Już 1 listopada 2025 r. Ministerstwo Finansów uruchomi Moduł Certyfikatów i Uprawnień (MCU) – nową funkcjonalność, która umożliwi nadawanie uprawnień użytkownikom i wydawanie certyfikatów KSeF. Certyfikaty te staną się podstawowym narzędziem uwierzytelnienia w systemie KSeF 2.0.
- Uzyskanie certyfikatu KSeF w Module Certyfikatów i Uprawnień (MCU)
- Jakie jest okres ważności certyfikatu KSeF?
- Certyfikat KSeF dla osoby fizycznej lub podmiotu
- Bezpieczeństwo posługiwania się certyfikatami KSeF
- Jakie są limity dotyczące certyfikatów KSeF?
- Certyfikat KSeF a zakres uprawnień
Od 1 listopada 2025 r. rusza Moduł Certyfikatów i Uprawnień (MCU) – kluczowy element nowego systemu KSeF 2.0. To właśnie dzięki niemu podatnicy i osoby przez nich uprawnione będą mogli nadawać uprawnienia w systemie oraz występować o wydanie certyfikatów KSeF, niezbędnych do korzystania z Krajowego Systemu e-Faktur od 1 lutego 2026 r.
Uzyskanie certyfikatu KSeF w Module Certyfikatów i Uprawnień (MCU)
„Aby uzyskać certyfikat KSeF należy złożyć wniosek. Będzie to możliwe od 1 listopada 2025 r. za pośrednictwem Modułu Certyfikatów i Uprawnień (MCU), który zostanie udostępniony w domenie KSeF. MCU możliwi również nadawanie uprawnień użytkownikom przyszłego systemu KSeF 2.0. Funkcjonalności MCU będą dostępne wyłącznie z poziomu przeglądarki, nie będą dostępne z poziomu API” - czytamy w Podręczniku KSeF 2.0 – Cz. I Rozpoczęcie korzystania z KSeF.
O certyfikat KSeF bez dodatkowych warunków będą mogły/mogli wystąpić:
- osoby fizyczne zgłoszone w zawiadomieniu ZAW-FA,
- osoby fizyczne posiadające uprawnienia właścicielskie,
- podatnicy niebędący osobą fizyczną posiadający uprawnienia właścicielskie, posługujący się pieczęcią elektroniczną do uwierzytelnienia w KSeF.
Konieczność ponownego nadania uprawnień w module MCU wystąpi w przypadku:
- osoby fizycznej, która nie została uprawniona na podstawie ZAW-FA w KSeF 1.0 do 31 października 2025 r.
- podmiotu, który otrzymał uprawnienia do KSeF do 31 października 2025 r.
Po ponownym nadaniu uprawnień w module MCU osoba fizyczna lub podmiot będą mogli wystąpić o certyfikat KSeF a następnie go pobrać. Aby wystąpić o wydanie certyfikatu trzeba będzie uwierzytelnić się w KSeF jako podatnik lub osoba uprawniona np. za pomocą Podpisu zaufanego lub kwalifikowanego podpisu elektronicznego lub kwalifikowanej pieczęci elektronicznej.
Ministerstwo Finansów informuje, że „generowanie certyfikatów w MCU jest rozwiązaniem tymczasowym przewidzianym na okres od listopada 2025 r. do końca stycznia 2026 r. Od lutego 2026 r. funkcjonalność będzie dostępna w KSeF 2.0 oraz w Aplikacji Podatnika KSeF 2.0. Uprawnienia nadane w MCU zostaną przeniesione do KSeF 2.0, a więc i do Aplikacji Podatnika KSeF 2.0”.
