KSeF 2.0: Logowanie, uprawnienia i certyfikat

(AKTUALIZACJA: 2 LUTEGO 2026)

Instrukcja krok po kroku

Poniżej krok po kroku przechodzimy przez:

• logowanie do KSeF 2.0,
• dodanie pierwszego administratora (np. w spółce lub w fundacji rodzinnej),
• nadawanie uprawnień oraz
• wygenerowanie certyfikatu i klucza prywatnego.

Dwie ważne uwagi na wstępie:

1. Jeśli działasz jako osoba fizyczna (w tym prowadząca JDG), logujesz się i masz pełny dostęp od razu.
2. Jeśli prowadzisz np. spółkę lub fundację rodzinną, najpierw złóż ZAW-FA. Dopiero potem możliwe będzie logowanie, dodanie administratora, nadanie uprawnień i pełny panel.

Zaczynamy!

1. Wejście do KSeF 2.0

Wejdź na ksef.podatki.gov.pl i kliknij „Zaloguj się do KSeF”.

2. Logowanie do KSeF

Kliknij „Uwierzytelnij się w Krajowym Systemie e-Faktur”.

Wybierz np. „Zaloguj profilem zaufanym”.

Wpisz NIP i kliknij „Uwierzytelnij”.

System przeniesie Cię do ekranu podpisywania.

Ważna uwaga: Pojawi się komunikat „Sprawdź dokument przed podpisaniem”. To normalne. System tworzy malutki plik z potwierdzeniem logowania i prosi o jego podpisanie.

Warto upewnić się, czy wszystko się zgadza. Dokument to tylko techniczna treść potwierdzająca próbę logowania. Jeśli wszystko wygląda prawidłowo, kliknij „Podpisz” i dokończ logowanie np. przez profil zaufany.

3. Co widzisz po zalogowaniu

Po lewej stronie pojawia się menu. Między innymi faktury, historia sesji, uprawnienia i certyfikaty.

Uwaga! Jeżeli nie widzisz wszystkich opcji, to nie jest błąd systemu. W spółkach oznacza to najczęściej brak administratora. Wrócimy do tego.

4. Osoby fizyczne i JDG

Osoby fizyczne, w tym prowadzące jednoosobową działalność gospodarczą, mają łatwiej, z następujących powodów.

• Logują się i działają. Nie składają ZAW-FA.
• Nie dodają administratora.
• Nie nadają sobie uprawnień.
• System z góry zakłada pełny dostęp podatnika.

5. Spółki i ZAW-FA

W spółkach wygląda to inaczej.

Żeby np. spółka lub fundacja rodzinna w ogóle mogła działać w KSeF, musi uprzednio złożyć formularz ZAW-FA, chyba że posiada kwalifikowaną pieczęć elektroniczną z NIP.

ZAW-FA wskazuje pierwszą osobę, która ma zostać administratorem KSeF w spółce.

Bez ZAW-FA (lub bez pieczęci):

• nie zalogujesz się na konto spółki,
• nie da się dodać administratora.

Śmiało korzystaj z instrukcji wypełnienia i złożenia ZAW-FA: KSeF 2026: ZAW-FA – pierwszy krok

6. Spółka. Najpierw dodaj administratora

To jest kluczowy moment.

Po zalogowaniu do KSeF np. w spółce czy fundacji rodzinnej zaczynasz od zakładki „Uprawnienia”.

Następnie:

• wybierz opcję „Dodaj administratora”
• wskaż tę osobę, która była zgłoszona w ZAW-FA

Dopiero po dodaniu pierwszego administratora:

• pojawiają się wszystkie opcje po lewej stronie menu
• możliwe jest dalsze zarządzanie dostępami
• system zaczyna działać normalnie

7. Nadawanie uprawnień w firmie

Dopiero pierwszy administrator KSeF może:

• nadawać uprawnienia sobie i innym osobom
• dodawać kolejnych administratorów
• zarządzać dostępami

Można nadać odpowiednie uprawnienia przede wszystkim sobie (w przeciwnym razie nie wystawisz faktur sprzedażowych i nie będziesz widzieć faktur zakupowych tego podmiotu w KSeF), jak również np.:

• drugiemu członkowi zarządu
• osobie odpowiedzialnej za wystawianie faktur

Kliknij „Nadaj uprawnienie”.

Pojawi się ekran z:

• NIP podmiotu, w którego imieniu działasz
• Twoim PESEL jako osoby nadającej uprawnienie
• polem wyboru rodzaju uprawnienia

Wybierz: „Osoba fizyczna do pracy w KSeF”.

Po wyborze rodzaju uprawnienia zobaczysz formularz.

