Wystawianie faktur w KSeF wymaga nie tylko odpowiedniego programu, ale też bezpiecznego sposobu potwierdzenia tożsamości. Certyfikat KSeF może służyć do logowania w systemie oraz do obsługi faktur wystawianych offline, dlatego wyjaśniam, który typ wybrać, jak go uzyskać, czym różni się od tokena i jak bezpiecznie używać go w firmie.
Certyfikat KSeF porządkuje dostęp do faktur i trybów awaryjnych
- Typ 1 służy do uwierzytelniania w KSeF.
- Typ 2 jest potrzebny przy wystawianiu faktur offline i obsłudze kodów QR.
- Certyfikat można uzyskać w Aplikacji Podatnika KSeF 2.0 albo przez program zintegrowany z API KSeF.
- Jego ważność wynosi maksymalnie 2 lata.
- Tokeny działają równolegle z certyfikatami do końca 2026 roku.
- Plik certyfikatu należy chronić tak samo jak dane do bankowości elektronicznej.
Czym jest certyfikat KSeF i do czego służy
Certyfikat KSeF to cyfrowe poświadczenie tożsamości osoby albo podmiotu korzystającego z Krajowego Systemu e-Faktur. Działa podobnie do podpisu elektronicznego, ale jego zastosowanie jest związane konkretnie z dostępem do KSeF i operacjami wykonywanymi w tym systemie.
W praktyce certyfikat nie nadaje samodzielnie uprawnień do wszystkich czynności. Jest przede wszystkim narzędziem uwierzytelnienia, a zakres działań wynika z uprawnień przypisanych osobie lub firmie w KSeF. To ważna różnica w porównaniu z tokenem, który zawiera uprawnienia zapisane już w chwili generowania.
Certyfikat typu 1 pozwala potwierdzić tożsamość podczas korzystania z KSeF, zarówno przy pojedynczych operacjach, jak i przy komunikacji automatycznej z systemem. Ten drugi wariant ma znaczenie dla firm, które wystawiają faktury z programu księgowego lub systemu sprzedażowego.
Certyfikat typu 2 jest związany z fakturami wystawianymi w szczególnych trybach offline. Umożliwia oznaczenie dokumentu kodem QR, dzięki któremu nabywca może zweryfikować tożsamość wystawcy. Nie da się wygenerować jednego certyfikatu łączącego oba zastosowania, dlatego firma może potrzebować dwóch oddzielnych certyfikatów.Moim zdaniem największe nieporozumienie polega na traktowaniu certyfikatu jak zwykłego pliku do logowania. Jeśli zostanie skopiowany przez osobę nieuprawnioną, może posłużyć do działania w imieniu firmy, dlatego jego przechowywanie powinno być elementem procedury bezpieczeństwa, a nie decyzją pojedynczego pracownika.
Typ 1 czy typ 2 czyli jaki certyfikat wybrać
Wybór zależy od sposobu wystawiania faktur i używanego oprogramowania. Dla wielu małych firm podstawowe znaczenie będzie miał typ 1, natomiast typ 2 staje się potrzebny wtedy, gdy przedsiębiorca musi wystawić fakturę mimo niedostępności KSeF.| Rodzaj | Zastosowanie | Kiedy jest potrzebny | Na co zwrócić uwagę |
|---|---|---|---|
| Typ 1 | Uwierzytelnianie w KSeF | Logowanie i automatyczna komunikacja programu z systemem | Program musi obsługiwać certyfikat i podpis XAdES-BES |
| Typ 2 | Faktury offline, offline24 i awaryjne | Brak dostępu do KSeF albo prace serwisowe | System sprzedażowy musi generować właściwy kod QR |
Certyfikat typu 2 nie oznacza, że każdą fakturę można wystawiać poza KSeF według własnego uznania. Tryb offline jest rozwiązaniem na określone sytuacje, a dokument trzeba później przesłać do systemu w wymaganym terminie. Certyfikat nie zastępuje obowiązku prawidłowego rozliczenia faktury.
Jak działa kod QR na fakturze offline
Jeżeli faktura jest przekazywana nabywcy poza KSeF, przed nadaniem jej numeru KSeF może wymagać dwóch kodów QR. Jeden wskazuje tryb offline, a drugi potwierdza tożsamość wystawcy za pomocą certyfikatu typu 2.
Po otrzymaniu numeru KSeF sytuacja może wyglądać inaczej, ponieważ dokument może być oznaczony kodem pozwalającym na weryfikację numeru systemowego. Dla firmy oznacza to konieczność sprawdzenia, czy program fakturujący rozpoznaje poszczególne tryby i generuje właściwy zestaw oznaczeń.
