KSeF i infrastruktura pośrednia – gdzie kończy się kontrola państwa nad danymi przedsiębiorców?

Krajowy System e-Faktur od początku przedstawiany był jako rozwiązanie bezpieczne i oparte na krajowej infrastrukturze. Jednak w przypadku systemu o tak dużym znaczeniu – obejmującego dane o obrocie gospodarczym w skali całego państwa – kluczowe staje się nie tylko to, co deklarowane, ale przede wszystkim to, jak system został faktycznie zaprojektowany.

Z dostępnych informacji technicznych wynika, że komunikacja z systemem nie odbywa się bezpośrednio między użytkownikiem a infrastrukturą państwową. Po drodze pojawia się zewnętrzna warstwa pośrednia, pełniąca funkcje zabezpieczające i optymalizujące ruch sieciowy. W praktyce oznacza to, że dane przepływają przez infrastrukturę zarządzaną przez podmiot trzeci.

Taki model ma konkretne konsekwencje. W rozwiązaniach tego typu pośrednik może technicznie obsługiwać połączenia szyfrowane, co wiąże się z potencjalnym dostępem do informacji o komunikacji – niekoniecznie do treści faktur, ale do danych towarzyszących. A to właśnie metadane, takie jak częstotliwość operacji, identyfikatory sesji czy zakresy uprawnień, pozwalają odtworzyć obraz aktywności gospodarczej firm.

Z perspektywy bezpieczeństwa informacji nie są to dane drugorzędne. Wręcz przeciwnie – mogą one ujawniać relacje biznesowe, skalę działalności czy dynamikę transakcji. W przypadku systemu centralnego ich znaczenie rośnie jeszcze bardziej.

Dochodzi do tego kwestia jurysdykcji. Jeśli element infrastruktury znajduje się pod kontrolą podmiotu działającego w innym porządku prawnym, pojawiają się pytania o to, jakie przepisy mogą mieć zastosowanie wobec przetwarzanych danych i czy istnieją mechanizmy umożliwiające dostęp do nich na podstawie prawa państw trzecich.

Nie chodzi przy tym o ocenę konkretnych dostawców, lecz o sam model działania. Wprowadzenie pośredniego elementu infrastruktury oznacza powstanie dodatkowego punktu zależności – zarówno technologicznej, jak i operacyjnej. Ewentualne problemy po stronie dostawcy mogą bezpośrednio wpłynąć na funkcjonowanie całego systemu.

W efekcie KSeF przestaje być wyłącznie narzędziem podatkowym, a staje się częścią krytycznej infrastruktury państwa. W takim przypadku kluczowe znaczenie mają kwestie kontroli nad danymi, odporności systemu oraz realnej – a nie deklarowanej – suwerenności technologicznej.

W związku z powyższym Ministerstwo Finansów otrzymało następujące pytania:

