KSeF to system szpiegowski. Przez bramkę bezpieczeństwa WAF tego systemu, która terminuje szyfrowany strumień HTTPS, przepływają jawne metadane o fakturach w formacie JSON, między innymi takie jak: NIP sprzedawcy i nabywcy, nazwy podmiotów, kwoty transakcji netto, VAT i brutto, waluta, numer faktury, daty operacyjne oraz typ dokumentu.

Pełna treść faktury w formacie XML jest dodatkowo szyfrowana aplikacyjnie od podatnika do Ministerstwa Finansów, więc tych danych bramka WAF nie widzi, ale w drodze powrotnej faktury przechodzą przez bramkę WAF niezaszyfrowane aplikacyjnie, w sposób jawny dla jej operatora.

To wprost wynika z dokumentacji API 2.0 systemu KSeF i nie potrzeba robić żadnych audytów, by to wykazać.

Bramkę WAF polskiego KSeF obsługuje amerykańska firma Imperva należąca do francuskiego koncernu zbrojeniowo-wywiadowczego Thales, w którym państwo francuskie jest jednym z głównych akcjonariuszy. Imperva wykorzystuje również infrastrukturę analityczną zlokalizowaną w Izraelu.

Thales rutynowo loguje i przetwarza na swoich serwerach dane oraz metadane związane z ruchem przechodzącym przez jego infrastrukturę. Przetwarzanie danych o wszystkich polskich fakturach stanowiłoby ułamek promila mocy obliczeniowej takiego koncernu.

Polska jako jedyna na świecie oddała na tacy swoją suwerenność cyfrową obcym wywiadom. Inne państwa Europy i świata — niezależnie od wielkości, budżetu i poziomu rozwoju administracji — zachowały krajową jurysdykcję nad warstwą brzegową albo korzystają z infrastruktury państwowej.

Rząd z firmą Imperva/Thales ma podpisaną umowę powierzenia przetwarzania danych oraz rygorystyczne klauzule poufności. Jednak papierowe umowy z zagranicznym koncernem zbrojeniowo-wywiadowczym nie stanowią technicznego zabezpieczenia przed automatycznym logowaniem metadanych i niejawnym transferem danych.

CLOUD Act i jurysdykcja USA mogą umożliwiać amerykańskim organom dostęp do danych znajdujących się pod kontrolą amerykańskich podmiotów, niezależnie od miejsca ich fizycznego przechowywania, w tym Impervy.

Prawo francuskie — w szczególności Loi de programmation militaire oraz przepisy dotyczące dostępu służb do danych pozostających pod kontrolą francuskich przedsiębiorstw — daje organom Republiki Francuskiej szerokie uprawnienia wobec swoich firm, w tym wobec Thalesa.

Imperva/Thales ma infrastrukturę analityczną w Izraelu. Nie ma możliwości, by wywiad izraelski nie skorzystał z takiej okazji. Przypominam, że jest to wywiad, który był zdolny do tajnego wprowadzenia mini ładunków wybuchowych do pagerów i mikrofalówek organizacji Hezbollah i doprowadził do ich wybuchów w jednym momencie w 2024 roku, rozrywając dłonie, oczy i jaja libańskim i syryjskim chirurgom.

Wszystko to są informacje jawne, łatwe do zdobycia i sprawdzenia. Udowodniłem to niezbicie w licznych audytach i artykułach, które można wyszukać po słowach kluczowych: GPS65 KSeF.

Za wdrożenie tego systemu odpowiadają konkretni ludzie — należący do obu zwalczających się plemion rządzących Polską od lat.

Oś odpowiedzialności widoczna w dokumentach państwowych

Dobrowolny KSeF został wprowadzony ustawą z 29 października 2021 r. i zaczął działać 1 stycznia 2022 r. Ustawa z 16 czerwca 2023 r. wprowadziła model obowiązkowy, pierwotnie od 1 lipca 2024 r. Po ujawnieniu problemów projektowych termin został odroczony ustawą z 9 maja 2024 r.

Następnie ustawa z 5 sierpnia 2025 r. wprowadziła etapowanie obowiązku: od 1 lutego 2026 r. dla przedsiębiorców, których sprzedaż wraz z podatkiem przekroczyła w 2024 r. 200 mln zł, oraz od 1 kwietnia 2026 r. dla zasadniczej części pozostałych przedsiębiorców. Podatnicy, których miesięczna sprzedaż udokumentowana fakturami nie przekracza 10 tys. zł, mogą wystawiać faktury poza KSeF do końca 2026 r.

