Certyfikat KSeF – nowe narzędzie uwierzytelniania w KSeF 2.0 od 1 listopada 2025 r.

W związku z wprowadzeniem obowiązkowego Krajowego Systemu e-Faktur (KSeF) w wersji 2.0, Ministerstwo Finansów udostępni nowe narzędzie do bezpiecznego uwierzytelniania i autoryzacji Certyfikat KSeF, który zostanie udostępniony już 1 listopada 2025 r. Warto już teraz zapoznać się z jego funkcjami, sposobem uzyskania oraz znaczeniem dla ciągłości procesów fakturowania w firmie.

Czym jest Certyfikat KSeF?

Głównym zadaniem Certyfikatu KSeF jest potwierdzenie tożsamości osoby fizycznej lub podmiotu w systemie KSeF.

Certyfikaty będą kluczowe w dwóch sytuacjach:

Uwierzytelnianie w systemie – certyfikat potrzebny będzie do bezpiecznego logowania się i autoryzowania działań w KSeF, zarówno w trybie interaktywnym, jak i poprzez API.
Ciągłość wystawiania faktur (Tryb Offline) – Certyfikat KSeF będzie wymagany przy oznaczaniu e-faktur specjalnym kodem, który potwierdza tożsamość wystawcy w przypadku awarii systemu (w trybach: offline24, offline oraz awaryjnym). Z możliwości korzystania z certyfikatu przy wystawianiu faktur w tych trybach będzie można korzystać od 1 lutego 2026 r.

Jak uzyskać certyfikat KSeF?

Na stronie internetowej Ministerstwa Finansów opublikowano szczegółową dokumentację techniczną dotyczącą sposobu wydawania i pobierania certyfikatu wystawcy faktury. Składanie wniosków i pobieranie certyfikatów będzie dostępne od 1 listopada 2025 r. za pośrednictwem Modułu Certyfikatów i Uprawnień (MCU).

Kto może wystąpić o certyfikat KSeF?

Osoby fizyczne zgłoszone w zawiadomienia ZAW-FA
Osoby fizyczne posiadające uprawnienia właścicielki,
Podatnicy niebędący osobą fizyczną posiadający uprawnienia właścicielskie, posługujący się pieczęcią elektroniczną do uwierzytelnienia KSeF.

Konieczność ponownego nadania uprawnień w module MCU wystąpi w przypadku:

osoby fizycznej, która nie została uprawniona na podstawie ZAW-FA w KSeF 1.0 do 31 października 2025 r.
podmiotu, który otrzymał uprawnienia do KSeF do 31 października 2025 r.

Po ponownym nadaniu uprawnień w module MCU osoba fizyczna lub podmiot będą mogli wystąpić o certyfikat KSeF.

Proces uzyskania certyfikatu:

Uwierzytelnienie: aby złożyć wniosek, należy być zalogowanym w KSeF jako podatnik lub osoba uprawniona. Logowanie możliwe jest przy użyciu Profilu Zaufanego, kwalifikowanego podpisu elektronicznego lub kwalifikowanej pieczęci elektronicznej.
Wniosek: we wniosku należy podać dane uwierzytelnionej osoby fizycznej lub podmiotu.
Pobranie: po pozytywnym rozpatrzeniu wniosku certyfikat zostanie wygenerowany i udostępniony do pobrania w portalu KSeF.

Ważność certyfikatów KSeF

Generowanie certyfikatów w MCU jest rozwiązaniem tymczasowym przewidzianym na okres od listopada 2025 r. do końca stycznia 2026 r.

Od lutego 2026 r. funkcjonalność wystawiania i zarządzania certyfikatami będzie dostępna bezpośrednio w API KSeF 2.0 oraz w Aplikacji Podatnika KSeF 2.0.
Wszystkie uprawnienia nadane w Module MCU zostaną automatycznie przeniesione do nowej wersji systemu.
Certyfikat KSeF będzie ważny nie dłużej niż 2 lata od daty jego wytworzenia lub od wskazanej daty początkowej.

Ponowne nadawanie uprawnień

Kluczową kwestią jest konieczność ponownego uregulowania uprawnień. Podmioty i osoby, które posiadają tzw. uprawnienia wtórne (np. pracownicy, biura rachunkowe) nadane w systemie KSeF 1.0 – czyli do 31 października 2025 r. – będą musiały ponownie wystąpić o nadanie tych uprawnień w Module KSeF MCU od 1 listopada 2025 r. Dopiero po tym kroku, będą mogły ubiegać się o certyfikat. Dotyczy to także osób fizycznych, które nie zostały uprawnione wcześniej na podstawie ZAW-FA.

