Dostęp do KSeF — pierwsze logowanie i uwierzytelnienie

W Krajowym Systemie e-Faktur nie zakłada się konta. Dostęp wynika z dwóch elementów: uwierzytelnienia, czyli potwierdzenia tożsamości osoby lub podmiotu, oraz uprawnień przypisanych tej osobie lub podmiotowi w odniesieniu do konkretnego podatnika. System sprawdza oba elementy przy każdym nawiązaniu sesji — zarówno w bezpłatnych narzędziach Ministerstwa Finansów, jak i w programie do fakturowania zintegrowanym z API KSeF 2.0.

Metody uwierzytelnienia

Dopuszczalne środki uwierzytelnienia określają § 6 ust. 1 i § 13 rozporządzenia w sprawie korzystania z KSeF. Dobór metody zależy od tego, czy w systemie działa osoba fizyczna, czy podmiot niebędący osobą fizyczną.

• Węzeł krajowy obejmuje profil zaufany, aplikację mObywatel, bankowość elektroniczną i e-dowód. Jest bezpłatny i służy do uwierzytelnienia w KSeF od 14 lutego 2026 r.; do 13 lutego 2026 r. odrębną metodą był podpis zaufany (§ 13 ust. 1 pkt 2 i § 15 pkt 2 rozporządzenia).
• Kwalifikowany podpis elektroniczny zawierający NIP lub PESEL nie wymaga żadnych zgłoszeń. Podpis bez tych identyfikatorów (np. wydany za granicą) działa dopiero po zgłoszeniu danych unikalnych certyfikatu — 64-znakowego skrótu SHA-256, nazywanego odciskiem palca.
• Kwalifikowana pieczęć elektroniczna zawierająca NIP podatnika również nie wymaga zgłoszeń; pieczęć bez NIP (np. wydaną za granicą) można stosować po zgłoszeniu jej danych unikalnych w zawiadomieniu ZAW-FA (§ 6 ust. 5). Czynności wykonane pieczęcią system przypisuje podmiotowi, a nie pracownikowi, który się nią posłużył.
• Certyfikat KSeF pobiera się z KSeF (art. 106nda ust. 7 ustawy o VAT) po uwierzytelnieniu węzłem krajowym, podpisem albo pieczęcią kwalifikowaną; po uwierzytelnieniu tokenem certyfikatu nie można uzyskać (§ 13 ust. 2). Jest ważny nie dłużej niż 2 lata od wytworzenia albo od wskazanej daty początkowej (§ 6 ust. 2). Odrębne certyfikaty służą do uwierzytelnienia w programach zintegrowanych z API oraz do oznaczania faktur wystawianych w trybach offline — zob. certyfikaty KSeF.
• Token to ciąg znaków generowany w KSeF po uwierzytelnieniu i powiązany z wybranymi uprawnieniami osoby lub podmiotu. System nie określa okresu jego ważności — token działa do unieważnienia — jednak jako metodę uwierzytelnienia rozporządzenie dopuszcza go przejściowo, do 31 grudnia 2026 r. (§ 13 ust. 1 pkt 1).

Aplikacja Podatnika KSeF przyjmuje logowanie przez login.gov.pl oraz certyfikatem kwalifikowanym (podpisem albo pieczęcią). Tokenem ani certyfikatem KSeF nie można się w niej uwierzytelnić.

Przedsiębiorca będący osobą fizyczną

Osoba fizyczna prowadząca działalność gospodarczą nie składa żadnych dokumentów w urzędzie skarbowym. Do jej NIP system przypisuje automatycznie uprawnienia właścicielskie: wystawianie faktur, dostęp do faktur, zarządzanie uprawnieniami, zarządzanie jednostkami podrzędnymi oraz przeglądanie uprawnień i historii sesji. Uprawnień właścicielskich nie można odebrać. Po pierwszym zalogowaniu przedsiębiorca może od razu wystawiać i odbierać faktury oraz nadawać uprawnienia pracownikom i biuru rachunkowemu.