Certyfikat KSeF to cyfrowe narzędzie kryptograficzne potwierdzające tożsamość osoby lub podmiotu, które jest wydawane przez Centrum Certyfikacji Ministerstwa Finansów. Posiadanie takiego certyfikatu pozwoli na bezpieczne, wydajne i zautomatyzowane korzystanie z KSeF. Certyfikaty KSeF będą dwojakiego rodzaju:
Certyfikat typu 1 do uwierzytelniania
Certyfikat KSeF typu 1 przeznaczony będzie do uwierzytelniania się w systemie KSeF (jako jedna z dopuszczalnych metod). Po uwierzytelnieniu się osoba lub podmiot będą mogli wykonywać działania w systemie zgodnie z przypisanymi im w KSeF uprawnieniami.
Uwierzytelnienie certyfikatem KSeF będzie możliwe zarówno w sesji interaktywnej jak również w sesji wsadowej.
Po zalogowaniu się certyfikatem KSeF będą brane pod uwagę uprawnienia powiązane z identyfikatorem podatkowym (NIP, PESEL) zapisanym na tym certyfikacie. System będzie również uwzględniał powiązanie identyfikatorów NIP i PESEL. Oznacza to, że osoba fizyczna lub podmiot uwierzytelniony certyfikatem KSeF będą mogli działać w systemie w obrębie uprawnień nadanych na oba ww. identyfikatory podatkowe (niezależnie, na który identyfikator by był wygenerowany certyfikat).
Certyfikat typu 2 do wystawiania faktur offline
Certyfikat KSeF typu 2 wymagany jest do oznaczenia faktury kodem umożliwiającym potwierdzenie tożsamości wystawcy przy wystawianiu faktur w trybie OFFLINE (tj. w trybie offline24, offline-niedostępność systemu, trybie awarii KSeF).
Potwierdzenie tożsamości wystawcy należy rozumieć tu jako:
- potwierdzenie tożsamości osoby, jeśli był on wydany na osobę fizyczną lub
- identyfikację konkretnego podmiotu np. spółki, jeśli był on wydany na podmiot inny niż osoba fizyczna.
Certyfikaty KSeF zapewnią więc ciągłość procesu fakturowania niezależnie od okoliczności zewnętrznych, z uwagi na ich wykorzystanie w przypadku faktur wystawianych OFFLINE.
Ważne! Certyfikaty KSeF obu typów będą generowane osobno. Nie będzie możliwe wygenerowanie jednego certyfikatu KSeF obejmującego jednocześnie dwa zastosowania.
Jakie jest okres ważności certyfikatu KSeF?
Certyfikat KSeF będzie ważny nie dłużej niż 2 lata od:
- daty podanej we wniosku o wydanie certyfikatu KSeF lub
- od daty wydania certyfikatu KSeF (obsłużenia wniosku o wydanie certyfikatu KSeF), jeśli we wniosku nie podano daty początkowej, od której ma być on ważny.
Resort finansów podkreśla, że „warto zadbać o wprowadzenie odpowiednich procedur zarządzania certyfikatami w firmie. Należy również pamiętać o kontroli upływu terminów ważności certyfikatów KSeF i wnioskowaniu o kolejny certyfikat przed utratą ważności poprzedniego”.
Przykład: Określenie daty ważności certyfikatu KSeF (we wniosku wskazano datę początkową)
Podatnik 10 listopada 2025 r. występuje o wydanie certyfikatu KSeF (typu 1). Składa w tym celu wniosek, w którym wskazuje, że datą początkową, od której ma być ważny certyfikat jest 1 lutego 2026 r. Wydanie certyfikatu nastąpiło 10 listopada 2025 r.
W związku ze wskazaniem przez podatnika we wniosku daty początkowej, od której ma być ważny certyfikat KSeF, okres 2 lat będzie liczony od dnia 1 lutego 2026 r. , a nie od daty jego wydania (10 listopada 2025 r.).
Przykład: Określenie daty ważności certyfikatu KSeF (we wniosku nie wskazano daty początkowej)
Podatnik 15 lutego 2026 r. występuje o wydanie certyfikatu KSeF (typu 1). Składa w tym celu wniosek, w którym wskazuje, że datą początkową, od której ma być ważny certyfikat jest 1 marca 2026 r. Wydanie certyfikatu nastąpiło 15 lutego 2026 r.
