Do KSeF nie loguje się „firma”. Loguje się konkretna osoba albo uwierzytelniony system, a dopiero potem wybiera podmiot, w którego imieniu ma działać. To rozróżnienie jest najważniejsze: Profil Zaufany, mObywatel czy podpis kwalifikowany potwierdzają tożsamość użytkownika, ale nie nadają mu automatycznie prawa do faktur spółki.
Dlatego poprawne przejście ekranu logowania nie oznacza jeszcze, że KSeF został wdrożony. Możesz wejść do aplikacji, a mimo to nie widzieć właściwego NIP-u, nie mieć prawa do wystawiania faktur albo nie móc nadać dostępu księgowej. W praktyce najpierw trzeba uporządkować reprezentację i uprawnienia, a dopiero później podłączać program księgowy, ERP lub automatyczną wysyłkę dokumentów.
Kto może wejść do KSeF w imieniu firmy
Najprostsza sytuacja dotyczy właściciela jednoosobowej działalności gospodarczej. Osoba fizyczna prowadząca firmę ma uprawnienia właścicielskie powiązane ze swoim NIP-em. Po potwierdzeniu tożsamości może wybrać kontekst działalności, przeglądać faktury, wystawiać dokumenty i nadawać dostęp kolejnym osobom.
W spółkach, fundacjach, stowarzyszeniach, wspólnotach i innych podmiotach niebędących osobami fizycznymi działa to inaczej. Sam fakt, że ktoś jest prezesem albo członkiem zarządu wpisanym do KRS, nie powoduje automatycznego nadania dostępu do KSeF.
Podmiot ma dwie podstawowe drogi uruchomienia dostępu:
- użycie kwalifikowanej pieczęci elektronicznej zawierającej NIP podmiotu,
- wskazanie osoby fizycznej za pomocą formularza ZAW-FA, gdy podmiot nie może uwierzytelnić się właściwą pieczęcią.
ZAW-FA składa się do właściwego naczelnika urzędu skarbowego. Osoba wskazana w formularzu otrzymuje możliwość działania w KSeF w imieniu podmiotu i może następnie nadawać uprawnienia kolejnym użytkownikom. To powinna być osoba świadomie wybrana przez zarząd, a nie pracownik wskazany tylko dlatego, że zajmuje się komputerami.
Uprawnienia administratora KSeF dają realną kontrolę nad obiegiem faktur. Taka osoba może decydować, kto wystawia dokumenty, kto je pobiera i kto uzyskuje dalszy dostęp. Błąd na tym etapie potrafi zatrzymać sprzedaż albo pozostawić byłemu pracownikowi możliwość działania w systemie.
Przed pierwszym logowaniem trzeba więc ustalić role:
- właściciel, zarząd lub administrator KSeF – zarządza dostępami,
- sprzedaż – wystawia faktury,
- księgowość – przegląda i pobiera dokumenty,
- biuro rachunkowe – wykonuje czynności objęte umową,
- program księgowy lub ERP – działa przy użyciu certyfikatu albo innej obsługiwanej metody uwierzytelnienia.
Nie należy nadawać wszystkim pełnych uprawnień „na wszelki wypadek”. Handlowiec wystawiający faktury nie potrzebuje prawa do zmiany administratora, a firma informatyczna konfigurująca integrację nie musi widzieć treści wszystkich dokumentów kosztowych.
Drugi częsty błąd jest odwrotny: prezes potrafi się zalogować, więc firma uznaje, że KSeF działa. Dopiero przy pierwszej fakturze okazuje się, że sprzedaż nie ma prawa jej wysłać, a biuro rachunkowe nie widzi dokumentów zakupowych. Dostęp jednej osoby nie jest testem całego procesu.
Logowanie do KSeF krok po kroku
Do ręcznej obsługi systemu służy bezpłatna Aplikacja Podatnika KSeF 2.0 Ministerstwa Finansów. Pozwala między innymi wystawiać, odbierać i przeglądać e-Faktury, zarządzać uprawnieniami, generować tokeny w okresie przejściowym oraz wnioskować o certyfikaty KSeF.
Pierwsze logowanie najlepiej wykonać właśnie w aplikacji Ministerstwa Finansów, nawet jeśli firma docelowo zamierza korzystać z programu Comarch ERP, enova365, Symfonii, wFirma, inFaktu albo innego systemu zintegrowanego z API. Dzięki temu od razu wiadomo, czy problem wynika z uprawnień w KSeF, czy z konfiguracji zewnętrznego oprogramowania.
Procedura wygląda następująco:
- Wejdź na oficjalną stronę KSeF i wybierz „Zaloguj się do KSeF”.