To właśnie tutaj najczęściej pojawiają się problemy wdrożeniowe. Samo pobranie certyfikatu nie wystarczy, jeśli program nie potrafi go wykorzystać do podpisania dokumentu i stworzenia linku weryfikacyjnego. Przed zakupem lub aktualizacją systemu poprosiłbym dostawcę o jasne potwierdzenie obsługi certyfikatu typu 1, typu 2 oraz faktur offline.
Jak uzyskać certyfikat KSeF krok po kroku
Od lutego 2026 roku wniosek o certyfikat składa się w Aplikacji Podatnika KSeF 2.0 albo w programie komercyjnym połączonym z API KSeF 2.0. Wcześniej służył do tego Moduł Certyfikatów i Uprawnień, ale po uruchomieniu nowej wersji systemu obsługa została przeniesiona do docelowych narzędzi.
- Uwierzytelnij się w KSeF jako podatnik albo osoba posiadająca odpowiednie uprawnienia.
- Wybierz funkcję związaną z wnioskowaniem o certyfikat.
- Wskaż typ certyfikatu, którego potrzebujesz.
- Podaj dane osoby fizycznej albo podmiotu zgodne z identyfikacją w KSeF.
- Ustal datę rozpoczęcia ważności, jeśli system na to pozwala.
- Po przetworzeniu wniosku pobierz plik certyfikatu i zabezpiecz go w firmowym repozytorium.
Do uwierzytelnienia można wykorzystać między innymi profil zaufany, podpis kwalifikowany albo kwalifikowaną pieczęć elektroniczną. Osoba fizyczna może otrzymać certyfikat powiązany z numerem PESEL lub NIP, natomiast spółka i inny podmiot niebędący osobą fizyczną może uzyskać certyfikat po uwierzytelnieniu kwalifikowaną pieczęcią.
W przypadku spółki certyfikat może zostać wydany samej organizacji albo konkretnej osobie, na przykład pracownikowi. Gdy dokument wystawia pracownik korzystający z certyfikatu przypisanego do jego danych, w KSeF widoczna będzie tożsamość tej osoby działającej w imieniu firmy. To ułatwia kontrolę, ale wymaga aktualnej listy pracowników i zakresów ich dostępu.
Certyfikat jest ważny nie dłużej niż 2 lata od dnia wydania albo od wskazanej daty początkowej. Można więc zaplanować odnowienie z wyprzedzeniem, zamiast czekać do dnia wygaśnięcia i ryzykować przerwę w pracy programu.
Przeczytaj również: Obowiązek podatkowy przy WNT - kiedy rozliczyć VAT?
Ważne ograniczenie aplikacji podatnika
Aplikacja Podatnika KSeF 2.0 służy do składania wniosków i pobierania certyfikatów, ale samo uwierzytelnianie certyfikatem w aplikacji może nie być dostępne w taki sposób jak w systemach komercyjnych. Do automatycznej pracy certyfikatu potrzebny jest program zintegrowany z API KSeF.
W praktyce oznacza to, że przed wdrożeniem trzeba sprawdzić nie tylko możliwość pobrania pliku, lecz także jego późniejsze użycie. Program powinien obsługiwać między innymi podpis XAdES-BES, czyli format podpisu wykorzystywany do potwierdzania komunikacji z API.
Certyfikat KSeF a token i terminy obowiązkowego systemu
Token i certyfikat mogą prowadzić do podobnego efektu, czyli umożliwić programowi dostęp do KSeF, ale działają według innej logiki. Token jest ciągiem znaków, w którym przy generowaniu zapisuje się określone uprawnienia. Certyfikat potwierdza tożsamość, a system sprawdza aktualne uprawnienia przypisane do tej tożsamości.
| Cecha | Token | Certyfikat KSeF |
|---|---|---|
| Okres ważności | Nie działa jak certyfikat terminowy | Maksymalnie 2 lata |
| Uprawnienia | Zapisane przy generowaniu | Sprawdzane na podstawie uprawnień w KSeF |
| Praca w różnych kontekstach | Ograniczona do założonego zastosowania | Możliwa po właściwym uwierzytelnieniu i nadaniu dostępów |
| Przyszłe zastosowanie | Rozwiązanie przejściowe | Docelowy sposób uwierzytelniania |
W 2026 roku oba rozwiązania działają równolegle. Tokeny mają funkcjonować do końca tego roku, a od 1 stycznia 2027 roku w systemie mają pozostać wyłącznie certyfikaty. Firmy korzystające dziś z tokenów powinny więc zaplanować migrację, zwłaszcza jeśli ich oprogramowanie automatyzuje wystawianie faktur.
