Interpelacja w sprawie zagrożeń dla poufności danych w KSeF związanych z anonimowym dostępem do faktur i zagranicznymi dostawcami IT
Interpelacja posła Janusza Kowalskiego w sprawie zagrożeń dla bezpieczeństwa i poufności danych gospodarczych przetwarzanych w Krajowym Systemie e-Faktur (KSeF), wynikających z mechanizmu anonimowego dostępu do faktur oraz wykorzystania infrastruktury zagranicznych dostawców usług informatycznych.
W Krajowym Systemie e-Faktur (KSeF 2.0) zastosowano rozwiązania prawne i techniczne, których wzajemne powiązanie może stwarzać poważne zagrożenie dla poufności danych gospodarczych polskich przedsiębiorstw. Szczególne zastrzeżenia budzi możliwość uzyskania pełnej treści faktury bez uwierzytelnienia użytkownika, wyłącznie na podstawie pięciu danych identyfikujących dokument, w połączeniu z wykorzystaniem infrastruktury zagranicznego dostawcy usług bezpieczeństwa sieciowego, który może mieć techniczny dostęp do tych samych informacji. W praktyce oznacza to ryzyko, że mechanizmy szyfrowania mające chronić treść faktur mogą zostać ominięte poprzez wykorzystanie danych dostępnych w warstwie pośredniczącej w komunikacji z systemem. Problem ten wykracza poza kwestię ochrony danych poszczególnych podatników, ponieważ dotyczy bezpieczeństwa informacji o transakcjach handlowych, cenach, kontrahentach i przepływach gospodarczych w skali całego państwa.
Zgodnie z § 8 rozporządzenia Ministra Finansów i Gospodarki z dnia 12 grudnia 2025 r. w sprawie korzystania z Krajowego Systemu e-Faktur (Dz. U. z 2025 r. poz. 1815), uzyskanie dostępu do faktury nie wymaga zalogowania do systemu, posiadania certyfikatu ani wykazania uprawnienia do zapoznania się z dokumentem. Wystarczające jest podanie pięciu informacji: numeru KSeF, numeru faktury, identyfikatora podatkowego nabywcy lub informacji o jego braku, nazwy albo imienia i nazwiska nabywcy oraz kwoty należności ogółem. Funkcjonalność ta została udostępniona w Aplikacji Podatnika KSeF, umożliwiającej anonimowe wyszukanie i pobranie dokumentu.
Chociaż umożliwienie dostępu do faktur osobom niekorzystającym bezpośrednio z KSeF znajduje praktyczne uzasadnienie, poważne wątpliwości budzi przyjęcie mechanizmu, w którym znajomość podstawowych danych dokumentu zastępuje weryfikację uprawnień użytkownika. Informacje te nie stanowią poufnych poświadczeń dostępu. Są przetwarzane w systemach finansowo-księgowych, dokumentacji przedsiębiorstw oraz komunikacji pomiędzy kontrahentami. Co szczególnie istotne, odpowiadają one danym udostępnianym w ramach zapytań o metadane faktur obsługiwanych przez API KSeF 2.0.
Problem nabiera szczególnego znaczenia w kontekście wykorzystania w infrastrukturze KSeF rozwiązań amerykańskiej firmy Imperva, należącej do francuskiej grupy Thales. W przypadku terminacji szyfrowanych połączeń TLS przez zewnętrznego dostawcę usług WAF podmiot ten uzyskuje techniczną możliwość odczytywania przesyłanych żądań i odpowiedzi HTTP, w tym metadanych faktur. O ile treść faktur podczas ich wysyłania i eksportowania w paczkach podlega dodatkowemu szyfrowaniu aplikacyjnemu, o tyle odpowiedzi zawierające metadane nie są objęte analogiczną ochroną.
Co istotne, uzyskanie dostępu do metadanych za pośrednictwem API wymaga odpowiednich uprawnień, jednak wymóg ten nie stanowi zabezpieczenia przed ich odczytem przez podmiot pośredniczący w transmisji danych. Może on bowiem uzyskiwać wgląd w odpowiedzi kierowane do prawidłowo uwierzytelnionych użytkowników, w tym biur rachunkowych i systemów finansowo-księgowych przedsiębiorstw.
Powstaje zatem ryzyko, że podmiot dysponujący metadanymi faktury może wykorzystać przewidziany prawem mechanizm anonimowego dostępu do uzyskania jej pełnej treści, pomimo braku uprawnień do dokumentu. W takim przypadku skuteczność dodatkowego szyfrowania faktur zostaje istotnie ograniczona przez istnienie alternatywnej drogi ich pobierania. Zagrożenie pogłębia fakt, że dane wymagane do anonimowego dostępu nie podlegają okresowej zmianie, nie mają określonego terminu ważności i nie można ich unieważnić na zasadach właściwych dla tokenów lub certyfikatów. Raz pozyskany zestaw informacji może więc potencjalnie umożliwiać dostęp do dokumentu przez cały okres jego przechowywania w KSeF, wynoszący co do zasady 10 lat od końca roku, w którym został wystawiony.
