Uprawnienia w KSeF: kto w firmie powinien mieć dostęp i jakie

Dostęp do KSeF to dostęp do wszystkich faktur sprzedażowych i kosztowych firmy. Dlatego uprawnienia w KSeF trzeba uporządkować od początku: kto może wystawiać faktury, kto je przegląda, a kto zarządza samymi uprawnieniami. Od 1 lutego 2026 r. wszyscy podatnicy odbierają faktury w KSeF, a obowiązek ich wystawiania obejmuje już większość firm. To pytanie dotyczy więc dziś niemal każdej organizacji.

Stan prawny na listopad 2026 r. wygląda tak. Najwięksi podatnicy (sprzedaż powyżej 200 mln zł w 2024 r.) wystawiają faktury w KSeF od 1 lutego 2026 r., pozostali od 1 kwietnia 2026 r. Najmniejsi, którzy dokumentują fakturami sprzedaż do 10 000 zł brutto miesięcznie, mają czas do 1 stycznia 2027 r. Kar w 2026 r. nie ma, a Rada Ministrów przyjęła projekt ustawy przesuwający je do końca 2027 r. Do czasu jego uchwalenia obowiązują obecne przepisy. Odroczenie kar nie zwalnia z obowiązku korzystania z KSeF.

Kto nadaje uprawnienia w KSeF

Pierwsze uprawnienia w imieniu firmy nadaje osoba uprawniona do jej reprezentacji albo pełnomocnik zgłoszony do urzędu skarbowego. Ta osoba może następnie przyznawać dostęp pracownikom, biuru rachunkowemu i systemom, np. ERP.

Ścieżka zależy od formy działalności:

• Przedsiębiorca prowadzący jednoosobową działalność loguje się sam, np. Profilem Zaufanym, mObywatelem lub podpisem kwalifikowanym, i od razu działa w kontekście swojego NIP.
• Firma z kwalifikowaną pieczęcią elektroniczną zawierającą NIP uwierzytelnia się pieczęcią i dostaje dostęp do kontekstu firmy bez dodatkowych formalności.
• Firma bez pieczęci składa do urzędu skarbowego zawiadomienie ZAW-FA, w którym wskazuje jedną osobę fizyczną. Przy obowiązującej od 1 lutego 2026 r. wersji 3 zawiadomienia ta osoba automatycznie otrzymuje uprawnienie do wystawiania faktur, a kolejne uprawnienia nadaje już elektronicznie w KSeF.

Szczegóły i aktualne wyjaśnienia Ministerstwa Finansów znajdziesz na stronie Uprawnienia i autoryzacja w serwisie KSeF.

Rodzaje dostępu i uprawnień w KSeF

• wystawianie faktur: dla działu sprzedaży lub osoby fakturującej,
• przeglądanie faktur: dla księgowości i kontrolingu,
• zarządzanie uprawnieniami: dla wąskiego grona osób,
• dostęp dla systemu ERP: przez token lub certyfikat, bez logowania pracownika.

Jak można podzielić role w firmie

Zarząd lub dyrektor finansowy zarządza uprawnieniami i ewentualnie przegląda faktury. Główna księgowa przegląda faktury i zastępuje zarząd w zarządzaniu uprawnieniami. Księgowość i kontroling mają podgląd faktur, bez prawa wystawiania.

Dział sprzedaży zwykle nie potrzebuje bezpośredniego dostępu, jeśli faktury wysyła ERP. Sam system ERP dostaje token lub certyfikat z zakresem obejmującym wystawianie i dostęp do faktur. Biuro rachunkowe otrzymuje uprawnienie jako podmiot, zwykle do przeglądania, a do wystawiania tylko wtedy, gdy faktycznie fakturuje w imieniu firmy.

Token, certyfikat KSeF i dostęp dla ERP

Gdy faktury wystawia i pobiera system, nie powinien korzystać z prywatnego logowania pracownika. Służą do tego token KSeF i certyfikat KSeF, które generuje osoba z odpowiednimi uprawnieniami.

