Certyfikat KSeF: co to, jak uzyskać, token czy certyfikat

Stan na dzień 26.10.2026.

Certyfikat KSeF to elektroniczny identyfikator, którym program do faktur loguje się do Krajowego Systemu e-Faktur (certyfikat typu 1) albo potwierdza tożsamość wystawcy faktury wystawionej poza systemem, w trybie offline (typ 2). Certyfikat nie daje żadnych uprawnień. O tym, co wolno zrobić w KSeF, decydują uprawnienia nadane w systemie. Tokeny, wbrew wcześniejszym zapowiedziom, mają zostać z nami bezterminowo. Poniżej wyjaśniamy, kto potrzebuje którego certyfikatu, jak go uzyskać i jak to wygląda, gdy KSeF obsługuje biuro rachunkowe.

Czym jest certyfikat KSeF w Krajowym Systemie e-Faktur i czego nie robi

Certyfikat KSeF to środek uwierzytelnienia: system wie dzięki niemu, kto się łączy. Ministerstwo Finansów porównuje go do podpisu kwalifikowanego. Najważniejsza rzecz, którą warto zapamiętać: certyfikat nie zawiera uprawnień. Jeśli ktoś ma certyfikat, ale nie ma uprawnienia do wystawiania faktur w imieniu danej firmy, faktury nie wystawi. Z drugiej strony zmiana uprawnień nie wpływa na ważność certyfikatu — po odebraniu jednego uprawnienia nie trzeba wnioskować o nowy.

Druga rzecz, która zaskakuje przedsiębiorców: certyfikatem nie zalogujesz się do Aplikacji Podatnika KSeF. Korzystają z niego programy zintegrowane z API KSeF, na przykład system do fakturowania albo program księgowy. Do Aplikacji Podatnika logujesz się m.in. profilem zaufanym, podpisem kwalifikowanym albo pieczęcią elektroniczną.

Certyfikat typu 1 i typu 2: do czego służą

W KSeF 2.0 są dwa rodzaje certyfikatów. Generuje się je osobno, a jeden certyfikat nie obsłuży obu zastosowań.

Typ 2 ma znaczenie praktyczne. Faktura wystawiona w trybie offline24 albo w czasie niedostępności systemu, przekazana nabywcy przed wysłaniem do KSeF, musi mieć dwa kody QR: „OFFLINE” i „CERTYFIKAT”. Drugiego nie da się wygenerować bez wcześniej uzyskanego certyfikatu typu 2. Firma, która nie ma certyfikatu offline, w czasie awarii zostaje bez planu B.

Certyfikaty KSeF a tokeny: co wybrać?

Token i certyfikat nie są zamiennikami. Token zawiera uprawnienia, które deklarujesz przy jego generowaniu, i pozwala programowi wysyłać oraz pobierać faktury. Certyfikat potwierdza tylko tożsamość, a uprawnienia sprawdzane są osobno. Tylko certyfikat typu 2 obsługuje faktury offline.

Co z tokenami po 2026 roku? Pierwotnie miały działać tylko do 31 grudnia 2026 r., a potem KSeF miał przyjmować wyłącznie certyfikaty. Ministerstwo Finansów zdecydowało jednak, że tokeny zostaną w KSeF 2.0 bezterminowo (aktualizacja informacji MF z września 2026 r.). Pamiętaj też, że tokeny wygenerowane w KSeF 1.0 nie działają w KSeF 2.0 — nowe można generować od 1 lutego 2026 r.

Nasza rada jest prosta: certyfikat typu 2 i tak warto mieć, bo bez niego nie ma faktur offline. To, czy program łączy się z KSeF tokenem, czy certyfikatem typu 1, zależy od możliwości Twojego oprogramowania.

Kto może złożyć wniosek o certyfikat KSeF?

