Zarządzanie certyfikatami KSeF w firmie. Jak uniknąć błędów przy delegowaniu uprawnień

Od 1 lutego 2026 r. certyfikat KSeF stanie się jedną z metod uwierzytelniania w Krajowym Systemie e‑Faktur, a jego rola będzie szczególnie istotna przy wystawianiu faktur w trybach szczególnych – offline24, w sytuacji niedostępności systemu oraz w trybie awaryjnym. Możliwość nadawania certyfikatów zarówno osobom fizycznym, jak i podmiot pozwala przedsiębiorcom elastycznie kształtować modele dostępu i delegowania zadań w systemie. Kluczowym elementem jest zaprojektowanie sposobu zarządzania certyfikatami.

KSeF

Certyfikat KSeF to cyfrowe narzędzie kryptograficzne potwierdzające tożsamość osoby lub podmiotu, które jest wydawane przez Centrum Certyfikacji Ministerstwa Finansów. Certyfikat będzie można wykorzystywać od 1 lutego 2026 r. w narzędziach komercyjnych do wystawiania eFaktur, zintegrowanych z API KSeF 2.0. Nie będzie natomiast możliwości uwierzytelnienia się certyfikatem w bezpłatnych narzędziach MF, np. w Aplikacji Podatnika KSeF 2.0.

Do końca stycznia 2026 r. można wygenerować certyfikat tylko poprzez stronę https://mcu.mf.gov.pl/web/login. Od 1 lutego 2026 r. generowanie certyfikatów będzie możliwe wyłącznie w Aplikacji Podatnika KSeF 2.0.

Od 1 listopada 2025 r. o certyfikat KSeF, bez spełniania dodatkowych warunków, mogą wystąpić:

• osoby fizyczne wskazane w zawiadomieniu ZAW-FA,
• osoby fizyczne posiadające uprawnienia właścicielskie w KSeF,
• podatnicy niebędący osobami fizycznymi, którzy mają uprawnienia właścicielskie i posługują się pieczęcią elektroniczną jako środkiem uwierzytelnienia w systemie.

Dwa rodzaje certyfikatów KSeF

W KSeF wyróżnia się dwa rodzaje certyfikatów:

1. Certyfikat typu 1 do uwierzytelniania się w systemie KSeF (jako jedna z dopuszczalnych metod)

Po uwierzytelnieniu się osoba lub podmiot będą mogły wykonywać działania w systemie zgodnie z przypisanymi im w systemie uprawnieniami. Uwierzytelnienie certyfikatem KSeF będzie możliwe zarówno w sesji interaktywnej, jak i w sesji wsadowej. Po zalogowaniu się certyfikatem KSeF będą brane pod uwagę uprawnienia powiązane z identyfikatorem podatkowym (NIP, PESEL) zapisanym na tym certyfikacie. Oznacza to zatem, że dana osoba posługująca się certyfikatem będzie mogła działać wyłącznie w zakresie nadanych jej przed dany podmiot uprawnień. Co jest istotne, certyfikat takiej osoby fizycznej zadziała w różnych kontekstach podmiotów, które nadały jej uprawnienia.

2. Certyfikat typu 2 do wystawiania faktur offline

Certyfikat KSeF typu 2 wymagany jest do oznaczenia faktury kodem umożliwiającym potwierdzenie tożsamości wystawcy przy wystawianiu faktur w trybie OFFLINE (tj. w trybie offline24, offline-niedostępność systemu, trybie awarii KSeF).

Certyfikaty KSeF obu typów będą generowane osobno. Nie będzie możliwe wygenerowanie jednego certyfikatu KSeF obejmującego jednocześnie dwa zastosowania. Dla ułatwienia rozróżnienia, certyfikaty obu typów będą miały w atrybucie CN (commonName) dopisek „uwierzytelnianie” lub „offline”, zależnie od ich zastosowania.

Zobacz również: Jak będą działały tryby awaryjne do wysyłki faktur do KSeF »

Certyfikaty dla osoby fizycznej lub podmiotu

Sposób zarządzania certyfikatami w firmie może być dostosowany do indywidualnych potrzeb organizacji.

Organizacja może zdecydować, że certyfikaty będą wydawane bezpośrednio na podmiot, np. na spółkę z o.o. W takim przypadku spółka uwierzytelnia się w KSeF pieczęcią kwalifikowaną zawierającą jej NIP, a następnie wnioskuje o jeden lub wiele certyfikatów KSeF wystawionych „na podmiot”.

Po ich pobraniu spółka może:

• przechowywać certyfikaty wyłącznie w systemach automatyzujących wystawianie faktur,
• udostępnić je wybranym pracownikom,
• zintegrować je z oprogramowaniem finansowo-księgowym.

Drugim modelem jest wydawanie certyfikatów pracownikom lub współpracownikom, na ich dane osobowe (PESEL). W takim przypadku KSeF jednoznacznie oznaczy działania dokonane przez osobę fizyczną posiadającą certyfikat.

Jeżeli fakturę wystawi pracownik posługujący się certyfikatem wystawionym na jego PESEL, w KSeF zostaną ujawnione:

• jego dane osobowe (jako osoby uwierzytelnionej),
• dane spółki, w której imieniu działa.

To rozwiązanie jest często stosowane tam, gdzie istotna jest indywidualna odpowiedzialność lub konieczność śledzenia historii operacji wykonanych przez poszczególnych użytkowników – np. w biurach rachunkowych, dużych działach księgowości czy w spółkach z rozbudowaną strukturą kontroli wewnętrznej.

Bezpieczeństwo posługiwania się certyfikatami KSeF

Ważnym elementem bezpiecznego zarządzania certyfikatami KSeF jest przestrzeganie zasad ich udostępniania i wykorzystywania.

Certyfikat KSeF wydany na dane konkretnej osoby fizycznej (z wykorzystaniem jej NIP lub PESEL) nie może być udostępniony żadnej innej osobie. Niedozwolone jest również, aby pracownik lub współpracownik posługiwał się certyfikatem, który został wydany na inną osobę fizyczną – nawet jeśli działa za wiedzą i zgodą tej osoby, a czynności wykonuje w interesie tego samego podmiotu.

W przypadku certyfikatów wydanych na dane firmy, nie są one powiązane z konkretnymi osobami fizycznymi. Odpowiedzialność za ich przekazywanie pracownikom oraz za korzystanie z nich w ramach pracy w KSeF spoczywa na organizacji. Firma powinna zadbać o właściwą rejestrację i rozliczalność operacji pobierania, przekazywania, wykorzystywania i unieważniania tych certyfikatów.