Obowiązkowy KSeF 2.0 rusza 1 lutego 2026
Przypomnienie: Co zrobiliśmy w Kroku 1?
W poprzednim tygodniu skupiliśmy się na fundamentach projektu wdrożenia KSeF. Jeśli jeszcze nie zrobiłeś Kroku 1, wróć do niego, bo bez solidnej analizy procesów kolejne kroki mogą być problematyczne. (KROK 1 z 10)
W Kroku 1 przygotowałeś:
- Mapę procesów – jak faktura przepływa przez Twoją firmę (sprzedaż, zakup towarów, zakup kosztów)
- Listę uczestników – kto robi co w obiegu faktur (macierz RACI)
- Plan uprawnień – kto będzie mógł wystawiać, odbierać, akceptować faktury
- Wykaz wyjątków – faktury zagraniczne, zwolnione z VAT, marżowe itd.
Teraz nadszedł czas, żeby tę listę uczestników „wpuścić” do systemu KSeF, nadając im realne uprawnienia.
KROK 2: Uprawnienia i autoryzacja do KSeF
Wyobraź sobie, że KSeF to sejf z Twoimi fakturami. Teraz musisz zdecydować: – Kto ma mieć klucz do tego sejfu? Co każda osoba może w nim robić? Jak każda osoba będzie się logować?
Bez tego kroku nikt w Twojej firmie nie będzie mógł wystawiać ani odbierać faktur przez KSeF
Czym jest Moduł Certyfikatów i Uprawnień (MCU)?
Od 1 listopada 2025 roku Ministerstwo Finansów uruchomiło MCU – specjalny portal, w którym: –
- Nadajesz uprawnienia pracownikom
- Zamawiasz certyfikaty do logowania
- Zarządzasz dostępami do KSeF
⚠️ UWAGA: Od 1 listopada 2025 nadawanie uprawnień jest możliwe TYLKO przez MCU. Stara Aplikacja Podatnika KSeF 1.0 już tego nie umożliwia.
Adres MCU: https://mcu.mf.gov.pl/web
Krok 2A: Zrozum pojęcia (bez paniki!)
Metody autoryzacji – czyli jak się logujesz
Masz do wyboru 3 sposoby logowania do KSeF:
- Profil Zaufany (najprostszy)
- Ten sam login co do ZUS-u, US-u, e-PUAP
- Nie potrzebujesz nic zamawiać
Najlepszy dla: małych firm, osób fizycznych, księgowych
- Certyfikat kwalifikowany (profesjonalny)
- Kupujesz w zewnętrznej firmie (np. Certum, Szafir)
- Kosztuje 100-300 zł rocznie
- Działa jak „prawo jazdy elektroniczne”
Najlepszy dla: średnich firm, gdy kilka osób loguje się tym samym certyfikatem
- Certyfikat KSeF (wydawany przez KSeF)
- Zamawiasz bezpłatnie w MCU
- Tylko do KSeF (nigdzie indziej nie zadziała)
- Musisz się najpierw zalogować Profilem Zaufanym lub certyfikatem kwalifikowanym, żeby go zamówić
Najlepszy dla: firm z wieloma użytkownikami, integracji systemów IT
Rodzaje uprawnień – czyli co ktoś może robić
WŁAŚCICIEL:
- Ma wszystkie prawa
- Nadaje uprawnienia innym
- Nie można mu odebrać uprawnień
- To zazwyczaj prezes, właściciel firmy lub główny księgowy
ADMINISTRATOR:
- Może nadawać uprawnienia innym
- Może przeglądać wszystkie faktury
- Może wystawiać i odbierać faktury
PRACOWNIK Z OGRANICZENIAMI:
- Może tylko wystawiać faktury
- Może tylko odbierać faktury
- Może tylko przeglądać
Krok 2B: Formularz ZAW-FA – nadanie uprawnień poza MCU
Czym jest formularz ZAW-FA?
ZAW-FA to zawiadomienie o nadaniu lub odebraniu uprawnień do korzystania z Krajowego Systemu e-Faktur, które składa się w urzędzie skarbowym w formie papierowej lub elektronicznej. Formularz ten pełni kluczową rolę w nadawaniu pierwszych uprawnień do KSeF dla podmiotów niebędących osobami fizycznymi.
Kto musi złożyć formularz ZAW-FA?
