Czy tokeny KSeF będą działać po 2026 roku?

Tak. Ministerstwo Finansów zdecydowało o pozostawieniu tokenów w KSeF 2.0 bezterminowo, choć pierwotnie miały działać do końca 2026 r. Token pozostaje ważny do czasu jego unieważnienia, dlatego trzeba go chronić jak hasło.

Jak odebrać uprawnienia do KSeF byłemu pracownikowi lub biuru rachunkowemu?

Uprawnienia odbiera osoba, która ma uprawnienie do zarządzania uprawnieniami w kontekście firmy, np. w Aplikacji Podatnika KSeF. Przy okazji unieważnij tokeny wygenerowane na potrzeby tej osoby lub biura.

Czy odebranie uprawnień unieważnia certyfikat KSeF?

Nie. Według MF certyfikat pozostaje ważny, bo może być używany w kontekście różnych podmiotów. O dostępie do Twojej firmy decydują uprawnienia, więc to je trzeba odebrać.

Co zrobić, gdy wyciekł certyfikat KSeF lub klucz prywatny?

Unieważnij certyfikat w Aplikacji Podatnika KSeF albo przez program korzystający z API KSeF. Unieważnienie działa niezwłocznie i jest nieodwracalne, potem wnioskujesz o nowy certyfikat.

Czy mail z linkiem do faktury z KSeF to oszustwo?

Często tak - CERT Polska ostrzegał w 2026 r. przed fałszywymi powiadomieniami o nowej fakturze z KSeF, które prowadziły do złośliwego oprogramowania. Fakturę z KSeF sprawdzaj, logując się samodzielnie do systemu lub programu, a nie przez link z wiadomości.

Co robić, gdy KSeF nie działa?

Przepisy przewidują tryby offline24, offline przy niedostępności, awaryjny i awarię całkowitą. Do wystawiania faktur offline potrzebny jest certyfikat KSeF typu 2, który warto przygotować wcześniej; szczegóły rozliczeniowe ustal z księgową.

KSeF a bezpieczeństwo IT: dostęp, tokeny i uprawnienia w firmie

O KSeF pisze się zwykle z perspektywy księgowej: struktura FA(3), terminy, kody QR. Ten tekst jest o czymś innym. Od tego roku KSeF to system, do którego logujesz się Ty, Twoja księgowa i Twój program do faktur, a każdy taki dostęp to klucz, który można zgubić, skopiować albo zapomnieć odebrać.

Najpierw krótko o stanie na październik 2026, potem: kto ma dostęp, czym się loguje i gdzie to przecieka.

Ten wpis dotyczy dostępu i bezpieczeństwa IT. Terminy wystawiania faktur, rozliczenia i skutki błędów to temat dla księgowej albo doradcy podatkowego, nie dla informatyka.

KSeF w październiku 2026 - krótko

Według Ministerstwa Finansów obowiązkowy KSeF wchodzi etapami:

od 1 lutego 2026 - firmy, których sprzedaż wraz z VAT przekroczyła w 2024 r. 200 mln zł; od tej daty KSeF służy też do odbierania faktur,
od 1 kwietnia 2026 - pozostali przedsiębiorcy i inne podmioty wystawiające faktury,
od 1 stycznia 2027 - najmniejsze firmy, których miesięczna sprzedaż nie przekracza 10 tys. zł brutto.

MF zapowiedziało też, że 2026 to okres przejściowy, w którym nie są nakładane kary za błędy związane z korzystaniem z KSeF. Z punktu widzenia IT to szansa: zostało kilka tygodni, żeby uporządkować dostępy, zanim okres przejściowy się skończy. Większość firm wdrażała KSeF w pośpiechu, a w pośpiechu powstają tokeny w mailach, wspólne loginy i uprawnienia nadane „na chwilę”.

Czym logujesz się do KSeF 2.0

Od lutego działa KSeF 2.0 i to jego zasady obowiązują. Metody uwierzytelnienia są cztery:

login.gov.pl - Profil Zaufany, mObywatel, bankowość elektroniczna, e-dowód. Wygodne, ale bezpieczeństwo KSeF jest tu dokładnie takie, jak bezpieczeństwo tych kont.
Kwalifikowany podpis lub kwalifikowana pieczęć elektroniczna - spółka z pieczęcią z NIP korzysta z KSeF na podstawie uprawnień właścicielskich, bez zgłoszeń w urzędzie.
Certyfikat KSeF - nowość w wersji 2.0, wydawany przez Centrum Certyfikacji MF.
Token KSeF - ciąg znaków generowany w systemie, typowo używany przez programy do faktur i integracje.

Firma, która nie jest osobą fizyczną i nie ma pieczęci kwalifikowanej, przed rozpoczęciem korzystania z KSeF składa w urzędzie skarbowym zawiadomienie ZAW-FA, wskazując osobę uprawnioną. Przedsiębiorca na JDG dostaje uprawnienia właścicielskie automatycznie.