• Osoba fizyczna: przedsiębiorca na JDG (identyfikowany NIP) albo osoba z numerem PESEL, która ma jakiekolwiek uprawnienie w KSeF. Certyfikat z jej danymi może wnioskować, pobrać i używać tylko ona.
• Podmiot, który nie jest osobą fizyczną (np. spółka z o.o.): po uwierzytelnieniu kwalifikowaną pieczęcią elektroniczną. Może pobrać kilka certyfikatów i przekazać je pracownikom, ale wtedy sama odpowiada za ewidencję, użycie i unieważnianie tych certyfikatów. Faktura wystawiona takim certyfikatem pokazuje w KSeF dane firmy, a nie pracownika.
• Osoba wskazana w zawiadomieniu ZAW-FA: może uzyskać certyfikat tylko dla siebie, nie dla NIP spółki.

Jak uzyskać certyfikat KSeF: wniosek krok po kroku

1. Uwierzytelnij się w KSeF profilem zaufanym, kwalifikowanym podpisem elektronicznym albo kwalifikowaną pieczęcią (spółka). Kto ma już ważny certyfikat KSeF, może nim złożyć wniosek o kolejny.
2. Złóż wniosek w Aplikacji Podatnika KSeF 2.0 albo przez API KSeF 2.0 (od lutego 2026 r.; wcześniej, od 1 listopada 2025 r., certyfikaty generowało się w Module Certyfikatów i Uprawnień, MCU). Wybierz typ: uwierzytelnianie albo offline.
3. Pobierz certyfikat i wgraj go do programu, który łączy się z KSeF. Certyfikatem można się uwierzytelniać od 1 lutego 2026 r.
4. Zapisz datę ważności. Certyfikat działa maksymalnie 2 lata od wygenerowania albo od wybranej przez Ciebie daty startu. Potem trzeba złożyć nowy wniosek.

Ile certyfikatów potrzebuje firma

To zależy od tego, kto u Ciebie wystawia faktury. Przy jednoosobowej działalności zwykle wystarczy jeden certyfikat typu 1 (jeśli program tego wymaga) i jeden typu 2 na awarie. W spółce, w której faktury wystawia kilka osób, warto, żeby każda działała na swoim certyfikacie albo tokenie. Ministerstwo przestrzega przed praktyką „jeden token dla wszystkich”: gdy na jednym narzędziu fakturuje cały dział handlowy, trudno potem ustalić, kto wystawił błędną albo pustą fakturę, a ryzyko takich faktur ponosi podatnik.

Certyfikat KSeF a biuro rachunkowe

Twój osobisty certyfikat to Twój dowód tożsamości w KSeF. Nie przekazuje się go księgowej ani biuru. Biuro rachunkowe działa w KSeF na uprawnieniach, które mu nadajesz, i na własnym certyfikacie lub tokenie. Ministerstwo potwierdza też, że gdy jeden z klientów odbierze biuru uprawnienia, certyfikat księgowego dla pozostałych klientów pozostaje ważny.

Jak robimy to u nas

W Biurze Rachunkowym KPJ obsługa KSeF jest w abonamencie, bez dopłat. Przy wdrożeniu pomaga konkretna osoba z biura, Asystent KSeF, która przeprowadza Cię przez nadanie nam uprawnień i ustala, jakich certyfikatów potrzebuje Twoja firma. Pracujemy w jednym z dwóch modeli: samodzielnym (wystawiasz faktury sam, my pobieramy je z KSeF) albo hybrydowym z buforem w Scanye, gdzie sprawdzamy faktury, zanim trafią dalej. Faktury zakupowe spływają z KSeF do Scanye automatycznie, a stamtąd do enova365, w której prowadzimy Twoje księgi. Tryby awaryjne KSeF obsługuje Scanye automatycznie, więc awaria systemu nie zatrzymuje fakturowania.

Samo podłączenie firmy do KSeF nie wymaga od Ciebie znajomości certyfikatów i tokenów. Scanye prowadzi przez integrację z KSeF krok po kroku, a całość zajmuje około 3 minut. Asystent KSeF jest przy tym obok, gdyby coś poszło inaczej niż w instrukcji.

Najczęstsze pytania