Osoba fizyczna składa zawiadomienie ZAW-FA tylko w jednym przypadku — gdy zgłasza dane unikalne własnego podpisu kwalifikowanego niezawierającego NIP ani PESEL.

Spółka i inny podmiot niebędący osobą fizyczną

Spółka (także spółka cywilna posługująca się własnym NIP), fundacja, stowarzyszenie lub inna jednostka uzyskuje dostęp na jeden z dwóch sposobów:

1. Kwalifikowana pieczęć elektroniczna — po uwierzytelnieniu pieczęcią podmiot dysponuje pełnymi uprawnieniami właścicielskimi i nadaje kolejne uprawnienia elektronicznie. Zawiadomienia nie składa się, chyba że pieczęć nie zawiera NIP — wtedy zgłasza się w ZAW-FA jej dane unikalne.
2. Zawiadomienie ZAW-FA — podmiot bez pieczęci wskazuje w nim jedną osobę fizyczną, która otrzymuje uprawnienia do zarządzania uprawnieniami, wystawiania faktur, dostępu do faktur i zarządzania jednostkami podrzędnymi. Osoba ta nadaje dalsze uprawnienia już w systemie, bez kolejnych zawiadomień.

Zasady dotyczące ZAW-FA:

• zawiadomienie kieruje się do właściwego naczelnika urzędu skarbowego, według wzoru ZAW-FA(3) stanowiącego załącznik do rozporządzenia;
• składa się je na papierze (osobiście lub pocztą) albo elektronicznie — przez formularz interaktywny w e-Urzędzie Skarbowym lub przez e-Doręczenia; zawiadomienie wysłane przez ePUAP od 1 stycznia 2026 r. nie jest skutecznie doręczone;
• podpisują je osoby uprawnione do reprezentacji w wymaganej liczbie; może je podpisać także pełnomocnik ogólny ustanowiony na formularzu PPO-1 (zob. pełnomocnictwa dla biura rachunkowego);
• osobą wskazaną może być dowolna osoba fizyczna — nie musi to być członek zarządu ani wspólnik;
• adresy e-mail podmiotu i osoby wskazanej są obowiązkowe; na nie system wysyła potwierdzenie nadania lub odebrania uprawnień;
• uprawnienie działa dopiero po sprawdzeniu zawiadomienia i wprowadzeniu danych do systemu przez urząd skarbowy — przepisy nie określają na to terminu; przy wysyłce pocztowej należy doliczyć czas doręczenia.

Zawiadomienie wskazuje tylko jedną osobę. Zmiana tej osoby wymaga zawiadomienia o odebraniu uprawnień dotychczasowej osobie, a następnie zawiadomienia o ich nadaniu nowej.

Kontekst logowania

Przy każdym logowaniu wskazuje się kontekst — identyfikator podmiotu, w imieniu którego wykonuje się czynności. Najczęściej jest nim NIP; w szczególnych sytuacjach identyfikator wewnętrzny oddziału (IDWew) albo identyfikator złożony NIP-VAT UE przy samofakturowaniu z podmiotem z innego państwa członkowskiego. Uprawnienia działają wyłącznie w kontekście, w którym je nadano. Jeżeli we wskazanym kontekście użytkownik nie ma żadnego uprawnienia, uwierzytelnienie się nie powiedzie.

• Przedsiębiorca działający we własnym imieniu podaje swój NIP.
• Pracownik spółki podaje NIP spółki, a tożsamość potwierdza własnym środkiem, np. profilem zaufanym.
• Księgowa obsługująca kilka firm loguje się odrębnie w kontekście każdej z nich i w każdym ma tylko uprawnienia do tej firmy — nadane przez nią bezpośrednio albo pośrednio, przez biuro rachunkowe, któremu firma nadała uprawnienie z prawem dalszego przekazywania.