W związku ze wskazaniem przez podatnika we wniosku daty początkowej, od której ma być ważny certyfikat KSeF, okres 2 lat będzie liczony od dnia 1 marca 2026 r. , a nie od daty jego wydania (15 lutego 2026 r.). Warto przy tym zaznaczyć, że takiego certyfikatu nie da się użyć przed datą początku jego ważności, tzn. uwierzytelnienie się nim nie będzie możliwe przed datą i godziną wskazaną jako początek okresu ważności.
W kolejnym dniu, 16 lutego 2026 r. podatnik występuje o wydanie certyfikatu KSeF (typu 2). Składa w tym celu wniosek, w którym nie wskazuje daty początkowej. Wydanie certyfikatu nastąpiło 16 lutego 2026 r.
W związku z brakiem wskazania przez podatnika we wniosku daty początkowej, od której ma być ważny certyfikat KSeF, okres 2 lat będzie liczony od daty jego wydania tj. dnia 16 listopada 2026 r.
Certyfikat KSeF dla osoby fizycznej lub podmiotu
Certyfikat KSeF będzie mógł być wydany osobie fizycznej identyfikowanej po numerze NIP (np. jednoosobowa działalność gospodarcza) lub po numerze PESEL (np. pracownikowi firmy, pod warunkiem, że będzie posiadała jakiekolwiek uprawnienie do korzystania z KSeF). Ponadto, co istotne certyfikat będzie mógł być wydany podmiotowi niebędącemu osobą fizyczną posiadającemu NIP np. spółce z o.o., po uwierzytelnieniu się za pomocą pieczęci kwalifikowanej.
Sposób zarządzania certyfikatami w firmie może być kształtowany dowolnie w zależności od potrzeb danej organizacji. Przykładowo, spółka po uwierzytelnieniu w KSeF pieczęcią kwalifikowaną na NIP spółki, będzie mogła zawnioskować, a następnie pobrać wiele certyfikatów wydanych na dane spółki (z uwzględnieniem funkcjonujących limitów dot. ilości możliwych do wygenerowania certyfikatów KSeF), po czym udostępnić je swoim pracownikom.
W tej sytuacji, gdy fakturę wystawi osoba fizyczna posługująca się certyfikatem KSeF z identyfikatorem podatkowym NIP spółki (wydanym na spółkę), w KSeF widoczne będą wyłącznie dane spółki, a nie konkretnej osoby fizycznej, która fizycznie wystawiła tę fakturę. Jeżeli natomiast certyfikaty zostaną wydane pracownikom spółki (na ich PESEL), to gdy fakturę wystawi osoba uwierzytelniona takim certyfikatem, w KSeF widoczne będą dane tej osoby fizycznej, która wystawiała tę fakturę, działając w imieniu spółki. W przypadku osoby/podmiotu posiadającego kwalifikowany podpis/kwalifikowaną pieczęć elektroniczną bez identyfikatora NIP i PESEL, certyfikat może być wydany na tzw. dane unikalne powiązane z certyfikatem (tzw. odcisk palca podpisu) użytym do uwierzytelnienia.
Bezpieczeństwo posługiwania się certyfikatami KSeF
Certyfikaty KSeF są rodzajem elektronicznych poświadczeń tożsamości posiadacza, podobnie jak certyfikaty kwalifikowane. Zawierają one dane osobowe wnioskującego lub dane podmiotu.
Z tego względu o certyfikat zawierający dane osoby fizycznej może wnioskować wyłącznie ta osoba. I tylko ta osoba może go pobrać, a następnie się nim posługiwać.
Ministerstwo Finansów stanowczo podkreśla, że „niedopuszczalne jest udostępnienie certyfikatu KSeF wydanego na daną osobę fizyczną, innej osobie fizycznej. Niedozwolone jest posłużenie się przez osobę fizyczną, certyfikatem KSeF należącym do innej osoby fizycznej”.
