Certyfikaty KSeF: kiedy są potrzebne

Krótka odpowiedź: firma może potrzebować dwóch różnych certyfikatów

Certyfikat KSeF nie jest uniwersalnym „kluczem do KSeF”. Ministerstwo Finansów rozróżnia certyfikat typu 1 do uwierzytelniania oraz certyfikat typu 2 do trybów szczególnych. Typ 1 może służyć jako jedna z metod logowania do sesji interaktywnej lub wsadowej. Typ 2 jest wymagany do oznaczenia faktury kodem potwierdzającym tożsamość wystawcy w trybach offline24, niedostępności systemu i awarii KSeF.

To rozróżnienie zmienia wybór programu. Firma nie powinna pytać wyłącznie „czy program obsługuje certyfikat”, lecz: jaki typ obsługuje, do jakiej operacji, w czyim imieniu, gdzie przechowuje materiał kryptograficzny i co robi przed upływem ważności. Według dokumentacji Ministerstwa certyfikat jest ważny nie dłużej niż dwa lata od wytworzenia lub wskazanej daty początkowej. Brak procesu odnowienia może więc zatrzymać automatyzację nawet w programie, który wcześniej działał poprawnie.

Typ 1 i typ 2 odpowiadają na inne ryzyka

Typ 1 dotyczy przede wszystkim dostępu. Po uwierzytelnieniu system bierze pod uwagę uprawnienia powiązane z identyfikatorem zapisanym w certyfikacie. Program powinien zatem pokazać nie tylko udane logowanie, ale także granicę działania: dla jakiego podmiotu, jakiej osoby i jakich nadanych uprawnień wykonuje operacje. Certyfikat nie nadaje sam z siebie dowolnych praw.

Typ 2 dotyczy potwierdzenia wystawcy faktury przekazywanej poza KSeF w trybie szczególnym. W trybie offline24 potrzebny jest między innymi drugi kod QR tworzony z użyciem certyfikatu typu 2. To nie jest zapasowa metoda logowania. Program musi umieć zachować związek między dokumentem utworzonym offline, kodem, późniejszą wysyłką i numerem nadanym przez KSeF.

Jeśli dostawca odpowiada jednym „tak” na oba przypadki, poproś o dwie osobne demonstracje. Deklaracje producentów, takich jak wFirma czy Fakturownia, potwierdzają jedynie oferowany przez nich zakres. Nie dowodzą, że konkretny plan, integracja i konfiguracja firmy przejdą oba scenariusze.

Właściciel certyfikatu jest ważniejszy niż ekran ustawień

Przed wdrożeniem utwórz rejestr certyfikatów. Dla każdego wpisu zapisz podmiot lub osobę, typ, zastosowanie, systemy korzystające z certyfikatu, administratora, datę początku i końca ważności oraz procedurę odwołania. Sam plik zapisany na komputerze księgowej nie jest procedurą.

Rozstrzygnij cztery kwestie:

• kto może wystąpić o certyfikat i pobrać go z KSeF;
• kto instaluje go w programie lub integracji i czy widzi jego sekret;
• kto odbiera dostęp po zmianie pracownika, biura rachunkowego albo dostawcy;
• kto odpowiada za odnowienie oraz test nowego certyfikatu przed wygaśnięciem starego.

Biuro rachunkowe obsługujące wiele podmiotów potrzebuje separacji klientów i jasnej informacji, w czyim imieniu wykonywana jest operacja. Firma z ERP potrzebuje ponadto listy wszystkich usług, kolejek i środowisk, które korzystają z danego poświadczenia. W jednoosobowej działalności rejestr może mieć jedną stronę, ale nadal powinien wskazywać sposób odzyskania działania po utracie urządzenia.

Macierz zastosowania certyfikatu

Macierz powinna być wypełniona osobno dla produkcji i środowiska testowego. Nie kopiuj certyfikatu produkcyjnego do demonstracji tylko po to, aby dostawca szybciej pokazał funkcję. Jeżeli wdrożenie korzysta z kilku konektorów, każdy z nich musi mieć wskazanego właściciela i własny wynik testu.

Test programu: siedem zdarzeń zamiast jednej poprawnej faktury

Porównaj kandydatów na tym samym, nieprodukcyjnym scenariuszu. Najpierw uwierzytelnij sesję certyfikatem typu 1 i sprawdź, czy program pokazuje podmiot oraz zakres uprawnień. Następnie odbierz jedno uprawnienie i upewnij się, że kolejna operacja jest blokowana oraz pozostawia czytelny komunikat.

Druga część testu obejmuje typ 2. Utwórz dokument w obsługiwanym trybie szczególnym, wygeneruj wymagane oznaczenia, przekaż wizualizację do kontroli i po odzyskaniu połączenia prześlij fakturę. Sprawdź, czy program nie tworzy duplikatu i czy łączy lokalny dokument z numerem KSeF.

Na koniec wykonaj jeszcze trzy zdarzenia: odwołanie certyfikatu, równoległe wprowadzenie certyfikatu odnawiającego oraz awarię urządzenia lub konektora. Wynik zapisuj jako sekwencję operacji, statusów i odpowiedzialności. Zrzut ekranu z napisem „certyfikat aktywny” nie wystarcza.

Kiedy odrzucić program albo ograniczyć jego rolę

Wstrzymaj wybór, jeśli dostawca nie rozróżnia typów certyfikatu, nie potrafi wskazać miejsca przechowywania sekretu, nie opisuje wymiany certyfikatu bez przerwy albo wymaga współdzielenia jednego poświadczenia bez kontroli ról. Tak samo potraktuj brak eksportu rejestru operacji i brak procedury po odebraniu uprawnień.

Nie każdy brak oznacza odrzucenie całego produktu. Lekki program może wystarczyć firmie wystawiającej dokumenty ręcznie, a integracja ERP może przejąć automatyzację. Warunkiem jest jawny podział odpowiedzialności i jeden właściciel każdego certyfikatu. Ostateczna decyzja powinna wskazywać wybrany typ, zastosowanie, posiadacza sekretu, datę odnowienia oraz sprawdzony sposób działania w trybie szczególnym.