KSeF uprawnienia: kto nadaje, komu i w jakim zakresie
KSeF uprawnienia rozstrzygają, kto może wystawić i zobaczyć fakturę w imieniu Twojej firmy. W środku tabela decyzyjna według formy prawnej i roli.
Uprawnienia w KSeF to zapisany w systemie zakres tego, co konkretna osoba albo konkretna firma może zrobić w imieniu danego podatnika: wystawić fakturę, zobaczyć fakturę albo nadać uprawnienia komuś dalej.
System nie zna stanowisk ani działów. Zna identyfikatory — NIP i PESEL — i do nich przypina uprawnienia. Dlatego układ uprawnień w firmie warto zaprojektować raz, na spokojnie.
Czym są uprawnienia w KSeF
KSeF działa w modelu poświadczeń: najpierw uwierzytelnienie, potem autoryzacja. Po zalogowaniu robisz tylko to, na co masz uprawnienie w tym konkretnym kontekście.
Rozporządzenie w sprawie korzystania z KSeF wymienia cztery grupy uprawnień. Ministerstwo Finansów rozpisuje je na uprawnienia systemowe, czyli na to, co faktycznie zaznaczasz w aplikacji.
Uprawnienia właścicielskie to punkt wyjścia
Uprawnienia właścicielskie system przypisuje automatycznie do numeru NIP podatnika. Obejmują wystawianie faktur, dostęp do faktur, zarządzanie uprawnieniami i jednostkami podrzędnymi oraz dwa uprawnienia techniczne.
Tych uprawnień nie da się odebrać. Od nich zaczyna się każdy inny układ w firmie — ktoś, kto je ma, musi wykonać pierwsze nadanie.
Kontekst logowania, czyli w czyim imieniu działasz
Kontekst to identyfikator podmiotu, który podajesz przy uwierzytelnieniu. Ta sama księgowa może mieć zupełnie inny zakres u każdego ze swoich klientów.
Jeśli w danym kontekście nie masz żadnego uprawnienia, nie zalogujesz się w nim wcale. Kontekstem bywa NIP podmiotu albo identyfikator wewnętrzny oddziału.
Kto nadaje uprawnienia — JDG, spółka, podmiot z pieczęcią
Pierwsze uprawnienie w firmie nie bierze się z formularza, tylko z formy prawnej i z tego, czym się uwierzytelniasz. Ministerstwo zebrało te przypadki w sekcji „Dostępy”.
Jednoosobowa działalność gospodarcza
Osoba fizyczna prowadząca działalność nie zgłasza niczego do urzędu skarbowego. Uprawnienia właścicielskie ma przypisane do swojego numeru NIP od pierwszego dnia.
Loguje się Węzłem krajowym — Profilem Zaufanym, aplikacją mObywatel, bankowością elektroniczną, e-Dowodem — albo kwalifikowanym podpisem elektronicznym.
Spółka z kwalifikowaną pieczęcią elektroniczną
Podmiot, który ma pieczęć kwalifikowaną z własnym numerem NIP, również nie składa żadnych dokumentów. Po zalogowaniu pieczęcią ma pełny zakres uprawnień właścicielskich.
To najkrótsza droga dla spółki. Zamiast czekać na urząd skarbowy, spółka posługuje się pieczęcią i nadaje uprawnienia elektronicznie.
Spółka bez pieczęci
Tutaj potrzebne jest zawiadomienie ZAW-FA. Podmiot wskazuje w nim jedną osobę fizyczną, która będzie działać w KSeF w jego imieniu.
Jest dokładnie jeden przypadek, w którym ZAW-FA składa osoba fizyczna: gdy jej kwalifikowany podpis nie zawiera ani numeru NIP, ani numeru PESEL. Zgłasza wtedy dane unikalne tego podpisu, potocznie zwane odciskiem palca.
Zawiadomienie ZAW-FA — kiedy trzeba je złożyć
ZAW-FA jest potrzebne podmiotom, które nie są osobami fizycznymi i nie mogą uwierzytelnić się pieczęcią kwalifikowaną. Organ egzekucyjny składa je zawsze, także z pieczęcią.
Wzór w wersji ZAW-FA(3) obowiązuje od 1 lutego 2026 r. Zawiadomienie złożysz na papierze, przez e-Urząd Skarbowy albo przez e-Doręczenia.
