Certyfikat KSeF nie jest wydawany bezterminowo. Jego ważność może wynosić maksymalnie dwa lata, dlatego po pewnym czasie trzeba przygotować kolejny. Nie odbywa się to jednak poprzez przedłużenie daty ważności starego certyfikatu – przedsiębiorca składa wniosek o nowy certyfikat i zastępuje nim dotychczas używany.
Czy certyfikat KSeF można przedłużyć?
Nie w taki sposób jak abonament czy ważność niektórych dokumentów elektronicznych. Nie zmienia się daty wygaśnięcia już wydanego certyfikatu.
Jeżeli obecny certyfikat zbliża się do końca ważności, trzeba wystąpić o wydanie kolejnego. Nowy certyfikat otrzyma własny okres obowiązywania i będzie używany zamiast poprzedniego.
W praktyce określenie „odnowienie certyfikatu KSeF” oznacza więc:
- sprawdzenie terminu ważności obecnego certyfikatu,
- wystąpienie o nowy certyfikat,
- pobranie go,
- skonfigurowanie w używanym systemie,
- sprawdzenie działania,
- zakończenie korzystania ze starego certyfikatu.
Jak długo ważny jest certyfikat KSeF?
Certyfikat może być ważny nie dłużej niż dwa lata. Okres ten liczy się od daty jego wytworzenia albo od wskazanej przez podatnika daty rozpoczęcia obowiązywania.
Oznacza to, że różne certyfikaty w tej samej firmie mogą mieć różne terminy wygaśnięcia. W większych organizacjach warto prowadzić prostą ewidencję certyfikatów i ich ważności.
Nie powinno się polegać wyłącznie na pamięci osoby zajmującej się księgowością.
Kiedy najlepiej zacząć odnawianie certyfikatu?
Nie warto czekać do ostatniego dnia jego ważności. Nowy certyfikat najlepiej przygotować z wyprzedzeniem, aby pozostawić czas na jego wdrożenie i przetestowanie.
Ma to szczególne znaczenie, gdy certyfikat:
- jest używany przez program księgowy
- obsługuje automatyczne połączenie z KSeF
- znajduje się w kilku systemach
- jest wykorzystywany przez biuro rachunkowe
- jest potrzebny do procedur offline.
W firmie wystawiającej wiele faktur nawet krótka przerwa w prawidłowym uwierzytelnianiu może powodować problemy organizacyjne.
Najpierw sprawdź, jaki certyfikat wygasa
KSeF przewiduje dwa rodzaje certyfikatów i przed wymianą trzeba ustalić, który z nich jest używany.
Certyfikat typu 1
Służy do uwierzytelniania się w KSeF. Może być wykorzystywany między innymi przez system finansowo-księgowy lub inne oprogramowanie zintegrowane z KSeF.
Jeżeli właśnie ten certyfikat wygasa, nowy trzeba później podmienić w miejscu, z którego korzysta program.
Certyfikat typu 2
Służy do oznaczania faktur kodem umożliwiającym potwierdzenie tożsamości wystawcy podczas pracy w trybie offline.
Ma znaczenie między innymi przy:
- offline24
- zaplanowanej niedostępności KSeF
- awarii KSeF.
Jeżeli firma chce zachować gotowość do pracy offline, ważność tego certyfikatu również trzeba kontrolować.
Czy można mieć jednocześnie stary i nowy certyfikat?
Tak. To właśnie pozwala przeprowadzić wymianę bez zatrzymywania pracy.
Nie trzeba czekać, aż dotychczasowy certyfikat całkowicie wygaśnie. Można wcześniej uzyskać kolejny certyfikat, skonfigurować go w programie i upewnić się, że działa prawidłowo.
Dzięki temu przejście ze starego certyfikatu na nowy można zaplanować, zamiast reagować dopiero po utracie możliwości korzystania z dotychczasowego rozwiązania.
Jak odnowić certyfikat KSeF krok po kroku?
Procedura przypomina uzyskiwanie pierwszego certyfikatu. Kluczowa różnica polega na tym, że tym razem trzeba dodatkowo zadbać o bezpieczne przejście pomiędzy dwoma certyfikatami.
Krok 1. Sprawdź datę wygaśnięcia obecnego certyfikatu
Najpierw ustal dokładny termin ważności. Trzeba sprawdzić nie tylko rok, ale również konkretną datę.
