Cyberbezpieczeństwo w księgowości – jak chronić tokeny i certyfikaty?

Token KSeF, certyfikat, klucz prywatny – czym się różnią i dlaczego każdy może cię zablokować

Zrozumienie różnicy między fizycznym nośnikiem a cyfrowym uprawnieniem jest kluczowe dla zachowania ciągłości procesów księgowych. Rozporządzenie Ministra Finansów z dnia 29 kwietnia 2022 r. w sprawie wzorów wniosków o nadanie lub odebranie uprawnień do korzystania z Krajowego Systemu e-Faktur precyzuje mechanizmy autoryzacji. Certyfikat jest cyfrowym świadectwem tożsamości podatnika, natomiast token KSeF stanowi unikalny ciąg znaków (klucz), który przechowuje te uprawnienia i umożliwia ich techniczne wykorzystanie w komunikacji z bramką API Ministerstwa Finansów.

Token KSeF pełni rolę nośnika (analogicznie do fizycznego urządzenia USB), podczas gdy certyfikat stanowi cyfrową pieczęć potwierdzającą autentyczność wystawcy dokumentu. Utrata fizycznego nośnika nie unieważnia samej tożsamości, o ile przedsiębiorca posiada zabezpieczoną kopię zapasową klucza prywatnego. Jednakże kompromitacja klucza prywatnego pozwala podmiotom trzecim na generowanie prawnie wiążących dokumentów sprzedażowych w imieniu podatnika, co generuje ryzyko powstania fikcyjnego zobowiązania podatkowego.

Ryzyko operacyjne wzrasta w przypadku niewłaściwego zarządzania infrastrukturą IT wewnątrz biura rachunkowego. Scenariusz ataku może zakładać, że pracownik pozostawia token KSeF w gnieździe USB stacji roboczej po zakończeniu godzin pracy. Socjotechnik lub osoba nieuprawniona, uzyskując dostęp do urządzenia, kopiuje klucz prywatny i wyprowadza go poza sieć wewnętrzną firmy. Następnego dnia, korzystając ze skradzionego poświadczenia, sprawca wystawia fakturę o wartości 8 mln zł netto na rzecz podmiotu powiązanego, co inicjuje bezprawny zwrot podatku VAT.

Znane źródła podają, że w 2023 r. biuro rachunkowe z Wrocławia padło ofiarą ataku ransomware, w wyniku którego zaszyfrowano nie tylko bieżące księgi rachunkowe, ale także certyfikaty służące do wysyłki deklaracji. Zgodnie z art. 31a ustawy o podatku od towarów i usług, brak ważnego środka autoryzacji sprawia, że struktura JPK_FA jest uznawana za nieważną. W związku z tym przedsiębiorcy powinni wdrożyć procedurę przechowywania kopii zapasowej certyfikatu w środowisku offline (np. na nośniku zewnętrznym w sejfie) oraz równolegle w sprzętowym module bezpieczeństwa (HSM) w chmurze.

DORA i NIS2 – nowe kary za zgubiony certyfikat: 20 mln EUR lub 1% dziennego obrotu

Ile tracisz, jeśli certyfikat wycieknie i nie zgłosisz tego faktu do organów nadzorczych? Rozporządzenie DORA (Digital Operational Resilience Act), które wchodzi w życie 17 stycznia 2025 r., oraz dyrektywa NIS2 wprowadzają restrykcyjne wymogi w zakresie odporności cyfrowej. Zgodnie z art. 28 rozporządzenia DORA, maksymalna kara dla firmy za naruszenie procedur bezpieczeństwa może wynieść do 10% rocznego obrotu, natomiast dla dostawców usług ICT przewidziano kary w wysokości 1% dziennego obrotu za każdy dzień opłaty z tytułu uchybień.

Podmioty przetwarzające dane finansowe w imieniu klientów, takie jak biura rachunkowe, zostają objęte obowiązkiem raportowania incydentów w ciągu 24 godzin od ich wykrycia. Utrata kontroli nad certyfikatem KSeF jest klasyfikowana jako incydent krytyczny, ponieważ dotyczy integralności dokumentacji finansowej. Brak terminowego zgłoszenia wycieku kluczy kryptograficznych do właściwego organu (np. KNF w przypadku sektora finansowego) naraża organizację na dotkliwe sankcje finansowe, których wysokość jest uzależniona od skali naruszenia i stopnia zaniedbania środków technicznych.

W celu minimalizacji ryzyka prawnego i finansowego, podmioty muszą wdrożyć obowiązkowe środki techniczne ochrony poświadczeń:

1. Wdrożenie sprzętowych modułów bezpieczeństwa (HSM) do generowania i przechowywania kluczy – koszt HSM od 8 tys. zł netto, amortyzacja 36 miesięcy.
2. Uruchomienie wieloskładnikowego uwierzytelniania (MFA) dla każdego dostępu do panelu KSeF – koszt implementacji ok. 50 zł na użytkownika miesięcznie.
3. Monitorowanie logów systemowych przez rozwiązania klasy SIEM (Security Information and Event Management) – koszt licencji od 1200 zł miesięcznie.
4. Szyfrowanie klucza spoczynkowego (at-rest) za pomocą algorytmów AES-256 – standard w nowoczesnych systemach operacyjnych.
5. Obowiązkowa rotacja certyfikatów i tokenów co 12 miesięcy – proces zgodny z najlepszymi praktykami cyberbezpieczeństwa.