W e-Urzędzie Skarbowym prowadzi do niego ścieżka Dokumenty, Złóż dokument, a następnie zawiadomienie o nadaniu lub odebraniu uprawnień do korzystania z KSeF.
Od 1 stycznia 2026 r. pisma składane do urzędów skarbowych przez ePUAP nie są uznawane za skutecznie doręczone, a Ministerstwo wprost wskazuje, że ZAW-FA tą drogą złożyć się nie da. Uprawnienia po prostu nie trafią do systemu.
Co dokładnie zaznacza się w formularzu
Cel złożenia formularza to pole nr 6. Cztery opcje robią cztery różne rzeczy, a jedna z nich czyści uprawnienia w całej firmie.
| Cel w polu nr 6 | Co robi | Kiedy się go używa |
|---|---|---|
| 1. Nadanie uprawnień | Wskazuje jedną osobę fizyczną uprawnioną do korzystania z KSeF | Pierwsze wejście podmiotu, który nie ma pieczęci |
| 2. Odebranie uprawnień | Odbiera uprawnienia tej osobie oraz zgłoszone przez nią dane unikalne podpisów | Zmiana osoby wskazanej w ZAW-FA |
| 3. Odebranie wszelkich nadanych uprawnień | Kasuje wszystkie uprawnienia poza właścicielskimi, wszystkim osobom i podmiotom | Incydent bezpieczeństwa, przejęcie firmy |
| 4. Zgłoszenie danych unikalnych | Wiąże podpis albo pieczęć bez NIP i PESEL z konkretnym podatnikiem | Podpis zagraniczny bez polskich identyfikatorów |
Po opcji trzeciej uprawnienia w firmie buduje się od zera. To decyzja, którą podejmuje się świadomie, a nie przy okazji porządkowania dostępów.
Jak zmienić osobę wskazaną w ZAW-FA
Nie da się podmienić jednej osoby na drugą w jednym zawiadomieniu. Najpierw składasz ZAW-FA z celem „odebranie uprawnień”, potem drugie z celem „nadanie uprawnień”.
Zmiana nie odbiera uprawnień osobom, którym poprzednia osoba nadała je wcześniej. Odbiera natomiast dane unikalne podpisów, które ona zgłosiła.
Jeśli poza osobą z ZAW-FA ktoś jeszcze ma zarządzanie uprawnieniami, to on może odebrać uprawnienia pierwszej osobie — bez chodzenia do urzędu.
Dlatego w spółce warto od początku mieć dwie osoby z zarządzaniem uprawnieniami. Inaczej odejście jednej z nich oznacza kolejne ZAW-FA i kolejne oczekiwanie.
Moduł Certyfikatów i Uprawnień (MCU) — i co go zastąpiło
MCU to osobna aplikacja przeglądarkowa, którą Ministerstwo udostępniło 1 listopada 2025 r. Od tej daty tylko w nim można było nadawać nowe uprawnienia na potrzeby KSeF 2.0.
Od 1 lutego 2026 r. zarządzanie uprawnieniami i wnioskowanie o certyfikat przeniosło się do Aplikacji Podatnika KSeF 2.0 oraz do programów komercyjnych zintegrowanych z API KSeF 2.0.
Jeśli szukasz dziś instrukcji do MCU, prawdopodobnie potrzebujesz właśnie tego drugiego. MCU nigdy nie miał API — nadania robiło się w przeglądarce, ręcznie.
W Aplikacji Podatnika uprawnienia siedzą w jednej zakładce. „Moje uprawnienia” pokazuje Twój faktyczny zakres, „Nadaj uprawnienie” otwiera formularz nadania.
Brak zakładki „Faktury” po starym ZAW-FA
Zawiadomienie ZAW-FA złożone do 31 stycznia 2026 r., czyli w wersji 2, wprowadzało do systemu wyłącznie uprawnienie do zarządzania uprawnieniami.
Osoba wskazana w takim zawiadomieniu może więc nadawać uprawnienia, ale nie widzi faktur. Musi najpierw nadać je sobie samej.
Nie widzisz zakładki „Faktury”
- Zaloguj się do Aplikacji Podatnika KSeF 2.0 w kontekście swojego podmiotu.
- Wejdź w Uprawnienia, potem w Moje uprawnienia — zobaczysz, co faktycznie masz.
- Wróć do Uprawnienia, wybierz Nadaj uprawnienie, a potem „osobie fizycznej do pracy w KSeF”.
