Dostęp do KSeF: logowanie, uprawnienia, certyfikat i token

Do KSeF wchodzi się po uwierzytelnieniu: przez węzeł krajowy (login.gov.pl), podpisem kwalifikowanym, pieczęcią kwalifikowaną albo certyfikatem KSeF. Przedsiębiorca prowadzący jednoosobową działalność ma, według ministerstwa, uprawnienia właścicielskie nadane automatycznie na podstawie NIP; spółka bez pieczęci kwalifikowanej składa zawiadomienie ZAW-FA do urzędu skarbowego.

Kto może korzystać z KSeF

Zgodnie z art. 106nb ustawy o VAT z KSeF mogą korzystać: podatnik, podmioty przez niego wskazane, organy wykonawcze i osoby wskazane przez nie, osoby fizyczne wskazane w zawiadomieniu o nadaniu uprawnień oraz podmioty wskazane przez te osoby, jeśli ich uprawnienia na to pozwalają. Wszystkie muszą być uwierzytelnione.

Jak się uwierzytelnić

Rozporządzenie (§ 6 ust. 1) wymienia cztery sposoby:

1. środek identyfikacji elektronicznej węzła krajowego,
2. kwalifikowany podpis elektroniczny,
3. kwalifikowana pieczęć elektroniczna,
4. certyfikat KSeF, tworzony po uwierzytelnieniu jednym z trzech poprzednich sposobów.

Pierwszy sposób obowiązuje od 14 lutego 2026; wcześniejszy podpis zaufany z rozporządzenia z 2021 r. był dopuszczony do 13 lutego 2026 (§ 13 ust. 1 pkt 2 i § 15 pkt 2). Według ministerstwa węzeł krajowy obejmuje mObywatela, bankowość elektroniczną, e-dowód i profil zaufany. Starsze opisy, które mówią o samym „podpisie zaufanym”, trzeba czytać z tą poprawką.

Uprawnienia

Rodzaje uprawnień według rozporządzenia (§ 3 ust. 1): nadawanie i odbieranie uprawnień, wystawianie faktur albo dostęp do nich, samofakturowanie przez nabywcę oraz faktury VAT RR. Uprawnienia nadaje się w programie interfejsowym; podaje się NIP podatnika, a dla osoby NIP albo PESEL (w braku: datę urodzenia i dokument tożsamości), imię i nazwisko oraz rodzaj uprawnienia (§ 4).

Jednoosobowa działalność: według ministerstwa uprawnienia właścicielskie są nadawane automatycznie na podstawie NIP, bez dodatkowych formalności, a zalogować się można profilem zaufanym albo podpisem kwalifikowanym.

Spółka bez pieczęci kwalifikowanej: ZAW-FA

Podmiot niebędący osobą fizyczną, który nie może uwierzytelnić się pieczęcią kwalifikowaną, nadaje i odbiera uprawnienia zawiadomieniem do naczelnika właściwego urzędu skarbowego (§ 5 ust. 1). Zawiadomienie zawiera NIP, adres e-mail (obowiązkowo), telefon (dobrowolnie), dane osoby i podpis; wzór to ZAW-FA(3) w załączniku do rozporządzenia.

Tą drogą uprawnienia do nadawania i odbierania uprawnień oraz do wystawiania faktur i dostępu do nich może mieć tylko jedna osoba fizyczna; wskazanie innej wymaga odebrania uprawnień poprzedniej (§ 5 ust. 3). Ta osoba nadaje potem inne uprawnienia już w KSeF. Według ministerstwa urząd wprowadza uprawnienia po weryfikacji i potwierdza to e-mailem. Podpis lub pieczęć kwalifikowaną bez NIP i PESEL można wykorzystać po zgłoszeniu ich skrótu SHA-256 zawiadomieniem ZAW-FA (§ 6 ust. 4 i 5).

Certyfikat KSeF

Certyfikat KSeF jest ważny najwyżej 2 lata od utworzenia (albo od wybranej daty początkowej) i można go odnowić w czasie ważności (§ 6 ust. 2). Według ministerstwa są dwa rodzaje: do uwierzytelniania i do drugiego kodu QR faktur w trybie offline; ten drugi jest potrzebny przy wystawianiu faktur offline24.

Tokeny

Według rozporządzenia token (ciąg znaków alfanumerycznych) może służyć do uwierzytelniania się w KSeF do 31 grudnia 2026 r.; logowanie tokenem nie pozwala utworzyć certyfikatu KSeF (§ 13 ust. 1 pkt 1 i ust. 2). Ministerstwo zapowiada w pytaniach i odpowiedziach, że tokeny bezterminowo pozostaną metodą uwierzytelniania w KSeF 2.0 i że rozporządzenie zostanie w tym zakresie zmienione; do 3 listopada 2026 r. takiej zmiany nie ogłoszono w Dzienniku Ustaw. Według ministerstwa tokeny z KSeF 1.0 nie działają w KSeF 2.0, a program komercyjny może pracować na tokenie wygenerowanym przez osobę z uprawnieniami.

Następny krok: Jak wystawić fakturę w KSeF i Jak odebrać fakturę z KSeF.