- Wybierz metodę uwierzytelnienia.
- Potwierdź swoją tożsamość albo tożsamość podmiotu.
- Wybierz właściwy kontekst, czyli NIP podatnika, w którego imieniu chcesz działać.
- Po wejściu sprawdź listę posiadanych uprawnień.
- Zweryfikuj, czy możesz wykonać czynności potrzebne na swoim stanowisku.
Osoba fizyczna może skorzystać z login.gov.pl, a w jego ramach między innymi z:
- aplikacji mObywatel,
- Profilu Zaufanego,
- e-dowodu,
- bankowości elektronicznej obsługującej login.gov.pl.
Możliwe jest także uwierzytelnienie kwalifikowanym podpisem elektronicznym. Podmioty posiadające odpowiednią pieczęć mogą korzystać z kwalifikowanej pieczęci elektronicznej.
Najwięcej problemów pojawia się po potwierdzeniu tożsamości, przy wyborze kontekstu. Jeżeli na liście nie ma NIP-u spółki, ponowne logowanie, czyszczenie plików przeglądarki czy zmiana komputera zwykle niczego nie naprawią. Najpierw sprawdź:
- czy osoba rzeczywiście otrzymała uprawnienie,
- czy dostęp przypisano do prawidłowego numeru PESEL lub NIP,
- czy formularz ZAW-FA został poprawnie przetworzony,
- czy używany podpis lub pieczęć zawiera dane pozwalające powiązać użytkownika z podmiotem,
- czy logowanie odbywa się we właściwym środowisku.
KSeF 2.0 działa w kilku środowiskach. Produkcja służy do rzeczywistego obiegu faktur. Środowisko Demo, czyli przedprodukcyjne, pozwala ćwiczyć procesy bez skutków podatkowych. Środowisko testowe jest przeznaczone głównie do sprawdzania integracji technicznych i nie musi odwzorowywać wszystkich metod dostępnych w produkcji.
Nie wysyłaj próbnej faktury do przypadkowego kontrahenta w środowisku produkcyjnym. Dokument przyjęty przez KSeF otrzymuje numer systemowy i wchodzi do prawdziwego obiegu. Nie da się go później usunąć jak szkicu z programu fakturowego. Błąd zazwyczaj trzeba naprawić fakturą korygującą.
Rzetelny test powinien obejmować przynajmniej trzy działania:
- pracownik sprzedaży wysyła fakturę,
- księgowość odnajduje ją i pobiera,
- biuro rachunkowe widzi dokumenty w uzgodnionym zakresie.
Dopiero po takim sprawdzeniu należy uruchamiać automatyczną wysyłkę z programu księgowego. Wcześniej trudno rozstrzygnąć, czy ewentualny błąd leży w KSeF, uprawnieniach, certyfikacie, czy integracji dostawcy oprogramowania.
Certyfikat, token i zakres dostępu
Profil Zaufany, mObywatel i podpis kwalifikowany sprawdzają się przy ręcznym logowaniu człowieka. Nie są jednak dobrym mechanizmem dla programu, który ma bez udziału użytkownika wysyłać setki faktur, pobierać dokumenty co godzinę albo obsługiwać kilka oddziałów. W takich procesach podstawowym rozwiązaniem jest certyfikat KSeF.
Certyfikat można uzyskać w Aplikacji Podatnika KSeF 2.0 lub za pośrednictwem oprogramowania obsługującego odpowiednią funkcję API. Jest cyfrowym kluczem pozwalającym aplikacji lub użytkownikowi działać w określonym kontekście. Firma musi pilnować nie tylko miejsca jego instalacji, ale również terminu ważności i procedury wymiany.
Sam certyfikat nie powinien być traktowany jak nieograniczone konto administratora. To mechanizm uwierzytelnienia aplikacji lub użytkownika w określonym kontekście. O tym, co można zrobić po zalogowaniu, nadal decydują nadane uprawnienia.
W rejestrze firmowym powinny znaleźć się co najmniej następujące informacje:
- kto zawnioskował o certyfikat,
- dla jakiego podmiotu i procesu został wydany,
- w którym programie jest używany,
- kiedy wygasa,
- gdzie przechowywana jest jego kopia,
- kto odpowiada za jego unieważnienie.
Certyfikat zapisany we wspólnym folderze, przesłany zwykłym e-mailem albo skopiowany na kilka komputerów bez ewidencji jest poważnym ryzykiem. Plik i zabezpieczające go hasło powinny być przechowywane oddzielnie, a dostęp ograniczony do osób oraz systemów, które rzeczywiście go potrzebują.
