Jak bezpiecznie przekazać dostęp do KSeF nowej księgowej - instrukcja krok po kroku

Token, Profil Zaufany czy pieczęć - czym faktycznie dzielisz się z księgową?

AITekst opracowany z wykorzystaniem sztucznej inteligencji. Zasady i ograniczenia

Uwierzytelnienie w Krajowym Systemie e-Faktur wymaga zrozumienia różnicy między metodami autoryzacji a faktycznym zakresem władztwa nad danymi finansowymi firmy. Token KSeF nie jest tożsamy ze standardowym hasłem do skrzynki pocztowej; w rzeczywistości stanowi on klucz prywatny RSA 2048-bit generowany jednorazowo wewnątrz systemu. Posiadanie kopii tego tokenu przez podmiot trzeci daje mu pełnię uprawnień do operowania na koncie podatnika bez możliwości bieżącej kontroli poszczególnych akcji w czasie rzeczywistym. To tak, jakbyś oddał komuś kartę SIM z aktywną i odblokowaną bankowością mobilną. Zgodnie z § 6 rozporządzenia Ministra Finansów z dnia 29 listopada 2021 r. w sprawie korzystania z Krajowego Systemu e-Faktur (Dz.U. 2021 poz. 2181), token nie podlega udostępnieniu osobom trzecim, co oznacza, że jego niefrasobliwe przekazanie może zostać uznane za naruszenie procedur bezpieczeństwa.

Wybór metody uwierzytelnienia determinuje rozkład odpowiedzialności karnej i skarbowej pomiędzy przedsiębiorcą a biurem rachunkowym. Profil Zaufany jest przypisany do konkretnej osoby fizycznej, co sprawia, że każda czynność wykonana przy jego użyciu jest trwale powiązana z tożsamością użytkownika, jednakże art. 106v § 3 ustawy o VAT przenosi ostateczną odpowiedzialność za rzetelność dokumentacji na podatnika. Z kolei pieczęć kwalifikowana pozwala narzucić precyzyjny zakres działań, ograniczając operacje wyłącznie do tych, które są zgodne z treścią certyfikatu, co stanowi wyższy poziom zabezpieczenia procesowego.

Jeśli zależy Ci na skutecznym rozdzieleniu odpowiedzialności za błędy w fakturowaniu, wybierz pieczęć z certyfikatem ograniczonym wyłącznie do operacji w KSeF. Należy pamiętać, że token nie posiada funkcji „view-only” - każdy, kto wejdzie w jego posiadanie, uzyskuje technologiczną możliwość wystawiania oraz anulowania faktur. Sugeruje się, aby nigdy nie przesyłać wygenerowanego tokenu za pośrednictwem poczty elektronicznej; bezpieczniejszym rozwiązaniem jest użycie szyfrowanego menedżera haseł, takiego jak Bitwarden Send z ustawioną 1-dniową ważnością linku.

Scenariusz 1: Bezpieczne nadanie uprawnień w 6 minut

Proces nadawania uprawnień nowej księgowej w strukturze KSeF powinien odbywać się poprzez oficjalny panel administracyjny, co eliminuje konieczność fizycznego przekazywania danych logowania. W celu rozpoczęcia procedury należy przejść ścieżkę: KSeF → Uprawnienia → Dodaj osobę → Wpisz NIP księgowej (lub jej firmy). Niezbędne jest zweryfikowanie, czy podany NIP jest zgłoszony jako podmiot uprawniony w Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG) lub Krajowym Rejestrze Sądowym (KRS). System wymaga precyzyjnego wskazania podmiotu, któremu delegujemy kompetencje do zarządzania fakturami ustrukturyzowanymi.