1. Czy Ministerstwo Finansów potwierdza, że komunikacja pomiędzy podatnikami a interfejsami API Krajowego Systemu e-Faktur jest realizowana z wykorzystaniem zewnętrznej warstwy pośredniej typu WAF/CDN należącej do podmiotu trzeciego, a jeżeli tak – jaki jest dokładny zakres funkcji pełnionych przez ten podmiot w architekturze systemu KSeF?
2. Czy w aktualnej architekturze KSeF dochodzi do terminacji połączeń TLS poza infrastrukturą pozostającą pod bezpośrednią kontrolą Ministerstwa Finansów lub Krajowej Administracji Skarbowej, a jeżeli tak – w jakim miejscu następuje odszyfrowanie ruchu oraz jakie mechanizmy prawne i techniczne ograniczają dostęp podmiotu pośredniczącego do treści i metadanych komunikacji?
3. Czy Ministerstwo Finansów przeprowadziło analizę ryzyka związaną z możliwością uzyskania przez podmiot pośredniczący dostępu do tokenów autoryzacyjnych, identyfikatorów sesji oraz informacji o zakresie uprawnień użytkowników KSeF, a jeżeli tak – jakie zagrożenia zostały zidentyfikowane i jakie środki ograniczające to ryzyko zostały wdrożone?
4. Czy Ministerstwo Finansów uznaje metadane komunikacyjne generowane w toku korzystania z KSeF (w szczególności informacje o częstotliwości wystawiania faktur, relacjach pomiędzy podmiotami, wolumenach operacji oraz czasie ich realizacji) za dane wrażliwe z punktu widzenia interesów gospodarczych państwa, a jeżeli tak – w jaki sposób są one chronione przed analizą i profilowaniem przez podmioty trzecie?
5. Czy w ramach projektowania i wdrażania KSeF dokonano analizy skutków prawnych wynikających z potencjalnego podlegania infrastruktury pośredniczącej regulacjom prawa państw trzecich, w tym przepisom umożliwiającym dostęp organów publicznych tych państw do danych przetwarzanych przez podmioty prywatne, a jeżeli tak – jakie wnioski z tej analizy wynikają dla bezpieczeństwa danych polskich podatników?
6. Czy Ministerstwo Finansów może wskazać, jakie elementy infrastruktury komunikacyjnej KSeF są krytyczne z punktu widzenia ciągłości działania systemu oraz czy awaria, ograniczenie dostępności lub zakończenie współpracy z podmiotem pośredniczącym mogłoby skutkować czasową lub trwałą niedostępnością KSeF dla podatników?
7. Czy w architekturze KSeF przewidziano scenariusze awaryjne pozwalające na utrzymanie pełnej funkcjonalności systemu w przypadku niedostępności zewnętrznej warstwy pośredniej, a jeżeli tak – na czym one polegają i czy zostały one przetestowane w warunkach zbliżonych do rzeczywistych?
8. Czy Ministerstwo Finansów analizowało ryzyko długoterminowej zależności operacyjnej i technologicznej państwa od jednego dostawcy infrastruktury pośredniczącej w obszarze centralnego systemu fiskalnego, a jeżeli tak – czy rozważano alternatywne modele architektoniczne zapewniające większą kontrolę państwa nad komunikacją i przetwarzaniem danych?

Odpowiadając Ministerstwo Finansów wskazało, iż:

Ad 1 Czy Ministerstwo Finansów potwierdza, że komunikacja pomiędzy podatnikami a interfejsami API Krajowego Systemu e-Faktur jest realizowana z wykorzystaniem zewnętrznej warstwy pośredniej typu WAF/CDN należącej do podmiotu trzeciego, a jeżeli tak – jaki jest dokładny zakres funkcji pełnionych przez ten podmiot w architekturze systemu KSeF?

Ministerstwo Finansów informuje, że szczegółowe informacje dotyczące architektury technicznej, w tym stosowanych rozwiązań infrastrukturalnych, mechanizmów ochrony oraz sposobu realizacji komunikacji pomiędzy użytkownikami a interfejsami systemu KSeF, stanowią informacje wrażliwe z punktu widzenia bezpieczeństwa teleinformatycznego systemu. Ujawnienie tego rodzaju informacji mogłoby narazić system na zwiększone ryzyko wystąpienia zagrożeń bezpieczeństwa, w tym prób nieuprawnionego dostępu lub zakłócenia jego działania. Z tego względu informacje te nie mogą być udostępniane do publicznej wiadomości ani komentowane w szczegółowym zakresie.

Jednocześnie Ministerstwo Finansów zapewnia, że KSeF jest projektowany, wdrażany i utrzymywany z zachowaniem obowiązujących przepisów prawa, w tym regulacji dotyczących ochrony danych osobowych oraz bezpieczeństwa systemów teleinformatycznych, a także z zastosowaniem adekwatnych środków technicznych i organizacyjnych zapewniających poufność, integralność i dostępność przetwarzanych danych.

Ad 2 Czy w aktualnej architekturze KSeF dochodzi do terminacji połączeń TLS poza infrastrukturą pozostającą pod bezpośrednią kontrolą Ministerstwa Finansów lub Krajowej Administracji Skarbowej, a jeżeli tak – w jakim miejscu następuje odszyfrowanie ruchu oraz jakie mechanizmy prawne i techniczne ograniczają dostęp podmiotu pośredniczącego do treści i metadanych komunikacji?

Informujemy, że szczegółowe informacje dotyczące mechanizmów prawnych i technicznych sposobu realizacji komunikacji pomiędzy użytkownikami a interfejsami systemu KSeF, stanowią informacje wrażliwe z punktu widzenia bezpieczeństwa teleinformatycznego systemu.