KSeF 2.0 obsługuje również tokeny KSeF, ale przy nowym wdrożeniu nie należy opierać całego procesu wyłącznie na tym mechanizmie. Najpierw sprawdź, czy dostawca programu prawidłowo obsługuje certyfikaty KSeF, ich odnawianie i unieważnianie.
Trzeba też odróżnić token KSeF od technicznego tokenu dostępowego używanego w komunikacji z API. Dla użytkownika biznesowego najważniejsze jest to, jaki mechanizm zapisuje w programie księgowym i jakie uprawnienia zostały z nim powiązane.
Dostęp można ograniczyć między innymi do:
- wystawiania faktur,
- przeglądania i pobierania faktur,
- zarządzania uprawnieniami,
- nadawania dalszych uprawnień,
- działania w szczególnym modelu, na przykład jako podmiot zewnętrzny, jednostka podrzędna albo przedstawiciel podatkowy.
Nie każda księgowa musi wystawiać faktury sprzedażowe. Nie każdy handlowiec powinien widzieć pełne koszty firmy. Administrator serwera nie potrzebuje automatycznie prawa do odczytu dokumentów. Uprawnienia należy wiązać z czynnością, a nie z nazwą stanowiska.
Po odejściu pracownika lub zakończeniu współpracy z biurem rachunkowym samo usunięcie konta w programie finansowo-księgowym nie wystarcza. Trzeba również:
- odebrać uprawnienia zapisane bezpośrednio w KSeF,
- unieważnić certyfikaty używane przez tę osobę lub aplikację,
- usunąć albo dezaktywować tokeny,
- sprawdzić, czy użytkownik nie miał prawa do dalszego nadawania dostępów,
- zmienić dane dostępowe w systemach, w których przechowywano kopie certyfikatów.
FAQ: logowanie do KSeF
Czy do KSeF można zalogować się Profilem Zaufanym?
Tak. Można użyć login.gov.pl, a w jego ramach Profilu Zaufanego, aplikacji mObywatel, e-dowodu lub obsługiwanej bankowości elektronicznej.
Czy członek zarządu automatycznie widzi faktury spółki?
Nie. Sam wpis w KRS nie nadaje dostępu. Spółka musi użyć odpowiedniej kwalifikowanej pieczęci elektronicznej albo wskazać osobę przez ZAW-FA.
Dlaczego po zalogowaniu nie widzę NIP-u spółki?
Najczęściej nie nadano Ci uprawnienia, przypisano je do niewłaściwego identyfikatora albo podmiot nie uruchomił dostępu za pomocą pieczęci lub ZAW-FA.
Czy po zalogowaniu można od razu wystawiać faktury?
Tylko wtedy, gdy użytkownik ma uprawnienie do wystawiania. Poprawne potwierdzenie tożsamości nie zastępuje autoryzacji.
Czy Aplikacja Podatnika KSeF 2.0 jest płatna?
Nie. Narzędzie Ministerstwa Finansów jest bezpłatne. Koszty mogą dotyczyć komercyjnego programu, podpisu kwalifikowanego, pieczęci elektronicznej, integracji albo obsługi wdrożenia.
Czy potrzebuję programu księgowego?
Nie. Faktury można obsługiwać bezpośrednio w bezpłatnych narzędziach Ministerstwa Finansów. Program komercyjny staje się przydatny przy większej liczbie dokumentów, pracy wielu użytkowników i automatyzacji.
Czy fakturę wysłaną do produkcyjnego KSeF można usunąć?
Nie. Dokumentu przyjętego przez system nie kasuje się jak wersji roboczej. Błąd trzeba rozliczyć zgodnie z przepisami, zwykle przez fakturę korygującą.
Czy biuro rachunkowe może korzystać z KSeF klienta?
Tak, po otrzymaniu właściwych uprawnień. Dostęp powinien obejmować tylko czynności wynikające z umowy, na przykład pobieranie dokumentów lub wystawianie określonych faktur.
Czy token warto wybrać do nowej integracji?
Nie jako jedyne rozwiązanie docelowe. Przy nowym wdrożeniu priorytetem powinna być obsługa certyfikatów KSeF.
Zacznij od zalogowania osoby, która ma zarządzać dostępami, i sprawdź, czy widzi właściwy NIP oraz panel uprawnień. Następnie nadaj ograniczony dostęp jednej osobie ze sprzedaży i jednej osobie z księgowości. Nie konfiguruj automatycznej integracji, dopóki pierwsza osoba nie potrafi wysłać faktury, a druga jej odnaleźć. Program księgowy nie naprawi braku reprezentacji ani błędnie nadanych uprawnień — najpierw trzeba usunąć problem bezpośrednio w KSeF.
