Certyfikat KSeF potwierdza tożsamość dla określonego zastosowania, a uprawnienia określają, co dana osoba lub podmiot może zrobić. Token działa według innego modelu i nie zastępuje wszystkich funkcji certyfikatu. Te trzy elementy warto opisać oddzielnie w procedurze dostępu.
Dwa typy certyfikatów
Certyfikat typu 1 służy do uwierzytelniania w KSeF. Po uwierzytelnieniu system ocenia właściwe uprawnienia powiązane z identyfikatorem. Samo posiadanie ważnego certyfikatu nie oznacza prawa do działania dla dowolnej spółki.
Certyfikat typu 2 służy do potwierdzania tożsamości wystawcy przy oznaczaniu faktur w trybach szczególnych, m.in. offline24. Nie jest drugim poziomem szerszych uprawnień księgowych. Certyfikaty obu typów generuje się osobno, a jeden certyfikat nie łączy obu zastosowań. Obsługa konkretnego sposobu pracy musi istnieć także w używanym programie.
Ważność i właściciel
MF wskazuje okres ważności certyfikatu nie dłuższy niż dwa lata od wytworzenia lub wskazanej daty początkowej. W rejestrze dostępów zapisz termin, przeznaczenie i osobę odpowiedzialną za ciągłość. Odnowienie zaplanuj przed ostatnim dniem, uwzględniając nieobecności i konieczność sprawdzenia integracji.
Certyfikat wydany osobie fizycznej jest związany z jej danymi; o taki dokument wnioskuje, pobiera go i posługuje się nim ta osoba. Inny jest model certyfikatu wydanego na podmiot. Wtedy spółka odpowiada za kontrolę przekazywania i używania oraz możliwość odtworzenia, kto wykonał czynność. Nie utożsamiaj tych sytuacji ze wspólnym hasłem dla całego działu.
Token nie jest tym samym
MF opisuje token jako środek zawierający zakres uprawnień deklarowany przy jego generowaniu. Certyfikat służy uwierzytelnieniu, a zakres działania jest oceniany oddzielnie. Różnica ma znaczenie dla przeglądu dostępów, odejścia pracownika i wymiany programu. Ustal, jak dany środek jest wykorzystywany w Twoim narzędziu.
Na stronie MF, aktualizowanej 1 września 2026 r., ogłoszono zamiar bezterminowego utrzymania tokenów oraz zapowiedziano nowelizację rozporządzenia. Nie należy więc bez sprawdzenia aktualnej podstawy prawnej powtarzać starego komunikatu, że wszystkie tokeny na pewno przestaną działać 31 grudnia 2026 r. Zapowiedź rozwiązania i ogłoszony przepis trzeba odróżniać. Plan ciągłości powinien uwzględniać aktualne reguły oraz możliwości dostawcy.
Przykład przeglądu po zmianie pracownika
Osoba obsługująca faktury odchodzi z firmy. Administrator sprawdza nadane jej uprawnienia, używane poświadczenia oraz integracje. Ustala, czy klucz był osobisty, czy firmowy, i czy ktoś inny nadal ma do niego dostęp. Odbiera lub zmienia właściwe dostępy, a następnie sprawdza działanie zastępstwa. Samo odebranie służbowego laptopa nie zamyka całej sprawy.
Co powinno znaleźć się w procedurze?
- Lista podmiotów i kontekstów, dla których użytkownik działa.
- Zakres uprawnień do wystawiania, odbioru i zarządzania.
- Typ poświadczenia, jego właściciel i termin ważności.
- Sposób przechowywania kluczy oraz osoba zatwierdzająca ich użycie.
- Obsługa utraty kontroli, unieważnienia i zastępstwa.
Jeżeli dostęp ma biuro rachunkowe, ustalenia powinny obejmować także zakończenie współpracy. Przed uruchomieniem trybu offline przećwicz jego wymagania dokumentowe i oznaczenia. W bibliotece KSeF znajdziesz pozostałe procedury obiegu i obsługi błędów.
Podstawa prawna i źródła
- MF — certyfikaty KSeF, typy, tokeny i uprawnienia
- Rozporządzenie o korzystaniu z KSeF, Dz.U. 2025 poz. 1815 ze zmianą Dz.U. 2026 poz. 169
- Ustawa o VAT — tekst ujednolicony, Dz.U. 2026 poz. 1263 ze zmianami
Stan informacji: 31 października 2026 r. Przykłady objaśniają przyjęte założenia i wymagają dopasowania do rzeczywistych dokumentów.
