Czym jest Moduł Certyfikatów i Uprawnień (MCU) w KSeF i do czego służy?

To kluczowy element przygotowań do obowiązkowego KSeF 2.0, który rusza już od 1 lutego 2026 r. MCU umożliwia nadawanie uprawnień użytkownikom KSeF oraz składanie wniosków o certyfikaty KSeF, niezbędne do bezpiecznego uwierzytelniania i wystawiania e-faktur, a także w trybie offline.

Z poniższego artykułu dowiesz się czym jest MCU KSeF oraz do czego służą certyfikaty w KSeF.

Czym jest Moduł Certyfikatów i Uprawnień (MCU)?

Certyfikaty w KSeF zostały szczegółowo opisane w Podręczniku Użytkownika Krajowego Systemu e-Faktur – Modułu Certyfikatów i Uprawnień (MCU), w którym znajdują się informacje dotyczące m.in.:

• Logowanie do aplikacji: za pomocą Profilu Zaufanego i certyfikatu kwalifikowanego.
• Mechanizmy uwierzytelniania: w tym funkcja pobierania odcisku palca certyfikatu.
• Cykl życia Certyfikatu KSeF: od wnioskowania (generowanie kluczy i żądania CSR), przez pobieranie, aż po procedury unieważniania.
• Zarządzanie uprawnieniami w KSeF: nadawanie różnych ról (np. wystawianie, przeglądanie faktur, zarządzanie podmiotami podrzędnymi) osobie fizycznej lub podmiotowi.
• Szczegółowe scenariusze nadawania uprawnień: m.in. administratora, dla samofakturowania, dla VAT-RR, dla przedstawiciela podatkowego.
• Przeglądanie uprawnień: wszystkich rodzajów (nadanych, otrzymanych, obowiązujących) w różnych kontekstach.

Moduł Certyfikatów i Uprawnień (MCU) to centralne narzędzie służące do:

• Zarządzanie uprawnieniami w KSeF
• Składanie wniosków o certyfikaty KSeF
• Pobieranie i unieważnianie certyfikatów
• Obsługa pełnego cyklu życia Certyfikatu KSeF

MCU w KSeF zastępuje dotychczasowe mechanizmy nadawania uprawnień. Od 1 listopada 2025 r. wszelkie nowe uprawnienia można nadać wyłącznie w MCU. To rozwiązanie wchodzi w skład architektury KSeF 2.0, a od lutego 2026 r. stanie się elementem produkcyjnego systemu KSeF.

Do czego służy certyfikat KSeF?

Certyfikat KSeF to specjalny środek uwierzytelnienia wydawany przez MF, dzięki któremu:

• Można logować się do KSeF (interaktywnie i wsadowo).
• Można wystawiać e-faktury w trybie offline lub w czasie awarii systemu.
• Potwierdza się tożsamość wystawcy faktury.
• Możliwe jest odbieranie faktur i operowanie w imieniu firmy.

Sprawdź nasz materiał wideo o KSeF:

Dlaczego powstał MCU i dlaczego jest obowiązkowy?

Celem uruchomienia MCU jest:

• Zwiększenie bezpieczeństwa pracy w KSeF
• Lepsze zarządzanie dostępami i rolami
• Przygotowanie użytkowników do KSeF 2.0
• Wyeliminowanie niestabilnych i niejednolitych modeli uprawnień z KSeF 1.0

Zastanawiasz się czy KSeF wpłynie na kontrole podatkowe? Jeśli tak, to przeczytaj ten artykuł.

Rodzaje certyfikatów KSeF

MCU pozwala wystąpić o dwa typy certyfikatów:

CERTYFIKAT KSEF – UWIERZYTELNIANIE

Służy do:

• Logowanie do KSeF (interaktywne i wsadowe)
• Uwierzytelnianie operacji
• Działanie pod wskazanym NIP lub PESEL

CERTYFIKAT KSEF – OFFLINE

Służy do:

• Wystawianie faktur w trybie offline
• Potwierdzanie tożsamości w trybach awaryjnych

W polu CN (commonName) certyfikatu znajduje się dopisek „uwierzytelnianie” albo „offline”.

Jakie funkcje oferuje MCU?

ZARZĄDZANIE UPRAWNIENIAMI W KSEF

• MCU pozwala na nadawanie ról, takich jak:
  • Wystawianie faktur
  • Przeglądanie faktur
  • Zarządzanie uprawnieniami
  • Zarządzanie podmiotami podrzędnymi
  • Przeglądanie historii sesji i UPO
  • Uprawnienia dla komorników i organów egzekucyjnych
• uprawnienia można nadawać:
  • osobom fizycznym
  • podmiotom (np. do samofakturowania, VAT RR)
  • przedstawicielowi podatkowemu
  • dostawcy usług Peppol

PRZEGLĄD WSZYSTKICH UPRAWNIEŃ

• MCU umożliwia przegląd:
  • Uprawnienia obowiązujące
  • Uprawnienia nadane
  • Uprawnienia otrzymane
  • Uprawnienia w jednostkach podrzędnych
  • Role w podmiocie i jego kontekstach

WNIOSKOWANIE O CERTYFIKATY KSEF

• proces obejmuje:
  • Generowanie klucza prywatnego (offline)
  • Uzyskanie i przesłanie CSR
  • Pobranie certyfikatu
  • Możliwość jego unieważnienia w każdej chwili
• MCU generuje certyfikaty o ważności do 2 lat.

