Tokeny KSeF po 31 grudnia: MF obiecuje, przepis jeszcze nie. Co zrobić przed styczniem

Co dziś mówi przepis

Zasady logowania do Krajowego Systemu e-Faktur opisuje rozporządzenie ministra finansów i gospodarki z 12 grudnia 2025 r. (Dz.U. 2025 poz. 1815), które działa od 1 lutego 2026 r. Wymienia ono cztery stałe sposoby uwierzytelnienia: węzeł krajowy, czyli logowanie przez login.gov.pl (profil zaufany, mObywatel, bank), kwalifikowany podpis elektroniczny, kwalifikowaną pieczęć firmy oraz certyfikat KSeF.

Token, czyli ciąg liter i cyfr generowany w systemie i wklejany do programu, pojawia się tylko w przepisach przejściowych. Paragraf 13 mówi wprost, że może służyć do logowania do 31 grudnia 2026 r. Ten sam paragraf dodaje ważne zastrzeżenie: kto zaloguje się tokenem, nie wygeneruje sobie certyfikatu KSeF. Do tego trzeba wejść do systemu jedną ze stałych metod.

Według bazy aktów prawnych prowadzonej przez Sejm rozporządzenie zmieniano dotąd raz, w lutym 2026 r., i ta zmiana nie dotyczyła tokenów. Jeżeli więc nic się nie wydarzy do sylwestra, od 1 stycznia przepis nie będzie już przewidywał logowania tokenem.

Co zapowiada Ministerstwo Finansów

Zmiana kursu zaczęła się latem. Na otwartych konsultacjach 9 czerwca resort zaproponował, by tokeny zostały w systemie po 2026 r. W tej samej propozycji pojawiły się dwa nowe pomysły: token z terminem ważności od 1 do 365 dni oraz uprawnienie, które pozwala go automatycznie odnawiać, jeśli właściciel się na to zgodzi.

W sierpniu poszło to dalej. W pierwszej części Podręcznika KSeF 2.0 w wersji z 6 sierpnia ministerstwo napisało, że po sygnałach od przedsiębiorców i firm robiących oprogramowanie postanowiło zachować token na czas nieokreślony, a rozporządzenie zostanie do tego dostosowane. Ten sam podręcznik podaje, że dziś token nie ma daty ważności i działa, dopóki ktoś go nie unieważni.

Media podatkowe od września zwracają uwagę na jedno: podręcznik nie jest źródłem prawa. Doradcy cytowani przez Bankier.pl i PIT.pl radzą firmom, które zaczęły przechodzić na certyfikaty, żeby tego nie przerywały. Część poradników w sieci wciąż podaje z kolei, że tokeny na pewno znikną z końcem roku. Na dziś prawdziwe jest jedno i drugie: przepis mówi 31 grudnia, ministerstwo mówi, że to zmieni, ale nie podało daty.

Kogo to dotyczy

Sprawa nie dotyczy każdego, kto wystawia faktury w KSeF. Jeśli robisz to w bezpłatnej Aplikacji Podatnika KSeF, tokena i tak nie używasz, bo według podręcznika nie da się nim tam zalogować. Wchodzisz przez login.gov.pl albo podpisem kwalifikowanym.

Problem może mieć firma, której zewnętrzny program łączy się z KSeF przez interfejs API: program fakturowy w chmurze, system księgowy, ERP, czasem wtyczka sklepu internetowego. Taki program potrzebuje stałego klucza dostępu, a w wielu firmach tym kluczem jest właśnie token wygenerowany na początku roku i zapomniany.

Druga grupa to biura rachunkowe. Księgowa, która obsługuje kilkanaście firm, często ma osobny token dla każdego klienta. Zgodnie z podręcznikiem token działa tylko w kontekście tego NIP, przy którym go utworzono. Certyfikat KSeF wydany na PESEL księgowej działa we wszystkich firmach, które nadały jej uprawnienia. Przy dużej liczbie klientów to realna różnica w porządku i bezpieczeństwie.