• Token wyświetla się tylko raz, więc od razu zapisz go bezpiecznie w konfiguracji ERP.
• Token obejmuje zakres uprawnień, dla którego został wygenerowany. Nie da się go potem rozszerzyć, trzeba wygenerować nowy.
• Token można unieważnić, np. przy zmianie dostawcy systemu lub podejrzeniu wycieku.
• Tokeny z pierwszej wersji KSeF nie działają w KSeF 2.0. Ministerstwo Finansów zdecydowało o pozostawieniu tokenów jako metody uwierzytelnienia bezterminowo.
• Certyfikat KSeF jest powiązany z NIP lub PESEL zapisanym w certyfikacie, a zakres działań zależy od uprawnień w danym kontekście.

Przy generowaniu tokenu dla ERP zaznacz zarówno wystawianie, jak i dostęp do faktur, jeśli system ma też pobierać zakupy. O przygotowaniu systemu piszemy w artykule KSeF w ERP: jak przygotować firmę na obowiązkowe e-faktury.

Biuro rachunkowe w KSeF

Biuro rachunkowe może dostać uprawnienie do wystawiania, do przeglądania faktur albo oba. Biuro rozdziela potem dostęp swoim pracownikom. Pamiętaj o dwóch rzeczach. Biuro nie może samo zrezygnować z uprawnień, odbiera je podatnik lub osoba zarządzająca uprawnieniami. Podatnik nie widzi też, którzy pracownicy biura mają dostęp pośredni, dlatego zakres i zasady opisz w umowie.

Zasady, które chronią przed bałaganem

Nadawaj tylko te uprawnienia, które są potrzebne. Prowadź listę osób z dostępem i zastępstw na czas urlopów. Gdy pracownik odchodzi z firmy, odbierz mu uprawnienia tego samego dnia. Raz w kwartale przejrzyj listę i usuń nieaktualne pozycje.

Przy zmianach kadrowych czeka pułapka: uprawnienia nadane przez osobę, która później straciła prawo do ich nadawania, pozostają ważne. Odejście członka zarządu nie odbiera więc automatycznie dostępu osobom, którym go przyznał. Trzeba to zrobić świadomie.

Checklista uprawnień w KSeF

1. Ustal, kto w firmie zarządza uprawnieniami, i wyznacz co najmniej jedną osobę zastępującą.
2. Sprawdź, czy firma potrzebuje ZAW-FA, czy korzysta z kwalifikowanej pieczęci.
3. Spisz osoby i podmioty z dostępem wraz z zakresem i datą nadania.
4. Wygeneruj osobny token lub certyfikat dla każdego systemu i opisz, gdzie jest używany.
5. Wpisz odbieranie dostępu do KSeF do procedury zwolnienia pracownika.
6. Raz w kwartale przejrzyj listę i unieważnij nieużywane tokeny.

Błędy w uprawnieniach często wychodzą dopiero przy pierwszych problemach z wysyłką. Typowe przypadki opisujemy w tekście najczęstsze błędy przy fakturach w KSeF. Gdy faktury kosztowe są już w systemie, kolejnym krokiem jest obieg i akceptacja faktur kosztowych. Integrację enova365 z KSeF konfigurujemy razem z klientem, więcej o systemie przeczytasz na stronie enova365. Dostęp w Twojej firmie możemy uporządkować wspólnie: umów konsultację.

Pytania o ZAW-FA, tokeny i odejścia pracowników

Czym jest ZAW-FA i kto musi go złożyć?

ZAW-FA to zawiadomienie do urzędu skarbowego wskazujące osobę fizyczną, która może działać w KSeF w imieniu podmiotu. Składają je głównie firmy, które nie korzystają z kwalifikowanej pieczęci elektronicznej z NIP. Wskazana osoba nadaje potem kolejne uprawnienia elektronicznie.

Czy tokeny KSeF wygasną z końcem 2026 roku?

Nie. Ministerstwo Finansów zdecydowało o pozostawieniu tokenów jako metody uwierzytelnienia w KSeF 2.0 bezterminowo. Tokeny wygenerowane w pierwszej wersji KSeF nie działają jednak w KSeF 2.0 i trzeba je było wygenerować ponownie.

Co zrobić z uprawnieniami, gdy pracownik odchodzi?

Odebrać je tego samego dnia i sprawdzić, czy ta osoba nie nadawała dostępu innym ani nie generowała tokenów. Uprawnienia nadane przez nią pozostają ważne po jej odejściu, więc trzeba je zweryfikować osobno.