KSeF im ausgelagerten Rechnungsprozess: 10 Kontrollen für einen sicheren Ablauf
KSeF strukturiert den Rechnungsaustausch, ersetzt aber weder die fachliche Freigabe noch Zugriffskontrollen oder die Verantwortung für Zahlungen. So teilen Unternehmen und Dienstleister den Prozess sicher auf.
Seit dem 1. Februar 2026 ist KSeF 2.0 in Polen das verpflichtende System für den Rechnungsempfang; seit dem 1. April gilt die Ausstellungspflicht für die meisten Unternehmen. Die kleinsten Unternehmen, deren monatlicher fakturierter Bruttoumsatz 10.000 PLN nicht überschreitet, folgen am 1. Januar 2027. Damit ist KSeF ein fester Bestandteil von Finanz- und Buchhaltungsprozessen – auch wenn ein externer Dienstleister die Rechnungsbearbeitung übernimmt.
Das System des polnischen Finanzministeriums stellt strukturierte Rechnungen aus, übermittelt, stellt sie bereit und speichert sie. Es übernimmt jedoch weder die sachliche Prüfung eines Einkaufs noch Kostenstellenzuordnung, Bestellabgleich oder Zahlungsfreigabe. Deshalb erfordert das Outsourcing von Accounts Payable einen End-to-End-Prozess und nicht nur eine API-Verbindung.
1. Den Prozess vom Abruf bis zur Zahlung abbilden
Dokumentieren Sie jeden Schritt: Abruf aus KSeF, Registrierung, formale Validierung, Lieferantenidentifikation, Zuordnung zu Gesellschaft und Kostenstelle, Abgleich mit Bestellung oder Vertrag, sachliche Freigabe, Buchung, Zahlung, Korrektur und Reporting. Jeder Schritt braucht System, Verantwortlichen, Frist und Nachweis. Erst diese Karte zeigt, was sicher ausgelagert werden kann.
2. Technischen Zugriff von steuerlicher Verantwortung trennen
Ein Unternehmen kann Beschäftigten und kooperierenden Organisationen Rechte zum Ausstellen oder Einsehen von Rechnungen geben. Die Zugriffsvergabe überträgt jedoch nicht die Verantwortung für steuerliche Richtigkeit, Freigaberichtlinien oder Zahlungskontrolle. Der Vertrag muss festlegen, wer Dokumente abruft, Ausnahmen entscheidet, Buchungen freigibt und Zahlungen anstoßen darf.
3. Das Prinzip der geringsten Berechtigung anwenden
Der Dienstleister erhält nur die Rechte, die für den vereinbarten Umfang notwendig sind. Wer Rechnungen abruft, muss nicht zugleich Berechtigungen verwalten; wer Daten erfasst, sollte keine Zahlungen freigeben. Trennen Sie operative, kontrollierende und administrative Rollen. Führen Sie ein Register über Empfänger, Zeitpunkt, Erteiler, Umfang, letzte Nutzung und geplanten Entzug.
4. Den Prozess nicht auf einem gemeinsamen Token aufbauen
Gemeinsame Zugangsdaten erschweren die Zuordnung einer Handlung und den gezielten Entzug für eine Person. Verwenden Sie personenbezogene Rollen oder kontrollierte technische Zugangsdaten für die Integration. Zertifikate und Token sind Geheimnisse: sichere Ablage, eingeschränkter Export, benannter Eigentümer, Gültigkeit, Rotation und Widerruf bei Vertragsende.
5. Vollständigkeit und Dubletten kontrollieren
Auch eine in KSeF verfügbare Rechnung kann der falschen Gesellschaft zugeordnet, doppelt ins ERP importiert oder mit einer zusätzlich per E-Mail gesendeten Kopie kombiniert werden. Die Kontrolle sollte mindestens KSeF-Nummer, Steuer-ID des Lieferanten, Rechnungsnummer, Datum, Betrag und Währung vergleichen. Ein Ausnahmeregister zeigt fehlende Dokumente, abgewiesene Importe und ungeklärte Rechnungen.