Token a certyfikat: czym to się różni w praktyce

Token ma wpisane uprawnienia z chwili utworzenia, na przykład tylko wystawianie faktur. Nie da się go potem rozszerzyć, trzeba wygenerować nowy. System pokazuje go tylko raz, więc jeśli nikt go nie zapisał w bezpiecznym miejscu, przy zmianie programu trzeba zaczynać od nowa. Liczba tokenów nie jest ograniczona, a ministerstwo zastrzega, że nie wolno przekazywać tokena osobie, która go nie wygenerowała.

Certyfikat KSeF wydaje Centrum Certyfikacji resortu finansów i sam w sobie nie niesie uprawnień. Działa jak dowód tożsamości: po zalogowaniu system sprawdza, co wolno osobie lub firmie zapisanej w certyfikacie. Jest ważny najwyżej dwa lata, a nowy można dostać na miesiąc przed wygaśnięciem starego. Na jeden PESEL przypada do sześciu aktywnych certyfikatów.

Ważne jest też to, że certyfikaty są dwa. Typ 1 służy do logowania. Typ 2 służy do oznaczania kodem QR faktur wystawianych poza systemem, czyli w trybie offline24, podczas prac serwisowych albo awarii KSeF. Takie faktury dosyła się później do systemu: w ciągu jednego dnia roboczego, a przy awarii w ciągu siedmiu. Tokenem tego nie zrobisz, więc certyfikat typu 2 przyda się nawet wtedy, gdy token zostanie na stałe.

Jak zdobyć certyfikat KSeF

Wniosek składasz w bezpłatnej Aplikacji Podatnika KSeF 2.0 lub w programie połączonym z API. Najpierw musisz się zalogować jedną ze stałych metod, nie tokenem. Sam certyfikat jest bezpłatny.

Przy jednoosobowej działalności wystarczy login.gov.pl albo podpis kwalifikowany, a certyfikat wystawia się na Twój NIP. Spółka ma dwie drogi. Może zalogować się kwalifikowaną pieczęcią elektroniczną i dostać certyfikat na NIP spółki, co oznacza dodatkowy koszt pieczęci, jeśli firma jej nie ma. Może też złożyć w urzędzie skarbowym zawiadomienie ZAW-FA, wskazać osobę, która działa w jej imieniu w KSeF, a ta osoba pobierze certyfikat na własny PESEL. Certyfikatu z danymi konkretnej osoby nie wolno udostępniać nikomu innemu.

Pamiętaj też o kalendarzu. Od 1 stycznia 2027 r. kończy się zwolnienie dla firm, które fakturami dokumentują do 10 tys. zł brutto sprzedaży miesięcznie, i KSeF staje się obowiązkowy dla wszystkich. Rząd przyjął w październiku projekt ustawy, który odsuwa kary za pomyłki w KSeF do końca 2027 r. Nie zwalnia to jednak z obowiązku: ministerstwo zapowiada, że urzędy skarbowe będą reagować na faktury wystawiane poza systemem.

Co z tego dla Ciebie

1. Zapytaj dostawcę programu albo biuro rachunkowe jednym zdaniem: czym nasz program łączy się z KSeF i czy obsługuje certyfikat KSeF? Jeśli odpowiedź brzmi „tokenem” i „nie wiemy”, masz zadanie na listopad.
2. Zrób przegląd tokenów. Osoba z uprawnieniem do zarządzania może pobrać ich listę z nazwą, autorem i datą ostatniego użycia. Unieważnij te, których nikt nie używa, i te wygenerowane przez osoby, które już u Ciebie nie pracują.
3. Pobierz certyfikat KSeF typu 2 do pracy offline, nawet jeśli token zostanie. Jeśli chcesz mieć zapas na wypadek braku nowelizacji, pobierz też typ 1 i sprawdź z dostawcą, jak go wgrać do programu. W spółce bez pieczęci zacznij od ZAW-FA.
4. Wpisz do kalendarza datę wygaśnięcia każdego certyfikatu, najlepiej z przypomnieniem miesiąc wcześniej, bo wtedy można już zamówić następny.
5. W grudniu sprawdź na stronie ksef.podatki.gov.pl, czy nowelizacja rozporządzenia została ogłoszona. W razie wątpliwości zadzwoń na infolinię KSeF: 22 330 03 30.

Stan na: 27.10.2026. Tekst nie jest poradą prawną ani podatkową.