Jeśli chodzi o certyfikaty wydane na dane podmiotu np. spółki, to nie są one powiązane z konkretnymi osobami, zatem odpowiedzialność za ich przekazywanie konkretnym pracownikom i posługiwanie się nimi przy pracy w KSeF leży po stronie podmiotu. W takim przypadku organizacja powinna zadbać o właściwą rejestrację i rozliczalność operacji pobierania, przekazywania, wykorzystywania i unieważniania tych certyfikatów.
Jakie są limity dotyczące certyfikatów KSeF?
Każdy uwierzytelniony użytkownik będzie miał możliwość wygenerowania:
- w przypadku osoby fizycznej, która posługuje się identyfikatorem podatkowym PESEL - maksymalnie 2 aktywnych certyfikatów KSeF oraz 2 nowych - do użycia dopiero po wygaśnięciu obecnego certyfikatu,
- w przypadku osoby fizycznej, która posługuje się identyfikatorem podatkowym NIP - maksymalnie 100 certyfikatów wydanych na podstawie danych kwalifikowanego certyfikatu podpisu oraz 100 nowych do użycia dopiero po wygaśnięciu aktualnych,
- w przypadku podmiotu niebędącego osobą fizyczną (identyfikator NIP) - co najwyżej 100 certyfikatów wydanych na podstawie danych kwalifikowanego certyfikatu pieczęci oraz 100 nowych do użycia dopiero po wygaśnięciu aktualnych,
- w przypadku podmiotu, który uwierzytelnia się za pomocą certyfikatu, który nie posiada identyfikatora NIP/PESEL (zgłoszony tzw. dane unikalne powiązane z certyfikatem) - co najwyżej 2 aktywne oraz 2 nowe - do użycia dopiero po wygaśnięciu obecnego certyfikatu.
Nowy certyfikat, o którym mowa wyżej będzie mógł być wydany na miesiąc przed upływem okresu ważności najstarszego aktywnego certyfikatu. Jak wskazano, w celu uzyskania nowego certyfikatu konieczne będzie uwierzytelnienie w systemie (np. podpisem kwalifikowanym czy Podpisem Zaufanym). Podmiot/osoba uwierzytelniona ważnym certyfikatem KSeF także będzie mogła wnioskować o wydanie kolejnego certyfikatu.
Przykład: Działanie systemu przy przekroczeniu maksymalnej liczby żądań wydania certyfikatów KSeF
Jak Kowalski (PESEL 11111111116), który nie prowadzi działalności gospodarczej, jest pracownikiem firmy X, w której posiada uprawnienie do wystawiania faktur. 11 kwietnia 2026 r. uzyskał certyfikat KSeF (na numer PESEL), po czym go unieważnił. Czynności te powtórzył jeszcze pięć razy w okresie 12-24 kwietnia 2026 r. Przy siódmej próbie uzyskania certyfikatu KSeF, która miała miejsce 25 kwietnia 2026 r. , system zwrócił komunikat o przekroczeniu dozwolonej liczbie złożonych żądań. Wnioskowanie o wydanie kolejnego certyfikatu będzie więc możliwe najwcześniej po upływie 30 dni od dnia żądania wydania pierwszego certyfikatu KSeF.
Certyfikat KSeF a zakres uprawnień
Certyfikaty KSeF to rozwiązanie elastyczne i dynamiczne. Dzięki nim proces wystawienia faktury będzie szybki i prosty. Jeden certyfikat będzie można wykorzystać do pracy w różnych kontekstach (tj. w ramach różnych podmiotów) i bez znaczenia dla jego ważności będą zmiany w zakresie uprawnień posiadanych przez właściciela certyfikatu. Uniemożliwienie użycia certyfikatu do uwierzytelnienia w systemie nastąpi jednak, gdy odebrane zostaną wszystkie uprawnienia nadane na identyfikator (NIP lub PESEL) właściciela certyfikatu.
Źródło: na podstawie informacji zawartych w Podręczniku KSeF 2.0 – Cz. I Rozpoczęcie korzystania z KSeF