Niemniej od samego początku bramka bezpieczeństwa WAF została powierzona firmie Imperva.

Odpowiedzialności za KSeF nie można jednak sprowadzić do jednej decyzji ani jednej osoby. Trzeba odróżnić:

• odpowiedzialność polityczną za uruchomienie i kontynuowanie projektu;
• odpowiedzialność legislacyjną za przygotowanie ustaw;
• odpowiedzialność zarządczą i projektową po stronie Ministerstwa Finansów oraz Krajowej Administracji Skarbowej;
• odpowiedzialność za nadzór nad cyberbezpieczeństwem państwa, w tym infrastrukturą wykorzystywaną przez systemy skarbowe;
• odpowiedzialność wykonawczą za budowę i utrzymanie oprogramowania oraz infrastruktury technicznej;
• odpowiedzialność za konkretne decyzje architektoniczne, takie jak wybór operatora WAF, miejsca terminowania TLS i zakres logowania ruchu.

Najbardziej jednoznaczne personalne ślady odpowiedzialności operacyjnej znajdują się w stenogramie posiedzenia senackiej Komisji Budżetu i Finansów Publicznych z 21 maja 2024 r. Jarosław Neneman reprezentował tam rząd, Tomasz Tratkiewicz występował jako dyrektor Departamentu Podatku od Towarów i Usług, a Krzysztof Rogowski został oficjalnie przedstawiony jako „Kierownik Projektu Krajowy System e-Faktur”. Neneman stwierdził nawet, że prawdopodobnie nikt nie wie o projekcie więcej niż Rogowski. Tratkiewicz potwierdził natomiast, że system przygotowywała spółka Aplikacje Krytyczne.

Aplikacje Krytyczne są jednoosobową spółką Skarbu Państwa. Prawa właścicielskie wykonuje minister właściwy do spraw finansów publicznych. Oznacza to, że spółka nie była niezależnym, zewnętrznym wykonawcą, lecz technicznym ramieniem państwa, podlegającym nadzorowi właścicielskiemu ministra finansów.

Nie znalazłem natomiast w publicznie dostępnych dokumentach nazwiska osoby, która osobiście podpisała decyzję o zastosowaniu Impervy, zatwierdziła architekturę terminowania TLS albo zaakceptowała konkretną konfigurację WAF. Aby tę osobę wskazać, należałoby uzyskać umowy, dokumentację przetargową, decyzje architektoniczne, protokoły komitetów sterujących i matryce akceptacji bezpieczeństwa. To wszystko państwo trzyma w tajemnicy.

Główni decydenci polityczni

1. Mateusz Morawiecki

Czołowy polityk Prawa i Sprawiedliwości. Był premierem od 11 grudnia 2017 r. do 13 grudnia 2023 r.

To za rządów kierowanego przez niego obozu uchwalono zarówno przepisy uruchamiające dobrowolny KSeF, jak i ustawę wprowadzającą jego obowiązkową wersję. Ponosi zatem polityczną odpowiedzialność za przyjęcie kierunku polegającego na centralizacji informacji o transakcjach gospodarczych w jednym systemie państwowym.

2. Tadeusz Kościński

Urzędnik formalnie bezpartyjny, powołany na stanowisko ministra z rekomendacji obozu PiS. Był bliskim współpracownikiem Mateusza Morawieckiego jeszcze z czasów sektora bankowego.

Tadeusz Kościński był ministrem finansów od 15 listopada 2019 r. do 9 lutego 2022 r. Dobrowolny KSeF został uchwalony i uruchomiony podczas jego kadencji. Jego resort odpowiadał za przygotowanie pierwszych ram legislacyjnych i organizacyjnych oraz uruchomienie systemu 1 stycznia 2022 r.

Kościński ponosi ministerialną odpowiedzialność za pierwszy produkcyjny etap przedsięwzięcia.

3. Magdalena Rzeczkowska

Formalnie bezpartyjna urzędniczka i generał Służby Celno-Skarbowej. Nominację na szefową KAS, a następnie na ministra finansów otrzymała w rządzie Mateusza Morawieckiego.