Należy podkreślić, że faktury gromadzone w KSeF zawierają informacje o kontrahentach, cenach, wartości transakcji, przedmiocie dostaw i świadczonych usługach. Ich masowe pozyskanie mogłoby umożliwić odtworzenie powiązań gospodarczych, warunków współpracy handlowej oraz struktury łańcuchów dostaw, w tym w sektorach o strategicznym znaczeniu dla państwa. Informacje te mogą przedstawiać znaczną wartość zarówno dla konkurencji gospodarczej, jak i zagranicznych służb wywiadowczych.
Mając powyższe na uwadze, poseł Janusz Kowalski zwrócił się o odpowiedź na następujące pytania:
Jakimi przesłankami kierowało się Ministerstwo Finansów, wprowadzając mechanizm umożliwiający pobranie pełnej treści faktury bez uwierzytelnienia użytkownika, wyłącznie na podstawie pięciu danych identyfikujących dokument? Czy przed przyjęciem tego rozwiązania przeprowadzono analizę ryzyka nieuprawnionego dostępu do informacji gospodarczych i jakie były jej wyniki?
Czy Ministerstwo Finansów potwierdza, że dane wymagane do anonimowego pobrania faktury na podstawie § 8 wskazanego rozporządzenia odpowiadają informacjom udostępnianym w odpowiedziach na zapytania o metadane faktur za pośrednictwem API KSeF 2.0? Czy przeanalizowano ryzyko wykorzystania takich metadanych do uzyskania pełnej treści dokumentów z pominięciem standardowego mechanizmu uwierzytelniania?
Czy Ministerstwo Finansów przeprowadziło testy bezpieczeństwa sprawdzające możliwość pozyskania metadanych faktury przez podmiot trzeci, a następnie wykorzystania ich do anonimowego pobrania pełnego dokumentu? Jeżeli tak, kiedy przeprowadzono takie testy, kto był za nie odpowiedzialny i jakie stwierdzono zagrożenia?
Jakie mechanizmy zabezpieczające zastosowano w anonimowym dostępie do faktur, aby przeciwdziałać automatyzacji pobierania dokumentów, próbom masowego pozyskiwania danych oraz wielokrotnemu wykorzystywaniu tych samych informacji identyfikacyjnych? Czy system pozwala wykrywać i blokować nietypowe lub podejrzane próby pobierania faktur?
Czy każda operacja anonimowego wyszukania i pobrania faktury jest rejestrowana w systemie KSeF w sposób umożliwiający późniejszą identyfikację źródła żądania? Czy podatnik ma możliwość sprawdzenia, że jego faktura została pobrana w trybie anonimowym, a jeżeli nie, z jakich względów nie przewidziano takiej funkcjonalności?
Ile razy od uruchomienia KSeF 2.0 skorzystano z mechanizmu anonimowego pobierania faktur, o którym mowa w § 8 rozporządzenia? Ile odnotowano nieudanych prób wyszukania dokumentów, przypadków przekroczenia limitów zapytań oraz zdarzeń zakwalifikowanych jako podejrzane lub potencjalnie nieuprawnione próby dostępu?
Czy Ministerstwo Finansów konsultowało z właściwymi instytucjami odpowiedzialnymi za cyberbezpieczeństwo i bezpieczeństwo państwa ryzyko wykorzystania KSeF do pozyskiwania informacji o kontrahentach, cenach, strukturze dostaw oraz transakcjach przedsiębiorstw działających w sektorach strategicznych, w szczególności w przemyśle obronnym, energetycznym i telekomunikacyjnym? Jakie wnioski sformułowano w wyniku tych konsultacji?
Czy Ministerstwo Finansów rozważa zastąpienie obecnego mechanizmu anonimowego dostępu rozwiązaniem wykorzystującym dodatkowe, niezależne i możliwe do unieważnienia poświadczenie, którego nie można odtworzyć na podstawie metadanych faktury? Jeżeli nie, jakie argumenty przemawiają za utrzymaniem obecnego rozwiązania?
Czy Ministerstwo Finansów zamierza przeprowadzić ponowną, kompleksową ocenę bezpieczeństwa KSeF 2.0, uwzględniającą możliwość wykorzystania metadanych do nieuprawnionego pobierania faktur przez podmioty trzecie, w tym operatorów infrastruktury pośredniczącej? Jeżeli tak, w jakim terminie zostanie przeprowadzona taka ocena, czy jej wyniki zostaną przedstawione opinii publicznej oraz jakie działania naprawcze przewidziano w przypadku potwierdzenia wskazanych zagrożeń?
Czy Ministerstwo Finansów potwierdza, że infrastruktura pośrednicząca wykorzystywana w KSeF 2.0, w tym rozwiązania firmy Imperva, uczestniczy w terminacji połączeń TLS obsługujących API KSeF i może na poziomie technicznym przetwarzać niezabezpieczone dodatkowym szyfrowaniem aplikacyjnym treści żądań i odpowiedzi HTTP? Czy przeprowadzono ocenę możliwości uzyskania przez operatora tej infrastruktury dostępu do metadanych faktur, pełnej treści pojedynczych faktur oraz danych uwierzytelniających? Jeżeli tak, jakie kategorie zabezpieczeń technicznych, organizacyjnych i kontraktowych zastosowano w celu ograniczenia tych zagrożeń, bez konieczności ujawniania szczegółów konfiguracji bezpieczeństwa systemu?
