Tokeny a certyfikaty w KSeF

KSeF zbliża się wielkimi krokami, a wraz z nim związane aspekty techniczne, takie jak tokeny i certyfikaty. Są to narzędzia autoryzacyjne, jednak nie pełnią tych samych funkcji.

Token jest narzędziem służącym do uwierzytelnienia i autoryzacji w KSeF. Jest on generowany przez podatnika na określony zakres uprawnień po uwierzytelnieniu w systemie (podpisem zaufanym, podpisem kwalifikowanym lub pieczęcią kwalifikowaną). Token zawiera w sobie uprawnienia podatnika, które są deklarowane w momencie jego generowania. Możliwość generowania i wykorzystywania tokenów wygaśnie z końcem 2026 r.

Token może być wygenerowany zarówno dla osoby fizycznej, jak i dla podmiotu niebędącego

osobą fizyczną (np. spółki). Jeżeli dana osoba fizyczna uwierzytelni się w systemie np. podpisem kwalifikowanym i wygeneruje token na swoje dane i uprawnienia, tj. na osobę fizyczną, to po uwierzytelnieniu się tym tokenem będzie widoczna w systemie jako konkretna osoba fizyczna.

Jeżeli natomiast podmiot niebędący osobą fizyczną, np. spółka, uwierzytelni się w systemie pieczęcią kwalifikowaną i wygeneruje token z posiadanymi przez nią uprawnieniami, to działając w systemie, po uwierzytelnieniu się tym tokenem będzie widoczny w systemie jako

spółka, a nie konkretna osoba fizyczna.  Wygenerowanie tokena możliwe jest po uwierzytelnieniu się osoby fizycznej lub podmiotu w kontekście identyfikatora podatkowego NIP lub identyfikatora wewnętrznego. Niedopuszczalne jest posługiwanie się tokenem przez osobę fizyczną, która nie wygenerowała tego tokena.

Natomiast certyfikaty KSeF są rodzajem elektronicznych poświadczeń tożsamości posiadacza, podobnie jak certyfikaty kwalifikowane. Zawierają one dane osobowe wnioskującego lub dane podmiotu. Z tego względu o certyfikat zawierający dane osoby fizycznej może wnioskować wyłącznie ta osoba. I tylko ta osoba może go pobrać, a następnie się nim posługiwać.

Certyfikaty i tokeny nie są od strony funkcjonalnej równoważne. Token zawiera w sobie uprawnienia podatnika, które są deklarowane w momencie jego generowania. Certyfikaty KSeF nie są natomiast nośnikiem uprawnień. Kluczowym założeniem certyfikatów KSeF (typ 1) będzie to, że stanowią one wyłącznie środek uwierzytelnienia w systemie – podobnie jak np. podpis kwalifikowany. Certyfikat KSeF będzie ważny nie dłużej niż 2 lata od:

– daty podanej we wniosku o wydanie certyfikatu KSeF, lub

– od daty wydania certyfikatu KSeF, jeśli we wniosku nie podano daty początkowej okresu ważności certyfikatu.

Co istotne, Ministerstwo Finansów uruchomiło w grudniu możliwość generowania tokenów przez Moduł MCU. Dzięki temu podatnicy mogą już w okresie działania KSeF 1.0 zintegrować programy do fakturowania z KSeF poprzez tokeny z gwarancją działania również od 1 lutego 2026 roku. Certyfikaty są dobrym rozwiązaniem od 1 lutego, ale nie są kompatybilne z wersją KSeF 1.0, więc brakowało rozwiązania łączącego te dwie wersje KSeF. Po wprowadzeniu tokenów w okresie przejściowym sprawa ta została uregulowana.

dr Małgorzata Rzeszutek

doradca podatkowy