Była ministrem finansów od 26 kwietnia 2022 r. do 27 listopada 2023 r. W czasie jej urzędowania przygotowano i przeprowadzono przez parlament ustawę z 16 czerwca 2023 r., ustanawiającą powszechny obowiązek korzystania z KSeF. Prezydent podpisał ją 4 sierpnia 2023 r.

Rzeczkowska ponosi bezpośrednią odpowiedzialność polityczną i ministerialną za przekształcenie dobrowolnego systemu w obowiązkową infrastrukturę całej gospodarki.

4. Andrzej Domański

Polityk Platformy Obywatelskiej, poseł wybrany z list Koalicji Obywatelskiej oraz jeden z głównych autorów programu gospodarczego obecnego rządu.

Andrzej Domański był ministrem finansów od 13 grudnia 2023 r. do 24 lipca 2025 r., a następnie objął urząd ministra finansów i gospodarki.

To on 19 stycznia 2024 r. zarządził zewnętrzny audyt KSeF. Wyniki ogłoszone 26 kwietnia 2024 r. wykazały błędy w zarządzaniu projektem oraz potrzebę zasadniczej przebudowy architektury. Domański nie zrezygnował jednak z samej koncepcji obowiązkowego KSeF ani z zagranicznego operatora warstwy brzegowej. Pod jego kierownictwem system został przeprojektowany i uruchomiony w 2026 r.

Ponosi więc pełną odpowiedzialność polityczną za wersję KSeF wdrożoną przez obecny rząd.

5. Andrzej Duda

Prezydent RP wywodzący się politycznie z PiS.

Andrzej Duda podpisał 4 sierpnia 2023 r. ustawę wprowadzającą obowiązkowy KSeF, a 5 czerwca 2024 r. ustawę przesuwającą termin jego wejścia w życie.

Nie skorzystał ani z możliwości skierowania tych ustaw do kontroli konstytucyjnej, ani z prawa weta. Ponosi zatem formalną odpowiedzialność konstytucyjną za dopuszczenie obu aktów do wejścia w życie. Nie odpowiada jednak za techniczną architekturę systemu, chyba że zostałyby ujawnione dokumenty wskazujące na ingerencję Kancelarii Prezydenta w ten obszar.

6. Karol Nawrocki

Prezydent wywodzący się z obozu prawicowego.

To on podpisał 27 sierpnia 2025 r. ustawę z 5 sierpnia 2025 r., która ustanowiła obowiązujące terminy etapowego wdrożenia KSeF od lutego i kwietnia 2026 r.

Jego odpowiedzialność, podobnie jak odpowiedzialność Andrzeja Dudy, dotyczy sfinalizowania procesu legislacyjnego, a nie technicznego wykonania systemu.

7. Donald Tusk

Przewodniczący Platformy Obywatelskiej i premier od 13 grudnia 2023 r.

Jego rząd odziedziczył projekt w stanie, który po audycie sam określił jako krytycznie wadliwy. Mimo tego zdecydował się nie porzucać obowiązkowego KSeF. Projekt został przebudowany, przełożony i uruchomiony pod politycznym nadzorem gabinetu Tuska.

Tusk ponosi polityczną odpowiedzialność za kontynuowanie przedsięwzięcia oraz za architekturę KSeF obowiązującą od 2026 r.

Wiceministrowie, legislatorzy i główni decydenci operacyjni

8. Jan Sarnowski

Urzędnik i doradca podatkowy związany z rządem PiS. Był podsekretarzem stanu w Ministerstwie Finansów w latach 2019–2022.

To jeden z najważniejszych twórców pierwszego KSeF. Publicznie promował system, prezentował jego założenia, zapowiadał przejście od modelu dobrowolnego do obowiązkowego i odpowiadał za podatkową oraz legislacyjną stronę projektu.

Sarnowski był politycznym i legislacyjnym ojcem założycielem KSeF. To za jego kadencji przeforsowano koncepcję centralnego systemu gromadzącego faktury polskiej gospodarki. Jego obecne biogramy zawodowe również zaliczają KSeF do systemów, za których wdrożenie odpowiadał.

9. Artur Soboń

Polityk PiS i sekretarz stanu w Ministerstwie Finansów w latach 2022–2023.

Był politycznym opiekunem projektu na etapie przygotowywania ustawy o obowiązkowym KSeF. Reprezentował rząd w pracach parlamentarnych, prowadził dialog z organizacjami przedsiębiorców i publicznie przedstawiał harmonogram przejścia z systemu dobrowolnego do obowiązkowego.

