Tokeny KSeF nie znikną w 2027 roku. Ministerstwo Finansów rezygnuje z ich wygaszenia

Przeczytaj także: KSeF od 1 kwietnia 2026 - czy najmniejsze firmy czeka chaos?

Co dokładnie się zmieniło

Token KSeF to wygenerowany w systemie ciąg znaków alfanumerycznych przypisany do konkretnego podatnika lub podmiotu uprawnionego oraz do zakresu jego uprawnień. Wpisuje się go raz w programie do fakturowania i od tego momentu program łączy się z KSeF bez każdorazowego logowania podpisem kwalifikowanym czy Profilem Zaufanym. Od początku prac nad obowiązkowym KSeF token był przedstawiany jako rozwiązanie przejściowe. Harmonogram był jasny: od 1 lutego 2026 r. równolegle działają tokeny i certyfikaty KSeF, a od 1 stycznia 2027 r. zostają wyłącznie certyfikaty.

Zaktualizowany Podręcznik KSeF 2.0 mówi jednak co innego. Ministerstwo Finansów wskazuje w nim wprost, że wobec postulatów rynku metoda uwierzytelniania tokenem zostaje zachowana bezterminowo, a przepisy rozporządzenia zostaną do tego dostosowane. Oznacza to, że przedsiębiorcy nie będą musieli przeprowadzać migracji na certyfikaty pod presją daty granicznej, a dostawcy oprogramowania nie będą musieli wyłączać działającego mechanizmu integracji.

Najwięcej zyskują spółki

Największą różnicę widać w podmiotach, które nie są osobami fizycznymi. Certyfikat KSeF wydany na dane spółki można uzyskać dopiero po uwierzytelnieniu się kwalifikowaną pieczęcią elektroniczną, a to jest wydatek rzędu ponad tysiąca złotych, do tego rozłożony w czasie, bo pieczęć trzeba zamówić, odebrać i skonfigurować. W spółce, w której nikt wcześniej nie potrzebował pieczęci, sam obowiązek jej nabycia bywał postrzegany jako podatek od wejścia do KSeF.

Mówiąc wprost, uważam tę decyzję za dobrą, zwłaszcza w kontekście spółek. Dotąd droga do firmowego certyfikatu prowadziła przez kwalifikowaną pieczęć elektroniczną, a to rozwiązanie sporo kosztuje. Token jest po prostu prostszy, a integracja z programem księgowym czy systemem ERP jest przy nim łatwiejsza. Dla wielu mniejszych spółek to różnica między wdrożeniem, które trwa popołudnie, a wdrożeniem, które trwa dwa tygodnie i zaczyna się od faktury za pieczęć.

Token i certyfikat to nie są zamienniki

Warto rozumieć, czym te dwa narzędzia różnią się od strony funkcjonalnej, bo to nie jest wybór między dwoma wariantami tego samego. Certyfikat KSeF jest wyłącznie środkiem uwierzytelnienia, potwierdza tożsamość i nic poza tym. Certyfikat to trochę jak dowód osobisty. Po zalogowaniu się nim system bierze pod uwagę pełen zakres uprawnień przypisanych do właściciela, czyli praktycznie mamy dostęp do wszystkiego. Token działa inaczej, ponieważ zakres uprawnień deklaruje się w momencie jego generowania i można go świadomie zawęzić, na przykład wyłącznie do wystawiania faktur albo wyłącznie do ich pobierania.

Nie mówię przy tym, że tokena nie trzeba chronić, bo trzeba go traktować dokładnie tak jak dane do logowania do bankowości elektronicznej. Różnica polega na tym, że przy tokenie mogę z góry ograniczyć skalę potencjalnej szkody, a przy certyfikacie tej możliwości nie mam. To dlatego dobrze, że tokeny pozostaną i że firmy będą miały wybór, zamiast być wpychane w jedno rozwiązanie niezależnie od swojej struktury i skali.

Certyfikaty nie tracą przy tym racji bytu, wręcz przeciwnie. Certyfikat typu drugiego pozostaje niezbędny do oznaczania faktur kodem potwierdzającym tożsamość wystawcy przy fakturowaniu w trybach szczególnych, czyli offline24, w trybie niedostępności systemu oraz w trybie awarii. Token tego nie zastąpi. Można więc powiedzieć, że sensowny model docelowy w wielu firmach to jedno i drugie: token do codziennej integracji i certyfikat na wypadek pracy poza systemem.

Czas na nowelizacje

Na dziś zapowiedź jest w podręczniku, a nie w Dzienniku Ustaw. Rozporządzenie w sprawie korzystania z KSeF nie zostało jeszcze znowelizowane, a informacja o wygaszeniu tokenów z początkiem 2027 r. wciąż funkcjonuje w części materiałów opublikowanych wcześniej. Podręczniki Ministerstwa Finansów nie są źródłem prawa, więc do czasu publikacji nowelizacji jest to deklaracja zmiany, a nie stan prawny.

W praktyce oznacza to jedno zalecenie. Nie odkładałbym przygotowania systemów do obsługi certyfikatów tylko dlatego, że tokeny mają zostać. Firmy, które są w trakcie takiej migracji, powinny ją dokończyć, bo certyfikat i tak będzie im potrzebny do trybów offline. Firmy, które jeszcze nie zaczęły, zyskały natomiast to, czego brakowało im najbardziej przy tym wdrożeniu, czyli czas i możliwość wyboru.

Autor: Piotr Juszczyk – Główny Doradca Podatkowy inFaktu