✅ Musisz złożyć ZAW-FA, jeśli:
- – Jesteś spółką (z o.o., S.A., komandytową, itp.) i nie masz kwalifikowanej pieczęci elektronicznej zawierającej NIP
- Musisz wskazać osobę fizyczną uprawnioną do korzystania z KSeF w imieniu spółki
- Ta osoba po autoryzacji staje się administratorem i może nadawać dalsze uprawnienia elektronicznie
- – Jesteś fundacją, stowarzyszeniem lub jednostką samorządu terytorialnego bez kwalifikowanej pieczęci
- – Posiadasz kwalifikowany podpis elektroniczny, który NIE zawiera NIP ani PESEL – np. zagraniczny certyfikat
- W takim przypadku złożenie ZAW-FA służy do zgłoszenia tzw. „odcisku palca” podpisu
❌ NIE musisz składać ZAW-FA, jeśli:
- Prowadzisz jednoosobową działalność gospodarczą (JDG) – masz automatyczne uprawnienia właścicielskie przez Profil Zaufany lub kwalifikowany podpis elektroniczny
- Jesteś spółką posiadającą kwalifikowaną pieczęć elektroniczną z NIP – możesz nadawać uprawnienia elektronicznie w MCU
- Już masz uprawnienia nadane – kolejne osoby upoważniasz elektronicznie przez MCU
Jak wypełnić formularz ZAW-FA?
Wzór zawiadomienia ZAW-FA jest dostępny na stronie Ministerstwa Finansów. Formularz składa się z pięciu głównych sekcji:
Część A – MIEJSCE I CEL SKŁADANIA – Pole 5: Wskaż właściwy urząd skarbowy (według miejsca zamieszkania lub siedziby); Pole 6: Zaznacz cel: – Nadanie uprawnień – gdy wskazujesz pierwszą osobę uprawnioną do KSeF. Odebranie uprawnień – gdy odbierasz uprawnienia wcześniej nadane przez ZAW-FA. Zgłoszenie danych podpisu – gdy rejestrujesz „odcisk palca” podpisu bez NIP/PESEL,
Część B – DANE PODATNIKA/PODMIOTU – NIP podatnika lub podmiotu nadającego uprawnienia , adres siedziby firmy, OBOWIĄZKOWO: adres e-mail – na ten adres otrzymasz powiadomienie o nadaniu uprawnień,
Część C – DANE OSOBY UPRAWNIONEJ (nie wypełniaj, jeśli zgłaszasz tylko dane podpisu) – PESEL lub NIP osoby, której nadajesz uprawnienia, imię i nazwisko, adres zamieszkania , OBOWIĄZKOWO: adres e-mail osoby uprawnionej,
Część D – DANE PODPISU ELEKTRONICZNEGO (wypełniaj tylko przy zgłoszeniu „odcisku palca”) – Dane unikalne identyfikujące kwalifikowany podpis elektroniczny,
Część E – PODPISY – Podpisują osoby uprawnione do reprezentacji podmiotu w liczbie wymaganej dla danego podmiotu – Np. jeśli reprezentacja spółki wymaga dwóch osób – obie muszą podpisać,
WAŻNE UWAGI: Za pomocą ZAW-FA możesz zgłosić tylko pierwszą osobę – kolejne osoby nadajesz już elektronicznie. Jeśli masz więcej niż 6 osób uprawnionych do reprezentacji – użyj dodatkowego formularza ZAW-FA. Formularz należy wypełnić drukowanymi dużymi literami.
Jak wysłać formularz ZAW-FA?
Formularz można złożyć w trzech formach:
- Forma papierowa – pocztą lub osobiście- Podpisany formularz złóż osobiście w urzędzie skarbowym lub wyślij pocztą tradycyjną na adres właściwego urzędu skarbowego
- Forma elektroniczna – przez ePUAP- Zaloguj się na platformę ePUAP, wyślij jako załącznik do pisma ogólnego. Pamiętaj: w imieniu spółki zawiadomienie mogą podpisać wyłącznie osoby uprawnione do jej reprezentacji w liczbie wymaganej dla danego podmiotu
- Forma elektroniczna – przez e-Urząd Skarbowy- Zaloguj się do serwisu e-Urząd Skarbowy, przejdź do zakładki ZŁÓŻ DOKUMENT → PISMO OGÓLNE. Dołącz podpisany plik ZAW-FA jako załącznik. Możesz użyć skanu podpisanego dokumentu lub e-skrzynki podawczej
Ile trwa rozpatrzenie ZAW-FA?