Praktyka: jak przechowywać tokeny i certyfikaty, żeby nie płacić 20 mln euro

Skuteczna ochrona kluczy kryptograficznych wymaga wdrożenia procedury „złotej kopii” offline, która zapewnia odtworzenie zdolności operacyjnej biura po ataku typu wiper lub ransomware. Pierwszym krokiem jest eksport certyfikatu z mObywatel Finansów lub portalu podatkowego do chronionego pliku. Następnie dane należy zapisać na nośniku spełniającym normę FIPS 140-3, co gwarantuje sprzętowe szyfrowanie i odporność na próby fizycznej ingerencji. Tak przygotowany nośnik musi zostać umieszczony w sejfie klasy S2 zgodnie z normą PN-EN 1143-1, a fakt jego zdeponowania należy odnotować w rejestrze zasobów kryptograficznych.

W bieżącej pracy biura rachunkowego warto rozważyć wykorzystanie Hardware Security Module (HSM) w modelu usługowym. Porównując dwa modele: zakup własnego urządzenia HSM (koszt ok. 8 tys. zł netto plus 1,2 tys. zł rocznie za wsparcie techniczne) oraz usługę chmurową, ta druga opcja jest bardziej skalowalna. Przykładowo, usługa CloudHSM AWS w regionie eu-central-1, posiadająca certyfikat PCI-DSS 4.0, kosztuje około 250 zł miesięcznie bez konieczności ponoszenia wydatków kapitałowych (CAPEX). Rozwiązanie to zapewnia, że klucz prywatny nigdy nie opuszcza zabezpieczonego modułu sprzętowego.

Prawidłowe zarządzanie cyklem życia certyfikatu obejmuje również procedury awaryjne. Czas unieważnienia certyfikatu w mMF wynosi do 2 h w dni robocze, co jest kluczowe w przypadku podejrzenia kradzieży danych. Należy pamiętać, że certyfikaty KSeF zastąpią tokeny jako standardowa metoda uwierzytelniania w systemie KSeF 2.0 od 1 lutego 2026 r. Biura rachunkowe pełniące rolę procesora danych muszą dostosować swoje systemy do 10 grudnia 2025 r., kiedy to zostanie udostępniona nowa funkcjonalność generowania tokenów i certyfikatów zgodnych z nową architekturą systemu.

Check-lista na dziś: 7 kroków, które zamkniesz przed końcem tygodnia

Przygotowanie dokumentacji zgodnej z DORA zajmuje średnio 18–22 dni robocze dla biura zatrudniającego 30 osób. W związku z tym wdrożenie podstawowych procedur bezpieczeństwa dla certyfikatów KSeF powinno nastąpić bezzwłocznie. Poniższy plan działania pozwala na szybkie zabezpieczenie kluczowych poświadczeń i spełnienie wymogu rozliczalności, o którym mowa w art. 6 ust. 1 lit. f rozporządzenia DORA.

1. Sporządź rejestr wszystkich aktywnych tokenów i certyfikatów – odp. kierownik IT, termin: piątek 15:00.
2. Przeprowadź audyt uprawnień w mMF i usuń dostępy byłych pracowników – odp. główny księgowy, termin: środa 12:00.
3. Zakup nośniki zgodne z FIPS 140-3 dla „złotych kopii” – odp. dział administracji, termin: czwartek 10:00.
4. Wyeksportuj klucze prywatne i zdeponuj je w sejfie klasy S2 – odp. zarząd, termin: piątek 12:00.
5. Zaktualizuj politykę haseł i wymuś zmianę poświadczeń w systemie ERP – odp. administrator systemów, termin: środa 16:00.
6. Przeszkol pracowników z zakresu ochrony fizycznej tokenów USB – odp. oficer bezpieczeństwa, termin: czwartek 14:00.
7. Wykonaj test odtworzenia certyfikatu (restore) na czystym stanowisku – odp. IT, termin: piątek 14:30.

Dokumentację rachunkowości, w tym elektroniczne księgi oraz dowody księgowe zapisane na informatycznych nośnikach danych, należy przechowywać w sposób należyty przez okres 5 lat. Stosowanie odpornych na zagrożenia nośników oraz systematyczne tworzenie rezerwowych kopii zbiorów danych jest nie tylko wymogiem technologicznym, ale przede wszystkim obowiązkiem prawnym wynikającym z ustawy o rachunkowości oraz nadchodzących regulacji o krajowym systemie certyfikacji cyberbezpieczeństwa, która weszła w życie 28 sierpnia 2025 r.