Ad 3 Czy Ministerstwo Finansów przeprowadziło analizę ryzyka związaną z możliwością uzyskania przez podmiot pośredniczący dostępu do tokenów autoryzacyjnych, identyfikatorów sesji oraz informacji o zakresie uprawnień użytkowników KSeF, a jeżeli tak – jakie zagrożenia zostały zidentyfikowane i jakie środki ograniczające to ryzyko zostały wdrożone?

Ministerstwo Finansów podczas prac związanych z budową KSeF 2.0 przeprowadziło analizę ryzyka związaną z szeroko rozumianą kwestią dostępu do systemu. System został stworzony z uwzględnieniem najlepszych praktyk rynkowych, a dane przekazywane do KSeF są przechowywane w bezpiecznej infrastrukturze resortu finansów, spełniającej krajowe oraz branżowe standardy bezpieczeństwa. Dzięki temu dane są w pełni chronione przed dostępem osób nieuprawnionych oraz potencjalnymi zagrożeniami.

Ryzyka, które zostały zidentyfikowanie w toku prac, dotyczyły głównie kwestii przestrzegania odpowiednich zasad bezpieczeństwa przez użytkowników podczas pracy w systemie (posługiwania się np. tokenami, certyfikatami). Z tej przyczyny Ministerstwo Finansów wprowadziło mechanizm umożliwiający podatnikom szybkie unieważnienie tokenu i certyfikatu KSeF oraz w razie potrzeby odebranie nadanych uprawnień. Dodatkowo Ministerstwo Finansów szeroko komunikuje (w publikowanych materiałach i komunikatach) jak ważne jest przestrzeganie zasad bezpieczeństwa w posługiwaniu się tokenami i certyfikatami KSeF.

Ad 4, 5 Czy Ministerstwo Finansów uznaje metadane komunikacyjne generowane w toku korzystania z KSeF (w szczególności informacje o częstotliwości wystawiania faktur, relacjach pomiędzy podmiotami, wolumenach operacji oraz czasie ich realizacji) za dane wrażliwe z punktu widzenia interesów gospodarczych państwa, a jeżeli tak – w jaki sposób są one chronione przed analizą i profilowaniem przez podmioty trzecie?

Czy w ramach projektowania i wdrażania KSeF dokonano analizy skutków prawnych wynikających z potencjalnego podlegania infrastruktury pośredniczącej regulacjom prawa państw trzecich, w tym przepisom umożliwiającym dostęp organów publicznych tych państw do danych przetwarzanych przez podmioty prywatne, a jeżeli tak – jakie wnioski z tej analizy wynikają dla bezpieczeństwa danych polskich podatników?

Ministerstwo Finansów informuje, że dane znajdujące się w KSeF podlegają szczególnej ochronie zarówno prawnej jak i systemowej. Ministerstwo Finansów zwraca uwagę, że dane te są dostępne wyłącznie dla organów KAS (w ściśle uzasadnionych przypadkach i po uzyskaniu odpowiedniej akceptacji) oraz podmiotów wymienionych w przepisach ustawy Ordynacja podatkowa. Żadne nieupoważnione podmioty nie posiadają dostępu do danych w KSeF.

W Resorcie Finansów został wdrożony oraz jest stale monitorowany i usprawniany system zarządzania bezpieczeństwem informacji w oparciu normę PN-EN ISO/IEC 27001. Ministerstwo Finansów podkreśla, że bezpieczeństwo informacji, w tym informacji przetwarzanych we wszystkich systemach teleinformatycznych w Resorcie Finansów, odbywa się na podstawie obowiązujących przepisów prawa oraz najlepszych standardów bezpieczeństwa.

Należy również zwrócić uwagę, że dane w systemie KSeF stanowią tajemnicę Fskarbową i każdy pracownik w KAS jest zobowiązany do jej przestrzegania zgodnie z obowiązującymi przepisami prawa. Wypracowane przez KAS procedury związane z uzyskaniem dostępu do faktur ustrukturyzowanych, poparte regulacjami dotyczącymi zachowania tajemnicy skarbowej oraz wdrożonymi politykami, odpowiednio zapewniają więc ochronę danych zgromadzonych w KSeF.

