KSeF Konsulting

Certyfikaty

Certyfikat KSeF

Certyfikat KSeF jest elementem operacyjnego bezpieczeństwa. Trzeba wiedzieć, do czego służy, kto go pobiera, gdzie jest używany i kiedy trzeba go unieważnić lub odnowić.

Materiał informacyjny. Nie stanowi porady podatkowej ani prawnej.

01

Czy certyfikat ma służyć uwierzytelnieniu, trybom offline, czy obu obszarom przez osobne certyfikaty.

02

Czy certyfikat ma być wydany osobie fizycznej czy podmiotowi.

03

Jak przechowywać, przekazywać i unieważniać certyfikaty.

Dla kogo

  • Dla administratorów KSeF i osób odpowiedzialnych za integracje.
  • Dla zarządów i właścicieli, którzy muszą zatwierdzić model dostępu.
  • Dla firm planujących offline24, tryb awaryjny lub automatyzację ERP.

Najpierw ustal

  • Czy certyfikat ma służyć uwierzytelnieniu, trybom offline, czy obu obszarom przez osobne certyfikaty.
  • Czy certyfikat ma być wydany osobie fizycznej czy podmiotowi.
  • Jak przechowywać, przekazywać i unieważniać certyfikaty.
  • Kto monitoruje termin ważności.

Co zrobić krok po kroku

  1. Ustal zastosowanie certyfikatu: uwierzytelnienie, offline, integracja lub procedura awaryjna.
  2. Sprawdź, kto może uwierzytelnić się w KSeF i złożyć wniosek.
  3. Zdecyduj, czy certyfikat ma być przypisany do osoby czy podmiotu.
  4. Pobierz certyfikat zgodnie z oficjalnym procesem w API KSeF 2.0 lub Aplikacji Podatnika.
  5. Zapisz certyfikat w rejestrze wraz z właścicielem, datą ważności i miejscem użycia.
  6. Przetestuj scenariusz, w którym certyfikat jest wymagany.
  7. Ustal odnowienie, unieważnienie i procedurę po zmianie pracownika.

Typ 1 i typ 2

Oficjalna strona certyfikatów KSeF rozróżnia certyfikat typu 1 do uwierzytelniania i certyfikat typu 2 do zastosowań offline. Nie można wygenerować jednego certyfikatu obejmującego oba zastosowania.

Certyfikat typu 2 jest wymagany do oznaczenia faktury kodem umożliwiającym potwierdzenie tożsamości wystawcy przy fakturach w trybach szczególnych, takich jak offline24, offline przy niedostępności i tryb awaryjny.

Ryzyka operacyjne

Największe ryzyko nie leży w kryptografii, tylko w organizacji. Firma musi wiedzieć, kto pobrał certyfikat, gdzie go zainstalowano, czy jest powiązany z osobą czy podmiotem i kiedy wygasa.

Jeżeli certyfikaty firmowe są przekazywane pracownikom, potrzebna jest rejestracja i rozliczalność operacji. Inaczej po kilku miesiącach nikt nie wie, który proces działa na którym poświadczeniu.

Najczęstsze błędy

  • Założenie, że jeden certyfikat wystarczy do każdego zastosowania.
  • Brak ewidencji certyfikatów i dat ważności.
  • Przekazywanie certyfikatu bez kontroli i rozliczalności.
  • Brak testu offline24 przed realną awarią.
  • Ignorowanie różnicy między certyfikatem osoby i podmiotu.

Rejestr certyfikatów

  • Typ certyfikatu.

  • Osoba lub podmiot, którego dotyczy.

  • Data pobrania i ważności.

  • System lub proces, w którym jest używany.

  • Osoba odpowiedzialna.

  • Procedura odnowienia i unieważnienia.

FAQ

Jak długo jest ważny certyfikat KSeF?

Oficjalna strona wskazuje, że certyfikat KSeF jest ważny nie dłużej niż 2 lata od daty wytworzenia albo od wskazanej daty początkowej obowiązywania.

Czy tokeny zostają na stałe?

Oficjalne źródło wskazuje, że od 1 lutego 2026 r. możliwe jest korzystanie z certyfikatów i tokenów, a docelowo od 1 stycznia 2027 r. mają pozostać wyłącznie certyfikaty KSeF.

Na podstawie