- Wskaż siebie i zaznacz wystawianie faktur, przeglądanie faktur albo oba.
- Wyloguj się i zaloguj ponownie — zakładka pojawi się po przelogowaniu.
Na podstawie ZAW-FA(3), czyli zawiadomienia złożonego od 1 lutego 2026 r., uprawnienie do wystawiania faktur system nadaje automatycznie. Ten krok nie jest wtedy potrzebny.
Zakresy uprawnień: wystawianie, dostęp, zarządzanie
W zwykłej firmie handlowej pracujesz na trzech uprawnieniach. Granice każdego z nich nie są intuicyjne, więc opłaca się je znać dokładnie.
Wystawianie faktur obejmuje zarówno faktury ustrukturyzowane wysyłane online, jak i faktury z trybów offline: offline24, niedostępności KSeF oraz trybu awaryjnego.
Dostęp do faktur obejmuje też faktury zakupowe
Uprawnienie do dostępu do faktur daje wgląd we wszystkie faktury podatnika — sprzedażowe i zakupowe. Nie da się go zawęzić do jednej strony obrotu.
Przemyśl to przed nadaniem. Osoba, której dasz dostęp do faktur, zobaczy również, od kogo i za ile kupujesz.
Wystawianie i dostęp to dwa osobne uprawnienia. Możesz nadać tylko jedno z nich — na przykład biuru, które ma pobierać faktury, ale nie wystawiać.
Nadawanie i odbieranie to jedno uprawnienie
Zarządzania uprawnieniami nie da się podzielić. Nie ma osobnego uprawnienia „tylko nadawaj” i osobnego „tylko odbieraj” — jest jedno, obejmujące oba działania.
Podział kompetencji zrobisz więc procedurą wewnętrzną, nie ustawieniem w systemie. W zarządzaniu uprawnieniami zawiera się też przeglądanie uprawnień, którego nie nadaje się osobno.
Z uprawnienia nie można zrezygnować. Odebrać je może wyłącznie osoba z zarządzaniem uprawnieniami, w tym sam podatnik — a sobie samej tego uprawnienia nie odbierze.
Uprawnienia dla pracownika — NIP albo PESEL
Pracownika wskazujesz jego identyfikatorem: numerem PESEL albo numerem NIP. Uprawnienie jest przypięte do tej osoby, nie do stanowiska, nie do komputera.
Pracownik musi mieć własny sposób uwierzytelnienia: Węzeł krajowy, kwalifikowany podpis elektroniczny, token wygenerowany przez siebie albo certyfikat KSeF wydany na niego.
Pracownik z wystawianiem i dostępem nie przekaże ich nikomu dalej. Żeby ktoś w firmie mógł nadawać uprawnienia, musi mieć zarządzanie uprawnieniami.
Co się dzieje, gdy pracownik odchodzi
Odbierasz mu uprawnienia w tym kontekście. Uprawnienia, które on wcześniej nadał innym osobom, zostają — odebranie zarządzania nie kasuje jego decyzji.
Jego token nie zostaje unieważniony przez system. Przestaje jedynie działać: bez żadnego uprawnienia na identyfikatorze nie da się już zalogować w tym kontekście.
Nie wolno wygenerować tokena i przekazać go innej osobie. Tokenem może posługiwać się wyłącznie ten, kto go wygenerował. To samo dotyczy certyfikatu wydanego na osobę fizyczną.
Uprawnienia dla biura rachunkowego
Biuru rachunkowemu nadajesz uprawnienie na jego numer NIP, jako podmiotowi — nie poszczególnym księgowym. Nie musisz znać nazwisk osób, które Cię obsługują.
Przy nadaniu na NIP możesz dodatkowo zaznaczyć, że ten podmiot ma prawo przekazywać uprawnienie dalej. To właśnie uprawnienia pośrednie.
Opcja dotyczy wyłącznie wystawiania faktur i dostępu do faktur. Zarządzania uprawnieniami w ten sposób nie przekażesz nikomu.
Uprawnienia pośrednie — łańcuch, który trzeba domknąć
Biuro, nadając uprawnienia pośrednio, uwierzytelnia się we własnym kontekście, nie w Twoim. Wskazuje przy tym, czy pracownik pracuje u wszystkich klientów, czy tylko u wybranych.
