Uporządkowany dostęp do KSeF pozwala biuru rachunkowemu sprawnie obsługiwać klientów i ograniczać ryzyko udostępnienia dokumentów niewłaściwym osobom. Trzeba przy tym rozdzielić trzy kwestie: kto może działać w imieniu klienta, jakie czynności może wykonywać oraz czym potwierdza swoją tożsamość w systemie.

Znaczenie tego obszaru potwierdza odpowiedź Ministerstwa Finansów z 15 września 2026 r. na interpelację nr 19230. Resort wskazał, że wśród najczęstszych trudności merytorycznych użytkowników znajdują się rodzaje i zakres uprawnień, narzędzia uwierzytelniania oraz uzyskanie dostępu do KSeF. Wymienił także problemy z wystawianiem i odbieraniem faktur. [1]

Według tego pisma do 2 września 2026 r. w KSeF wystawiono 657 378 248 faktur, a liczba wystawców wyniosła 2 370 160. Od 1 stycznia do 7 września na dedykowaną kolejkę infolinii KAS zakolejkowano 318 997 połączeń; MF podało również 89 271 wysłanych maili dotyczących KSeF. Część tych pytań dotyczy właśnie tego, kto i na jakich zasadach ma dostęp do faktur. [1]

Dlaczego biuro potrzebuje procedury zarządzania dostępem

Biuro obsługuje wiele podmiotów, a każdy klient musi zapewnić właściwy zakres dostępu do swoich faktur. Zmiana księgowej, zastępstwo czy zakończenie umowy wymagają sprawdzenia, czy konfiguracja KSeF i programu używanego przez biuro nadal odpowiada rzeczywistemu podziałowi pracy.

Praca na fakturach poszczególnych klientów wymaga uwierzytelnienia w ich kontekstach, zwykle identyfikowanych numerami NIP. Nie oznacza to, że księgowa loguje się ręcznie do każdego klienta. Program zintegrowany z API KSeF robi to za nią. [2]

Jakie uprawnienia są potrzebne biuru rachunkowemu

W codziennej obsłudze kluczowe są dwa odrębne uprawnienia: dostęp do faktur oraz wystawianie faktur. Jeżeli biuro wyłącznie pobiera dokumenty do księgowania, nie potrzebuje z tego powodu prawa do wystawiania faktur. Zarządzanie uprawnieniami jest osobnym zakresem dostępu. [2, 3]

Uprawnienia właścicielskie przysługują podatnikowi i nie podlegają odebraniu. U osoby fizycznej są przypisane automatycznie do jej NIP. Podmiot niebędący osobą fizyczną może korzystać z nich po uwierzytelnieniu właściwą kwalifikowaną pieczęcią elektroniczną. Księgowa lub właściciel biura działający dla klienta korzystają z uprawnień nadanych, a nie z uprawnień właścicielskich klienta. [4]

Dostęp można nadać bezpośrednio konkretnej osobie albo biuru na jego NIP. W drugim wariancie, po spełnieniu warunków przekazywania uprawnień, biuro może upoważniać osoby fizyczne do obsługi klientów. To model uprawnień pośrednich, najczęściej stosowany w biurach. Pomijamy tu przypadki szczególne, takie jak JST, grupy VAT czy samofakturowanie. [3, 4]

Jak nadać biuru dostęp i rozdzielić go między pracowników

Najpierw uzgodnij z klientem zakres czynności. Poniższe warianty pomagają dopasować uprawnienia do umowy o obsługę.

Wariant współpracy	Zakres dla biura w KSeF
Klient sam wystawia i pobiera faktury, a następnie przekazuje dokumenty biuru	Biuro nie potrzebuje dostępu do KSeF klienta, jeżeli nie wykonuje w nim żadnych czynności.
Klient wystawia faktury, a biuro pobiera dokumenty	Dostęp do faktur.
Biuro wystawia faktury w imieniu klienta i pobiera jego dokumenty	Wystawianie faktur oraz dostęp do faktur.

O wariancie decyduje to, kto co robi, a nie to, jaki program ma klient.