Uprawnienia nadawane za pośrednictwem zawiadomienia ZAW-FA zaczną działać dopiero po ich wprowadzeniu do systemu przez pracownika właściwego urzędu skarbowego.
Typowy czas realizacji: –
- Przy złożeniu osobiście: od kilku godzin do 1-2 dni roboczych
- Przy wysyłce pocztowej: 3-5 dni roboczych (+ czas doręczenia)
- Przy wysyłce elektronicznej: 1-3 dni robocze
W razie uzasadnionych wątpliwości lub błędów w wypełnionym zawiadomieniu pracownik urzędu skarbowego podejmie kontakt z podatnikiem celem ich wyjaśnienia.
⚠️ UWAGA: Po wprowadzeniu danych z ZAW-FA do systemu, na wskazane adresy e-mail zostaną wysłane powiadomienia o nadaniu uprawnień.
Przykład zastosowania ZAW-FA
Scenariusz: Spółka ABC Sp. z o.o. nie posiada kwalifikowanej pieczęci elektronicznej
Kolejność działań:
1. Prezes spółki wypełnia formularz ZAW-FA, wskazując siebie jako osobę uprawnioną
2. Formularz podpisuje prezes (lub prezes + wiceprezes, jeśli tak wymaga KRS)
3. Formularz wysyła do urzędu skarbowego (osobiście, pocztą lub przez ePUAP)
4. Urząd skarbowy weryfikuje formularz i wprowadza dane do systemu (1-3 dni)
5. Prezes otrzymuje powiadomienie e-mail o nadaniu uprawnień
6. Prezes loguje się do MCU swoim Profilem Zaufanym lub certyfikatem kwalifikowanym
7. Od tego momentu prezes może elektronicznie w MCU nadawać uprawnienia kolejnym osobom (księgowa, handlowcy, pracownicy)
KLUCZOWE: ZAW-FA potrzebny jest tylko do nadania uprawnień pierwszej osobie. Dalsze uprawnienia nadaje się już wygodnie przez internet w MCU!
Krok 2C: zaloguj się do MCU po raz pierwszy
Przed pierwszym logowaniem przygotuj:
- Profil Zaufany (lub certyfikat kwalifikowany)
- NIP firmy
- Listę osób, którym będziesz nadawać uprawnienia (z Kroku 1)
- Ich numery PESEL lub NIP
Pierwsze logowanie krok po kroku
- Wejdź na stronę: https://mcu.mf.gov.pl/web
- Kliknij: „Uwierzytelnij się do MCU”
- Wybierz metodę logowania:– Profil Zaufany (polecamy na start) – Certyfikat kwalifikowany – ~~Token~~ (nie użyjesz go do zamawiania certyfikatów)
- Zaloguj się swoim Profilem Zaufanym (standardowa procedura jak w ZUS)
- Zobaczysz stronę główną MCU z dwoma głównymi zakładkami: – „Uprawnienia”, „Certyfikaty”
Krok 2D: Nadaj uprawnienia swojemu zespołowi
Scenariusz 1: Mała firma (Właściciel + księgowa)
Kto powinien mieć uprawnienia:
- Ty (właściciel) – WŁAŚCICIEL (automatycznie po pierwszym logowaniu)
- Księgowa – ADMINISTRATOR (może wszystko robić)
Jak nadać uprawnienia księgowej:
- Zaloguj się do MCU
- Wybierz zakładkę „Uprawnienia” → „Dodaj administratora”
- Wypełnij formularz:
- NIP lub PESEL księgowej
- Rodzaj uprawnień: Administrator
- Zakres: pełny dostęp
- Kliknij „Zatwierdź”
- Gotowe! Księgowa może się teraz zalogować
Scenariusz 2: Średnia firma (zespół handlowy+ księgowość)
Kto powinien mieć uprawnienia:
- Prezes – WŁAŚCICIEL
- Główna księgowa – ADMINISTRATOR
- 3 handlowców – uprawnienia do wystawiania faktur
- Pracownik działu zakupów – uprawnienia do odbierania faktur
Kolejność działań:
- Prezes loguje się pierwszy → automatycznie zostaje WŁAŚCICIELEM
- Prezes nadaje uprawnienia głównej księgowej:
- Uprawnienia → Dodaj administratora
- Podaj PESEL głównej księgowej
- Rola: Administrator
- Główna księgowa może teraz nadawać uprawnienia pozostałym:
- Loguje się do MCU
- Nadaje handlowcom: prawo do wystawiania faktur
- Nadaje pracownikowi zakupów: prawo do odbierania faktur
Biuro musi mieć dostęp do KSeF swoich klientów
Jak to zrobić:
- Klient loguje się do swojego MCU (za pomocą swojego Profilu Zaufanego)
- Klient nadaje uprawnienia biuru:
- Uprawnienia → Dodaj administratora
- Podaje NIP biura rachunkowego
- Wybiera zakres: Administrator lub ograniczony
- Biuro może teraz zarządzać fakturami klienta.
