MF: KSeF został uruchomiony zgodnie z harmonogramem

Krajowy System e-Faktur został uruchomiony zgodnie z harmonogramem - poinformowało Ministerstwo Finansów w mediach społecznościowych. Według MF, do KSeF zalogowało się ponad 150 tys. użytkowników.. Za pośrednictwem systemu przedsiębiorcy wystawiają, przesyłają i przechowują faktury w obrocie z innymi przedsiębiorcami. Na początku system obejmuje 4,2 tys. największych firm. MF zapewnia, że przeprowadzone testy potwierdziły założone wymagania funkcjonalne oraz techniczne, odporność na obciążenia oraz spełnienie wymogów bezpieczeństwa.

Przypomnijmy, że faktury w KSeF muszą wystawiać:

• od 1 lutego 2026 r. – największe firmy, których wartość sprzedaży za 2024 r. przekroczyła 200 mln zł wraz z podatkiem,
• od 1 kwietnia 2026 r. – pozostali podatnicy VAT, w tym małe i średnie przedsiębiorstwa oraz jednoosobowe działalności gospodarcze,
• od 1 stycznia 2027 r. – najmniejsze firmy, których sprzedaż dokumentowana fakturami nie przekroczy 10 tys. zł miesięcznie (do limitu 10 tys. zł nie wlicza się sprzedaży na rzecz konsumentów udokumentowanej paragonami przy użyciu kasy rejestrującej, wartości faktur wystawionych przy użyciu kas rejestrujących, ani wartość paragonów fiskalnych do 450 zł uznanych za faktury uproszczone).

Ale uwaga, wszyscy przedsiębiorcy, nawet najmniejsi, muszą od 1 lutego móc odbierać faktury zakupowe w KSeF. W przypadku odbioru faktur obowiązuje jedna data. 

Według deklaracji MF KSeF spełnia standardy cyberbezpieczeństwa

Jak poinformowała PAP ekspertka ds. cyberbezpieczeństwa i ochrony danych Joanna Wziątek-Ładosz, deklaracje Ministerstwa Finansów dot. przechowywania, przetwarzania i szyfrowania danych związanych z KSeF świadczą o tym, że system spełnia podstawowe i uznane zasady cyberbezpieczeństwa.

Według niej, KSeF skupia w jednym systemie informacje o relacjach handlowych niemal całej polskiej gospodarki. „Zbiór wszystkich faktur tworzy bardzo dokładną mapę zależności rynku, które z punktu widzenia cyberbezpieczeństwa mogą zostać wykorzystane chociażby do ataków na łańcuchy dostaw” - zauważyła. Dodała, że cyberprzestępcom może też zależeć na danych dot. obszarów strategicznych, np. na informacjach o zakupach w sektorze militarnym czy infrastruktury krytycznej

„KSeF był regularnie poddawany licznym testom, w tym testom wydajnościowym, bezpieczeństwa oraz odporności na awarie. Został także przetestowany w zakresie cyberbezpieczeństwa oraz był tworzony we współpracy ze służbami bezpieczeństwa państwa. KSeF spełnia również wymogi w zakresie ochrony danych osobowych” - zadeklarowało Ministerstwo Finansów w komunikacie. Jak poinformował podczas konferencji prasowej dyrektor Centrum Informatyki Resortu Finansów (CIRF) Roman Łożyński, KSeF jest utrzymywany przez ekspertów CIRF oraz spółki Aplikacje Krytyczne. Dodał, że serwery są zlokalizowane na terenie Polski, a system wykorzystuje krajową infrastrukturę i krajowe zaplecze.

„Taka architektura jest zgodna z najlepszymi praktykami dla dużych systemów państwowych” - oceniła Wziątek-Ładosz. Dodała, że fizyczne i terytorialne rozproszenie ośrodków zwiększa odporność na awarie i przerwy w działaniu. „Jeden pożar, blackout czy awaria nie powinny mieć wpływu na działanie całego systemu” - wskazała. Zauważyła przy tym, że resort finansów nie podał informacji, jak chronione są kopie zapasowe systemu KSeF. „Czas pokaże czy deklarowane zabezpieczenia są odpowiednio silne” - oceniła ekspertka.

Resort finansów podał, że do zabezpieczenia danych w KSeF użyto narzędzi szyfrowania i kryptografii, które są częścią infrastruktury MF. „KSeF został również wpisany do rejestrów systemu infrastruktury krytycznej, co oznacza, że podlega najwyższym standardom bezpieczeństwa” - podkreślił resort. Dodał, że faktury są szyfrowane już w momencie wysyłania do KSeF i że tylko infrastruktura MF posiada narzędzia do ich odszyfrowania. Podczas konferencji prasowej Łożyński przypomniał, że kwestia poufności danych ujęta jest w przepisach o tajemnicy skarbowej. Dodał, że KSeF jest chroniony „wielowarstwowym systemem odpornościowym”, który obejmuje m.in. ataki DDoS, a system ten nie ma dostępu do treści faktur.

„Jest to bardzo istotne i zgodne z rynkowymi standardami” - oceniła Wziątek-Ładosz. Jak wskazała, deklaracje MF oznaczają, że nawet jeśli ktoś zobaczy ruch sieciowy lub fragmenty danych technicznych, nie zobaczy treści faktur bez posiadania kluczy szyfrujących. „Niestety ministerstwo nie podało informacji o stosowanych metodach kryptograficznych” - zwróciła uwagę. Jej zdaniem, w cyberbezpieczeństwie nie chodzi o to, żeby algorytm był tajny, a o to, żeby był „sprawdzony, dobrze wdrożony i żeby klucze szyfrujące były ściśle kontrolowane”.

Kto ma uprawnienia

Ekspertka zaznaczyła, że największe wycieki danych w Polsce i na świecie rzadko wynikają ze złamania algorytmu szyfrującego. Jej zdaniem, wycieki częściej są efektem nadużyć posiadanych uprawnień czy błędów proceduralnych. Celem ataków stają się też systemy znajdujące się w łańcuchu dostaw, często mniej zabezpieczone jak np. systemy do wystawiania faktur podłączone do systemu KSeF - zaznaczyła.

Jak wskazał dyrektor Centrum Informatyki Resortu Finansów w rozmowie z PAP, dostęp do danych będą mieli ci pracownicy KAS, którzy przejdą określone procedury w zakresie udostępniania danych np. w związku z prowadzonym przez nich postępowaniem. - Ruch oczywiście jest logowany; zapisywany po to, aby było wiadomo, kto uzyskał dostęp i co robi w systemie - podkreślił szef CIRF.

„Z punktu widzenia cyberbezpieczeństwa odpowiada to dwóm zasadom: minimalnych uprawnień i »tylko wtedy, gdy to konieczne«, które są fundamentem bezpieczeństwa” - skomentowała Wziątek-Ładosz. Zaznaczyła przy tym, że każdy system jest też obarczony ryzykiem błędu ludzkiego. „Czy dostępy do danych będą przyznawane z zachowaniem najwyższej staranności, czyli tylko w uzasadnionych przypadkach; tylko osobom, które taki dostęp powinny otrzymać, do minimalnej ilości danych i tylko na niezbędny czas?” - zastanawia się ekspertka. „Tego nie da się ocenić na podstawie deklaracji resortu” - dodała.