Interpelacja w sprawie bezpieczeństwa danych w KSeF w związku z anonimowym dostępem do faktur i zagranicznymi dostawcami IT

Interpelacja posła Janusza Kowalskiego z dnia 13 października 2026 roku w sprawie zagrożeń dla bezpieczeństwa i poufności danych gospodarczych przetwarzanych w Krajowym Systemie e-Faktur (KSeF) wynikających z mechanizmu anonimowego dostępu do faktur oraz wykorzystania infrastruktury zagranicznych dostawców usług informatycznych.

W Krajowym Systemie e-Faktur (KSeF 2.0) zastosowano rozwiązania prawne i techniczne, których wzajemne powiązanie może stwarzać poważne zagrożenie dla poufności danych gospodarczych polskich przedsiębiorstw. Szczególne zastrzeżenia budzi możliwość uzyskania pełnej treści faktury bez uwierzytelnienia użytkownika, wyłącznie na podstawie pięciu danych identyfikujących dokument, w połączeniu z wykorzystaniem infrastruktury zagranicznego dostawcy usług bezpieczeństwa sieciowego, który może mieć techniczną możliwość dostępu do tych samych informacji. W praktyce oznacza to ryzyko, że mechanizmy szyfrowania mające chronić treść faktur mogą zostać ominięte poprzez wykorzystanie danych dostępnych w warstwie pośredniczącej w komunikacji z systemem. Problem ten wykracza poza kwestię ochrony danych poszczególnych podatników, ponieważ dotyczy bezpieczeństwa informacji o transakcjach handlowych, cenach, kontrahentach i przepływach gospodarczych w skali całego państwa.

Zgodnie z § 8 rozporządzenia Ministra Finansów i Gospodarki z dnia 12 grudnia 2025 r. w sprawie korzystania z Krajowego Systemu e-Faktur (Dz. U. z 2025 r. poz. 1815) uzyskanie dostępu do faktury nie wymaga zalogowania się do systemu, posiadania certyfikatu ani wykazania uprawnienia do zapoznania się z dokumentem. Wystarczające jest podanie pięciu informacji: numeru KSeF, numeru faktury, identyfikatora podatkowego nabywcy lub informacji o jego braku, nazwy albo imienia i nazwiska nabywcy oraz kwoty należności ogółem. Funkcjonalność ta została udostępniona w Aplikacji Podatnika KSeF umożliwiającej anonimowe wyszukanie i pobranie dokumentu.

Chociaż umożliwienie dostępu do faktur osobom niekorzystającym bezpośrednio z KSeF znajduje praktyczne uzasadnienie, poważne wątpliwości budzi przyjęcie mechanizmu, w którym znajomość podstawowych danych dokumentu zastępuje weryfikację uprawnień użytkownika. Informacje te nie stanowią poufnych poświadczeń dostępu. Są przetwarzane w systemach finansowo-księgowych, dokumentacji przedsiębiorstw oraz komunikacji pomiędzy kontrahentami. Co szczególnie istotne, odpowiadają one danym udostępnianym w ramach zapytań o metadane faktur obsługiwanych przez API KSeF 2.0.

Problem nabiera szczególnego znaczenia w kontekście wykorzystania w infrastrukturze KSeF rozwiązań amerykańskiej firmy Imperva, należącej do francuskiej grupy Thales. W przypadku terminacji szyfrowanych połączeń TLS przez zewnętrznego dostawcę usług zapory aplikacyjnej WAF podmiot ten uzyskuje techniczną możliwość odczytywania przesyłanych żądań i odpowiedzi HTTP, w tym metadanych faktur. O ile treść faktur podczas ich wysyłania i eksportowania w paczkach podlega dodatkowemu szyfrowaniu aplikacyjnemu, o tyle odpowiedzi zawierające metadane nie są objęte analogiczną ochroną.

Co istotne, uzyskanie dostępu do metadanych za pośrednictwem API wymaga odpowiednich uprawnień, jednak wymóg ten nie stanowi zabezpieczenia przed ich odczytem przez podmiot pośredniczący w transmisji danych. Może on bowiem uzyskiwać wgląd w odpowiedzi kierowane do prawidłowo uwierzytelnionych użytkowników, w tym biur rachunkowych i systemów finansowo-księgowych przedsiębiorstw.