⚠️ Biuro rachunkowe: Musisz powtórzyć ten proces dla każdego klienta osobno!
Scenariusz 3: Biuro rachunkowe (obsługa wielu klientów)
Biuro musi mieć dostęp do KSeF swoich klientów
Jak to zrobić:
- Klient loguje się do swojego MCU (za pomocą swojego Profilu Zaufanego)
- Klient nadaje uprawnienia biuru:
- Uprawnienia → Dodaj administratora
- Podaje NIP biura rachunkowego
- Wybiera zakres: Administrator lub ograniczony
- Biuro może teraz zarządzać fakturami klienta.
⚠️ Biuro rachunkowe: Musisz powtórzyć ten proces dla każdego klienta osobno!
Krok 2E: Zamów certyfikaty KSeF (opcjonalnie)
Kiedy potrzebujesz certyfikatu KSeF?
✅ Gdy chcesz automatycznej integracji z systemem InsERT
✅ Gdy masz więcej niż 3-4 użytkowników
✅ Gdy chcesz niezależnego logowania (bez Profilu Zaufanego)
✅ Gdy planujesz dużą liczbę faktur (>100/miesiąc)
❌ NIE potrzebujesz certyfikatu, jeśli: – Mała firma, 1-2 osoby; – Wystarczy Profil Zaufany; – Rzadko wystawiasz faktury
Jak zamówić certyfikat KSeF?
Aby zamówić certyfikat KSeF, musisz być zalogowany Profilem Zaufanym lub certyfikatem kwalifikowanym. Token nie pozwala na zamówienie certyfikatu!
Krok po kroku:
- Zaloguj się do MCU (Profil Zaufany lub certyfikat kwalifikowany)
- Przejdź do zakładki „Certyfikaty” → „Wnioskuj o certyfikat”
- Nadaj nazwę certyfikatowi (np. „Certyfikat_Handlowiec_Jan_Kowalski”)
- Nazwa musi mieć 5-50 znaków
- Unikaj polskich znaków (ą, ć, ę itd.)
- Ustaw hasło do certyfikatu (zabezpieczenie)
- Minimum 15 znaków
- Minimum 1 wielka litera
- Minimum 1 mała litera
- Minimum 1 cyfra
- Minimum 1 znak specjalny (@#$%^&)
- System wygeneruje certyfikat (trwa kilka sekund)
- Pobierz certyfikat – zapisz plik .crt w bezpiecznym miejscu
- Pobierz klucz prywatny – zapisz plik .key w BARDZO bezpiecznym miejscu
SUPER WAŻNE:
– Klucz prywatny (.key) zapisuje się TYLKO RAZ! Jeśli go zgubisz, musisz zamówić nowy certyfikat
– NIE udostępniaj klucza prywatnego nikomu! To jak kod PIN do karty płatniczej
– Zapisz hasło w bezpiecznym miejscu (np. menedżer haseł)
Krok 2F: Co zrobić z tokenami utworzonymi przed 31.10.2025?
Sytuacja: masz już token z KSeF 1.0
✅ DOBRA WIADOMOŚĆ: Token nadal działa!
Możesz: logować się do KSeF 2.0 tym tokenem, wystawiać i odbierać faktury, przeglądać stare faktury
❌ NIE MOŻESZ: – Zamówić nowego certyfikatu KSeF tym tokenem, nadawać uprawnień innym (musisz użyć Profilu Zaufanego)
Co powinieneś zrobić?