Certyfikat KSeF - dwa typy, dwa różne ryzyka

Typ 1 (uwierzytelnianie) - służy do logowania; po zalogowaniu działasz w zakresie nadanych uprawnień.
Typ 2 (offline) - służy do opatrywania faktur wystawianych w trybach offline kodem QR potwierdzającym tożsamość wystawcy.

Certyfikat jest ważny maksymalnie 2 lata, a o certyfikat z danymi osoby fizycznej może wnioskować wyłącznie ta osoba. Ważniejsze jest jednak co innego: certyfikat działa w parze z kluczem prywatnym, który zostaje po Twojej stronie. Kto ma plik z kluczem i hasło do niego, ten w KSeF jest Tobą. W przypadku certyfikatu typu 2 oznacza to także możliwość opatrzenia dokumentu kodem „CERTYFIKAT”, który wygląda na Twój.

Dobra wiadomość: certyfikat da się unieważnić przez Aplikację Podatnika KSeF albo przez program korzystający z API. Procedura MF wprost wymienia sytuacje, w których należy to zrobić: utrata nośnika z kluczem, ujawnienie klucza, incydent bezpieczeństwa mogący skutkować ujawnieniem. Unieważnienie działa niezwłocznie i jest nieodwracalne, więc potem wnioskujesz o nowy certyfikat.

Tokeny - zostają na dłużej, niż planowano

Pierwotnie tokeny miały działać do końca 2026 r. Ministerstwo zmieniło zdanie i zdecydowało o pozostawieniu tej metody w KSeF 2.0 bezterminowo. Dla bezpieczeństwa to ważne z dwóch powodów:

token zawiera uprawnienia zadeklarowane przy jego generowaniu,
według aktualnych zasad token pozostaje ważny do czasu unieważnienia przez użytkownika.

Innymi słowy: token to hasło bez drugiego składnika i bez daty ważności. W czerwcu 2026 MF konsultowało propozycję, by tokenom można było ustawiać ważność od 1 do 365 dni - na dziś traktuj to jako zapowiedź, nie obowiązujące rozwiązanie.

Kto ma dostęp - model uprawnień

Uprawnienia w KSeF nadaje właściciel (albo osoba wskazana w ZAW-FA) lub ktoś, komu nadano uprawnienie do zarządzania uprawnieniami. Kilka zasad, które warto znać:

Uprawnienia są rozdzielne. Można nadać samo wystawianie faktur albo samo przeglądanie. Pracownik od sprzedaży nie musi widzieć faktur kosztowych.
Biuro rachunkowe może dostać uprawnienie jako podmiot, z opcją delegowania go na swoich pracowników. Biuro nie nada jednak uprawnień Twoim pracownikom ani innym podmiotom.
Odebrać uprawnienia może wyłącznie osoba uprawniona do zarządzania uprawnieniami w kontekście danej firmy.
Odebranie uprawnień nie unieważnia certyfikatu. Certyfikat to tożsamość osoby, a nie dostęp do Twojej firmy. Zamknięciem drzwi jest więc odebranie uprawnień, a nie czekanie, aż certyfikat wygaśnie.
Z KSeF 1.0 do 2.0 przeszły tylko uprawnienia z ZAW-FA i właścicielskie. Jeśli ZAW-FA złożono lata temu i wskazana w nim osoba już u Ciebie nie pracuje, to sprawa do pilnego wyjaśnienia. Formalności ustal z księgową.

Gdzie to najczęściej pęka

Token albo certyfikat w pliku na pulpicie lub w mailu

„token_ksef.txt” na pulpicie, klucz prywatny w Pobranych, token wysłany mailem do biura. Każda z tych kopii żyje dalej: w backupie, w archiwum poczty, na laptopie oddanym do serwisu. A skrzynka pocztowa to najczęściej przejmowane konto w małej firmie.

Jeden wspólny dostęp dla wszystkich

Jeden token dla pięciu osób albo certyfikat właściciela „bo tak było szybciej”. Efekt: nie wiesz, kto co wystawił, a odebranie dostępu jednej osobie to wymiana klucza wszystkim. Te same zasady, które opisywaliśmy przy menedżerze haseł dla firmy, działają tu jeden do jednego: konta imienne, dostęp przypisany do roli.

Były pracownik albo były biuro z aktywnym uprawnieniem

Zmiana biura to wypowiedzenie umowy i przekazanie dokumentów. O uprawnieniach w KSeF i tokenach wygenerowanych przez biuro nikt nie pamięta. Z pracownikami tak samo: konto w domenie zablokowane, uprawnienie w KSeF zostało.

Program do faktur na zaniedbanym komputerze

Token wpisany w program do faktur leży gdzieś na dysku. Jeśli ten komputer ma wyłączone aktualizacje i konto z prawami administratora, bezpieczeństwo KSeF w Twojej firmie jest dokładnie na poziomie tego komputera. Złośliwe oprogramowanie nie musi łamać systemu MF, wystarczy, że przeczyta konfigurację programu.