W dokumentach legislacyjnych był wskazywany jako minister odpowiedzialny za projekt przepisów wykonawczych związanych z KSeF.

10. Paweł Selera

Dyrektor Departamentu Podatku od Towarów i Usług w Ministerstwie Finansów w latach 2019–2023, czyli za rządów PiS.

Selera prowadził i nadzorował prace legislacyjne związane z KSeF, występował w Senacie jako przedstawiciel resortu i wyjaśniał podmiotowy oraz przedmiotowy zakres obowiązkowego systemu.

Już podczas prac nad pierwszą wersją KSeF przedstawiał go jako system budowany przez Ministerstwo Finansów, który ma być centralnym i wyłącznym państwowym mechanizmem wystawiania faktur ustrukturyzowanych.

Ponosi zatem bezpośrednią odpowiedzialność legislacyjną za konstrukcję prawną KSeF 1.0 i za przygotowanie modelu obowiązkowego.

11. Bartosz Zbaraszczuk

Szef Krajowej Administracji Skarbowej w latach 2022–2023, powołany przez rząd PiS.

Jako szef KAS kierował aparatem państwowym, dla którego KSeF był budowany. Uczestniczył między innymi w konferencji uzgodnieniowej 16 lutego 2023 r., podczas której Ministerstwo Finansów prezentowało docelowy model obowiązkowego systemu.

Ponosi odpowiedzialność zarządczą za przygotowanie KAS do odbioru, analizowania i wykorzystywania danych pochodzących z KSeF.

12. Mariusz Gojny

Zastępca szefa KAS w okresie przygotowywania obowiązkowego KSeF.

Razem z Bartoszem Zbaraszczukiem uczestniczył w konferencji uzgodnieniowej z 16 lutego 2023 r., podczas której przedstawiano przedsiębiorcom i organizacjom branżowym docelowy model systemu.

Jego rola była niższa niż rola szefa KAS, ministrów czy kierownika projektu, ale należał do ścisłego kierownictwa administracji przygotowującej się do wykorzystywania danych KSeF.

13. Marcin Łoboda

Wieloletni urzędnik administracji skarbowej. W grudniu 2023 r. został sekretarzem stanu w Ministerstwie Finansów i szefem KAS z nadania Koalicji Obywatelskiej.

Uczestniczył w przedstawieniu wyników audytu KSeF 26 kwietnia 2024 r. Odpowiadał za organizację aparatu skarbowego, który korzysta z danych systemu, oraz za operacyjne przygotowanie administracji do wdrożenia KSeF 2.0.

Jego odpowiedzialność ma charakter zarządczy i operacyjny.

14. Zbigniew Stawicki

Podsekretarz stanu w Ministerstwie Finansów i zastępca szefa KAS od grudnia 2023 r.

W styczniu 2026 r., wspólnie z dyrektorem CIRF Romanem Łożyńskim, prowadził oficjalne briefingi dotyczące bezpieczeństwa KSeF. Resort powierzył mu rolę publicznego obrońcy systemu wobec zarzutów dotyczących inwigilacji, dostępu do danych i bezpieczeństwa infrastruktury.

Ponosi zatem polityczno-operacyjną odpowiedzialność za wdrożenie KSeF 2.0, sposób wykorzystywania jego danych przez KAS oraz publiczne zapewnienia o bezpieczeństwie systemu.

15. Jarosław Neneman

Ekonomista i wieloletni urzędnik, formalnie bezpartyjny. W grudniu 2023 r. ponownie został podsekretarzem stanu w Ministerstwie Finansów z puli kadrowej i z rekomendacji partii Polska 2050 (ugrupowanie Szymona Hołowni). Wcześniej współpracował m.in. z rządami SLD oraz koalicją PO-PSL (2014-2015).

W maju 2024 r. reprezentował rząd podczas prac senackich nad ustawą odraczającą KSeF. Brał udział w rozmowach z przedsiębiorcami i publicznie przedstawiał stanowisko resortu. Odpowiada jako jeden z głównych polityczno-legislacyjnych przedstawicieli obecnego Ministerstwa Finansów w sprawach KSeF.

16. Tomasz Tratkiewicz

Wieloletni urzędnik Ministerstwa Finansów i obecny dyrektor Departamentu Podatku od Towarów i Usług. Reprezentuje rdzeń urzędniczy resortu — utrzymuje swoje dyrektorskie stanowiska niezależnie od tego, czy przy władzy jest PiS, czy KO.