Jeżeli firma korzysta z kilku certyfikatów, warto sporządzić zestawienie zawierające:
- rodzaj certyfikatu
- jego przeznaczenie
- datę rozpoczęcia ważności
- datę wygaśnięcia
- system, w którym jest używany
- osobę odpowiedzialną.
Pozwala to uniknąć sytuacji, w której jeden z mniej widocznych certyfikatów wygasa niezauważony.
Krok 2. Sprawdź, gdzie używany jest stary certyfikat
Przed wygenerowaniem nowego trzeba wiedzieć, gdzie później będzie wymagał podmiany.
Certyfikat może znajdować się między innymi w:
- programie fakturującym
- programie księgowym
- systemie ERP
- rozwiązaniu przygotowanym przez dział IT
- aplikacji używanej przez biuro rachunkowe.
Nie należy usuwać starego certyfikatu przed sporządzeniem takiej listy.
Krok 3. Zaloguj się do KSeF
Aby wystąpić o nowy certyfikat, trzeba uwierzytelnić się w systemie KSeF 2.0.
Użytkownik powinien działać w odpowiednim kontekście i posiadać wymagane uprawnienia.
Przed złożeniem wniosku warto szczególnie sprawdzić właściwy NIP. Jest to ważne dla księgowych, pełnomocników i osób obsługujących kilka podmiotów.
Krok 4. Przejdź do funkcji obsługi certyfikatów
W KSeF należy przejść do części umożliwiającej zarządzanie certyfikatami i złożenie wniosku o wydanie nowego certyfikatu.
Nie należy szukać funkcji zatytułowanej wyłącznie „przedłuż certyfikat”. Proces polega na wystąpieniu o nowy certyfikat.
Po prawidłowym rozpatrzeniu wniosku nowy certyfikat zostanie wydany i będzie można go pobrać.
Krok 5. Wybierz właściwy rodzaj certyfikatu
Jeżeli odnawiasz certyfikat używany do uwierzytelniania programu, potrzebny będzie certyfikat typu 1.
Jeżeli wymiany wymaga certyfikat wykorzystywany do oznaczania faktur w trybach offline, trzeba uzyskać certyfikat typu 2.
Nie warto wybierać rodzaju na podstawie samej nazwy starego pliku. Najpierw trzeba sprawdzić jego rzeczywiste zastosowanie.
Krok 6. Wskaż datę rozpoczęcia obowiązywania
Przy wnioskowaniu o certyfikat można wskazać datę rozpoczęcia jego obowiązywania.
To przydatne właśnie przy planowanej wymianie. Nowy certyfikat można przygotować wcześniej i odpowiednio zaplanować jego wykorzystanie.
Trzeba jednak uwzględnić konfigurację używanego programu. Nie każde oprogramowanie przełącza certyfikaty automatycznie według daty.
Krok 7. Zweryfikuj dane we wniosku
Dane osoby lub podmiotu muszą być zgodne z danymi identyfikującymi użytkownika uwierzytelnionego w KSeF.
Przed wysłaniem należy sprawdzić przede wszystkim:
- dane identyfikacyjne
- rodzaj certyfikatu
- wskazane przeznaczenie
- datę rozpoczęcia obowiązywania.
Po zatwierdzeniu system rozpocznie proces wydawania nowego certyfikatu.
Krok 8. Pobierz nowy certyfikat
Po wydaniu trzeba pobrać certyfikat i zachować go w bezpiecznym miejscu.
Nie należy od razu usuwać dotychczasowego certyfikatu. Najpierw trzeba skonfigurować nowy i sprawdzić jego działanie.
W większej firmie warto również odnotować fakt wydania w rejestrze dostępów lub certyfikatów.
Krok 9. Zainstaluj nowy certyfikat w programie
To moment, w którym najłatwiej popełnić praktyczny błąd.
Samo wydanie certyfikatu przez KSeF nie powoduje automatycznie, że wszystkie używane programy zaczną z niego korzystać.
W zależności od oprogramowania może być konieczne:
- zaimportowanie nowego certyfikatu
- wskazanie odpowiedniego pliku
- podanie danych potrzebnych do jego użycia
- zmiana konfiguracji integracji
- ponowne uruchomienie usługi.
Dokładna procedura zależy od producenta programu.
Krok 10. Nie usuwaj starego certyfikatu przed testem
To bardzo ważna zasada.
Najpierw trzeba upewnić się, że nowy certyfikat działa prawidłowo. Dopiero później należy wyłączyć korzystanie ze starego.