Powstaje zatem ryzyko, że podmiot dysponujący metadanymi faktury może wykorzystać przewidziany prawem mechanizm anonimowego dostępu do uzyskania jej pełnej treści, pomimo braku uprawnień do dokumentu. W takim przypadku skuteczność dodatkowego szyfrowania faktur zostaje istotnie ograniczona przez istnienie alternatywnej drogi ich pobierania. Zagrożenie pogłębia fakt, że dane wymagane do anonimowego dostępu nie podlegają okresowej zmianie, nie mają określonego terminu ważności i nie można ich unieważnić na zasadach właściwych dla tokenów lub certyfikatów. Raz pozyskany zestaw informacji może więc potencjalnie umożliwiać dostęp do dokumentu przez cały okres jego przechowywania w KSeF, wynoszący co do zasady 10 lat od końca roku, w którym został wystawiony.

Należy podkreślić, że faktury gromadzone w KSeF zawierają informacje o kontrahentach, cenach, wartości transakcji, przedmiocie dostaw i zakresie świadczonych usług. Ich masowe pozyskanie mogłoby umożliwić odtworzenie powiązań gospodarczych, warunków współpracy handlowej oraz struktury łańcuchów dostaw, w tym w sektorach o strategicznym znaczeniu dla państwa. Informacje te mogą przedstawiać znaczną wartość zarówno dla konkurencji gospodarczej, jak i zagranicznych służb wywiadowczych.

Mając na uwadze powyższe, poseł Janusz Kowalski zwrócił się o odpowiedź na następujące pytania:

1. Jakimi przesłankami kierowało się Ministerstwo Finansów, wprowadzając mechanizm umożliwiający pobranie pełnej treści faktury bez uwierzytelnienia użytkownika, wyłącznie na podstawie pięciu danych identyfikujących dokument? Czy przed przyjęciem tego rozwiązania przeprowadzono analizę ryzyka nieuprawnionego dostępu do informacji gospodarczych i jakie były jej wyniki?

2. Czy Ministerstwo Finansów potwierdza, że dane wymagane do anonimowego pobrania faktury na podstawie § 8 wskazanego rozporządzenia odpowiadają informacjom udostępnianym w odpowiedziach na zapytania o metadane faktur za pośrednictwem API KSeF 2.0? Czy przeanalizowano ryzyko wykorzystania takich metadanych do uzyskania pełnej treści dokumentów z pominięciem standardowego mechanizmu uwierzytelniania?

3. Czy Ministerstwo Finansów przeprowadziło testy bezpieczeństwa sprawdzające możliwość pozyskania metadanych faktury przez podmiot trzeci, a następnie wykorzystania ich do anonimowego pobrania pełnego dokumentu? Jeżeli tak, kiedy przeprowadzono takie testy, kto był za nie odpowiedzialny i jakie stwierdzono zagrożenia?

4. Jakie mechanizmy zabezpieczające zastosowano w anonimowym dostępie do faktur, aby przeciwdziałać automatyzacji pobierania dokumentów, próbom masowego pozyskiwania danych oraz wielokrotnemu wykorzystywaniu tych samych informacji identyfikacyjnych? Czy system pozwala wykrywać i blokować nietypowe lub podejrzane próby pobierania faktur?

5. Czy każda operacja anonimowego wyszukania i pobrania faktury jest rejestrowana w systemie KSeF w sposób umożliwiający późniejszą identyfikację źródła żądania? Czy podatnik ma możliwość sprawdzenia, że jego faktura została pobrana w trybie anonimowym, a jeżeli nie, z jakich względów nie przewidziano takiej funkcjonalności?

6. Ile razy od uruchomienia KSeF 2.0 skorzystano z mechanizmu anonimowego pobierania faktur, o którym mowa w § 8 rozporządzenia? Ile odnotowano nieudanych prób wyszukania dokumentów, przypadków przekroczenia limitów zapytań oraz zdarzeń zakwalifikowanych jako podejrzane lub potencjalnie nieuprawnione próby dostępu?