Departament ten odpowiada za politykę VAT, a więc również za legislacyjną konstrukcję KSeF. Tratkiewicz reprezentował resort w Senacie i potwierdził, że system przygotowywała spółka Aplikacje Krytyczne.

Ponosi odpowiedzialność za regulacyjną i podatkową stronę przedsięwzięcia w okresie przebudowy i uruchomienia KSeF 2.0.

17. Krzysztof Rogowski

Urzędnik KAS, którego formalny związek z prowadzeniem projektu został udokumentowany najmocniej. Karierę buduje wyłącznie wewnątrz struktur celno-skarbowych, bez jawnych powiązań z konkretnymi ugrupowaniami politycznymi.

W Senacie występował oficjalnie jako „Kierownik Projektu Krajowy System e-Faktur”. Obecnie kieruje Departamentem Analiz KAS i nadzoruje kluczowe projekty związane z JPK_VAT, KSeF oraz JPK w podatkach dochodowych.

To najważniejsza wskazana z nazwiska osoba po stronie faktycznego zarządzania projektem. Jeżeli ktoś zna dokumentację architektoniczną, uzgodnienia między MF, KAS, CIRF i Aplikacjami Krytycznymi oraz personalną historię wyboru rozwiązań technicznych, to właśnie Rogowski powinien być jedną z pierwszych osób pytanych.

Dyrekcja generalna i ciągłość instytucjonalna

18. Marta Niżałowska-Pactwa

Urzędniczka bezpartyjna. W latach 2021–2023 była zastępcą dyrektora CIRF, a od grudnia 2023 r. pełniła funkcję dyrektora generalnego Ministerstwa Finansów. Swoje najważniejsze awanse zawdzięcza administracji z nadania PiS. Posiadała jednak na tyle silną pozycję, że nowy rząd Koalicji Obywatelskiej pozostawił ją na stanowisku dyrektora generalnego aż do początku 2026 roku.

W CIRF odpowiadała głównie za finanse, administrację, logistykę, kadry i zamówienia, a nie za projektowanie architektury sieciowej. Jako dyrektor generalny MF odpowiadała natomiast za zasoby, organizację i ciągłość administracyjną resortu.

Nie należy przedstawiać jej jako technicznej architektki KSeF ani osoby, która osobiście wybrała Impervę. Ponosi jednak odpowiedzialność administracyjną za warunki organizacyjne i zakupowe, w których projekt był prowadzony.

Architekci IT i spółka Aplikacje Krytyczne

Aplikacje Krytyczne zostały utworzone w 2016 r. jako jednoosobowa spółka Skarbu Państwa przeznaczona do budowania najważniejszych systemów informatycznych administracji skarbowej. Spółka odpowiadała za wytworzenie oprogramowania KSeF i sama przedstawia system jako jeden ze swoich głównych produktów.

19. Przemysław Koch

Menedżer bezpartyjny, jednak w latach 2017-2022 ściśle związany z agendą cyfryzacyjną rządu PiS. Jego kluczowe stanowiska państwowe (pełnomocnik ministra, dyrektor COI, wiceprezes AK) pokrywały się z okresem rządów Mateusza Morawieckiego.

Od 2017 r. nadzorował organizację informatyczną resortu obejmującą około 1800 pracowników. Był również wiceprezesem Aplikacji Krytycznych od 6 listopada 2017 r. do 3 września 2021 r.

Odpowiadał za stworzenie organizacyjnych i informatycznych fundamentów, na których później zbudowano KSeF. Odszedł jednak z Aplikacji Krytycznych jeszcze przed uchwaleniem ustawy z 29 października 2021 r., dlatego nie ma podstaw, aby przypisywać mu samodzielną odpowiedzialność za ostateczną architekturę produkcyjnego KSeF lub wybór Impervy.

20. Maciej Wardaszko

Był prezesem Aplikacji Krytycznych od 30 czerwca 2018 r. Kierował spółką podczas projektowania, budowania, testowania i produkcyjnego uruchamiania KSeF 1.0.

To za jego kadencji powstała pierwotna wersja systemu, która zaczęła działać 1 stycznia 2022 r., a następnie była przygotowywana do obowiązkowego wdrożenia. Wardaszko publicznie omawiał również techniczną architekturę i zasady działania KSeF.