Jak wygląda proces logowania do MCU?

Do MCU można zalogować się:

• Profilem Zaufanym
• certyfikatem kwalifikowanym

Przy certyfikacie kwalifikowanym proces jest dłuższy, gdy certyfikat nie posiada NIP ani PESEL i konieczne jest pobranie, podpisanie i załadowanie żądania autoryzacyjnego. MCU udostępnia też funkcję odcisku palca certyfikatu (fingerprint SHA-256), niezbędną gdy certyfikat nie zawiera danych identyfikacyjnych.

Uprawnienia właścicielskie w MCU

Uprawnienia właścicielskie obejmują:

• Zarządzanie uprawnieniami
• Zarządzanie jednostkami podrzędnymi
• Przeglądanie uprawnień

Bezpieczeństwo certyfikatów KSeF

Certyfikaty KSeF są danymi wrażliwymi. Ministerstwo Finansów podkreśla:

• Traktuj certyfikaty jak dane do banku.
• Nie udostępniaj pliku certyfikatu osobom nieuprawnionym.
• Chroń hasło do klucza prywatnego.
• Uważaj na próby wyłudzenia.

Jeśli ktoś przejmie certyfikat KSeF, to może wystawiać i odbierać faktury w Twoim imieniu.

Tokeny KSeF i certyfikaty

Do 1 stycznia 2027 r. przedsiębiorcy mogą korzystać z tokenów w systemie KSeF. Jednak aby uzyskać certyfikat KSeF, konieczna jest rezygnacja z tokena, ponieważ certyfikat zastępuje tę formę uwierzytelnienia.

Zalety certyfikatów KSeF w porównaniu z tokenami:

• Bezpieczeństwo – certyfikaty zapewniają wyższy poziom ochrony danych i transakcji.
• Trudniejsze do podrobienia – wykorzystują silniejsze mechanizmy kryptograficzne niż tokeny.
• Powiązane z kluczem prywatnym – każdy certyfikat jest powiązany z indywidualnym kluczem, co dodatkowo zwiększa bezpieczeństwo uwierzytelniania.

Certyfikaty KSeF są kluczowym narzędziem do bezpiecznego logowania i wystawiania e-faktur, także w trybie offline i w sytuacjach awaryjnych, zapewniając ciągłość działania systemu KSeF.

Jak uzyskać certyfikat KSeF? – krok po kroku

KROK I – ZALOGUJ SIĘ DO MCU

Dostęp do modułu.Do logowania możesz użyć:

• Profilu Zaufanego
• kwalifikowanego podpisu elektronicznego lub pieczęci kwalifikowanej

KROK II – WYBIERZ WNIOSKI O CERTYFIKATY

Wybierz odpowiedni typ certyfikatu:

• Typ 1 – uwierzytelnianie w systemie KSeF
• Typ 2 – offline, np. w razie awarii systemu

KROK III – WYGENERUJ KLUCZ PRYWATNY I CSR

• utwórz klucz prywatny, zabezpieczony silnym hasłem
• wygeneruj Certificate Signing Request (CSR) na jego podstawie

KROK IV – PRZEŚLIJ WNIOSEK

CSR przesyłany jest do Centrum Certyfikacji Ministerstwa Finansów w celu wygenerowania certyfikatu.

KROK V – POBIERZ CERTYFIKAT W FORMACIE .CRT

Po akceptacji wniosku pobierz certyfikat i przechowuj go w bezpiecznym miejscu

KROK VI – ZAINSTALUJ I ZAIMPLEMENTUJ CERTYFIKAT W SYSTEMIE FAKTURUJĄCYM

• certyfikat należy zainstalować w systemie do wystawiania faktur
• zachowaj zasady bezpieczeństwa: nie udostępniaj osobom nieuprawnionym i dbaj o unieważnianie w razie zagrożenia

Gdzie znajduje się MCU?

Na tę chwilę MCU jest dostępny wyłącznie w przeglądarce pod tym adresem.

Natomiast od 1 lutego 2026 r. jego funkcje zostaną przeniesione do Aplikacji Podatnika KSeF 2.0 oraz systemów zintegrowanych przez API KSeF.

Podsumowanie

MCU KSeF to obowiązkowy, centralny moduł zarządzania uprawnieniami i certyfikatami KSeF. Bez prawidłowo nadanych uprawnień i ważnych certyfikatów KSeF Twoja firma nie będzie mogła korzystać z KSeF 2.0 od 1 lutego 2026 r. To narzędzie umożliwia:

• Bezpieczne uwierzytelnianie
• Nadawanie ról i dostępów
• Składanie i pobieranie certyfikatów
• Obsługa faktur w trybie offline

Choć KSeF 2.0 startuje 1 lutego 2026, wcześniejszy dostęp do MCU pozwala przygotować procedury wewnętrzne, sprawdzić, czy systemy IT są zgodne czy też lepiej zabezpieczyć firmę.