedsiębiorca musi świadomie wybrać formę uwierzytelniania oraz odpowiednio skonfigurować dostęp swoich pracowników i podmiotów zewnętrznych (np. biur rachunkowych).

Najważniejsze elementy:

• różne formy uwierzytelniania (profil zaufany, podpis kwalifikowany, pieczęć elektroniczna, token i certyfikat KSeF),

• dokument ZAW-FA jako formalny sposób nadawania uprawnień,

• odpowiedzialność podatnika za działania osób upoważnionych,

• konieczność wdrożenia polityki bezpieczeństwa i regularnego audytu uprawnień.

KSeF wymusi na przedsiębiorcach nowe podejście – fakturowanie stanie się procesem nie tylko księgowym, ale i informatycznym. To połączenie prawa podatkowego z cyberbezpieczeństwem, w którym kontrola uprawnień będzie jednym z fundamentów sprawnego działania firmy.