Ponosi zatem bezpośrednią odpowiedzialność zarządczą za działalność technicznego wykonawcy pierwszej wersji systemu. Nie ma jednak publicznego dokumentu wykazującego, że osobiście zdecydował o zastosowaniu Impervy albo zatwierdził terminowanie TLS na jej infrastrukturze. Jednak musiał o tym wiedzieć i to zaakceptować.

21. Piotr Patroński

Przez krótki okres jesienią 2024 r. reprezentował zarząd Aplikacji Krytycznych, pomiędzy wieloletnią kadencją Macieja Wardaszki a powołaniem nowego kierownictwa spółki.

Jego kadencja była zbyt krótka, aby przedstawiać go jako głównego twórcę KSeF 1.0 lub KSeF 2.0. Należy go jednak odnotować dla zachowania pełnej ciągłości odpowiedzialności zarządczej.

22. Sebastian Lasek

Ekspert i menedżer IT. Pełnił funkcję prezesa Aplikacji Krytycznych w kluczowym okresie budowy KSeF 2.0 oraz przygotowywania systemu do uruchomienia z nominacji rządu Koalicji Obywatelskiej.

Występował publicznie jako prezes spółki odpowiedzialnej za najważniejsze projekty Ministerstwa Finansów, wśród których wymieniał KSeF. Reprezentował wykonawcę systemu również podczas prac parlamentarnych na początku 2026 r.

Ponosi bezpośrednią odpowiedzialność zarządczą za przebudowę i techniczne przygotowanie KSeF 2.0.

23. Robert Woliński

Wiceprezes Aplikacji Krytycznych od listopada 2024 r. Menedżer z doświadczeniem w kierowaniu zespołami deweloperskimi między innymi w Poczcie Polskiej i Asseco Poland.

Ponosi odpowiedzialność zarządczą za techniczne wykonanie przebudowanego systemu KSeF 2.0 oraz za działalność spółki w okresie bezpośrednio poprzedzającym uruchomienie systemu.

24. Agata Bona

Członkini zarządu Aplikacji Krytycznych od końca 2024 r.

Jej publicznie opisywany zakres aktywności wiąże się przede wszystkim ze strategią, innowacjami, komunikacją i wdrażaniem rozwiązań AI, a nie bezpośrednio z architekturą KSeF. Jako członkini zarządu ponosi jednak formalną współodpowiedzialność za działalność spółki w okresie budowy i uruchomienia KSeF 2.0. Wie na pewno o Impervie.

25. Grzegorz Zalewski

Technokrata IT, bezpartyjny. Cieszy się zaufaniem obecnego kierownictwa MF (rząd KO), stanowiąc klasyczny przykład państwowego inżyniera, który nie angażuje się w politykę.

Objął kierownictwo już po uruchomieniu najważniejszego etapu obowiązkowego KSeF. Odpowiada przede wszystkim za dalsze utrzymanie, rozwój, poprawki i stabilizację działającego systemu, a nie za jego pierwotną architekturę.

Infrastruktura techniczna: Centrum Informatyki Resortu Finansów

O ile Aplikacje Krytyczne odpowiadały za wytworzenie kodu, o tyle Centrum Informatyki Resortu Finansów odpowiada za utrzymanie najważniejszych systemów IT resortu, centra przetwarzania danych, sieci, usługi infrastrukturalne oraz bezpieczeństwo eksploatacyjne.

To właśnie w CIRF należy szukać osób odpowiedzialnych za techniczny styk systemów Ministerstwa Finansów z internetem, obsługę ruchu, infrastrukturę sieciową i usługi bezpieczeństwa.

Nie znalazłem jednak publicznego dokumentu pozwalającego stwierdzić, że konkretny dyrektor CIRF osobiście podpisał zakup Impervy albo zatwierdził architekturę terminowania TLS.

26. Hubert Gniadowicz

Dyrektor CIRF od lipca 2022 r. do stycznia 2024 r.

Kierował jednostką utrzymującą kluczowe i krytyczne systemy resortu finansów w okresie działania KSeF 1.0 i przygotowywania go do obowiązkowego wdrożenia. Sam CIRF informował w tym okresie, że dalszy rozwój infrastruktury ma umożliwiać wykorzystanie potencjału KSeF, który miał stać się systemem obligatoryjnym.

