Twoja firma lub biuro rachunkowe musi zintegrować program fakturowy z KSeF, a Ty stoisz przed pytaniem: pieczęć kwalifikowana czy ZAW-FA? Ten przewodnik wyjaśnia, jak działa uwierzytelnienie w KSeF, dlaczego pieczęć (QSeal) to najlepsza opcja przy dużym wolumenie faktur i jak poprawnie skonfigurować uprawnienia, w tym dla obsługiwanego klienta.
Obowiązek stosowania KSeF jest wprowadzany stopniowo i obejmuje podatników VAT — zarówno czynnych, jak i zwolnionych:
Ważne w praktyce: przez cały rok 2026 nie ma kar pieniężnych za błędy w KSeF — to okres przejściowy na stopniowe dostosowanie. Nie znaczy to jednak, że można zwlekać z integracją: obowiązek wystawiania faktur w KSeF już wtedy istnieje, a od 1 stycznia 2027 r. za fakturę wystawioną poza systemem grozi kara — nawet do 100% kwoty VAT z tej faktury.
KSeF komunikuje się z programami zewnętrznymi przez API (Application Programming Interface). Każde wywołanie API wymaga uwierzytelnienia — czyli potwierdzenia tożsamości podmiotu wysyłającego faktury. Uwierzytelnienie odbywa się zawsze do numeru NIP firmy, której faktura dotyczy.
W praktyce system — np. Twój program fakturowy lub ERP — musi dysponować jednym z poniższych narzędzi:
Dla systemu ERP, który wysyła faktury automatycznie (np. w nocy, w weekendy), pełną niezależność od konkretnej osoby daje tylko pieczęć kwalifikowana — pozostałe ścieżki wymagają udziału wyznaczonej osoby co najmniej przy uzyskiwaniu i odnawianiu dostępu.
Obie metody są legalne, ale w praktyce działają zupełnie inaczej. Kluczowe różnice zebraliśmy w tabeli:
| Kryterium | Pieczęć kwalifikowana (QSeal) | ZAW-FA (wyznaczenie osoby fizycznej) |
|---|---|---|
| Przypisanie | Do NIP firmy | Do konkretnej osoby fizycznej |
| Automatyzacja | Pełna — system działa bez udziału człowieka | Ograniczona — wymaga aktywnego udziału osoby |
| Rotacja kadrowa | Brak wpływu — pieczęć trwa niezależnie od zmian kadrowych | Konieczna aktualizacja ZAW-FA przy każdej zmianie pracownika |
| Wolumen faktur | Bez ograniczeń (idealny przy dużym wolumenie) | Może być wąskim gardłem przy masowym wystawianiu |
| Biuro rachunkowe | Jedna pieczęć obsługuje wielu klientów (po nadaniu uprawnień) | Każdy klient wymaga odrębnej konfiguracji z osobą |
| Bezpieczeństwo | Wysoka izolacja — klucze w module HSM lub karcie | Zależne od bezpieczeństwa konta osoby fizycznej |
| Koszty wdrożenia | Od 1289 zł (SimplySign) lub od 1399 zł (Certum Mini) | Brak kosztu certyfikatu, ale koszt obsługi administracyjnej |
Więcej o tej decyzji przeczytasz w poradniku: ZAW-FA czy e-pieczęć — zarządzanie uprawnieniami w KSeF dla spółek.
Biuro rachunkowe jest szczególnym przypadkiem: działa w imieniu dziesiątek klientów, z których każdy ma własny NIP. Konfiguracja ZAW-FA dla każdego klienta z osobna to dziesiątki zawiadomień do urzędów skarbowych — i tyle samo aktualizacji przy zmianach kadrowych.
Pieczęć kwalifikowana rozwiązuje ten problem inaczej: biuro otrzymuje od klienta uprawnienie do działania w KSeF (tzw. uprawnienie podmiotowe), a następnie używa swojej pieczęci lub certyfikatu KSeF do wysyłki faktur przez API. Całość jest czytelna, audytowalna i — co ważne — nie blokuje się przy zwolnieniu czy zmianie pracownika.
Dla firm z dużym wolumenem faktur (kilkaset miesięcznie) korzyści są równie wyraźne:
Więcej o roli pieczęci kwalifikowanej w automatyzacji KSeF przeczytasz w artykule: Pieczęć kwalifikowana QSeal — KSeF, automatyzacja, kontrola uprawnień.
System KSeF przewiduje rozbudowany model uprawnień. Właściciel NIP (podatnik) może nadawać dostęp innym podmiotom lub osobom, definiując dla każdego zakres działania:
Klient loguje się do swojego KSeF (np. przez podpis kwalifikowany lub profil zaufany) i w panelu uprawnień wskazuje NIP biura rachunkowego oraz zakres uprawnień. Biuro rachunkowe może wówczas działać w imieniu klienta — wystawiać lub pobierać faktury — używając własnych danych uwierzytelniających.
