Krajowy System e-Faktur (KSeF) to obowiązkowa platforma do wystawiania, przesyłania i przechowywania faktur ustrukturyzowanych. Jej celem jest zwiększenie bezpieczeństwa i transparentności w obrocie fakturami. W systemie uwierzytelnianie użytkowników odbywa się za pomocą tokenów lub certyfikatów KSeF, które różnią się zakresem działania, poziomem bezpieczeństwa i horyzontem obowiązywania. Token zawiera przypisane uprawnienia podatnika, natomiast certyfikat potwierdza wyłącznie tożsamość – podobnie jak podpis kwalifikowany.
W tym materiale wyjaśniamy praktyczne różnice na podstawie rozporządzenia Ministra Finansów, aktualnych zasad wdrożenia KSeF 2.0 oraz zaleceń dla księgowych i przedsiębiorców. Wskazujemy również, co wybrać w okresie przejściowym i jak sprawnie przygotować się do zmian.
Czym jest token w KSeF?
Token to ciąg znaków alfanumerycznych generowany w KSeF po uwierzytelnieniu (Profil Zaufany, podpis kwalifikowany lub pieczęć kwalifikowana). Służy zarówno do uwierzytelnienia, jak i autoryzacji – podczas tworzenia otrzymuje konkretne uprawnienia, np. wystawianie, odbieranie czy przeglądanie faktur.
Najważniejsze właściwości tokenów:
- generowanie następuje w Module Certyfikatów i Uprawnień (MCU), gdzie deklarujesz zakres praw dostępu,
- dzięki tokenom logowanie do KSeF jest szybkie i wygodne w aplikacjach zintegrowanych – bez każdorazowego użycia podpisu kwalifikowanego,
- tokeny pozostają użyteczne w KSeF 1.0, jednak nie będą migrowane do KSeF 2.0 i nie obejmują nowych funkcji systemu po jego wdrożeniu.
Zgodnie z rozporządzeniem korzystanie z tokenów jest dopuszczalne w okresie przejściowym.
Czym jest certyfikat KSeF?
Certyfikat KSeF to elektroniczne poświadczenie tożsamości przypisane do osoby (NIP lub PESEL) albo podmiotu. Pełni wyłącznie funkcję uwierzytelniania – nie zawiera uprawnień, które są weryfikowane po stronie KSeF.
Kluczowe cechy certyfikatu KSeF:
- Generowanie – możliwe od 1 listopada 2025 r. (lub wcześniej w środowiskach testowych), bez konieczności zakładania osobnego konta;
- Bezpieczeństwo – oparte na kryptografii asymetrycznej, co zapewnia wyższy poziom ochrony niż tokeny;
- Tryby szczególne – wymagany w trybie offline, awaryjnym lub przy niedostępności systemu; faktura otrzymuje kod potwierdzający tożsamość wystawcy.
Rozporządzenie przewiduje certyfikaty jako standardową metodę uwierzytelniania w KSeF 2.0.
Kluczowe różnice między tokenem a certyfikatem – tabela porównawcza
Poniżej zestawienie najważniejszych różnic, które ułatwią podjęcie decyzji:
| Cecha | Token KSeF | Certyfikat KSeF |
|---|---|---|
| Główna funkcja | Uwierzytelnienie + autoryzacja (z góry przypisane uprawnienia) | Wyłącznie uwierzytelnienie (jak podpis kwalifikowany) |
| Bezpieczeństwo | Niższe – ciąg znaków alfanumerycznych | Wyższe – kryptografia asymetryczna |
| Powiązanie z uprawnieniami | Tak – definiowane przy generowaniu | Nie – potwierdza tożsamość; uprawnienia weryfikowane osobno |
| Generowanie | Po uwierzytelnieniu w MCU (okres przejściowy) | Od 1 listopada 2025 r., bez zakładania konta |
| Zastosowanie | Szybkie logowanie w aplikacjach, KSeF 1.0 | Tryby szczególne (offline, awaryjne), KSeF 2.0 |
Terminy obowiązywania – harmonogram zmian w KSeF
Zmiany są wdrażane stopniowo. Oto najważniejsze daty:
- Do 31 grudnia 2026 r. – tokeny są w pełni dostępne i mogą działać równolegle z certyfikatami;
- Od 1 lutego 2026 r. – uruchomienie KSeF 2.0 z równoległym wsparciem tokenów i certyfikatów;
- Od 1 stycznia 2027 r. – tokeny zostają całkowicie wycofane; jedyną metodą uwierzytelniania jest certyfikat KSeF.
Jeśli korzystasz z integracji z oprogramowaniem księgowym, zaplanuj przejście wcześniej – tokeny z KSeF 1.0 nie działają z nowymi funkcjami KSeF 2.0.
Co wybrać – token czy certyfikat? Praktyczne rekomendacje
Wybór zależy od skali działalności, wymagań bezpieczeństwa i horyzontu czasowego:
Wybierz token, jeśli:
- aktualnie pracujesz w KSeF 1.0 i nie planujesz zmian do końca 2026 r.,
- liczy się szybkie logowanie w aplikacjach bez każdorazowego podpisu,
- jesteś małym przedsiębiorcą o prostych procesach i chcesz szybkiego startu.
Wybierz certyfikat KSeF, jeśli:
- przygotowujesz się do KSeF 2.0 i pełnego obowiązku,
- działasz w trybach offline/awaryjnych lub wymagasz ciągłości wystawiania faktur,
- stawiasz na wyższe bezpieczeństwo i rozwiązanie długoterminowe – od 2027 r. nie będzie alternatywy,
- korzystasz z systemów wymagających mechanizmów kryptograficznych.
Rekomendacja: przejdź na certyfikaty od 1 listopada 2025 r., testując je równolegle z tokenami do końca 2026 r. Sprawdź zgodność Twojego oprogramowania (np. SaldeoSmart, Symfonia, Wolters Kluwer) – większość dostawców wspiera oba mechanizmy.
Jak przygotować firmę do zmian? Kroki dla księgowego
- Uwierzytelnij się w systemie – użyj Profilu Zaufanego lub podpisu kwalifikowanego, aby od 1 listopada 2025 r. wygenerować pierwszy certyfikat.
- Skonfiguruj uprawnienia – w MCU przypisz role i zakresy dla osób oraz pełnomocników.
- Testuj w prod/test – korzystaj z tokenów tam, gdzie to wygodne, a certyfikaty włączaj równolegle do końca 2026 r.
- Zadbaj o bezpieczeństwo – nie udostępniaj tokenów; reaguj na próby wyłudzeń i weryfikuj komunikaty.
- Szkolenia i aktualizacje – śledź podręcznik KSeF 2.0 i komunikaty na ksef.podatki.gov.pl.
