Token czy certyfikat KSeF: ważność tokenów po 2026 r. i uprawnienia

Token KSeF to ciąg znaków, który wpisujesz do programu księgowego, żeby łączył się z KSeF w granicach uprawnień wybranych przy generowaniu. Certyfikat KSeF potwierdza tylko tożsamość: typ 1 służy do logowania programu, typ 2 do oznaczania faktur offline drugim kodem QR, a każdy jest ważny najwyżej 2 lata.

Stan prawny na 1 listopada 2026 r.

Ani tokenem, ani certyfikatem KSeF nie zalogujesz się do bezpłatnej Aplikacji Podatnika KSeF. Tam wchodzisz przez login.gov.pl (Profil Zaufany, mObywatel, bankowość elektroniczna, e-dowód) albo podpisem lub pieczęcią kwalifikowaną. Token i certyfikat KSeF są dla programów, które łączą się z KSeF przez API.

Token i certyfikat KSeF w jednej tabeli

Podstawa: § 6 ust. 1 i 2, § 9 ust. 10 i § 13 rozporządzenia Ministra Finansów i Gospodarki z 12 grudnia 2025 r. w sprawie korzystania z KSeF (Dz.U. 2025 poz. 1815 ze zm.) oraz projekt jego zmiany z 26 października 2026 r.

Czy token KSeF działa po 2026 r.?

Według obowiązującego rozporządzenia tokenem można się uwierzytelniać do 31 grudnia 2026 r. (§ 13 ust. 1 pkt 1). Ministerstwo Finansów zapowiedziało, że tokeny zostaną w KSeF, a 27 października 2026 r. opublikowało w Rządowym Centrum Legislacji projekt zmiany rozporządzenia. Projekt jest na etapie uzgodnień i konsultacji, nie jest jeszcze podpisany ani ogłoszony w Dzienniku Ustaw.

Co zmienia projekt:

1. Token zostaje stałym sposobem logowania. Nowy § 6 ust. 1 pkt 5 dopisuje token KSeF do metod uwierzytelnienia, obok podpisu, pieczęci, węzła krajowego i certyfikatu KSeF.
2. Tokeny wygenerowane przed 1 stycznia 2027 r. działają najdłużej do 30 listopada 2027 r. Ten przepis ma wejść w życie 31 grudnia 2026 r., dzień przed dotychczasowym końcem tokenów.
3. Nowy token działa najwyżej 365 dni od wygenerowania albo od wskazanej przez Ciebie daty początkowej. Okres liczy się w dniach kalendarzowych.
4. Certyfikat KSeF można ograniczyć do jednego NIP albo do identyfikatora oddziału, bez zmiany samych uprawnień.

W praktyce: token, który wygenerujesz dziś, według projektu posłuży do 30 listopada 2027 r. Do tego dnia trzeba go zastąpić nowym tokenem z datą ważności albo certyfikatem KSeF typu 1. Wiele poradników wciąż podaje, że tokeny znikną z końcem 2026 r. albo że zostaną bez żadnego terminu; projekt mówi co innego.

Certyfikat KSeF nie zastępuje tokena jeden do jednego. MF podkreśla, że oba środki nie są funkcjonalnie równoważne: token niesie uprawnienia, a certyfikat jest tylko sposobem uwierzytelnienia, podobnie jak podpis kwalifikowany.

Gdzie działa który sposób logowania

Logowanie przez węzeł krajowy działa od 14 lutego 2026 r. (rozporządzenie w brzmieniu Dz.U. 2026 poz. 169). Jeśli zalogujesz się tokenem, nie wygenerujesz certyfikatu KSeF (§ 13 ust. 2), więc po certyfikat wchodzisz podpisem, pieczęcią, węzłem albo innym certyfikatem KSeF.

Uprawnienia w spółce z o.o.

Najpierw ktoś w spółce musi mieć uprawnienia właścicielskie. Dopiero ta osoba nadaje dalsze uprawnienia, generuje tokeny i wnioskuje o certyfikaty.