Gniadowicz ponosi zarządczą odpowiedzialność za infrastrukturę i eksploatację KSeF w tym okresie. Nie ma natomiast publicznego dowodu, że osobiście wybrał Impervę.

27. Roman Łożyński

Obecny dyrektor Centrum Informatyki Resortu Finansów.

Kierował CIRF podczas budowy, testów i uruchamiania KSeF 2.0. W styczniu 2026 r. został skierowany przez Ministerstwo Finansów do publicznego przedstawienia stanowiska resortu w sprawie bezpieczeństwa systemu.

Łożyński oświadczył, że tworzenie i testowanie KSeF odbywało się zgodnie z praktykami i standardami cyberbezpieczeństwa. Tym samym osobiście firmował zapewnienia dotyczące technicznego bezpieczeństwa KSeF 2.0.

Jego odpowiedzialność za infrastrukturę końcowej wersji systemu jest bezpośrednia i znacznie lepiej udokumentowana niż domniemana odpowiedzialność kierownictwa Centralnego Ośrodka Informatyki.

28. Piotr Matyjasik

Zastępca dyrektora CIRF odpowiedzialny za eksploatację i usługi informatyczne.

Jego pion odpowiada za bieżące działanie usług resortu finansów, dlatego ponosi funkcjonalną odpowiedzialność za eksploatację KSeF. Nie ma jednak publicznego dokumentu pozwalającego przypisać mu osobisty udział w wyborze operatora WAF.

29. Wojciech Stefanowicz

Zastępca dyrektora CIRF odpowiedzialny za infrastrukturę, centra danych, sieci i cyberbezpieczeństwo.

Spośród obecnych zastępców dyrektora CIRF jego zakres obowiązków jest najbardziej bezpośrednio związany z warstwą sieciową, bezpieczeństwem infrastruktury i ruchem przechodzącym przez systemy resortu.

Z tego powodu powinien znaleźć się na liście osób, do których należy kierować pytania o WAF, terminowanie TLS, logowanie ruchu i granice dostępu operatora zewnętrznego.

Odpowiedzialność nadzorcza — słabiej udokumentowana

30. Krzysztof Gawkowski

Wicepremier i minister cyfryzacji w rządzie Donalda Tuska.

Jego resort odpowiada za krajową politykę cyberbezpieczeństwa, lecz Ministerstwo Cyfryzacji ani podległy mu Centralny Ośrodek Informatyki nie są wykonawcami KSeF. Nie znalazłem dokumentu wskazującego, że Gawkowski opiniował wybór Impervy albo zatwierdzał architekturę bezpieczeństwa systemu.

Jego odpowiedzialność jest więc polityczna i ogólnonadzorcza, a nie bezpośrednio projektowa.

Nie należy twierdzić, że nadzorował infrastrukturę KSeF tylko dlatego, że jest ministrem cyfryzacji. Infrastruktura systemu znajduje się w kompetencjach resortu finansów, CIRF i Aplikacji Krytycznych.

31. Jan Nowak i Mirosław Wróblewski — prezesi UODO

Jan Nowak kierował Urzędem Ochrony Danych Osobowych od 2019 r. do stycznia 2024 r. Mirosław Wróblewski objął urząd 26 stycznia 2024 r.

Na fakturach, szczególnie dotyczących jednoosobowych działalności gospodarczych, znajdują się dane osobowe. Z tego powodu sposób przepływu metadanych przez infrastrukturę zagranicznego operatora powinien być przedmiotem zainteresowania UODO.

Nie znalazłem publicznego stanowiska urzędu odnoszącego się konkretnie do Impervy, terminowania TLS lub widoczności metadanych KSeF dla operatora WAF. Pozwala to krytykować brak widocznej reakcji nadzorczej, ale nie wystarcza jeszcze do stwierdzenia, że którykolwiek z prezesów znał szczegóły architektury i świadomie je zaakceptował.

32. ABW i NASK

KSeF przetwarza informacje o strategicznym znaczeniu dla całej polskiej gospodarki. Wybór zagranicznej warstwy brzegowej powinien więc podlegać analizie kontrwywiadowczej i cyberbezpieczeństwa.

Publiczne dokumenty nie pozwalają jednak ustalić:

• czy ABW opiniowała wybór operatora WAF;
• czy NASK przeprowadzał ocenę tej architektury;
• jakie zastrzeżenia zgłoszono;
• kto zatwierdził ich ewentualne pominięcie;
• czy w ogóle przekazano służbom pełną dokumentację rozwiązania.