Ważna zasada: uprawnienia w KSeF mają określony zakres i mogą być w każdej chwili odwołane. Dla przejrzystości zaleca się, by biuro prowadziło rejestr uprawnień każdego klienta.
| Rola | Co może robić | Kto powinien mieć |
|---|---|---|
| Właściciel NIP / podmiot uprawniony | Wszystko, w tym nadawanie i odbieranie uprawnień | Właściciel firmy, prezes/zarząd |
| Wystawiający faktury | Wystawianie i wysyłka do KSeF, pobieranie kopii | Pracownicy księgowości, ERP firmy, biuro rachunkowe |
| Odczytujący faktury | Pobieranie faktur (bez wysyłki) | Audytor, kontroler finansowy |
| Zarządzający uprawnieniami | Nadawanie/odbieranie dostępów pozostałym | Administrator systemu, dyrektor finansowy |
KSeF przewiduje tryb offline24 — możesz z niego skorzystać w każdej chwili, z własnej inicjatywy (np. przy braku internetu), nie tylko podczas awarii systemu. Zasady:
Tryb offline nie jest rozwiązaniem zastępczym na co dzień — to procedura pomocnicza. Twój program fakturowy lub ERP powinien wspierać ten tryb technicznie. Szczegóły znajdziesz w poradniku: KSeF offline — dwa kody QR i Certyfikat KSeF typ 2.
Wdrożenie pieczęci kwalifikowanej do integracji z KSeF składa się z kilku etapów:
KSeF to nieodwracalna zmiana w sposobie wystawiania faktur — a wybór właściwej metody uwierzytelnienia decyduje o tym, czy integracja będzie spokojna i automatyczna, czy będzie generować problemy przy każdej zmianie kadrowej.
Jako autoryzowany partner Certum pomagamy firmom i biurom rachunkowym wdrożyć pieczęć kwalifikowaną gotową do integracji z KSeF — od zamówienia certyfikatu, przez konfigurację, po szkolenie z zarządzania uprawnieniami.
📞 Zadzwoń: +48 22 417 05 55 — doradzimy telefonicznie, online lub w naszych biurach w Warszawie, Krakowie, Wrocławiu i Radomiu.
🛒 Sprawdź ofertę:
Więcej informacji technicznych znajdziesz na oficjalnej stronie KSeF: ksef.podatki.gov.pl.
Program fakturowy lub ERP komunikuje się z KSeF przez API Ministerstwa Finansów. Aby system mógł wysyłać faktury automatycznie, musi być uwierzytelniony do NIP firmy — najwygodniej za pomocą pieczęci kwalifikowanej (QSeal), która pozwala na działanie bez udziału człowieka. Alternatywą jest działanie przez osobę wyznaczoną zawiadomieniem ZAW-FA (loguje się ona podpisem kwalifikowanym lub profilem zaufanym) albo bezpłatny certyfikat KSeF — te opcje wymagają jednak udziału konkretnej osoby przy uzyskiwaniu dostępu i okresowego odnawiania certyfikatu (maks. co 2 lata).
Podpis kwalifikowany jest przypisany do osoby fizycznej — służy do podpisywania dokumentów przez człowieka. Pieczęć kwalifikowana (QSeal) jest przypisana do podmiotu prawnego (do NIP) i służy do automatycznego uwierzytelnienia systemu informatycznego. W KSeF pieczęć umożliwia masową, automatyczną wysyłkę faktur bez angażowania pracownika przy każdej transakcji.
Tak, ale tylko po formalnym nadaniu uprawnień przez klienta w panelu KSeF. Klient loguje się do swojego KSeF i wskazuje NIP biura rachunkowego oraz zakres uprawnień (np. wystawianie faktur). Biuro może wówczas działać w imieniu klienta, używając własnych danych uwierzytelniających — np. pieczęci kwalifikowanej lub certyfikatu KSeF.
Tryb offline24 pozwala wystawić fakturę poza systemem z inicjatywy podatnika; na czas awarii KSeF działają osobne tryby awaryjne. Faktura powstaje lokalnie w formacie XML, a przekazywana nabywcy poza KSeF musi mieć dwa kody QR. Przesyłasz ją do KSeF najpóźniej następnego dnia roboczego po wystawieniu (po ogłoszonej awarii — do 7 dni roboczych). Drugi kod QR wymaga certyfikatu KSeF typu 2.
Duże firmy, których wartość sprzedaży (z VAT) przekroczyła 200 mln zł w 2024 r. — od 1 lutego 2026 r. Pozostałe firmy, w tym podatnicy zwolnieni z VAT (mikro, małe, średnie) — od 1 kwietnia 2026 r. Najmniejsi podatnicy „wykluczeni cyfrowo” ze sprzedażą ≤ 10 000 zł/mies. brutto — od 1 stycznia 2027 r.
Obydwie pieczęcie są kwalifikowanymi usługami zaufania wydawanymi przez Certum i są równoważne prawnie. SimplySign to rozwiązanie chmurowe — certyfikat dostępny przez API bez fizycznej karty, idealne dla zautomatyzowanych integracji serwerowych. Certum Mini to karta kryptograficzna z czytnikiem — sprawdza się tam, gdzie wymagana jest lokalna kontrola fizyczna klucza prywatnego. Dla integracji z KSeF przez API zazwyczaj wygodniejszy jest SimplySign.