1. Spółka z pieczęcią kwalifikowaną z NIP spółki loguje się nią i ma od razu pełne uprawnienia właścicielskie. Nic nie zgłasza w urzędzie skarbowym.
2. Spółka bez pieczęci składa do naczelnika urzędu skarbowego zawiadomienie ZAW-FA(3): papierowo, przez formularz w e-Urzędzie Skarbowym albo przez e-Doręczenia. Od 1 stycznia 2026 r. ZAW-FA wysłane przez ePUAP nie jest skutecznie doręczone.
3. ZAW-FA wskazuje jedną osobę fizyczną, nie musi to być członek zarządu. Dostaje ona zarządzanie uprawnieniami, wystawianie faktur, dostęp do faktur i zarządzanie jednostkami podrzędnymi. Urząd wprowadza zawiadomienie do systemu niezwłocznie po otrzymaniu.
4. Dalsze uprawnienia ta osoba nadaje elektronicznie w Aplikacji Podatnika (menu „Nadaj uprawnienie”) albo w programie księgowym. Kolejne ZAW-FA nie są potrzebne.
5. Zmiana osoby z ZAW-FA wymaga dwóch zawiadomień: odebrania uprawnień osobie A i nadania osobie B. Uprawnienia, które osoba A nadała innym, zostają.

Podstawa: § 4 i § 5 rozporządzenia w sprawie korzystania z KSeF.

Rodzaje uprawnień

Wystawianie faktur i dostęp do faktur to dwa odrębne uprawnienia. Możesz dać księgowej tylko dostęp do faktur, a handlowcowi tylko wystawianie (§ 3 ust. 1 rozporządzenia).

Uprawnienia dla biura rachunkowego

Spółka nadaje uprawnienie całemu biuru, wskazując jego NIP, a nie każdemu pracownikowi osobno (§ 3 ust. 3 rozporządzenia). Jeśli zaznaczy możliwość dalszego przekazywania, biuro samo wskazuje pracowników, którzy obsługują spółkę. Gdy w biurze zmienia się księgowa, biuro aktualizuje uprawnienia, a spółka nie musi nic robić. Co jeszcze ustalić z biurem, opisujemy w artykule ile kosztuje biuro rachunkowe dla spółki.

Jak wygenerować token KSeF

1. Zaloguj się do Aplikacji Podatnika KSeF przez login.gov.pl albo podpisem lub pieczęcią kwalifikowaną, w kontekście NIP spółki.
2. Wybierz w menu „Generuj token”.
3. Wpisz nazwę tokena, na przykład „Program księgowy”, i zaznacz uprawnienia: wystawianie faktur, przeglądanie faktur, przeglądanie uprawnień, zarządzanie uprawnieniami, zarządzanie jednostkami podrzędnymi lub przeglądanie historii sesji.
4. Kliknij „Generuj token” i od razu skopiuj token. Aplikacja pokazuje go tylko raz.
5. Wklej token do programu. Listę tokenów i przycisk „Unieważnij” znajdziesz w „Lista tokenów”.

Pięć zasad, o których łatwo zapomnieć:

• Tokenu nie da się zaktualizować. Gdy potrzebujesz innego zakresu, generujesz nowy.
• Odebranie uprawnień osobie odbiera je też jej tokenom, ale token nie znika. Po ponownym nadaniu uprawnień znów działa.
• Token działa tylko w kontekście, w którym go wygenerowano: token z własnego NIP nie zaloguje Cię do spółki i odwrotnie.
• Nie możesz zapisać w tokenie uprawnienia, którego sam nie masz.
• Token wygenerowany przez osobę fizyczną nie może trafić do innej osoby. Token wygenerowany przez spółkę po zalogowaniu pieczęcią spółka może przekazać pracownikom, a w KSeF widać wtedy dane spółki.

Jak uzyskać certyfikat KSeF

1. Zaloguj się do Aplikacji Podatnika KSeF i wybierz „Wnioskuj o certyfikat”. Certyfikat dostaje identyfikator, którym się zalogowałeś: Twój PESEL albo NIP, albo NIP spółki po zalogowaniu pieczęcią.
2. Wpisz nazwę certyfikatu (5 do 100 znaków) i hasło do klucza prywatnego (15 do 32 znaków, wielka i mała litera, cyfra, znak specjalny). Hasła nie da się zresetować.
3. Kliknij „Generuj”. Klucz prywatny zapisuje się na Twoim urządzeniu jako plik .key.
4. Wybierz przeznaczenie: „Uwierzytelnienie w systemie KSeF” (typ 1) albo „Podpis linku weryfikacyjnego wystawcy” (typ 2, do faktur offline). Jeden certyfikat nie może mieć obu przeznaczeń.
5. Wskaż datę początku ważności i wyślij wniosek. Po wydaniu pobierz certyfikat w „Lista certyfikatów”.