Obowiązek odbierania faktur w KSeF dotyczy podatników już od 1 lutego 2026 roku, choć obowiązek ich wystawiania został rozłożony etapami. Najwięksi przedsiębiorcy, których sprzedaż brutto w 2024 roku przekroczyła 200 mln zł, weszli do systemu 1 lutego, pozostali podatnicy dołączyli 1 kwietnia, a najmniejsze firmy korzystają z przejściowego limitu 10 000 zł brutto miesięcznie do końca 2026 roku.Ten podział nie oznacza, że mniejsza firma może ignorować KSeF do 2027 roku. Jeżeli otrzymuje faktury od większych kontrahentów, musi mieć sposób ich odbierania i obsługi. Odroczenie dotyczy przede wszystkim wystawiania dokumentów, a nie odbierania faktur przesłanych przez innych podatników.
Jak bezpiecznie używać certyfikatu w firmie
Plik certyfikatu i związany z nim klucz prywatny należy traktować jak dane dostępowe do rachunku bankowego. Nie powinien być wysyłany zwykłym e-mailem, przechowywany na wspólnym pulpicie ani kopiowany na prywatne urządzenia pracowników.
- przechowuj certyfikat w zabezpieczonym magazynie haseł lub systemie zarządzania kluczami,
- ogranicz dostęp do osób, które faktycznie wystawiają lub odbierają faktury,
- nie umieszczaj pliku w publicznym repozytorium ani w niezaszyfrowanej kopii zapasowej,
- prowadź ewidencję tego, kto korzysta z danego certyfikatu,
- ustal procedurę unieważnienia po odejściu pracownika albo podejrzeniu wycieku,
- sprawdzaj datę wygaśnięcia przed planowaną aktualizacją systemu finansowego.
Odebranie pracownikowi uprawnień w KSeF nie musi automatycznie unieważnić certyfikatu, który wcześniej pobrał. Jeśli klucz prywatny nadal znajduje się na jego urządzeniu, ryzyko pozostaje. Przy zmianie personelu trzeba osobno odebrać uprawnienia i rozważyć unieważnienie certyfikatu.
Unieważnienie jest szczególnie ważne po utracie nośnika, ujawnieniu klucza prywatnego albo podejrzeniu incydentu bezpieczeństwa. W takiej sytuacji nie czekałbym na potwierdzenie, że ktoś rzeczywiście wykorzystał certyfikat. Szybkie zablokowanie dostępu jest prostsze niż wyjaśnianie nieautoryzowanych faktur.
Co sprawdzić przed podłączeniem certyfikatu do programu
Najpierw ustal, kto w firmie ma wystawiać faktury, kto będzie je odbierał i czy biuro rachunkowe potrzebuje osobnych uprawnień. Dopiero potem warto generować certyfikaty. W przeciwnym razie łatwo stworzyć kilka plików bez jasnego przypisania, za co każdy z nich odpowiada.
Przed uruchomieniem produkcyjnym sprawdź cztery elementy:
- czy program obsługuje API KSeF 2.0,
- czy potrafi uwierzytelnić się certyfikatem typu 1,
- czy generuje faktury offline z właściwymi kodami QR,
- czy po wysłaniu dokumentu zapisuje numer KSeF i urzędowe poświadczenie odbioru.
Dobrym testem jest wystawienie kilku faktur w środowisku testowym i prześledzenie całego obiegu. Sprawdź nie tylko poprawność wysyłki, ale także pobieranie faktur zakupowych, obsługę korekt, reakcję na wygaśnięcie certyfikatu oraz działanie w razie chwilowej niedostępności systemu.
Jeśli korzystasz z leasingu, kredytu firmowego albo rozliczasz dotację, zadbaj też o wewnętrzne archiwum dokumentów i raportów. KSeF przechowuje faktury, ale firma nadal powinna mieć własny porządek w dokumentacji finansowej, szczególnie gdy faktury są powiązane z kosztami kwalifikowanymi, ratami leasingowymi lub kontrolą projektu.
Jak przygotować firmę na pracę z certyfikatem
Najrozsądniejszy model dla małej firmy to wyznaczenie jednej osoby odpowiedzialnej za dostęp administracyjny, oddzielnych dostępów dla księgowości oraz ograniczonych uprawnień dla pracowników wystawiających dokumenty. Certyfikat powinien wspierać taki podział, a nie zastępować zarządzanie uprawnieniami.
Warto też wpisać do kalendarza dwie daty: termin wygaśnięcia certyfikatu i termin wcześniejszego odnowienia. Przy kilku certyfikatach prowadzonych dla pracowników łatwo przeoczyć jeden z nich, a awaria dostępu w dniu wystawiania faktur może zatrzymać sprzedaż.
Najprostszy wniosek jest taki, że certyfikat KSeF nie jest dodatkiem, który wystarczy pobrać i zapomnieć o jego istnieniu. To element firmowej infrastruktury finansowej. Gdy połączysz właściwy typ certyfikatu, poprawne uprawnienia, kompatybilny program i procedurę bezpieczeństwa, przejście na KSeF staje się znacznie mniej ryzykowne i łatwiejsze do kontrolowania.
