Moduł certyfikatów i uprawnień KSeF – jak zarządzać dostępem?

Od 1 lutego 2026 r. dostęp do KSeF 2.0 wymaga prawidłowo nadanych uprawnień i ważnych certyfikatów. Zarządza się nimi przez Moduł Certyfikatów i Uprawnień, czyli MCU, a nie przez dotychczasową Aplikację Podatnika KSeF 1.0. Sprawdź, jak przygotować dostęp, kto może nadawać uprawnienia i jak chronić certyfikaty.

Co umożliwia Moduł Certyfikatów i Uprawnień?

Ministerstwo Finansów uruchomiło MCU 1 listopada 2025 r. Moduł służy do zarządzania użytkownikami KSeF, składania wniosków o wydanie certyfikatów oraz pobierania gotowych dokumentów. Zastąpił funkcję nadawania nowych uprawnień w Aplikacji Podatnika KSeF 1.0.

MCU było rozwiązaniem przejściowym, dostępnym do 25 stycznia 2026 r. Przygotowane w nim uprawnienia i certyfikaty miały służyć do korzystania z KSeF 2.0, którego start nastąpił 1 lutego 2026 r. Od tego dnia obsługa tych funkcji odbywa się już w docelowym systemie oraz w aplikacjach zintegrowanych przez API.

Po zalogowaniu użytkownik może między innymi:

• nadawać i odbierać uprawnienia osobom fizycznym,
• przeglądać aktualny zakres dostępów,
• zarządzać jednostkami podrzędnymi,
• składać wnioski o certyfikaty i pobierać wydane pliki.

Od 1 listopada 2025 r. nowe uprawnienia można było nadawać wyłącznie przez MCU. Od 1 lutego 2026 r. te zadania przejął KSeF 2.0.

Jak uzyskać dostęp do KSeF 2.0?

Rodzaj uwierzytelnienia zależy od statusu podatnika. Osoba fizyczna, w tym przedsiębiorca prowadzący jednoosobową działalność gospodarczą, może użyć Profilu Zaufanego albo kwalifikowanego podpisu elektronicznego. Spółka lub inny podmiot niebędący osobą fizyczną potrzebuje kwalifikowanej pieczęci elektronicznej zawierającej NIP.

Jeżeli osoba została wcześniej wskazana w formularzu ZAW-FA, jej uprawnienia mogły zostać przeniesione z KSeF 1.0. W pozostałych przypadkach trzeba było nadać dostęp od początku. Dotyczyło to także podmiotów, które nie ustanowiły uprawnień w poprzedniej wersji systemu.

Kiedy potrzebny jest ZAW-FA?

ZAW-FA pozwala wskazać osobę uprawnioną do działania w imieniu podatnika. Formularz ma szczególne znaczenie wtedy, gdy firma nie może posłużyć się kwalifikowaną pieczęcią elektroniczną. Po weryfikacji zawiadomienia wskazana osoba może uzyskać administracyjny zakres dostępu.

W czasie przerwy technicznej od 26 do 31 stycznia 2026 r. można było nadal składać ZAW-FA w urzędzie skarbowym. Tak ustanowione uprawnienia miały umożliwić dalsze zarządzanie dostępami w KSeF 2.0.

Jakie certyfikaty KSeF można uzyskać?

Certyfikat KSeF jest elektronicznym potwierdzeniem tożsamości. Pozwala uwierzytelnić użytkownika, wystawiać i odbierać faktury w imieniu firmy, a także obsługiwać faktury w trybie offline. Każdy typ certyfikatu jest ważny maksymalnie przez dwa lata.

We wniosku należy wskazać dane osoby albo podmiotu zgodne ze stanem identyfikacyjnym w chwili składania dokumentu. Proces obejmuje wygenerowanie klucza prywatnego i żądania CSR, przesłanie CSR do Centrum Certyfikacji Ministerstwa Finansów oraz pobranie pliku w formacie .CRT.

Certyfikat kwalifikowany bez NIP lub PESEL może wymagać dodatkowej autoryzacji. W takim przypadku użytkownik pobiera, podpisuje i przesyła żądanie autoryzacyjne. Pomocny jest także odcisk Fingerprint SHA-256, który identyfikuje konkretny certyfikat.

Limity certyfikatów

Limity są liczone osobno dla typu 1 i typu 2. Osoba fizyczna identyfikowana numerem PESEL może mieć dwa aktywne oraz dwa zapasowe certyfikaty danego rodzaju. Dla osoby lub podmiotu identyfikowanego numerem NIP przewidziano po 100 certyfikatów aktywnych i zapasowych.

Jak bezpiecznie zarządzać uprawnieniami?

Certyfikat umożliwia działanie w imieniu firmy, dlatego należy traktować go podobnie jak dane logowania do bankowości elektronicznej. Przejęcie pliku może pozwolić nieuprawnionej osobie wystawiać faktury, odbierać dokumenty i wykonywać operacje przypisane podatnikowi.

Certyfikat zawierający dane osoby fizycznej może być używany wyłącznie przez tę osobę. Dokument przypisany do spółki nie wskazuje konkretnego pracownika, więc za jego przechowywanie, przekazywanie, używanie i unieważnienie odpowiada organizacja.

W firmie dobrze sprawdzają się pisemne zasady obejmujące:

• miejsce przechowywania plików certyfikatów i kluczy prywatnych,
• osoby uprawnione do pobierania oraz instalowania certyfikatów,
• procedurę odbierania dostępu po zmianie pracownika,
• unieważnianie dokumentów po podejrzeniu ich ujawnienia.

Uprawnienia właścicielskie pozwalają zarządzać dostępami, jednostkami podrzędnymi i ich przeglądem. Tych uprawnień nie można odebrać, dlatego konto właścicielskie powinno być chronione szczególnie starannie.

Nie przesyłaj certyfikatu pocztą elektroniczną bez zabezpieczenia i nie przekazuj danych logowania osobie, która nie ma formalnego umocowania.

Certyfikat KSeF czy token?

Certyfikat KSeF zastępuje token jako metoda uwierzytelnienia, ale tokeny mogą być obsługiwane do 31 grudnia 2026 r. Od 1 stycznia 2027 r. podstawowym sposobem logowania pozostaną certyfikaty. Uzyskanie certyfikatu wiąże się z rezygnacją z tokena w danym procesie uwierzytelniania.

Certyfikat ma określony termin ważności i korzysta z zabezpieczeń kryptograficznych. Może też działać przy wystawianiu faktur offline oraz wspierać generowanie kodów QR, gdy dokument powstaje poza bieżącym połączeniem z KSeF.

Co zrobić przy problemie z logowaniem?

Czas uwierzytelnienia certyfikatem kwalifikowanym zależy również od wystawcy certyfikatu, czyli centrum certyfikacji. KSeF sprawdza ważność dokumentu za pośrednictwem zewnętrznych usług. Ich chwilowa niedostępność może wydłużyć logowanie, choć sam system KSeF nie kontroluje czasu tej weryfikacji.

W sprawach technicznych formularz zgłoszeniowy KSeF jest dostępny w dni robocze od 7:00 do 19:00. Infolinia działa od 8:00 do 18:00 pod numerami 22 330 03 30 dla telefonów komórkowych i połączeń z zagranicy oraz 801 055 055 dla telefonów stacjonarnych.

Przed zgłoszeniem sprawdź ważność certyfikatu, poprawność NIP lub PESEL, zakres uprawnień i działanie podpisu albo pieczęci. Te cztery elementy najczęściej decydują o poprawnym przejściu uwierzytelnienia.