Opcja 1: Zostań przy tokenie (rozwiązanie tymczasowe) – Jeśli token działa i Ci wystarcza. Pamiętaj: token wygasa po pewnym czasie (zazwyczaj 180 dni). Będziesz musiał wygenerować nowy token, gdy ten wygaśnie
Opcja 2: Przejdź na certyfikat KSeF (zalecane)
- Zaloguj się Profilem Zaufanym do MCU
- Zamów certyfikat KSeF (procedura powyżej)
- Od 1 lutego 2026 używaj certyfikatu zamiast tokenu 4. Stary token możesz unieważnić po przejściu na certyfikat
Opcja 3: Zostań przy Profilu Zaufanym – Najprostsze rozwiązanie. Nie musisz zamawiać certyfikatu – Logujesz się tak jak do ZUS-u
Krok 2G: Bezpieczeństwo
Certyfikaty to jak klucze do firmy
Traktuj certyfikaty i tokeny tak samo jak: – Dane do logowania bankowego – Kartę płatniczą z PIN-em – Pieczęć firmową
⚠️ NIGDY:
- Nie wysyłaj certyfikatów mailem
- Nie zapisuj haseł w notatniku na komputerze
- Nie udostępniaj klucza prywatnego
- Nie zostawiaj certyfikatu na wspólnym komputerze
- Nie rób zrzutów ekranu z hasłami
✅ ZAWSZE:
- Zapisuj certyfikaty na zaszyfrowanym dysku
- Używaj menedżera haseł (np. KeePass, Bitwarden)
- Twórz kopie zapasowe certyfikatów w bezpiecznym miejscu
- Zmień hasło, jeśli ktoś je poznał
- Unieważnij certyfikat, gdy pracownik odchodzi z firmy
Krok 2H: Checklist – czy jesteś gotowy?
Po zakończeniu tego kroku powinieneś mieć:
✅ Logowanie
- [ ] Zalogowałeś się do MCU pierwszy raz
- [ ] Masz działający Profil Zaufany (lub certyfikat kwalifikowany)
- [ ] Znasz swój NIP/PESEL
✅ Uprawnienia
- [ ] Wiesz, kto w firmie będzie WŁAŚCICIELEM
- [ ] Nadałeś uprawnienia głównym osobom (księgowa, prezes)
- [ ] Lista uprawnień zgadza się z Twoim planem z Kroku 1
- [ ] Jeśli jesteś spółką bez pieczęci elektronicznej – złożyłeś formularz ZAW-FA w urzędzie skarbowym
✅ Formularz ZAW-FA (jeśli był wymagany)
- [ ] Wypełniłeś formularz ZAW-FA zgodnie z instrukcją
- [ ] Złożyłeś formularz w urzędzie skarbowym (osobiście, pocztą lub przez ePUAP)
- [ ] Otrzymałeś powiadomienie e-mail o nadaniu uprawnień
- [ ] Pierwsza osoba uprawniona może się zalogować do MCU
✅ Certyfikaty (jeśli zamawiałeś)
- [ ] Zamówiłeś certyfikaty dla użytkowników, którzy ich potrzebują
- [ ] Pobrałeś i bezpiecznie zapisałeś certyfikaty (.crt)
- [ ] Pobrałeś i BARDZO BEZPIECZNIE zapisałeś klucze prywatne (.key)
- [ ] Zapisałeś hasła w menedżerze haseł
✅ Tokeny (jeśli miałeś stare)
- [ ] Sprawdziłeś, czy stary token działa
- [ ] Zdecydowałeś, czy zostajesz przy tokenie, czy przechodzisz na certyfikat
- [ ] Jeśli przechodzisz – zamówiłeś nowy certyfikat
✅ Dokumentacja
- [ ] Zapisałeś, kto ma jakie uprawnienia (arkusz Excel z Kroku 1)
- [ ] Wszyscy wiedzą, jak się logować
- [ ] Masz procedurę na wypadek utraty certyfikatu/hasła
Co dalej?
Krok 3: Przygotuj InsERT do pracy z KSeF 2.0 (tydzień 3)
Dowiesz się:
– Jakie aktualizacje InsERT są potrzebne
– Jak sprawdzić licencje
– Pierwsza konfiguracja połączenia z KSeF
Nie czekaj! Uprawnienia muszą być gotowe przed konfiguracją systemu InsERT.
Zacznij już dziś!
Jeśli uważasz, że potrzebujesz indywidualnego wdrożenia i stworzenia rozwiązań szytych na miarę skorzystaj z naszych usług.
Napisz do nas: biuro@atisoft.pl
____________________________________________________________
Grzegorz Reguła
ATISOFT Sp. z o.o.
Autoryzowany Partner InsERT
Ponad 1000 wdrożeń od 2005 roku
Kolejny artykuł z serii za tydzień: „Krok 3: Przygotuj InsERT do pracy z KSeF 2.0”