Interpelacja w sprawie bezpieczeństwa związanego z obrotem certyfikatami i tokenami w Krajowym Systemie e-Faktur

Model funkcjonowania Krajowego Systemu e-Faktur opiera się na wykorzystaniu certyfikatów i tokenów uwierzytelniających, które w praktyce zapewniają dostęp do kluczowych funkcji systemu, w tym do wystawiania faktur oraz wglądu w dokumentację sprzedażową podatnika. Oznacza to, że przejęcie takiego narzędzia dostępowego może skutkować pełnym podszyciem się pod podatnika w obrocie gospodarczym.

W praktyce certyfikat KSeF staje się odpowiednikiem uniwersalnego klucza do systemu fakturowania. Jego nieuprawnione użycie może prowadzić do wystawiania fikcyjnych faktur, generowania pozornych zobowiązań podatkowych, a w konsekwencji do wyłudzeń podatku VAT. Skala potencjalnych nadużyć nie wynika przy tym z luk w prawie, lecz z samej konstrukcji systemu, który przenosi istotne ryzyka bezpieczeństwa na użytkowników końcowych.

Szczególne wątpliwości budzi sposób przechowywania i wykorzystywania certyfikatów w praktyce obrotu gospodarczego. W wielu podmiotach certyfikaty są przechowywane lokalnie, bez odpowiednich zabezpieczeń, instalowane na wielu stanowiskach roboczych lub przekazywane zewnętrznym biurom rachunkowym. Taki model użytkowania utrudnia kontrolę nad dostępem, rozmywa odpowiedzialność oraz zwiększa ryzyko naruszeń przepisów o ochronie danych osobowych.

Należy również zauważyć, że znaczna część użytkowników KSeF nie posiada wystarczającej wiedzy z zakresu cyberbezpieczeństwa, aby samodzielnie ocenić ryzyka związane z obrotem certyfikatami i tokenami. W efekcie system, który w założeniu ma zwiększać szczelność i bezpieczeństwo rozliczeń podatkowych, może generować nowe, trudne do wykrycia nadużycia, a także ryzyka reputacyjne dla państwa jako administratora centralnej infrastruktury fakturowania.

W świetle powyższego proszę o udzielenie odpowiedzi na poniższe pytania: