Interpelacja w sprawie bezpieczeństwa, stabilności technicznej oraz przygotowania przedsiębiorców do funkcjonowania Krajowego Systemu e-Faktur (KSeF 2.0)

Szanowny Panie Ministrze,

w związku z wejściem w życie od dnia 1 lutego 2026 r. docelowej wersji Krajowego Systemu e-Faktur (KSeF 2.0) zwracam się z interpelacją dotyczącą poziomu bezpieczeństwa systemu, jego stabilności technicznej oraz stopnia przygotowania przedsiębiorców i infrastruktury państwowej do obsługi obowiązkowego centralnego rejestru faktur elektronicznych.

Z opublikowanego niedawno sondażu przeprowadzonego przez pracownię Ibris wynika, że ponad 40% Polaków uważa, iż wprowadzenie KSeF nie jest bezpieczne dla firm, natomiast jedynie 23,3% respondentów ocenia system jako bezpieczny, przy czym zaledwie 3,3% badanych deklaruje zdecydowane przekonanie o jego bezpieczeństwie. Istotny jest również fakt, że ponad jedna trzecia ankietowanych nie potrafiła jednoznacznie ocenić KSeF, a 13,2% respondentów przyznało, że nie wie, czym jest ten system, lub nigdy o nim nie słyszało.

Wyniki te wskazują na niski poziom zaufania społecznego i informacyjnego wobec jednego z kluczowych projektów cyfryzacji administracji skarbowej, który bezpośrednio dotyczy milionów przedsiębiorców.

Dodatkowo, już w pierwszych dniach funkcjonowania KSeF 2.0 pojawiły się poważne problemy techniczne, w szczególności:
- awarie infrastruktury obsługującej profil zaufany, będący najczęściej wykorzystywaną formą logowania,
- trudności z nadawaniem i obsługą uprawnień,
- problemy z rejestracją podmiotów oraz generowaniem certyfikatów i tokenów,
- brak jasnych procedur na wypadek długotrwałej niedostępności narzędzi uwierzytelniających, mimo że przepisy przewidują jedynie awarię samego KSeF, a nie systemów pośredniczących.

Środowiska księgowych, doradców podatkowych oraz organizacje gospodarcze – w tym Północna Izba Gospodarcza – alarmują, że przedsiębiorcy zostali postawieni w sytuacji wysokiej niepewności prawnej i organizacyjnej, a ciężar odpowiedzialności za prawidłowe funkcjonowanie systemu w praktyce został przerzucony na podatników i biura rachunkowe.

Kontrowersje budzą również informacje dotyczące wykorzystywania zagranicznej infrastruktury pośredniczącej przy komunikacji z KSeF, co rodzi pytania o:
- realną kontrolę nad przepływem danych,
- bezpieczeństwo informacji handlowych i finansowych przedsiębiorstw,
- zgodność przyjętych rozwiązań z przepisami RODO oraz zasadą suwerenności danych.

Choć Ministerstwo Finansów deklaruje, że dane są szyfrowane i niedostępne dla podmiotów trzecich, pierwsze doświadczenia użytkowników systemu znacząco podważyły społeczne zaufanie do tych zapewnień.

W związku z powyższym zwracam się z następującymi pytaniami:

Do ministra finansów i gospodarki:

1. Czy Ministerstwo Finansów przeprowadziło kompleksowy audyt bezpieczeństwa KSeF 2.0 przed jego uruchomieniem w środowisku produkcyjnym, a jeśli tak – czy jego wyniki mogą zostać upublicznione?
2. Jak ministerstwo odnosi się do faktu, że ponad 40% respondentów sondażu Ibris uznaje KSeF za system niebezpieczny dla firm?
3. Czy przed wprowadzeniem KSeF oszacowano realne ryzyko operacyjne i finansowe dla przedsiębiorców w przypadku awarii systemów logowania (profil zaufany, e-Dowód, bankowość elektroniczna)?
4. Czy obowiązujące przepisy przewidują wystarczające mechanizmy ochrony podatnika w sytuacji, gdy dostęp do KSeF jest niemożliwy z przyczyn niezależnych od przedsiębiorcy, a awaria trwa dłużej niż 24 godziny?
5. Czy ministerstwo planuje wprowadzenie zmian legislacyjnych lub wykonawczych, które jednoznacznie wyłączą odpowiedzialność przedsiębiorców za skutki niedostępności systemów państwowych?
6. Jakie działania informacyjne i edukacyjne zostały podjęte wobec przedsiębiorców, skoro istotna część społeczeństwa nie zna lub nie rozumie funkcjonowania KSeF?

Do ministra cyfryzacji:

7. Czy infrastruktura państwowa, w szczególności system profil zaufany, była przygotowana na skokowy wzrost liczby użytkowników po uruchomieniu KSeF 2.0?
8. Jakie działania naprawcze zostały podjęte po awariach systemów logowania w pierwszych dniach funkcjonowania KSeF?
9. Czy Ministerstwo Cyfryzacji analizowało ryzyko systemowe wynikające z uzależnienia funkcjonowania KSeF od zewnętrznych mechanizmów uwierzytelniania?
10. Czy dane przesyłane w ramach KSeF są przetwarzane wyłącznie na infrastrukturze znajdującej się na terytorium Unii Europejskiej, a jeśli nie – jakie gwarancje prawne i techniczne to zabezpieczają?
11. Czy planowane są testy obciążeniowe oraz publiczne raporty dotyczące stabilności i bezpieczeństwa systemów obsługujących KSeF?