Warto przeprowadzić test obejmujący czynność, do której certyfikat jest rzeczywiście wykorzystywany.
Przy certyfikacie typu 1 można sprawdzić prawidłowe uwierzytelnienie systemu. Przy typie 2 warto upewnić się, że firma jest przygotowana do prawidłowego wygenerowania wymaganych oznaczeń offline.
Krok 11. Sprawdź wszystkie integracje
Jedna firma może korzystać z KSeF przez kilka różnych narzędzi.
Przykładowo faktury sprzedażowe są wystawiane w systemie ERP, księgowość korzysta z osobnego programu, a biuro rachunkowe ma jeszcze własną integrację.
W takim przypadku samo podmienienie certyfikatu w jednym miejscu nie wystarczy.
Trzeba sprawdzić cały przepływ:
program -> certyfikat -> uwierzytelnienie -> KSeF.
Jeżeli którykolwiek element nadal używa starego certyfikatu, po jego wygaśnięciu może przestać działać.
Krok 12. Ustal, co zrobić ze starym certyfikatem
Jeżeli dotychczasowy certyfikat po prostu zbliża się do końca ważności i nie doszło do naruszenia bezpieczeństwa, można zaplanować zakończenie jego używania wraz z przejściem na nowy.
Inna sytuacja występuje wtedy, gdy certyfikat:
- został skradziony
- trafił do nieuprawnionej osoby
- został skopiowany w niekontrolowany sposób
- znajduje się na utraconym urządzeniu.
W takim przypadku nie należy czekać na naturalne wygaśnięcie. Certyfikat trzeba unieważnić.
Czy stary certyfikat trzeba unieważnić po uzyskaniu nowego?
Nie należy automatycznie utożsamiać wymiany z koniecznością natychmiastowego unieważnienia starego certyfikatu.
Przy zwykłej, planowej wymianie możliwy jest okres, w którym stary i nowy certyfikat pozostają aktywne. Ułatwia to bezpieczne przejście pomiędzy rozwiązaniami.
Unieważnienie jest szczególnie ważne wtedy, gdy dalsze korzystanie ze starego certyfikatu stanowi zagrożenie bezpieczeństwa.
W firmowej procedurze warto jednak ustalić, kiedy stary certyfikat przestaje być potrzebny i co dzieje się z jego kopiami.
Co jeśli certyfikat już wygasł?
Najważniejsze jest ustalenie, do czego był używany.
Jeżeli certyfikat typu 1 służył do automatycznego uwierzytelniania programu, integracja może przestać prawidłowo komunikować się z KSeF.
Trzeba wtedy uzyskać nowy certyfikat, skonfigurować go i sprawdzić działanie systemu.
Nie oznacza to jednak utraty konta w KSeF ani utraty faktur znajdujących się w systemie. Certyfikat jest metodą uwierzytelniania lub narzędziem potrzebnym do określonych funkcji, a nie samym kontem podatnika.
Co jeśli wygasł certyfikat typu 2?
Firma traci możliwość wykorzystania właśnie tego certyfikatu do właściwego oznaczania faktur w trybach offline.
Problem może pozostać niezauważony aż do chwili, gdy pojawi się awaria internetu lub konieczność zastosowania offline24.
Dlatego certyfikaty typu 2 trzeba kontrolować nawet wtedy, gdy przez wiele miesięcy nie były używane.
To klasyczny przykład zabezpieczenia, które jest potrzebne dokładnie wtedy, gdy normalny sposób działania przestaje być dostępny.
Czy biuro rachunkowe może odnowić certyfikat za przedsiębiorcę?
Zależy to od modelu dostępu i posiadanych uprawnień.
Nie należy przekazywać biuru swojego certyfikatu tylko dlatego, że prowadzi księgowość. Biuro może posiadać własne uprawnienia i korzystać z własnych sposobów uwierzytelniania.
Jeżeli certyfikat obsługuje system należący bezpośrednio do przedsiębiorcy, warto wcześniej ustalić, kto odpowiada za jego wymianę.
W umowie lub procedurze współpracy dobrze wskazać:
- kto kontroluje ważność certyfikatu
- kto składa wniosek o nowy
- kto instaluje go w systemie
- kto wykonuje test
- kto reaguje w przypadku wygaśnięcia.
Brak takiego podziału odpowiedzialności może sprawić, że obie strony będą przekonane, iż wymianą zajmie się ktoś inny.