Wpisz:

• identyfikator: PESEL
• imię i nazwisko
• zaznacz uprawnienia

Rekomendowany zestaw administratora:

• wystawianie faktur

• przeglądanie faktur

• zarządzanie uprawnieniami

• przeglądanie historii sesji (UPO)

• zarządzanie jednostkami podrzędnymi

To pełne uprawnienia administracyjne.

Zatwierdź przyciskiem „Nadaj uprawnienia”.

Po wykonaniu tych czynności warto się wylogować i zalogować ponownie.

Uwaga! Jeżeli jesteś klientem Kancelarii Księgowo-Doradczej WMP, nie nadajesz uprawnień księgowym ani naszej kancelarii. Nasi księgowi nie będą logować się do Twojego KSeF.

Dlaczego?

Ponieważ w KSeF pracujemy na certyfikatach, a nie na dostępie osobowym. W praktyce oznacza to, że z KSeF łączy się program księgowy, a nie człowiek.

Dzięki temu:

• nikt nie loguje się do Twojego KSeF np. profilem zaufanym
• księgowy nie potrzebuje Twojego dostępu
• połączenie odbywa się automatycznie, w tle, między systemami (czyli program „rozmawia” z KSeF bez ręcznego klikania)

Dlatego zamiast nadawać uprawnienia księgowym, generujesz certyfikat KSeF i wgrywasz go do programu księgowego. Analogicznie prawdopodobnie postąpisz z programem do wystawiania faktur, jeżeli z niego korzystasz. I właśnie po to potrzebny jest certyfikat, o którym mowa w kolejnym kroku.

8. Generowanie certyfikatu KSeF

Przechodzisz do zakładki „Certyfikaty”.

Następnie:

• kliknij „Wnioskuj o certyfikat”
• wybierz opcję złożenia wniosku o certyfikat
• nadaj nazwę certyfikatu, np. „Certyfikat KSeF”
• ustaw hasło do certyfikatu i powtórz je
• kliknij „Generuj”

System generuje plik klucza prywatnego (.key). Do tego pliku ustawiasz hasło. Musisz zachować i plik, i hasło. Jedno bez drugiego jest bezużyteczne.

Przechodzimy do wysłania wniosku.

1. Zaznacz „Uwierzytelnienie w systemie KSeF”.
2. Kliknij „Wyślij wniosek o wydanie certyfikatu”.

Pojawi się następujący komunikat. Kliknij „Odśwież”

Kliknij „Pobierz certyfikat”.

W efekcie masz dwa pliki:

• plik certyfikatu (klucz publiczny)
• plik klucza prywatnego

Plik .crt czyli certyfikat, to klucz publiczny a .key to klucz prywatny. Hasło jest dodatkowym trzecim elementem (do klucza prywatnego). 

Plik .key nie zawiera w sobie ustawionego przez użytkownika hasła. Hasło ustawione ręcznie przez użytkownika jest wymagane do użycia i odczytania pliku .key.

Te dwa pliki można wgrać np. do programu księgowego lub programu do fakturowania.

Jeżeli jesteś klientem naszej kancelarii, w najbliższym czasie otrzymasz dokładną instrukcję, gdzie i jak te pliki wgrać w używanym przez nas systemie księgowym.

Ważne

Certyfikatu, klucza prywatnego i hasła nie wolno nikomu udostępniać. Traktuj je jak dokument tożsamości.

Certyfikat służy do komunikacji systemów. Człowiek nie loguje się nim do KSeF. Nie przekazujesz go po to, żeby księgowy logował się profilem zaufanym do Twojego KSeF. Certyfikat jest używany wyłącznie technicznie, w programie.

W przypadku utraty hasła certyfikat trzeba wygenerować od nowa.

Powyższe informacje dotyczą certyfikatu typu 1, czyli certyfikatu do uwierzytelnienia. Istnieje również certyfikat typu 2, wykorzystywany przy wystawianiu faktur w trybie offline, ale ten temat wykracza poza zakres tego wpisu.

Podsumowanie w punktach

1. Osoby fizyczne (w tym prowadzące JDG) logują się i działają od razu.
2. Spółki najpierw składają ZAW-FA (o ile nie mają pieczęci), potem dodają administratora, a dopiero później zarządzają uprawnieniami.
3. Certyfikat służy do komunikacji systemów, a nie do logowania księgowego na Twoje konto.
4. Nie odkładaj tego na później. Od lutego część faktur będziesz odbierać wyłącznie w KSeF. Teraz po prostu zaloguj się i sprawdź, czy wszystko działa.
5. Certyfikat ma określony okres ważności, więc po jego wygaśnięciu procedurę trzeba powtórzyć.