Pracownik biura nie przekaże takiego uprawnienia dalej. To końcowe ogniwo łańcucha.
Zysk jest praktyczny. Rotacja w biurze nie wymaga, żeby każdy klient wchodził do systemu i aktualizował uprawnienia — wystarczy, że zrobi to biuro.
Czego nie zobaczysz po swojej stronie
Nadając uprawnienie biuru, nie widzisz, który jego pracownik ma pośredni dostęp do Twoich faktur. Widzisz tylko, że upoważniłeś biuro.
Biuro z kolei do każdego klienta loguje się osobno, w kontekście jego numeru NIP. Jedna sesja nie obsługuje wszystkich klientów naraz.
Uprawnienia do samofakturowania w KSeF
Samofakturowanie to sytuacja, w której fakturę wystawia nabywca, nie sprzedawca. Uprawnienie nadaje sprzedawca, wskazując nabywcę w KSeF.
Nabywca może potem upoważnić własnych pracowników do wystawiania faktur. Robi to u siebie, w swoim kontekście, zwykłym uprawnieniem do wystawiania faktur.
Nabywca loguje się w swoim kontekście
Tu powstaje najwięcej pomyłek. Nabywca wystawiający fakturę w ramach samofakturowania podaje jako kontekst uwierzytelnienia własny numer NIP, nie NIP sprzedawcy.
Sprzedawca na fakturze i podmiot w kontekście logowania to więc dwie różne rzeczy. Ta sama zasada dotyczy przedstawiciela podatkowego oraz komornika.
Nabywca z Unii — identyfikator złożony
Nabywca z innego kraju UE, mający numer VAT UE, może dobrowolnie wystawić fakturę ustrukturyzowaną w ramach samofakturowania przy wewnątrzwspólnotowej dostawie towarów.
Loguje się wtedy identyfikatorem złożonym: numer NIP polskiego sprzedawcy i jego numer VAT UE połączone myślnikiem. Uprawnienie można nadać na dane unikalne jego zagranicznej pieczęci.
Osobną ścieżkę mają faktury VAT RR. Uprawnienie do ich wystawiania nadaje rolnik ryczałtowy nabywcy produktów rolnych, który jest podatnikiem VAT czynnym.
Uprawnienia a token i certyfikat KSeF
Token i certyfikat to sposoby uwierzytelnienia, nie uprawnienia. Różnią się natomiast tym, jak traktują zakres — i właśnie ta różnica psuje integracje.
Token zapisuje w sobie uprawnienia osoby, która go wygenerowała, i działa tylko w tym jednym kontekście. Nie da się go zaktualizować: po zmianie zakresu generujesz nowy.
Certyfikat nie nosi uprawnień. Ten sam certyfikat wpuści Cię do kontekstu każdego klienta, a zakres działań system odczyta przy logowaniu.
Oba narzędzia mają własne teksty: token KSeF oraz certyfikat KSeF. Tutaj liczy się tylko to, jak przenoszą uprawnienia.
Kto co powinien mieć — tabela decyzyjna
Poniżej ten sam materiał ułożony pod decyzję. Znajdź wiersz, który opisuje Twoją firmę, i nadaj dokładnie to, co stoi w trzeciej kolumnie.
Jeśli dopiero zaczynasz, kolejność jest inna niż w tabeli: najpierw dostęp, potem narzędzie, a uprawnienia dla ludzi na końcu. Opisuje ją tekst o starcie w KSeF.
Co sprawdzić w programie, z którego wystawiasz
Jeśli faktury wychodzą z programu, a nie z aplikacji Ministerstwa, uprawnienia i tak zostają po stronie KSeF. Program tylko się nimi posługuje.
Sprawdź trzy rzeczy: czym program się uwierzytelnia, czy trzyma osobne dane dla każdego kontekstu i czy potrafi nadawać uprawnienia przez API.
Trzecie pytanie jest ważne dla biur rachunkowych i firm wielooddziałowych. Bez tego każde nadanie robisz ręcznie, w aplikacji Ministerstwa.
W easySales opisujemy to połączenie na stronie o fakturowaniu w KSeF, a sam dokument — w tekście o fakturze ustrukturyzowanej.
Układ uprawnień da się zaprojektować z artykułu. Zakresu obowiązku i terminów już nie — to pytanie do Twojego biura rachunkowego, na podstawie harmonogramu publikowanego przez Ministerstwo Finansów.