Pierwsze logowanie krok po kroku

Przebieg w Aplikacji Podatnika KSeF (ap.ksef.mf.gov.pl):

1. Przygotować środek uwierzytelnienia; w spółce bez pieczęci — upewnić się, że urząd wprowadził ZAW-FA (potwierdzenie przychodzi pocztą elektroniczną).
2. Wybrać sposób logowania — przez login.gov.pl albo certyfikatem kwalifikowanym.
3. Wskazać rodzaj identyfikatora kontekstu (zwykle NIP) i wpisać jego numer.
4. Potwierdzić tożsamość: w serwisie login.gov.pl albo przez pobranie żądania autoryzacyjnego w pliku XML, podpisanie go podpisem lub pieczęcią kwalifikowaną i wczytanie do aplikacji.
5. Po zalogowaniu sprawdzić zakres posiadanych uprawnień w części aplikacji poświęconej uprawnieniom.
6. Nadać uprawnienia osobom i podmiotom, które mają działać w imieniu podatnika — zob. uprawnienia w KSeF.
7. Jeżeli faktury będą wystawiane w programie komercyjnym — wystąpić o certyfikat KSeF albo wygenerować token (dopuszczalny do 31 grudnia 2026 r.); certyfikat do trybu offline należy uzyskać przed wystąpieniem potrzeby jego użycia (zob. tryby wystawiania faktur).

Najczęstsze problemy

• Odmowa logowania w kontekście innego podmiotu — zwykle wskazano niewłaściwy NIP albo uprawnienie nie zostało jeszcze nadane. Przy uprawnieniach nadanych biuru rachunkowemu musi istnieć cały łańcuch: klient, biuro, pracownik biura.
• Spółka bez osoby uprawnionej — nie złożono ZAW-FA, zawiadomienie nie zostało jeszcze wprowadzone albo trafiło do urzędu przez ePUAP.
• Podpis kwalifikowany bez NIP i PESEL — wymaga zgłoszenia danych unikalnych, a po odnowieniu podpisu lub uzyskaniu nowego zgłoszenie należy ponowić. Odnowienie podpisu zawierającego NIP lub PESEL nie wymaga aktualizacji uprawnień.
• Token lub certyfikat KSeF w Aplikacji Podatnika — nie są tam obsługiwane.
• Posługiwanie się cudzym środkiem uwierzytelnienia — profilu zaufanego, podpisu, tokena ani certyfikatu wydanego na osobę fizyczną nie udostępnia się innym osobom; pracownikowi lub księgowej nadaje się własne uprawnienia.
• Odejście osoby wskazanej w ZAW-FA — jeżeli nikt inny nie ma uprawnienia do zarządzania uprawnieniami, konieczne są zawiadomienia o odebraniu uprawnień tej osobie i o nadaniu ich nowej.

Zawieszenie ani zakończenie działalności nie blokuje automatycznie dostępu do KSeF — podatnik zachowuje dostęp do faktur wystawionych i otrzymanych.

Pobieranie faktur z KSeF i wystawianie faktur ustrukturyzowanych w imieniu klienta, w granicach nadanych uprawnień, obejmuje usługa VAT, JPK i KSeF.

Podstawa prawna

• art. 106nb, art. 106nd ust. 1 i 2 oraz art. 106nda ust. 7 ustawy z dnia 11 marca 2004 r. o podatku od towarów i usług (Dz. U. z 2025 r. poz. 775, z późn. zm.),
• § 3–6, § 9 ust. 11, § 13 i § 15 rozporządzenia Ministra Finansów i Gospodarki z dnia 12 grudnia 2025 r. w sprawie korzystania z Krajowego Systemu e-Faktur (Dz. U. poz. 1815 oraz z 2026 r. poz. 169) wraz z załącznikiem (wzór ZAW-FA(3)),
• art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej (Dz. U. z 2024 r. poz. 1725, z późn. zm.),
• art. 138d § 1 i art. 168 § 1 ustawy z dnia 29 sierpnia 1997 r. — Ordynacja podatkowa (Dz. U. z 2026 r. poz. 622, z późn. zm.),
• art. 147 ust. 2 ustawy z dnia 18 listopada 2020 r. o doręczeniach elektronicznych (Dz. U. z 2026 r. poz. 3, z późn. zm.).