Phishing „masz nową fakturę w KSeF”

W kwietniu 2026 CERT Polska ostrzegał przed kampanią wymierzoną w użytkowników KSeF: fałszywe powiadomienia o nowej fakturze z linkiem, który zamiast faktury pobierał złośliwe oprogramowanie. Przestępcy liczą na to, że powiadomienia o fakturach klika się odruchowo.

Zasada jest prosta: faktura ustrukturyzowana trafia do nabywcy w KSeF, więc żeby ją zobaczyć, nie musisz klikać w link z maila. Wchodzisz do systemu sam - przez swój program albo adres wpisany ręcznie lub zapisany w zakładkach - i tam sprawdzasz. Podejrzane wiadomości zgłaszaj przez incydent.cert.pl albo w mObywatelu. Jeśli chcesz, żeby nawet udany phishing nie kończył się przejęciem konta, zajrzyj do rankingu metod MFA.

Co, gdy KSeF nie działa

Ustawa przewiduje tryby szczególne. W skrócie, według materiałów MF:

tryb                     przesłanka                      dosłanie do KSeF
offline24                np. brak internetu, z wyboru    najpóźniej następny dzień roboczy
offline - niedostępność  ogłoszona w BIP MF              1 dzień roboczy po jej zakończeniu
awaryjny                 awaria ogłoszona w BIP MF       7 dni roboczych po jej zakończeniu
awaria całkowita         ogłoszona w mediach             faktur się nie przesyła

Szczegóły rozliczeniowe zostaw księgowej. Dla IT ważne jest jedno: w trybach offline faktury opatruje się kodem QR wystawcy, do czego potrzebny jest certyfikat typu 2. Jeśli zaczniesz go szukać w dniu awarii, jest za późno. Przygotuj go wcześniej, sprawdź, że program do faktur go obsługuje, i trzymaj go tak samo starannie jak certyfikat do logowania. Aktualny stan systemu MF publikuje w komunikatach technicznych na ksef.podatki.gov.pl.

Checklista dla firmy i biura rachunkowego

Inwentaryzacja. Spisz, kto ma uprawnienia w KSeF, jakie tokeny i certyfikaty są aktywne, kto jest wskazany w ZAW-FA i jakie programy łączą się z KSeF.
Zasada najmniejszych uprawnień. Wystawianie tylko dla tych, którzy wystawiają. Przeglądanie tylko dla tych, którzy muszą widzieć. Zarządzanie uprawnieniami - jedna, najwyżej dwie osoby.
Osobny token dla każdego programu i integracji, z minimalnym zakresem uprawnień. Gdy wycieknie jeden, unieważniasz jeden.
Przegląd co kwartał. Porównaj listę uprawnień i tokenów z listą osób, które faktycznie pracują i współpracują z firmą.
Odbieranie dostępu przy odejściu. Pracownik lub biuro rachunkowe kończy współpracę - tego samego dnia odbierasz uprawnienia w KSeF i unieważniasz tokeny wygenerowane na ich potrzeby. Dopisz ten punkt do procedury offboardingu obok blokady poczty.
Przechowywanie sekretów. Tokeny, klucze prywatne i hasła do nich trzymaj w firmowym menedżerze haseł albo w sejfie, nigdy na pulpicie, w mailu czy na komunikatorze. Przekazanie tokenu biuru - przez menedżer haseł lub w ogóle bez przekazywania: niech biuro działa na własnym uprawnieniu.
Stacje robocze. Komputery z programem do faktur: aktualny system i program, konto bez praw administratora, szyfrowanie dysku, MFA na poczcie i na kontach, z których loguje się do KSeF.
Certyfikat offline gotowy przed awarią i sprawdzony w programie.
Własna kopia danych. KSeF przechowuje faktury przez 10 lat. Czy i jak długo musisz trzymać je sam, ustal z księgową. Z perspektywy IT warto mieć kopię w programie lub ERP i w backupie, bo dostępność systemu MF to nie to samo co Twój dostęp do niego.
Logi po Twojej stronie. Program do faktur, menedżer haseł i logowania do stacji powinny pozwolić odtworzyć, kto i kiedy korzystał z KSeF.

Biuro rachunkowe obsługuje dziesiątki klientów, więc wyciek po jego stronie dotyka wielu firm naraz. Dla biura punkty 2-7 to warunek zaufania klientów, nie tylko dobra praktyka. A jeśli Twoja firma lub biuro podlega pod NIS2, kontrola dostępu i tak jest na liście obowiązkowych środków.

Uporządkujmy to, zanim zrobi się nerwowo

KSeF nie jest groźniejszy niż bankowość elektroniczna. Problem w tym, że dostęp do niego często powstał w pośpiechu i nikt go potem nie przejrzał. Jeśli chcesz sprawdzić, kto dziś ma klucze do Twoich faktur, gdzie leżą tokeny i czy komputery z programem do faktur są w porządku, zobacz nasze usługi bezpieczeństwa albo zamów audyt IT. Działamy w Krakowie i zdalnie.