Wybór zakresu dostępu jest momentem krytycznym dla bezpieczeństwa danych finansowych. Zamiast nadawania pełnych uprawnień, należy ograniczyć się do niezbędnego minimum. Rekomenduje się podział na trzy poziomy: (a) odbiór faktur, (b) wystawianie faktur oraz (c) zarządzanie kontem. Dla standardowej obsługi księgowej optymalnym rozwiązaniem jest zaznaczenie opcji (a) oraz (b), przy jednoczesnym pozostawieniu uprawnień administracyjnych (c) wyłącznie po stronie właściciela firmy. Należy odnotować, iż zakres uprawnień można rozszerzyć w każdej chwili, natomiast jego ograniczenie po fakcie wystąpienia incydentu nie zniweluje skutków prawnych podjętych działań.

Po zdefiniowaniu ról system umożliwia wygenerowanie linku aktywacyjnego. Należy kliknąć przycisk „Generuj link”, ustawić jego ważność na maksymalnie 24 godziny i przesłać go do kontrahenta za pomocą bezpiecznego komunikatora, takiego jak Signal lub poczta Proton. Przykładowy szablon wiadomości powinien brzmieć: „Otrzymasz link ważny 24 h - po kliknięciu ustaw własne hasło i uwierzytelnienie dwuskładnikowe (2FA)”. Warto podkreślić, że formularz ZAW-FA nie jest wymagany przy elektronicznym nadaniu uprawnień, a sam link aktywacyjny można unieważnić w dowolnym momencie bez podawania pisemnego uzasadnienia. Sugeruje się wydrukowanie potwierdzenia nadania uprawnień i archiwizację dokumentu w teczce „KSeF - upoważnienia” na potrzeby ewentualnej kontroli ze strony Krajowej Administracji Skarbowej (KAS).

Scenariusz 2: Co zrobić, jeśli księgowa już pracuje i potrzebuje tokena?

W sytuacjach wymuszających przekazanie tokenu, na przykład przy integracji zewnętrznego systemu ERP, należy zastosować procedurę minimalizującą ryzyko przechwycenia klucza. Pierwszym krokiem powinno być wstrzymanie wszystkich operacji na 15 minut poprzez utworzenie tzw. „okna przekazania”. W panelu KSeF administrator ma możliwość wybrania funkcji „Zawieś możliwość wystawiania”. Blokuje to opcję generowania dokumentów z datą bieżącą, co chroni strukturę przed pojawieniem się nieautoryzowanych faktur w trakcie trwania procesu transferu danych. Funkcja ta jest dostępna wyłącznie dla poziomu administratora i pozostaje niewidoczna dla standardowego profilu księgowego.

1. Wyeksportuj token jako plik .p12, zabezpieczając go unikalnym hasłem o długości minimum 32 znaków.
2. Umieść plik w zaszyfrowanym archiwum ZIP (standard AES-256) z wykorzystaniem osobnego hasła dostępu.
3. Hasło do archiwum prześlij kanałem innym niż sam plik (np. poprzez SMS lub Signal).
4. Wymuś na użytkowniku zmianę hasła tokenu niezwłocznie po pierwszym skutecznym uwierzytelnieniu.

Dla zaawansowanych użytkowników zaleca się użycie narzędzi konsolowych w celu dodatkowego zabezpieczenia pliku. Przykład komendy OpenSSL do szyfrowania: openssl enc -aes-256-cbc -salt -in token.p12 -out token.p12.aes. Po zakończeniu konfiguracji po stronie biura rachunkowego, administrator winien zweryfikować poprawność operacji w sekcji „Logi audytu” (KSeF → Raporty → Logi). Pierwsze logowanie powinno zostać udokumentowane raportem w formacie CSV, zawierającym dane takie jak data, identyfikator użytkownika, rodzaj operacji, adres IP oraz User-Agent przeglądarki. Należy pamiętać, że KSeF nie wysyła automatycznych powiadomień o eksporcie tokenu, a raporty audytu są dostępne do pobrania maksymalnie za ostatnie 90 dni działalności.

RODO i KSeF - jak nie wpaść na 10 tys. zł mandatu?