Funkcjonujące procedury stanowią również wynik analiz związanych z kwestią dostępu do danych w KSeF oraz zakresu ich przetwarzania. Wyrazem tego jest także wykonana przez Resort ocena aktu prawnego (do projektu ustawy nowelizującej KSeF w 2025 r.), która kompleksowo odnosi się kwestii zgodności z zasadami ochrony danych osobowych oraz gromadzenia i przetwarzania danych, które są zawarte w KSeF.

Ad 6, 7 Czy Ministerstwo Finansów może wskazać, jakie elementy infrastruktury komunikacyjnej KSeF są krytyczne z punktu widzenia ciągłości działania systemu oraz czy awaria, ograniczenie dostępności lub zakończenie współpracy z podmiotem pośredniczącym mogłoby skutkować czasową lub trwałą niedostępnością KSeF dla podatników?

Czy w architekturze KSeF przewidziano scenariusze awaryjne pozwalające na utrzymanie pełnej funkcjonalności systemu w przypadku niedostępności zewnętrznej warstwy pośredniej, a jeżeli tak – na czym one polegają i czy zostały one przetestowane w warunkach zbliżonych do rzeczywistych?

Ministerstwo Finansów informuje, że KSeF 2.0 został zaprojektowany i jest utrzymywany w architekturze zapewniającej wysoką dostępność oraz ciągłość działania. Rozwiązania zastosowane w KSeF uwzględniają redundancję kluczowych komponentów i ich zastępowalność w razie awarii. Wdrożone mechanizmy monitorowania oraz procedury zapewniają odporność na zdarzenia nadzwyczajne zgodnie z obowiązującymi standardami dla systemów tej klasy.

W KSeF przewidziano odpowiednie procedury operacyjne i awaryjne, obejmujące zarówno obsługę KSeF, jak i procesy fakturowania w trybie offline.

Tryb offline sprowadza się do wystawienia faktury poza KSeF i dosłaniu jej później do systemu w określonym ustawowo terminie.

Tryb offline od strony biznesowej i prawnej oznacza kilka możliwych procedur:

• Tryb offline24 (art. 106nda ustawy o VAT) – decyzja o jego korzystaniu należy do podatnika, może być ona podyktowana np. problemami z dostępem do sieci Internet,
• Tryb offline – niedostępność KSeF (art. 106nh ustawy o VAT)– stosowanie tego trybu dotyczy sytuacji, gdy została ogłoszona niedostępność systemu (np. prace serwisowe),
• Tryb na wypadek awarii KSeF (art. 106nf ustawy o VAT) – stosowanie tego trybu dotyczy przypadku, gdy MF ogłosiło trwającą awarię systemu.

W zależności od ww. zaistniałych przesłanek, pomimo stosowania od strony technicznej wysyłki w trybie offline mogą wystąpić różne terminy późniejszego dosłania faktury do systemu czy odmienne reguły ich udostępnienia nabywcy (np. w trybie offline 24 jest to maksymalnie jeden dzień roboczy na dosłanie faktury do KSeF, a w przypadku awarii KSeF jest to 7 dni roboczych od dnia zakończenia awarii).

Przepisy przewidują także tzw. awarię całkowitą KSeF (art. 106ng ustawy o VAT), która będzie ogłaszana w środkach społecznego przekazu. Dotyczyć ona będzie sytuacji nadzwyczajnych tj. zagrożenie kraju lub jego infrastruktury. W takim przypadku faktury będą wystawiane w postaci papierowej lub elektronicznie (na dotychczasowych zasadach).

Ad 8 Czy Ministerstwo Finansów analizowało ryzyko długoterminowej zależności operacyjnej i technologicznej państwa od jednego dostawcy infrastruktury pośredniczącej w obszarze centralnego systemu fiskalnego, a jeżeli tak – czy rozważano alternatywne modele architektoniczne zapewniające większą kontrolę państwa nad komunikacją i przetwarzaniem danych?

Na etapie projektowana architektury systemu analizowane były różne możliwości i scenariusze. Kluczowe znaczenie podczas prac nad KSeF 2.0 miały kwestie zgodności z obowiązującymi wymogami prawa, bezpieczeństwa, komunikacji oraz wydajności. Ministerstwo Finansów podkreśla, że stale monitoruje poprawność działania systemu, w szczególności bezpieczeństwo komunikacji z systemem oraz przetwarzanych w nim danych.