Interpelacja w sprawie bezpieczeństwa, stabilności technicznej oraz przygotowania przedsiębiorców do funkcjonowania Krajowego Systemu e-Faktur (KSeF 2.0)

Szanowny Panie Ministrze,

w związku z wejściem w życie od dnia 1 lutego 2026 r. docelowej wersji Krajowego Systemu e-Faktur (KSeF 2.0) zwracam się z interpelacją dotyczącą poziomu bezpieczeństwa systemu, jego stabilności technicznej oraz stopnia przygotowania przedsiębiorców i infrastruktury państwowej do obsługi obowiązkowego centralnego rejestru faktur elektronicznych.

Z opublikowanego niedawno sondażu przeprowadzonego przez pracownię Ibris wynika, że ponad 40% Polaków uważa, iż wprowadzenie KSeF nie jest bezpieczne dla firm, natomiast jedynie 23,3% respondentów ocenia system jako bezpieczny, przy czym zaledwie 3,3% badanych deklaruje zdecydowane przekonanie o jego bezpieczeństwie. Istotny jest również fakt, że ponad jedna trzecia ankietowanych nie potrafiła jednoznacznie ocenić KSeF, a 13,2% respondentów przyznało, że nie wie, czym jest ten system, lub nigdy o nim nie słyszało.

Wyniki te wskazują na niski poziom zaufania społecznego i informacyjnego wobec jednego z kluczowych projektów cyfryzacji administracji skarbowej, który bezpośrednio dotyczy milionów przedsiębiorców.

Dodatkowo, już w pierwszych dniach funkcjonowania KSeF 2.0 pojawiły się poważne problemy techniczne, w szczególności: - awarie infrastruktury obsługującej profil zaufany, będący najczęściej wykorzystywaną formą logowania, - trudności z nadawaniem i obsługą uprawnień, - problemy z rejestracją podmiotów oraz generowaniem certyfikatów i tokenów, - brak jasnych procedur na wypadek długotrwałej niedostępności narzędzi uwierzytelniających, mimo że przepisy przewidują jedynie awarię samego KSeF, a nie systemów pośredniczących.

Środowiska księgowych, doradców podatkowych oraz organizacje gospodarcze – w tym Północna Izba Gospodarcza – alarmują, że przedsiębiorcy zostali postawieni w sytuacji wysokiej niepewności prawnej i organizacyjnej, a ciężar odpowiedzialności za prawidłowe funkcjonowanie systemu w praktyce został przerzucony na podatników i biura rachunkowe.

Kontrowersje budzą również informacje dotyczące wykorzystywania zagranicznej infrastruktury pośredniczącej przy komunikacji z KSeF, co rodzi pytania o: - realną kontrolę nad przepływem danych, - bezpieczeństwo informacji handlowych i finansowych przedsiębiorstw, - zgodność przyjętych rozwiązań z przepisami RODO oraz zasadą suwerenności danych.

Choć Ministerstwo Finansów deklaruje, że dane są szyfrowane i niedostępne dla podmiotów trzecich, pierwsze doświadczenia użytkowników systemu znacząco podważyły społeczne zaufanie do tych zapewnień.

W związku z powyższym zwracam się z następującymi pytaniami:

Do ministra finansów i gospodarki:

1. Czy Ministerstwo Finansów przeprowadziło kompleksowy audyt bezpieczeństwa KSeF 2.0 przed jego uruchomieniem w środowisku produkcyjnym, a jeśli tak – czy jego wyniki mogą zostać upublicznione? 2. Jak ministerstwo odnosi się do faktu, że ponad 40% respondentów sondażu Ibris uznaje KSeF za system niebezpieczny dla firm? 3. Czy przed wprowadzeniem KSeF oszacowano realne ryzyko operacyjne i finansowe dla przedsiębiorców w przypadku awarii systemów logowania (profil zaufany, e-Dowód, bankowość elektroniczna)? 4. Czy obowiązujące przepisy przewidują wystarczające mechanizmy ochrony podatnika w sytuacji, gdy dostęp do KSeF jest niemożliwy z przyczyn niezależnych od przedsiębiorcy, a awaria trwa dłużej niż 24 godziny? 5. Czy ministerstwo planuje wprowadzenie zmian legislacyjnych lub wykonawczych, które jednoznacznie wyłączą odpowiedzialność przedsiębiorców za skutki niedostępności systemów państwowych? 6. Jakie działania informacyjne i edukacyjne zostały podjęte wobec przedsiębiorców, skoro istotna część społeczeństwa nie zna lub nie rozumie funkcjonowania KSeF?

Do ministra cyfryzacji:

7. Czy infrastruktura państwowa, w szczególności system profil zaufany, była przygotowana na skokowy wzrost liczby użytkowników po uruchomieniu KSeF 2.0? 8. Jakie działania naprawcze zostały podjęte po awariach systemów logowania w pierwszych dniach funkcjonowania KSeF? 9. Czy Ministerstwo Cyfryzacji analizowało ryzyko systemowe wynikające z uzależnienia funkcjonowania KSeF od zewnętrznych mechanizmów uwierzytelniania? 10. Czy dane przesyłane w ramach KSeF są przetwarzane wyłącznie na infrastrukturze znajdującej się na terytorium Unii Europejskiej, a jeśli nie – jakie gwarancje prawne i techniczne to zabezpieczają? 11. Czy planowane są testy obciążeniowe oraz publiczne raporty dotyczące stabilności i bezpieczeństwa systemów obsługujących KSeF?