Współpraca z dostawcą IT przy wdrożeniu KSeF - o co pytać, zanim podpiszesz umowę

Certyfikaty i tokeny - czy dostawca rzeczywiście zarządza kluczami?

AITekst opracowany z wykorzystaniem sztucznej inteligencji. Zasady i ograniczenia

Prawidłowe uwierzytelnienie w Krajowym Systemie e-Faktur (KSeF) stanowi fundament bezpiecznego obiegu dokumentów ustrukturyzowanych w formacie XML. Dostawca oprogramowania musi precyzyjnie określić, w jaki sposób system zarządza metodami autoryzacji, takimi jak certyfikat X.509, token API czy pieczęć kwalifikowana, ponieważ każda z tych metod posiada określoną datę ważności (np. token API jest ważny 12 miesięcy). Brak zaimplementowanych mechanizmów automatycznego odświeżania poświadczeń wymusza na użytkowniku ręczne logowanie do interfejsu graficznego (GUI) Ministerstwa Finansów, co w dużych organizacjach generuje paraliż operacyjny i przestoje w fakturowaniu.

Krajowa Administracja Skarbowa dopuszcza wygenerowanie do 100 certyfikatów dla jednego numeru NIP, co pozwala na precyzyjne przypisanie uprawnień do poszczególnych oddziałów lub systemów ERP. System klasy Enterprise powinien bezbłędnie zarządzać tą bazą kluczy, nie dopuszczając do sytuacji, w której oprogramowanie „gubi” dodane certyfikaty po restarcie serwera lub aktualizacji bazy danych. Weryfikacja kompetencji dostawcy w tym zakresie jest kluczowa, gdyż błędne uwierzytelnienie może skutkować uznaniem faktury za niewystawioną w przypadku braku poprawnej autoryzacji sesji.

Kluczowa odpowiedzialność prawna za przygotowanie organizacji do stosowania e-fakturowania spoczywa zawsze na przedsiębiorcy, niezależnie od tego, czy korzysta on z usług biura rachunkowego, czy zewnętrznego dostawcy IT. W związku z tym, audyt techniczny proponowanego rozwiązania powinien obejmować sprawdzenie odporności systemu na awarie protokołów komunikacyjnych. Należy zweryfikować, czy dostawca posiada gotowe scenariusze pracy w programach, które pozwalają na zachowanie ciągłości procesów biznesowych bez bezpośredniego połączenia z infrastrukturą resortu finansów.

W procesie weryfikacji oferty warto skonfrontować dostawcę z konkretnymi wymaganiami technicznymi dotyczącymi zarządzania dostępem. Poniższe pytania pozwolą ocenić stopień zaawansowania oferowanego narzędzia:

1. Czy certyfikat KSeF jest rotowany automatycznie przed upływem terminu ważności?
2. Ile sekund zajmuje systemowi wykrycie braku odpowiedzi serwerów MF i przejście w tryb awaryjny?
3. Czy system stabilnie obsługuje jednocześnie 100 certyfikatów dla jednego numeru NIP bez spadku wydajności?
4. Czy po restarcie serwera aplikacji token API nie wymaga ponownego, ręcznego wprowadzania kodu PIN lub hasła?
5. Czy umowa przewiduje SLA dla czasu reakcji na krytyczne błędy uwierzytelnienia uniemożliwiające wystawienie faktury?

Tworzenie i testowanie KSeF przebiegło zgodnie ze wszystkimi praktykami i standardami cyberbezpieczeństwa - powiedział Roman Łożyński, dyrektor Centrum Informatyki Resortu Finansów.

W ramach testów przedwdrożeniowych zaleca się przeprowadzenie demonstracji działania systemu w warunkach kontrolowanych. Sugerowanym działaniem jest odłączenie dostępu do sieci Internet i zweryfikowanie, czy oprogramowanie natychmiastowo generuje plik XML z wymaganym kodem QR w trybie offline. Brak takiej funkcjonalności w środowisku demonstracyjnym stanowi istotny sygnał ostrzegawczy dla kadry zarządzającej.

Walidacja XML i wizualizacja - czy system złapie błąd przed wysłaniem?

Wystawienie faktury ustrukturyzowanej w formacie XML o schemacie FA(2) wymaga rygorystycznego przestrzegania struktury logicznej dokumentu. Darmowe narzędzia udostępniane przez Ministerstwo Finansów na stronie ksef.podatki.gov.pl wykonują jedynie podstawową walidację składniową, sprawdzając, czy plik jest zgodny z ogólnym schematem XSD. Profesjonalne oprogramowanie dostawcy IT powinno oferować głęboką walidację merytoryczną, która identyfikuje błędy rachunkowe, np. niezgodność kwoty VAT z zastosowaną stawką 23% lub 8% względem wartości netto, zanim dokument zostanie przesłany do bramki ministerialnej.

Brak zaawansowanej walidacji po stronie systemu ERP generuje ryzyko wysyłki dokumentów z błędnymi danymi, co skutkuje otrzymaniem komunikatu UPO-BŁĄD. Przykładowo, jeśli pole „RolaPodmiotuTrzeciego” pozostanie puste w transakcji rozliczanej przez agenta, faktura zostanie odrzucona przez KSeF. Skuteczna walidacja merytoryczna powinna wychwytywać takie braki na etapie edycji dokumentu, zapobiegając konieczności wystawiania korekt i chroniąc członków zarządu przed zarzutami naruszenia należytej staranności w procesach podatkowych.

Równie istotnym elementem jest wizualizacja e-faktury, czyli generowanie czytelnego pliku PDF z osadzonym kodem QR. Zgodnie z przepisami, faktura w KSeF jest plikiem XML, jednak dla celów operacyjnych i komunikacji z podmiotami zwolnionymi (np. małymi przedsiębiorcami z obrotem do 10 000 zł miesięcznie), niezbędna jest reprezentacja graficzna dokumentu. Brak tej funkcji w systemie dostawcy wymusza każdorazowe logowanie się do ministerialnego GUI w celu podejrzenia treści faktury, co drastycznie obniża efektywność pracy działów księgowych.

Należy pamiętać, że Ministerstwo Finansów nie sprawdza w momencie przyjmowania pliku, czy NIP nabywcy jest aktywny - weryfikacja ta następuje następczo. Dostawca IT powinien zintegrować oprogramowanie z bazą VIES oraz krajowym rejestrem podatników VAT, aby zapobiec fakturowaniu podmiotów nieistniejących. Sugeruje się, aby przed podpisaniem umowy poprosić o przykładowy raport błędów generowany przez system; jeśli dostawca nie jest w stanie zaprezentować czytelnych komunikatów o błędach walidacji, rozwiązanie może być niekompletne.

Obsługa trybów awaryjnych - co się dzieje, gdy KSeF pada?

Stabilność systemów informatycznych administracji publicznej bywa poddawana próbom, o czym świadczą testy obciążeniowe z 2025 r., podczas których przerwa trwająca 47 minut wpłynęła na płynność operacyjną 12% badanych przedsiębiorstw. W sytuacjach awaryjnych kluczowe jest rozróżnienie trybów: awaria całkowita, offline24 oraz standardowy tryb offline. System dostawcy IT musi automatycznie rozpoznawać te stany i zarządzać kolejką niewysłanych faktur, zapewniając zgodność z terminami przesłania dokumentów do KSeF, które wynoszą 24 godziny w trybie offline24 oraz 7 dni w przypadku ogłoszonej awarii systemu.