Dwa typy Certyfikatów KSeF

Certyfikaty KSeF występują w dwóch niezależnych typach, generowanych osobno:

Typ Certyfikatu	Główne Zastosowanie	Funkcja
Typ 1 (Uwierzytelnianie)	Logowanie i autoryzacja w KSeF	Służy do potwierdzania tożsamości przy logowaniu. System uwzględnia uprawnienia powiązane z NIP i PESEL.
Typ 2 (Offline)	Wystawianie faktur w trybie awaryjnym	Przeznaczony wyłącznie do oznaczania faktur kodem, który pozwala potwierdzić tożsamość wystawcy w przypadku niedostępności systemu (np. w trybie offline24).

Dla ułatwienia rozróżnienia, każdy certyfikat będzie miał w nazwie (atrybut CN) dopisek „uwierzytelnianie” lub „offline”, w zależności od jego przeznaczenia.

Kody QR na fakturach KSeF

W przypadku wystawiania faktur w trybie offline (offline24, awaryjnym lub przy niedostępności systemu), każda faktura przekazywana nabywcy poza KSeF musi zawierać dwa kody QR:

KOD I – zapewnia dostęp do faktury w systemie KSeF oraz umożliwia weryfikację danych zawartych na fakturze. Zawiera informacje niezbędne do sprawdzenia poprawności dokumentu po jego przesłaniu do KSeF.
KOD II (CERTYFIKAT) – generowany wyłącznie przy użyciu Certyfikatu KSeF typu 2 (Offline). Potwierdza autentyczność pochodzenia faktury oraz aktywność certyfikatu użytego do jej wystawienia. Kod zawiera m.in. numer NIP sprzedawcy, identyfikator certyfikatu oraz unikalny skrót faktury (tzw. wyróżnik).

Certyfikat KSeF dla podmiotu a osoby fizycznej

Certyfikat może być wydany na:

Osobę fizyczną (z NIP lub PESEL).
Podmiot niebędący osobą fizyczną (np. spółkę z o.o.) identyfikowany po numerze NIP, po uprzednim uwierzytelnieniu się za pomocą kwalifikowanej pieczęci elektronicznej.

To rozwiązanie daje firmom elastyczność w zarządzaniu uprawnieniami:

Certyfikat na podmiot: Spółka może wygenerować i udostępnić pracownikom wiele certyfikatów wydanych na dane spółki. W KSeF widoczne będą wyłącznie dane spółki, co zapewnia jednolitość i ułatwia automatyzację. Odpowiedzialność za przekazywanie i zarządzanie tymi certyfikatami spoczywa na organizacji.
Certyfikat na pracownika: Jeśli certyfikaty zostaną wydane bezpośrednio na dane osobowe pracowników (działających w imieniu spółki), w systemie KSeF widoczne będą dane konkretnej osoby fizycznej wystawiającej fakturę. O taki certyfikat może wnioskować i go pobrać wyłącznie ta osoba.

Certyfikaty zamiast tokenów

Obecnie, w okresie fakultatywnego KSeF jedną z metod uwierzytelniania są tokeny. Rozwiązanie to będzie funkcjonować do 31 grudnia 2026 r. Oznacza to, że:

Od 1 lutego 2026 r. możliwe będzie równoległe korzystanie z certyfikatów KSeF oraz tokenów.
Od 1 stycznia 2027 r. tokeny zostaną całkowicie wycofane, a jedynym dopuszczalnym rozwiązaniem będą certyfikaty KSeF.

Należy pamiętać o kluczowej różnicy funkcjonalnej: token zawierał w sobie przypisane uprawnienia, podczas gdy Certyfikat KSeF pełni wyłącznie funkcję środka uwierzytelnienia, podobnie jak np. podpis kwalifikowany. Uprawnienia są zarządzane niezależnie w Module Certyfikatów i Uprawnień.

Wprowadzenie Certyfikatów KSeF to element budowy bezpiecznego i wydajnego systemu, który ma zagwarantować przedsiębiorcom ciągłość pracy nawet w niespodziewanych sytuacjach. Warto już teraz zaplanować proces migracji uprawnień i wystąpienia o nowe certyfikaty, aby uniknąć przestojów po pełnym wejściu KSeF 2.0.