7. Czy Ministerstwo Finansów konsultowało z właściwymi instytucjami odpowiedzialnymi za cyberbezpieczeństwo i bezpieczeństwo państwa ryzyko wykorzystania KSeF do pozyskiwania informacji o kontrahentach, cenach, strukturze dostaw oraz transakcjach przedsiębiorstw działających w sektorach strategicznych, w szczególności w przemyśle obronnym, energetyce i telekomunikacji? Jakie wnioski sformułowano w wyniku tych konsultacji?

8. Czy Ministerstwo Finansów rozważa zastąpienie obecnego mechanizmu anonimowego dostępu rozwiązaniem wykorzystującym dodatkowe, niezależne i możliwe do unieważnienia poświadczenie, którego nie można odtworzyć na podstawie metadanych faktury? Jeżeli nie, jakie argumenty przemawiają za utrzymaniem obecnego rozwiązania?

9. Czy Ministerstwo Finansów zamierza przeprowadzić ponowną, kompleksową ocenę bezpieczeństwa KSeF 2.0, uwzględniającą możliwość wykorzystania metadanych do nieuprawnionego pobierania faktur przez podmioty trzecie, w tym operatorów infrastruktury pośredniczącej? Jeżeli tak, w jakim terminie zostanie przeprowadzona taka ocena, czy jej wyniki zostaną przedstawione opinii publicznej oraz jakie działania naprawcze przewidziano w przypadku potwierdzenia wskazanych zagrożeń?

10. Czy Ministerstwo Finansów potwierdza, że infrastruktura pośrednicząca wykorzystywana w KSeF 2.0, w tym rozwiązania firmy Imperva, uczestniczy w terminacji połączeń TLS obsługujących API KSeF i może na poziomie technicznym przetwarzać niezabezpieczone dodatkowym szyfrowaniem aplikacyjnym treści żądań i odpowiedzi HTTP? Czy przeprowadzono ocenę możliwości uzyskania przez operatora tej infrastruktury dostępu do metadanych faktur, pełnej treści poszczególnych faktur oraz danych uwierzytelniających? Jeżeli tak, jakie kategorie zabezpieczeń technicznych, organizacyjnych i kontraktowych zastosowano w celu ograniczenia tych zagrożeń, bez konieczności ujawniania szczegółów konfiguracji bezpieczeństwa systemu?

Oto odpowiedź Ministerstwa Finansów z dnia 3 listopada 2026 roku:

Ad. 1-10

Jakimi przesłankami kierowało się Ministerstwo Finansów, wprowadzając mechanizm umożliwiający pobranie pełnej treści faktury bez uwierzytelnienia użytkownika, wyłącznie na podstawie pięciu danych identyfikujących dokument? Czy przed przyjęciem tego rozwiązania przeprowadzono analizę ryzyka nieuprawnionego dostępu do informacji gospodarczych i jakie były jej wyniki?

Czy Ministerstwo Finansów potwierdza, że dane wymagane do anonimowego pobrania faktury na podstawie § 8 wskazanego rozporządzenia odpowiadają informacjom udostępnianym w odpowiedziach na zapytania o metadane faktur za pośrednictwem API KSeF 2.0? Czy przeanalizowano ryzyko wykorzystania takich metadanych do uzyskania pełnej treści dokumentów z pominięciem standardowego mechanizmu uwierzytelniania?

Czy Ministerstwo Finansów przeprowadziło testy bezpieczeństwa sprawdzające możliwość pozyskania metadanych faktury przez podmiot trzeci, a następnie wykorzystania ich do anonimowego pobrania pełnego dokumentu? Jeżeli tak, kiedy przeprowadzono takie testy, kto był za nie odpowiedzialny i jakie stwierdzono zagrożenia?

Jakie mechanizmy zabezpieczające zastosowano w anonimowym dostępie do faktur, aby przeciwdziałać automatyzacji pobierania dokumentów, próbom masowego pozyskiwania danych oraz wielokrotnemu wykorzystywaniu tych samych informacji identyfikacyjnych? Czy system pozwala wykrywać i blokować nietypowe lub podejrzane próby pobierania faktur?