Czy pracownik może mieć własny certyfikat?
Tak, jeżeli spełnia warunki jego uzyskania i posiada odpowiednie uprawnienia.
W większych firmach może być bezpieczniejsze stosowanie oddzielnych certyfikatów zgodnie z przyjętą architekturą dostępu niż współdzielenie jednego rozwiązania przez wiele osób.
Trzeba jednak kontrolować ich liczbę i ważność.
Każdy dodatkowy certyfikat oznacza kolejny termin, który trzeba monitorować.
Co z certyfikatem po zmianie programu księgowego?
Zmiana programu to dobry moment na przegląd certyfikatów.
Nie należy zakładać, że certyfikat automatycznie przejdzie do nowego systemu. Trzeba sprawdzić wymagania nowego oprogramowania i sposób jego uwierzytelniania.
Jeżeli stary program nie będzie już używany, trzeba również usunąć z niego dostęp do aktywnych certyfikatów zgodnie z zasadami bezpieczeństwa.
Warto przy okazji ocenić, czy liczba aktywnych certyfikatów nadal odpowiada rzeczywistym potrzebom firmy.
Co z certyfikatem po zmianie biura rachunkowego?
Jeżeli stare biuro posiadało certyfikaty lub dostęp związany z obsługą KSeF klienta, zakończenie współpracy powinno uruchomić kontrolę bezpieczeństwa.
Trzeba ustalić:
- jakie certyfikaty były używane
- do kogo należały
- gdzie były przechowywane
- czy biuro nadal posiada dostęp
- czy trzeba odebrać uprawnienia
- czy potrzebne jest unieważnienie któregokolwiek certyfikatu.
Sama zmiana księgowej nie usuwa automatycznie wszystkich wcześniej nadanych dostępów.
Jak uniknąć wygaśnięcia certyfikatu bez ostrzeżenia?
Najprostsze rozwiązanie to prowadzenie kalendarza terminów.
Dla każdego certyfikatu warto zapisać:
rodzaj – typ 1 albo typ 2,
właściciela – osobę lub podmiot,
zastosowanie – konkretny program lub procedura,
datę rozpoczęcia – od kiedy działa,
datę końcową – kiedy wygasa,
osobę odpowiedzialną – kto ma przygotować kolejny.
Przypomnienie można ustawić odpowiednio wcześniej, aby pozostawić czas na wygenerowanie i wdrożenie nowego certyfikatu.
Najbezpieczniejsza wymiana – stary i nowy certyfikat przez chwilę równolegle
Przy planowym odnawianiu najlepiej nie tworzyć przerwy pomiędzy certyfikatami.
Praktyczny proces może wyglądać tak:
stary certyfikat nadal działa -> firma uzyskuje nowy -> nowy zostaje zainstalowany -> wykonywany jest test -> system przechodzi na nowy certyfikat -> stary przestaje być używany.
Dzięki temu ewentualny błąd konfiguracji można wykryć, zanim przedsiębiorca straci dotychczas działającą metodę uwierzytelniania.
8 rzeczy do sprawdzenia przy wymianie certyfikatu
Przed zakończeniem procesu warto odpowiedzieć na osiem pytań:
- Czy znam dokładną datę wygaśnięcia starego certyfikatu?
- Czy wiem, czy jest to certyfikat typu 1 czy typu 2?
- Czy nowy certyfikat został już wydany?
- Czy został bezpiecznie pobrany?
- Czy wszystkie potrzebne programy zostały skonfigurowane?
- Czy nowe uwierzytelnienie zostało przetestowane?
- Czy wiadomo, gdzie znajdują się kopie starego certyfikatu?
- Czy zapisano termin wygaśnięcia nowego certyfikatu?
Jeżeli odpowiedź na któryś punkt brzmi „nie”, proces wymiany nie powinien być jeszcze uznawany za zakończony.
Odnowienie certyfikatu KSeF to przede wszystkim dobra organizacja
Samo uzyskanie kolejnego certyfikatu nie jest skomplikowane. Największym problemem może być niedopilnowanie terminu albo zapomnienie o systemie, który nadal korzysta ze starego certyfikatu.
Dlatego certyfikatu KSeF nie warto odnawiać dopiero po jego wygaśnięciu. Bezpieczniej wcześniej wygenerować nowy, wdrożyć go w używanym oprogramowaniu i przeprowadzić test.