Po stronie klienta

Osoba fizyczna prowadząca działalność nie składa ZAW-FA. Uprawnienia właścicielskie ma automatycznie, a kolejne nadaje elektronicznie. ZAW-FA złoży tylko wtedy, gdy jej podpis kwalifikowany nie zawiera NIP ani PESEL i trzeba zgłosić tzw. odcisk palca podpisu. Spółka bez odpowiedniej pieczęci kwalifikowanej wskazuje przez ZAW-FA pierwszą uprawnioną osobę. Tą drogą można wskazać tylko jedną osobę, a kolejną dopiero po odebraniu uprawnień poprzedniej. Dalsze uprawnienia ta osoba nadaje już elektronicznie. [3, 5]

Osoba uprawniona do zarządzania dostępem u klienta wskazuje NIP biura i potrzebny zakres: dostęp do faktur, wystawianie faktur albo oba. Jeżeli pracownicy mają korzystać z uprawnień pośrednich, klient musi dopuścić dalsze przekazywanie odpowiednich uprawnień. Samo nadanie dostępu na NIP biura nie wystarczy. [6]

Po stronie biura

Osoba zarządzająca uprawnieniami biura działa w kontekście biura i nadaje pracownikowi uprawnienie pośrednie. Może wskazać konkretnego klienta lub wszystkich klientów spełniających warunki takiego dostępu. Pracownik otrzymuje możliwość wystawiania faktur, dostępu do faktur albo oba zakresy; nie może dalej delegować tych uprawnień. [6]

Daj pracownikowi dostęp tylko do klientów, których prowadzi. Dostęp do wszystkich klientów zostaw osobom, które go naprawdę potrzebują, np. koordynatorowi zastępstw, i regularnie go sprawdzaj. Uprawnienie pośrednie nie daje prawa do zarządzania uprawnieniami klienta. [4, 6]

Na koniec sprawdź w programie biura, czy pracownik faktycznie widzi faktury klienta, i zapisz to w rejestrze. Uprawnienie w KSeF i konto w programie muszą do siebie pasować.

Uwierzytelnianie oraz bezpieczne korzystanie z tokenów i certyfikatów

Uwierzytelnienie potwierdza tożsamość, a uprawnienia określają dozwolone czynności. Osoba fizyczna może zalogować się przez Węzeł Krajowy (login.gov.pl), czyli aplikacją mObywatel, Profilem Zaufanym, e-dowodem lub przez bankowość elektroniczną (mojeID), albo podpisem kwalifikowanym. Dla podmiotów dostępna jest kwalifikowana pieczęć elektroniczna. Tokeny i certyfikaty KSeF służą również do pracy przez API; dostępne metody zależą od używanej aplikacji. [3, 5, 13]

Certyfikat KSeF typu 1 służy do uwierzytelniania. Typ 2 służy do potwierdzania tożsamości wystawcy za pomocą odpowiedniego kodu QR przy fakturach wystawianych w trybach offline. Certyfikaty obu typów generuje się oddzielnie. Każdy jest ważny maksymalnie 2 lata i można go odnowić, zanim wygaśnie. Jeden certyfikat typu 1 działa w różnych kontekstach, zgodnie z aktualnymi uprawnieniami jego posiadacza. Certyfikatu nie wygenerujesz po zalogowaniu tokenem. Potrzebny jest do tego Węzeł Krajowy, podpis albo pieczęć kwalifikowana. [3, 7]

Certyfikatu osoby fizycznej nie udostępniaj innym pracownikom. Osoba wskazana w ZAW-FA uzyskuje certyfikat dla siebie, a nie automatycznie dla spółki. Certyfikat podmiotu uzyskuje się po uwierzytelnieniu jego pieczęcią kwalifikowaną. Przy korzystaniu z certyfikatu podmiotu zadbaj o indywidualne konta i rejestrowanie działań w aplikacji biura. [7, 8]

Token KSeF ma zakres zadeklarowany przy utworzeniu. Każda zmiana tego zakresu wymaga wygenerowania nowego tokena. Odebranie uprawnień nie unieważnia tokena. Token przestaje działać w danym kontekście, ale formalnie pozostaje ważny, nawet jeśli odebrano wszystkie zapisane w nim uprawnienia. Dlatego po odebraniu uprawnień unieważnij osobno tokeny, których już nie potrzebujecie. [4, 9]

Na dzień pisania artykułu § 13 ust. 1 pkt 1 rozporządzenia przewiduje stosowanie tokenów do 31 grudnia 2026 r. MF zdecydowało jednak, że tokeny zostają bezterminowo, a rozporządzenie zostanie zmienione. Do czasu nowelizacji formalnie obowiązuje data 31 grudnia 2026 r., więc pod koniec roku sprawdź, czy zmiana została opublikowana. [3, 7]

W czerwcu 2026 r. MF zaproponowało też, aby przy tworzeniu tokena można było określić jego ważność od 1 do 365 dni, oraz nowe uprawnienie, które za zgodą właściciela automatycznie odnowi token. To na razie propozycje z konsultacji, bez daty wejścia w życie. [12]

Token czy certyfikat, zależy od tego, co obsługuje Twój program. W obu przypadkach zapisuj, kto z czego korzysta, trzymaj tokeny i klucze w bezpiecznym miejscu i ustal, co robicie, gdy wyciekną. W ewidencji zapisuj tylko nazwy i identyfikatory, nigdy same tokeny czy klucze.