Czy każda operacja anonimowego wyszukania i pobrania faktury jest rejestrowana w systemie KSeF w sposób umożliwiający późniejszą identyfikację źródła żądania? Czy podatnik ma możliwość sprawdzenia, że jego faktura została pobrana w trybie anonimowym, a jeżeli nie, z jakich względów nie przewidziano takiej funkcjonalności?

Ile razy od uruchomienia KSeF 2.0 skorzystano z mechanizmu anonimowego pobierania faktur, o którym mowa w § 8 rozporządzenia? Ile odnotowano nieudanych prób wyszukania dokumentów, przypadków przekroczenia limitów zapytań oraz zdarzeń zakwalifikowanych jako podejrzane lub potencjalnie nieuprawnione próby dostępu?

Czy Ministerstwo Finansów konsultowało z właściwymi instytucjami odpowiedzialnymi za cyberbezpieczeństwo i bezpieczeństwo państwa ryzyko wykorzystania KSeF do pozyskiwania informacji o kontrahentach, cenach, strukturze dostaw oraz transakcjach przedsiębiorstw działających w sektorach strategicznych, w szczególności w przemyśle obronnym, energetycznym i telekomunikacyjnym? Jakie wnioski sformułowano w wyniku tych konsultacji?

Czy Ministerstwo Finansów rozważa zastąpienie obecnego mechanizmu anonimowego dostępu rozwiązaniem wykorzystującym dodatkowe, niezależne i możliwe do unieważnienia poświadczenie, którego nie można odtworzyć na podstawie metadanych faktury? Jeżeli nie, jakie argumenty przemawiają za utrzymaniem obecnego rozwiązania?

Czy Ministerstwo Finansów zamierza przeprowadzić ponowną, kompleksową ocenę bezpieczeństwa KSeF 2.0, uwzględniającą możliwość wykorzystania metadanych do nieuprawnionego pobierania faktur przez podmioty trzecie, w tym operatorów infrastruktury pośredniczącej? Jeżeli tak, w jakim terminie zostanie przeprowadzona taka ocena, czy jej wyniki zostaną przedstawione opinii publicznej oraz jakie działania naprawcze przewidziano w przypadku potwierdzenia wskazanych zagrożeń?

Czy Ministerstwo Finansów potwierdza, że infrastruktura pośrednicząca wykorzystywana w KSeF 2.0, w tym rozwiązania firmy Imperva, uczestniczy w terminacji połączeń TLS obsługujących API KSeF i może na poziomie technicznym przetwarzać niezabezpieczone dodatkowym szyfrowaniem aplikacyjnym treści żądań i odpowiedzi HTTP? Czy przeprowadzono ocenę możliwości uzyskania przez operatora tej infrastruktury dostępu do metadanych faktur, pełnej treści pojedynczych faktur oraz danych uwierzytelniających? Jeżeli tak, jakie kategorie zabezpieczeń technicznych, organizacyjnych i kontraktowych zastosowano w celu ograniczenia tych zagrożeń, bez konieczności ujawniania szczegółów konfiguracji bezpieczeństwa systemu?

Ministerstwo Finansów informuje, że na etapie prac nad systemem została przeprowadzona kompleksowa analiza ryzyka odnosząca się do bezpieczeństwa KSeF. W oparciu o tę analizę, wdrożono odpowiednie mechanizmy uwierzytelnienia w systemie oraz modele nadawania uprawnień do korzystania z KSeF, które zabezpieczają dane znajdujące się w KSeF przed nieuprawnionym dostępem.

Dostęp do faktur znajdujących się w KSeF możliwy jest na dwa sposoby. Pierwsza metoda polega na uwierzytelnieniu się w systemie przez podatnika lub osoby przez niego uprawnionej do dostępu do faktur np. certyfikatem kwalifikowanym, certyfikatem KSeF lub Węzłem krajowym.

Druga metoda polega na dostępie do faktur w sposób niewymagający uwierzytelnienia w systemie. Rozporządzenie przewiduje w tym zakresie dwie opcje – z wykorzystaniem kodu QR lub bez niego.