Przetwarzanie danych w Krajowym Systemie e-Faktur opiera się na art. 6 ust. 1 lit. c RODO, co oznacza, że jest ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Jednakże zasada minimalizacji danych nakłada na przedsiębiorcę obowiązek ograniczania wpisów w polach opcjonalnych faktury ustrukturyzowanej XML. Dane wrażliwe, takie jak numer PESEL, powinny być wpisywane wyłącznie w sytuacjach, gdy faktura dotyczy zwrotu podatku VAT dla osoby fizycznej i tylko w polu „Dodatkowe informacje”, które jest oznaczone jako RODO-sensitive. Nieuzasadnione gromadzenie danych adresowych kontrahentów w miejscach do tego nieprzeznaczonych może naruszać art. 9 RODO.

Relacja z biurem rachunkowym w dobie KSeF wymaga aktualizacji umowy powierzenia przetwarzania danych osobowych. Aneks powinien zawierać precyzyjne zapisy dotyczące faktur ustrukturyzowanych. Przykładowy fragment brzmi: „§ 4a. Powierzone dane obejmują wyłącznie informacje zawarte w fakturach ustrukturyzowanych przekazywanych przez KSeF. Okres przechowywania wynosi 10 lat od daty wystawienia faktury, zgodnie z art. 106k ustawy o VAT”. Brak takiej umowy z księgową stanowi podstawę do nałożenia mandatu w wysokości do 10 000 zł (art. 83 ust. 4 RODO). Dodatkowo, ze względu na stopień skomplikowania systemu, zaleca się przeprowadzenie mini-DPIA (oceny wpływu na ochronę danych), która zidentyfikuje źródła ryzyka, oceni ich prawdopodobieństwo oraz wskaże środki zaradcze, takie jak szyfrowanie czy audyt logów co 30 dni.

RODO wymaga od organizacji stosowania odpowiednich środków technicznych i organizacyjnych, aby chronić dane przed nieuprawnionym dostępem, przypadkową utratą, zniszczeniem czy uszkodzeniem. Brak umowy RODO z księgową to mandat do 10 tys. zł.

Check-lista dla przedsiębiorcy - 7 punktów przed oddaniem KSeF w ręce księgowej

Zastosowanie ustandaryzowanej listy kontrolnej pozwala na redukcję ryzyka wycieku tokenu o około 92%, zgodnie z danymi CIRF za 2024 rok. Przed ostatecznym przekazaniem dostępu nowej księgowej, każdy właściciel podmiotu gospodarczego powinien odhaczyć następujące punkty:

• Sprawdziłem poprawność numeru NIP księgowej lub biura rachunkowego w rejestrze CEIDG/KRS.
• Nadano rolę operacyjną (wystawianie/odbiór) bez przyznawania uprawnień administratora systemu.
• Skonfigurowano uwierzytelnienie dwuskładnikowe (2FA) oparte na aplikacji TOTP lub kodach SMS.
• Przekazano token dostępu wyłącznie przez szyfrowany kanał komunikacji (np. Bitwarden Send).
• Podpisano aneks do umowy RODO uwzględniający specyfikę przetwarzania danych w formacie XML.
• Pobrałem i zweryfikowałem pierwsze logi audytu po zalogowaniu się księgowej do systemu.
• Wydrukowałem potwierdzenie nadania uprawnień i umieściłem je w dokumentacji firmowej.

Kluczowym elementem utrzymania bezpieczeństwa jest systematyczność. Wstaw mały kalendarz w swoim terminarzu z adnotacją: „Następny audyt: 30 dni od dzisiaj” i wpisz datę ołówkiem. Firmy, które przeprowadzają regularną weryfikację logów co miesiąc, notują czterokrotnie mniej przypadków pojawienia się w systemie tzw. faktur „widmo”, wystawionych przez osoby niepowołane. Sugeruje się laminowanie powyższej checklisty i umieszczenie jej w widocznym miejscu przy stanowisku pracy osoby odpowiedzialnej za finanse w przedsiębiorstwie.