Obowiązkowy KSeF znacząco zmienia sposób uwierzytelniania podatników, a certyfikaty osobiste stają się kluczowym elementem bezpieczeństwa. Choć nowy model zwiększa ochronę danych, nakłada też nowe obowiązki i koszty na przedsiębiorców.
- Certyfikaty podmiotowe w KSeF: dozwolone, ale kosztowne
- Jak zdobyć certyfikat?
- Certyfikat osobisty jak „dowód osobisty” w KSeF
- Większe bezpieczeństwo, ale i nowe ryzyka
Certyfikaty po wejściu obowiązkowego Krajowego Systemu e-Faktur staną się jedną z głównych metod uwierzytelniania w systemie. Występują w dwóch formach - jako certyfikaty osobiste oraz certyfikaty wydawane na podmiot. Certyfikaty osobiste muszą być szczególnie chronione i nie mogą być udostępniane innym osobom.
Ministerstwo Finansów w swoich podręcznikach podkreśla, że „niedopuszczalne jest udostępnienie certyfikatu KSeF wydanego na daną osobę fizyczną innej osobie fizycznej. Niedozwolone jest posłużenie się przez osobę fizyczną certyfikatem KSeF należącym do innej osoby fizycznej.”
Certyfikaty podmiotowe w KSeF: dozwolone, ale kosztowne
MF dopuszcza jednak korzystanie z certyfikatów wydanych na podmioty, np. spółki. Takie certyfikaty nie są przypisane do konkretnej osoby, dlatego – jak podkreśla resort – „odpowiedzialność za ich przekazywanie konkretnym pracownikom i posługiwanie się nimi przy pracy w KSeF leży po stronie podmiotu”. Jednocześnie rekomendowane jest wdrożenie procedur dotyczących rejestracji, przekazywania i unieważniania certyfikatów.
Problemem jest jednak koszt uzyskania certyfikatu podmiotowego, ponieważ wymaga on kwalifikowanej pieczęci elektronicznej. Rozwiązanie to jest komercyjne i kosztowne – nawet do ok. 2 tys. zł – i nie przewidziano dla niego żadnych ulg, w przeciwieństwie do np. zakupu kas fiskalnych.
Jak zdobyć certyfikat?
Certyfikat można uzyskać w Module Certyfikatów i Uprawnień (MCU), działającym od 1 listopada 2025 r. Docelowo generowanie certyfikatów będzie możliwe także w Aplikacji Podatnika KSeF 2.0.
Sam certyfikat służy jedynie do uwierzytelnienia, a do wykonywania czynności w imieniu danego podmiotu konieczne jest jeszcze formalne nadanie uprawnień.
Certyfikat osobisty jak „dowód osobisty” w KSeF
Certyfikat osoby fizycznej pełni funkcję swoistego „dowodu osobistego” w KSeF. Po nadaniu odpowiednich ról dana osoba potwierdza swoją tożsamość certyfikatem i może np. przeglądać faktury przedsiębiorcy.
W praktyce oznacza to, że w większych firmach równolegle funkcjonować będzie wiele certyfikatów osobistych, co tworzy istotne wyzwania organizacyjne – zwłaszcza przy rotacji pracowników, integracji z systemami księgowymi i utrzymaniu bezpieczeństwa dostępu.
Większe bezpieczeństwo, ale i nowe ryzyka
Nowy model zwiększa bezpieczeństwo, ale rodzi również ryzyka. Certyfikat osobisty działa podobnie jak kwalifikowany podpis – jest przypisany wyłącznie do jednej osoby i nie może być udostępniany.
Certyfikaty nie pozwalają jednak zawężać uprawnień, co oznacza, że system zewnętrzny, który otrzyma certyfikat, może potencjalnie wykonać każdą operację w imieniu podatnika.
W modelu tokenów możliwe było delegowanie bardziej ograniczonych uprawnień – obecnie trzeba to osiągnąć poprzez precyzyjne nadawanie ról w KSeF.
Autor: Piotr Juszczyk, Doradca Podatkowy inFakt