MCU w KSeF 2.0: uprawnienia, certyfikaty i checklista dla biura rachunkowego

Moduł Certyfikatów i Uprawnień (MCU) to centralne miejsce w KSeF 2.0, w którym zarządzasz certyfikatami, tokenami i dostępem osób do firmy. Bez poprawnej konfiguracji MCU nie wystawisz ani nie odbierzesz faktury w produkcji, nawet jeśli program księgowy jest gotowy. Od lutego 2026 MCU jest zintegrowany z Aplikacją Podatnika KSeF. Poniżej checklista dla firmy i biura rachunkowego.

Dla biur: po 1 lutego 2026 uprawnienia nadane w starym ZAW-FA nie przeniosły się automatycznie. Trzeba ponownie nadać role w MCU dla każdego klienta.

Co robi MCU w skrócie

wnioski o certyfikat KSeF (uwierzytelnienie do API i trybów offline),
nadawanie uprawnień właścicielowi, pracownikowi, biuru rachunkowemu,
zarządzanie tokenami sesji i integracjami z oprogramowaniem,
podgląd historii operacji na uprawnieniach.

Role, które musisz rozróżnić

W praktyce najczęściej spotkasz:

Właściciel / administrator – pełny dostęp, w tym MCU i nadawanie uprawnień innym.
Osoba wystawiająca faktury – wysyłka do KSeF, bez prawa zmiany struktury firmy w MCU.
Osoba odbierająca faktury – pobieranie faktur kosztowych (ważne już od 1.02.2026).
Biuro rachunkowe – zestaw uprawnień do obsługi wielu NIP-ów; wymaga osobnej procedury dla każdego klienta.

Zaloguj się do MCU

Wejdź na ksef.podatki.gov.pl, wybierz logowanie przez login.gov.pl (profil zaufany, bankowość lub mObywatel). Po wejściu w Aplikację Podatnika przejdź do sekcji certyfikatów i uprawnień.

Wystaw certyfikat KSeF

Wniosek o certyfikat wymaga podpisu kwalifikowanego, pieczęci kwalifikowanej lub innej metody wskazanej w komunikacie MCU. Tokenem samego wniosku nie uwierzytelnisz się. Zapisz pliki .crt i procedurę odtwarzania w bezpiecznym miejscu (nie na dysku współdzielonym z całym biurem bez szyfrowania).

Nadaj minimalne uprawnienia

Zasada najmniejszych uprawnień: księgowa nie musi być administratorem MCU, jeśli tylko pobiera faktury i wysyła deklaracje. Osobna rola dla integracji API (programista / ERP).

Powtórz dla każdego klienta (biuro)

Zbierz od klienta: pełnomocnictwo, potwierdzenie nadania uprawnień w MCU, plik certyfikatu jeśli integracja wymaga certyfikatu po stronie biura. Prowadź tabelę NIP → data nadania → data wygaśnięcia certyfikatu.

Najczęstsze błędy po wdrożeniu

Brak uprawnień po migracji z ZAW-FA – objaw: 401 lub brak widocznych faktur. Rozwiązanie: ponowne nadanie w MCU.
Wygasły certyfikat – integracja ERP przestaje działać w nocy. Włącz przypomnienia 30 i 7 dni przed końcem ważności.
Wnioskowanie o certyfikat tokenem – MCU odrzuca; użyj podpisu kwalifikowanego zgodnie z komunikatem systemu.
Jedno konto dla całego biura – utrudnia audyt. Lepiej osobne uprawnienia per pracownik z logiem w MCU.

MCU a tryb offline i awaryjny

Certyfikat KSeF jest potrzebny m.in. do trybu offline24 i procedury awaryjnej (QR na fakturze). Jeśli certyfikat jest nieaktualny, możesz wystawić fakturę „na papierze”, ale zsynchronizacja z KSeF po powrocie systemu się nie uda. Zobacz też: KSeF tryb offline i procedura awaryjna 2026.

Checklista MCU na jednej stronie

☐ Certyfikat KSeF ważny i zbackupowany
☐ Role przypisane: wystawianie / odbiór / admin
☐ Biuro ma uprawnienia do każdego obsługiwanego NIP
☐ ERP przetestowany na fakturze testowej FA(3)
☐ Procedura przy 401/403 opisana dla zespołu

Narzędzia NaprawKSeF po konfiguracji MCU

Gdy uprawnienia działają, kolejny krok to jakość XML. Walidator KSeF wychwyci błędy schematu FA(3) przed wysyłką. Przy korektach użyj Generatora Korekt.

→ KSeF dla biur rachunkowych

Treść ma charakter informacyjny. Szczegóły techniczne API i MCU publikuje Ministerstwo Finansów na ksef.podatki.gov.pl.