Certyfikatu wydanego na osobę fizyczną nie wolno udostępniać nikomu. Certyfikat wydany na spółkę nie jest przypisany do osoby, więc spółka może przekazać go pracownikom, ale sama odpowiada za ewidencję jego pobrania, przekazania i unieważnienia.

Limity certyfikatów KSeF

Nowy certyfikat możesz dostać na miesiąc przed upływem ważności najstarszego aktywnego (Podręcznik KSeF 2.0, cz. I, pkt 2.5.6).

Przykład: spółka bez pieczęci i biuro rachunkowe

Spółka z o.o. nie ma pieczęci kwalifikowanej. Zarząd podpisuje ZAW-FA i wskazuje w nim prezesa. Prezes loguje się Profilem Zaufanym w kontekście NIP spółki i robi cztery rzeczy:

1. Nadaje biuru rachunkowemu dostęp do faktur z możliwością dalszego przekazywania. Biuro wskazuje swoją księgową.
2. Nadaje handlowcowi uprawnienie do wystawiania faktur na jego PESEL.
3. 2 listopada 2026 r. generuje token z wystawianiem i przeglądaniem faktur dla programu księgowego spółki. Według projektu MF ten token działa najdłużej do 30 listopada 2027 r.
4. Tego samego dnia wnioskuje o certyfikat KSeF typu 2 z datą początku ważności 1 grudnia 2026 r. Certyfikat działa 2 lata, do 30 listopada 2028 r., a następny prezes może dostać na miesiąc przed jego wygaśnięciem.

Efekt: do KSeF wchodzą trzy osoby i jeden program, a ZAW-FA trzeba było złożyć tylko raz.

Jak pomaga Norman

Norman wysyła faktury spółki do KSeF i pobiera z niego faktury sprzedażowe i zakupowe. Łączysz go tokenem KSeF w trzech krokach, opisanych w instrukcji tokena KSeF, a dalej pracujesz w jednym miejscu. Przez 30 dni korzystasz z Normana za darmo i bez karty, a KSeF w Normanie zostaje bezpłatny także po okresie próbnym; rejestr VAT, VAT-UE i JPK_V7, który Ty zatwierdzasz, obejmuje plan Max za 119 zł netto miesięcznie. Pojedynczą fakturę bez konta przygotujesz w generatorze faktur KSeF, a o samym Normanie przeczytasz na stronie głównej.

Pozostałe obowiązki KSeF w spółce opisuje artykuł KSeF w spółce z o.o., a terminy dla JDG KSeF od 1 stycznia 2027 dla JDG i małych firm.

Często zadawane pytania

Czy token KSeF wygaśnie 31 grudnia 2026 r.?

Obowiązujące rozporządzenie wciąż wskazuje tę datę. Projekt MF z 26 października 2026 r. przedłuża tokeny wygenerowane przed 2027 r. do 30 listopada 2027 r., a nowe tokeny będą ważne najwyżej 365 dni. Projekt nie jest jeszcze ogłoszony.

Czy mogę zalogować się tokenem do Aplikacji Podatnika KSeF?

Nie. Do Aplikacji Podatnika wchodzisz przez login.gov.pl albo podpisem lub pieczęcią kwalifikowaną. Token i certyfikat KSeF służą programom łączącym się z KSeF przez API.

Do czego potrzebny jest certyfikat KSeF typu 2?

Do faktur wystawianych offline: fakturę przekazaną nabywcy przed nadaniem numeru KSeF oznaczasz kodem QR „OFFLINE” i drugim kodem „CERTYFIKAT”, który wymaga certyfikatu typu 2 (§ 9 ust. 10 rozporządzenia).

Ile tokenów może mieć spółka?

KSeF nie ogranicza liczby tokenów. Możesz mieć jeden token na wszystkie uprawnienia albo osobny na każde z nich.

Czy biuro rachunkowe potrzebuje ZAW-FA od spółki?

Nie. ZAW-FA wskazuje tylko pierwszą osobę spółki bez pieczęci kwalifikowanej. Biuro dostaje uprawnienia elektronicznie, od tej osoby albo od spółki zalogowanej pieczęcią.