Kiedy i jak odbierać uprawnienia

Odejście pracownika lub zmiana zakresu obowiązków

Odbierz dostęp najpóźniej w ostatnim dniu pracy pracownika przy danym kliencie. Sprawdź uprawnienia pośrednie, w tym generalne, oraz ewentualne uprawnienia nadane tej osobie bezpośrednio przez klientów. Samo rozwiązanie umowy z pracownikiem nie usuwa jego uprawnień w KSeF.

Zablokuj konto pracownika w aplikacji biura i dostęp do przechowywanych poświadczeń. Unieważnij tokeny i certyfikaty, których już nie potrzebujecie albo które mogły wyciec. Jeżeli pracownik znał firmowe dane dostępowe do integracji, wymień je i zaktualizuj konfigurację. Certyfikat KSeF wystawiony na pracownika jest jego osobisty, ale sam nie daje dostępu do faktur. Po odebraniu uprawnień pracownik nie zaloguje się nim do kontekstu klienta. Poproś go mimo to, żeby przed odejściem unieważnił certyfikat.

Przy zmianie księgowej nadaj dostęp następcy i odbierz go poprzednikowi w ramach jednej czynności. Zastępstwo i przekazanie spraw zawsze mają mieć datę końcową.

Zakończenie współpracy z klientem

Uprawnienie nadane biuru na NIP powinien odebrać klient lub osoba zarządzająca uprawnieniami w jego kontekście. Biuro mające wyłącznie dostęp do faktur lub prawo ich wystawiania nie może samodzielnie zrezygnować z tego uprawnienia. Poproś o potwierdzenie wykonania tej czynności. [2]

Równolegle wyłącz pobieranie dokumentów byłego klienta w aplikacji i usuń zbędne uprawnienia pracowników. Usuń też uprawnienia pośrednie nadane pracownikom do tego klienta, żeby w KSeF i w rejestrze nie zostały nieaktualne wpisy.

Odebranie praw administratorowi nie usuwa uprawnień, które nadał innym. Zachowują one ważność, więc przejrzyj je osobno. Spółka może też jednym zawiadomieniem ZAW-FA odebrać wszystkie uprawnienia nadane w jej kontekście. Samo posiadanie uprawnienia w KSeF nie zobowiązuje do wykonywania czynności za klienta; obowiązki biura wynikają z właściwych przepisów i umowy. [2]

Co powinien pokazywać rejestr dostępów

Rejestr powinien pozwalać ustalić, komu przyznano możliwość pracy z dokumentami danego klienta, na jakiej podstawie i w jakim okresie. Przepisy nie narzucają wzoru, więc wystarczy prosta tabela z takimi kolumnami:

Element	Co warto zapisać
Klient i osoba	Nazwa i NIP klienta, pracownik lub inny uprawniony użytkownik.
Rodzaj i zakres dostępu	Dostęp bezpośredni lub pośredni; wybrany klient lub zakres generalny; dozwolone czynności.
Uzasadnienie i odpowiedzialność	Zadanie uzasadniające dostęp, osoba zatwierdzająca i osoba wykonująca zmianę.
Daty i potwierdzenia	Nadanie, zmiana, odebranie, ostatni przegląd oraz potwierdzenie wykonania operacji.
Powiązane narzędzia	Konto w aplikacji i identyfikator używanego środka uwierzytelnienia, bez tokenów, haseł i kluczy prywatnych.

Rejestr pokazuje, kto miał dostęp, ale nie to, kto otworzył konkretną fakturę. Do tego potrzebne są logi. Sprawdź, co zapisuje KSeF i Twój program, jak długo i czy da się z nich odczytać konkretnego użytkownika.

Faktury klientów często zawierają dane osobowe, więc dochodzi RODO: umowa powierzenia, działanie na polecenie klienta i zabezpieczenie danych. Kontrola dostępów to jeden z elementów tego zabezpieczenia. [10]

Procedura do wdrożenia w biurze

Przy rozpoczęciu obsługi ustal zakres pracy w KSeF, osoby odpowiedzialne za dostęp i sposób postępowania po zakończeniu współpracy. Zweryfikuj nadanie uprawnień oraz działanie integracji, zanim zespół zacznie polegać na automatycznym pobieraniu dokumentów.

