Jak nadać uprawnienia w KSeF pracownikowi, programowi i innej firmie

KSeF nie zna pojęcia wspólnego loginu firmy. Każda osoba, program czy biuro rachunkowe działa na własnych uprawnieniach w kontekście NIP-u firmy. Uprawnienie nadane raz zostaje aktywne, dopóki ktoś go nie odbierze: KSeF nie ma uprawnień „do końca miesiąca”. Dlatego przy odejściu pracownika albo zmianie biura uprawnienia trzeba odebrać ręcznie, a dobrze zaprojektowany system robi to z harmonogramu.

Kto może nadawać uprawnienia

• Właściciel: rola Owner przysługuje automatycznie temu, kto loguje się identyfikatorem takim samym jak NIP kontekstu albo powiązanym numerem PESEL. Obejmuje wszystkie uprawnienia fakturowe i administracyjne.
• Administrator: osoba albo podmiot z uprawnieniem CredentialsManage, któremu właściciel powierzył zarządzanie dostępami.
• Administratorzy jednostek i podmiotów podrzędnych: w grupach VAT czy JST.

Najważniejsze uprawnienia w KSeF 2.0

InvoiceRead pozwala nie tylko pobierać faktury, ale też generować identyfikatory zbiorcze płatności, przydatne przy przelewach za wiele faktur (opisuję je w tekście o numerze KSeF).

Komu nadaje się uprawnienia

• Osobie fizycznej: po PESEL-u, NIP-ie albo odcisku palca certyfikatu, np. księgowej na etacie.
• Innej firmie: po NIP-ie, np. biuru rachunkowemu albo centrum usług wspólnych. Tylko InvoiceRead i InvoiceWrite, z opcją dalszego delegowania. Ten model opisuję w tekście o uprawnieniach dla biura rachunkowego.
• Programowi: przez token KSeF z określonym zestawem uprawnień, wygenerowany przez osobę, która te uprawnienia ma. Szczegóły w tekście o tokenie KSeF.

Dlaczego nowe uprawnienie nie działa od razu

Dwa powody. Po pierwsze, nadanie to operacja asynchroniczna, której status trzeba sprawdzić. Po drugie, access token osoby, która już jest zalogowana, zostaje ważny do swojej daty wygaśnięcia z uprawnieniami z chwili logowania. Nowe uprawnienie zadziała po odświeżeniu tokena albo ponownym logowaniu. Brak uprawnienia objawia się błędem 403 albo statusem 415 przy logowaniu, co opisałem w tekście o kodach 21301, 21304, 401 i 403.

Uprawnienia dla programów: zasada minimum

Program dostaje uprawnienia przez token wygenerowany przez osobę, która sama je ma. Dobrą praktyką jest osobny token dla każdego modułu: sklep z samym InvoiceWrite, moduł księgowy z samym InvoiceRead. Wyciek jednego tokena nie otwiera wtedy całego KSeF firmy. Warto też raz na kwartał przejrzeć listę nadanych uprawnień i tokenów, bo uprawnienia nie wygasają same, a lista po roku pracy zwykle zawiera osoby i programy, których już nie ma.

Pierwszy dostęp do KSeF w spółce

Jednoosobowa firma loguje się jako właściciel od razu: wystarczy uwierzytelnienie danymi, które zgadzają się z NIP-em albo powiązanym PESEL-em. Spółka nie ma „właściciela” w tym sensie. Może zalogować się kwalifikowaną pieczęcią elektroniczną z NIP-em spółki albo złożyć w urzędzie skarbowym zawiadomienie ZAW-FA, w którym wskazuje osobę uprawnioną do KSeF. Od 1 lutego 2026 r. obowiązuje wersja 3 formularza, składana przez e-Urząd Skarbowy albo e-Doręczenia. Wysłanie ZAW-FA przez ePUAP od 2026 r. nie jest skuteczne.

Osoba wskazana w ZAW-FA nadaje potem kolejne uprawnienia już elektronicznie w KSeF, tak jak opisałem wyżej. Zmiana tej osoby wymaga najpierw odebrania uprawnień poprzedniej.

Odbieranie uprawnień przy zmianach w firmie

• Odejście pracownika: odebranie uprawnień w dniu zakończenia współpracy, razem z unieważnieniem tokenów, które wygenerował dla programów.
• Zmiana biura rachunkowego: odebranie uprawnień staremu biuru i nadanie nowemu w tym samym dniu, żeby nie było przerwy w księgowaniu.
• Zmiana dostawcy integracji: nowy token albo certyfikat dla nowego systemu, unieważnienie starego po przełączeniu.

W firmie z kilkoma działami dobrze sprawdza się prosta macierz: dział sprzedaży ma InvoiceWrite, księgowość InvoiceRead, jedna albo dwie osoby CredentialsManage. Każdy program dostaje własny token z minimalnym zakresem. Taką macierz łatwo potem porównać z listą uprawnień pobraną z KSeF podczas przeglądu.

Źródła: uprawnienia w dokumentacji KSeF 2.0 i wyjaśnienia MF dotyczące ZAW-FA.