Pierwsza opcja - określona w § 7 rozporządzenia Ministra Finansów i Gospodarki z 12 grudnia w sprawie korzystania z Krajowego systemu e-Faktur¹ polega na tym, że nabywca po zeskanowaniu QR kodu, uzyska informację czy dana faktura została wystawiona w KSeF (etap 1 dostępu). W kolejnym kroku nabywca może pobrać fakturę z KSeF (etap 2 dostępu). Konieczne jest podanie w tym celu, danych z faktury tj.:

• numeru faktury,

• identyfikatora podatkowego nabywcy lub informacji o jego braku,

• kwoty należności ogółem.

Druga opcja – określona w § 8 ww. rozporządzenia umożliwia dostęp do faktury lub w KSeF po podaniu poniższego zestawu danych:

• numeru KSeF faktury,

• numeru faktury nadanego przez podatnika,

• numeru NIP lub innego identyfikatora nabywcy towarów lub usług, albo informacji o jego braku,

• imienia i nazwiska lub nazwy nabywcy towarów lub usług albo informacji o braku tych danych,

• kwoty należności ogółem.

Wprowadzenie mechanizmu umożliwiającego pobranie faktury bez konieczności uwierzytelnienia się użytkownika było podyktowane potrzebą zapewnienia dostępu do faktury w KSeF dla osób i podmiotów, które nie posługują się numerem identyfikacji podatkowej, a tym samym nie mają możliwości zalogowania się do systemu tj. np. dla osób fizycznych nieprowadzących działalności gospodarczej lub podmiotów zagranicznych. Mowa tu jest generalnie o nabywcach, którym faktura jest wydawana w sposób uzgodniony (zgodnie z art. 106gb ust. 4 ustawy o VAT).

Zdefiniowanie katalogu danych wymaganych do uzyskania dostępu do faktury było poprzedzone analizą odnoszącą się do ryzyk i kwestii bezpieczeństwa tego rozwiązania.

W ocenie Ministerstwa Finansów przewidziana w rozporządzeniu możliwość pobrania faktury w sposób anonimowy spełnia więc swoją rolę. Kwestie związane z zapewnieniem odpowiedniego poziomu bezpieczeństwa tej usługi są monitorowane. W związku z powyższym w ocenie Ministerstwa Finansów wprowadzenie wskazanych w treści interpelacji działań naprawczych nie jest zasadne.

Ministerstwo Finansów informuje, że KSeF 2.0 został zbudowany w najwyższym standardzie technicznym i organizacyjnym, z uwzględnieniem najlepszych praktyk rynkowych oraz uznanych norm bezpieczeństwa. Architektura systemu została zaprojektowana w sposób zapewniający wysoką dostępność, w szczególności poprzez zastosowanie mechanizmów redundancji, eliminację pojedynczych punktów awarii oraz ciągłe monitorowanie kluczowych komponentów infrastruktury. KSeF był regularnie poddawany licznym i cyklicznym testom, w tym testom wydajnościowym, bezpieczeństwa oraz odporności na awarie. Został także przetestowany w zakresie cyberbezpieczeństwa. System gwarantuje integralność danych dzięki zastosowaniu mechanizmów kontroli, walidacji danych, szyfrowania oraz rejestrowania zdarzeń (audytów). Dostęp do danych jest realizowany zgodnie z zasadą najmniejszych uprawnień, a wszystkie operacje są wykonywane w kontrolowanym i zabezpieczonym środowisku.

Mechanizmy związane z zapewnieniem bezpieczeństwa dotyczą całego systemu oraz wszystkich jego użytkowników, a nie tylko konkretnych branż lub sektorów.

Informacje dotyczące architektury technicznej oraz bezpieczeństwa systemów stanowiących kluczowe elementy infrastruktury IT administracji publicznej nie są publicznie ujawniane. Publicznie komunikowane są wyłącznie ogólne zasady funkcjonowania takich systemów, natomiast detale operacyjne pozostają objęte ograniczeniami informacyjnymi ze względów bezpieczeństwa. Komunikowanie informacji technicznych mogłoby osłabić poziom ochrony systemów IT administracji publicznej.

Źródło: https://www.sejm.gov.pl