Przy przydzielaniu klientów dobieraj zakres dostępu do zadań pracownika i zapisuj zmiany w rejestrze. Osobno kontroluj konta w aplikacji oraz środki uwierzytelnienia używane przez integrację.

Cyklicznie porównuj uprawnienia z aktualnym zespołem i portfelem klientów. Rób to raz na kwartał, a przy dużej rotacji w zespole częściej. Sprawdzaj również terminy ważności certyfikatów i zaplanuj ich odnowienie z wyprzedzeniem.

Przy odejściu pracownika lub klienta wykonaj zaplanowane odebranie dostępów, zweryfikuj rezultat i zachowaj potwierdzenie. Pamiętaj o fakturach już pobranych do programu biura. Odebranie uprawnień w KSeF ich nie usuwa, więc ustal w umowie, jak długo je przechowujecie.

Uporządkowany dostęp i sprawny obieg dokumentów

Klient powinien wiedzieć, kto może pracować z jego fakturami i co dzieje się z dostępem po zmianie obsady. Jasne zasady, aktualny rejestr i sprawdzona procedura pozwalają odpowiedzieć na to pytanie w minutę.

Przy wyborze oprogramowania zapytaj o zakres integracji z KSeF, role użytkowników, rejestrowanie operacji oraz ochronę poświadczeń. Sprawdź też, gdzie i na jakich zasadach program przetwarza dane.

Infonetax to centrum automatyzacji pracy biura rachunkowego. Tworzymy oprogramowanie dla polskich biur rachunkowych, łącząc kompetencje technologiczne z 20 latami doświadczenia w prowadzeniu własnego biura. Nasze programy uzupełniają używany system księgowy i usprawniają powtarzalne procesy.

Mobevo wspiera obsługę KSeF, dekretację i automatyzację księgowania oraz komunikację z klientami. Podczas rozmowy omówimy potrzeby Twojego biura i możliwości współpracy z używanym programem księgowym. [11]

Chcesz usprawnić obieg dokumentów z KSeF w swoim biurze? Umów rozmowę z Infonetax.

Źródła

[1] Ministerstwo Finansów, odpowiedź z 15 września 2026 r. na interpelację nr 19230, znak DAK1.054.63.2026, s. 2–4.

https://api.sejm.gov.pl/sejm/term10/interpellations/attachment/ATTDXYJ6L/i19230-o1.pdf

[2] MF, Uprawnienia i autoryzacja, odpowiedzi 2, 4, 6, 7, 10–11.

https://ksef.podatki.gov.pl/ksef-news/uprawnienia-i-autoryzacja

[3] Rozporządzenie z 12 grudnia 2025 r. w sprawie korzystania z KSeF, Dz.U. 2025 poz. 1815, w szczególności §§ 3–6 oraz § 13; nowelizacja Dz.U. 2026 poz. 169.

https://eli.gov.pl/eli/DU/2025/1815/ogl

[4] MF, Podręcznik KSeF 2.0, część I, aktualizacja 19 lutego 2026 r., rozdziały 2.4.7 oraz 3.2–3.3.1. Historyczne informacje o terminach zestawiono z aktualnymi komunikatami i przepisami.

https://ksef.podatki.gov.pl/media/iqfjmrws/podrecznik-ksef-20-czesc-i-rozpoczecie-korzystania-z-ksef-19022026.pdf

[5] MF, Dostępy, odpowiedzi dotyczące kontekstu, ZAW-FA i pieczęci.

https://ksef.podatki.gov.pl/ksef-news/dostepy

[6] MF, dokumentacja produkcyjnego API KSeF 2.0, nadawanie uprawnień do obsługi faktur i nadawanie uprawnień w sposób pośredni.

https://api.ksef.mf.gov.pl/docs/v2/index.html

[7] MF, Certyfikaty KSeF, w tym aktualny komunikat o planowanym utrzymaniu tokenów.

https://ksef.podatki.gov.pl/informacje-ogolne-ksef-20/certyfikaty-ksef

[8] MF, Pytania i odpowiedzi KSeF 2.0, certyfikaty osoby fizycznej wskazanej w ZAW-FA.

https://ksef.podatki.gov.pl/pytania-i-odpowiedzi-ksef-20

[9] CIRF, dokumentacja techniczna KSeF, Zarządzanie tokenami KSeF.

https://github.com/CIRFMF/ksef-api/blob/main/tokeny-ksef.md

[10] RODO, rozporządzenie UE 2016/679, w szczególności art. 4 pkt 7–8, art. 28–29 i art. 32.