Wzorcowy proces obsługi błędu po stronie oprogramowania powinien wyglądać następująco: o godzinie 9:00 system wykrywa brak odpowiedzi bramki KSeF. O 9:15 oprogramowanie automatycznie przełącza się w tryb offline24, a o 9:16 generuje faktury w formacie XML z unikalnym kodem QR. Już o 9:17 pliki te są wysyłane pocztą elektroniczną do kontrahentów jako dokumenty PDF. Po przywróceniu dostępności systemu ministerialnego, oprogramowanie powinno bez ingerencji człowieka przesłać wszystkie dokumenty z bufora i pobrać dla nich Urzędowe Poświadczenie Odbioru (UPO).

Błędy w obsłudze trybów awaryjnych niosą ze sobą poważne konsekwencje prawne. Faktura, która nie zostanie przesłana do systemu w ustawowym terminie po ustaniu awarii, może zostać uznana za niewystawioną. Wiąże się to z ryzykiem nałożenia sankcji administracyjnej w wysokości do 100% kwoty podatku VAT wykazanego na tej fakturze. Przedsiębiorcy powinni zweryfikować, czy dostawca oprogramowania udostępnia szczegółowe logi zdarzeń, które pozwalają udowodnić dokładny czas wystąpienia problemów technicznych przed organami kontrolnymi.

SLA i aktualizacje - kto odpowiada za zmiany w przepisach?

Krajowy System e-Faktur jest projektem ewoluującym, co potwierdzają zapowiedzi Ministerstwa Finansów dotyczące kolejnych iteracji schematu XML. Projekt schematu FA(4), którego wdrożenie planowane jest na 1 stycznia 2027 r., wprowadzi m.in. obowiązek stosowania podpisu kwalifikowanego dla faktur o wartości przekraczającej 50 000 zł netto. Przy wyborze dostawcy IT kluczowe jest zabezpieczenie się przed dodatkowymi kosztami wynikającymi z konieczności dostosowania oprogramowania do nowych wymagań legislacyjnych.

Wiele umów wdrożeniowych zawiera pułapki, które mogą drastycznie podnieść koszt utrzymania systemu w dłuższej perspektywie. Przedsiębiorcy powinni zwracać uwagę na klauzule dotyczące aktualizacji oprogramowania oraz gwarantowane czasy reakcji na zgłoszenia serwisowe (SLA). Warto dążyć do podpisania aneksu typu „frozen price”, który gwarantuje stałą cenę za wszystkie niezbędne modyfikacje systemu wynikające ze zmian prawa do końca 2027 r.

• Dopłata rzędu 1 200 zł za każdą aktualizację do nowej wersji schematu (np. z FA(2) do FA(4)).
• Czas reakcji serwisu określony jako 48 godzin, ale liczony wyłącznie w dni robocze, co przy awarii w piątek oznacza brak wsparcia do wtorku.
• Brak możliwości zwrotu kosztów za niewykorzystaną licencję w przypadku rezygnacji z usług po wygaśnięciu certyfikatu bezpieczeństwa.
• Ograniczenie odpowiedzialności dostawcy za błędy w wysyłce wyłącznie do wysokości miesięcznego abonamentu.

Zrozumienie terminologii prawniczej w umowach IT pozwala na lepsze zabezpieczenie interesów firmy. Poniższa tabela przedstawia najczęstsze sformułowania i sugerowane sposoby ich doprecyzowania w celu budowania bezpiecznej relacji z partnerem technologicznym.

Wdrożenie KSeF to nie tylko projekt informatyczny, ale transformacja organizacyjna i podatkowa całego przedsiębiorstwa. Wybór kompetentnego dostawcy, który oferuje wsparcie zdalne, telekonsultanta oraz dostęp do środowiska testowego, jest niezbędny dla zachowania bezpieczeństwa obrotu gospodarczego. Należy pamiętać, że od 1 lutego 2026 r. obowiązek ten objął największe podmioty o przychodach powyżej 200 mln zł, a docelowo obejmie każdą jednostkę, w tym sektora publicznego i placówki oświatowe.