Brak publicznego weta nie dowodzi automatycznie, że ABW lub NASK świadomie zaakceptowały architekturę. Może również oznaczać, że nie zostały właściwie poinformowane, nie otrzymały pełnej dokumentacji albo ich opinie pozostają niejawne.

Dopóki nie zostaną ujawnione dokumenty, nie da się uczciwie wskazać konkretnych funkcjonariuszy jako personalnie odpowiedzialnych.

Kto zatem odpowiada najmocniej?

Najbardziej czytelny i udokumentowany łańcuch odpowiedzialności wygląda następująco:

• rząd Mateusza Morawieckiego, Tadeusz Kościński, Jan Sarnowski, Paweł Selera, Magdalena Rzeczkowska i Artur Soboń — za uruchomienie dobrowolnego systemu, stworzenie jego ram prawnych, przyjęcie modelu centralizacji danych oraz wprowadzenie obowiązku ustawowego;
• Andrzej Domański i rząd Donalda Tuska — za kontynuowanie projektu po audycie, przebudowę oraz ostateczne uruchomienie KSeF w 2026 r. przy zachowaniu zagranicznej warstwy brzegowej;
• Andrzej Duda i Karol Nawrocki — za podpisanie ustaw umożliwiających kolejne etapy wdrożenia bez publicznego podjęcia problemu zagrożeń dla bezpieczeństwa gospodarczego państwa;
• Bartosz Zbaraszczuk, Mariusz Gojny, Marcin Łoboda i Zbigniew Stawicki — za operacyjne przygotowanie i wykorzystanie systemu przez Krajową Administrację Skarbową;
• Jarosław Neneman, Tomasz Tratkiewicz, Paweł Selera i Artur Soboń — za legislacyjną oraz polityczną stronę przedsięwzięcia w kolejnych fazach;
• Krzysztof Rogowski — za formalnie potwierdzone operacyjne kierowanie projektem KSeF;
• Aplikacje Krytyczne pod zarządem Macieja Wardaszki — za techniczne wykonanie KSeF 1.0;
• Aplikacje Krytyczne pod zarządem Sebastiana Laska, Roberta Wolińskiego i Agaty Bony — za przebudowę oraz techniczne wykonanie KSeF 2.0;
• Grzegorz Zalewski — za utrzymanie i dalszy rozwój systemu po jego uruchomieniu;
• Hubert Gniadowicz i kierownictwo CIRF z okresu KSeF 1.0 — za infrastrukturę i eksploatację pierwszej wersji systemu;
• Roman Łożyński, Piotr Matyjasik i Wojciech Stefanowicz — za infrastrukturę, sieci, cyberbezpieczeństwo i eksploatację KSeF 2.0;
• Ministerstwo Finansów jako właściciel Aplikacji Krytycznych i organ nadzorujący CIRF — za całość organizacyjnego modelu budowy oraz utrzymania systemu.

Najsłabiej udokumentowany jest nadal najważniejszy dla sprawy fragment: kto osobiście wybrał Impervę, kto zatwierdził terminowanie TLS na jej infrastrukturze, kto zaakceptował zakres widocznych metadanych i kto podpisał końcową zgodę bezpieczeństwa.

Tych nazwisk nie ma w komunikatach prasowych. Znajdują się najprawdopodobniej w dokumentacji zakupowej i architektonicznej Ministerstwa Finansów, CIRF oraz Aplikacji Krytycznych. Tego nie wiemy, bo w ogóle udział Impervy jest trzymany w tajemnicy, choć to bardzo łatwo wykryć. Nie wiadomo w ogóle nic o jakimś przetargu czy jakiejkolwiek procedurze wyboru Impervy. To jest najbardziej podejrzany element całej tej afery.

Jak widać KSeF to solidarny projekt POPiSu. I Tusk, i Kaczyński akceptują szpiegowski charakter tego systemu i jako najważniejsi przywódcy są odpowiedzialni za oddanie polskiej suwerenności cyfrowej obcym wywiadom. Ich odpowiedzialność jest tylko polityczna, karnie za szpiegostwo nie będą odpowiadać, bo całe to zwasalizowanie Polski odbyło się całkowicie legalnie i zgodnie z ustawami. Tak samo zabory Polski były legalne. Więc jedyne co nam pozostaje to rozdzieranie szat jak Rejtan.