6. KSeF-Verfügbarkeit nicht mit fachlicher Freigabe verwechseln
Die KSeF-Nummer bestätigt die Annahme durch die Plattform. Sie bestätigt nicht, dass die Leistung erbracht wurde, der Preis dem Vertrag entspricht, der Besteller die Kosten anerkennt oder die Rechnung bezahlt werden soll. Bei bestellbezogenen Ausgaben sollten Rechnung, Bestellung und Leistungsnachweis abgeglichen werden. Für andere Ausgaben sind Kostenverantwortlicher, Freigabegrenzen und Vertretungen festzulegen.
7. Ausnahme- und Korrekturwarteschlange gestalten
Der Standardprozess bleibt nur bis zur ersten Ausnahme einfach. Regeln Sie unbekannte Lieferanten, falsche Steuer-ID, Betragsabweichung, fehlende Bestellung, Korrektur, Dublette, strittige Rechnung, Dokument außerhalb KSeF und Rechnung aus einem Sondermodus. Jede Ausnahme benötigt Verantwortlichen, Frist und Eskalationsweg.
8. Verfahren für offline24 und Störungen festlegen
Im Modus offline24 muss die Rechnung spätestens am folgenden Arbeitstag an KSeF übermittelt werden. Bei einer offiziell vom Finanzministerium bekannt gegebenen Störung gilt grundsätzlich eine Frist von sieben Arbeitstagen nach Ende der Störung. Ein KSeF-Zertifikat Typ 2 kennzeichnet Rechnungen aus Sondermodi. Der Dienstleister muss wissen, wer Meldungen überwacht, den Notprozess aktiviert, die Warteschlange führt und nach Wiederherstellung die Vollständigkeit bestätigt.
9. Einen Audit Trail verlangen
Das Reporting sollte Quelle, KSeF-Nummer, Abrufzeit, Validierung, Datenänderungen, Freigebende, Ausnahmeentscheidungen, ERP-Export und Zahlungsstatus verbinden. Ein Nachweis muss nicht nur „erledigt“ zeigen, sondern wer wann auf welcher Grundlage gehandelt hat. Diese Angaben lassen sich mit einem operativen Dokumenten- und Statusregister verknüpfen.
10. Ergebnis, Sicherheit und Exit in das SLA aufnehmen
| Bereich | Kennzahl | Nachweis |
|---|---|---|
| Vollständigkeit | Anteil korrekt abgerufener und registrierter Rechnungen | KSeF–ERP-Abstimmung |
| Termine | Zeit bis Registrierung und Freigabe | Zeitstempel |
| Qualität | Fehlzuordnungen und Korrekturen | Ausnahmeregister |
| Zugriff | Zeit bis zum Rechteentzug nach Rollenwechsel | Berechtigungshistorie |
| Störung | Zeit bis zum Notbetrieb | Test- und Incident-Bericht |
| Exit | Vollständigkeit des Daten- und Log-Exports | Übergabeprotokoll |
Der Exit-Plan umfasst Rechteentzug, Ungültigmachung von Zugangsdaten, Übergabe offener Vorgänge, Export der Historie, Abstimmung der Dokumentenwarteschlange und Löschbestätigung des Dienstleisters. Er sollte mit dem Business-Continuity-Plan abgestimmt sein.
Praktische Checkliste vor dem Start
- Umfang für Ausstellung, Empfang und Bearbeitung festlegen.
- RACI für jeden Schritt und jede Ausnahme definieren.
- Minimale, personenbezogene Rechte vergeben.
- Erfassung, Freigabe und Zahlung trennen.
- Dubletten, Korrekturen und fehlende Bestellungen testen.
- offline24 und Störung simulieren.
- KSeF–ERP-Vollständigkeitsbericht vereinbaren.
- Aufbewahrung von Logs und Nachweisen festlegen.
- Qualität, Termine und Sicherheit ins SLA aufnehmen.
- Rechteentzug und Exit-Plan testen.
Quellen
- Polnisches Finanzministerium: Einführung von KSeF 2.0
- Polnisches Finanzministerium: Berechtigungen und Prozessvorbereitung
- Polnisches Finanzministerium: KSeF-Zertifikate
- Polnisches Finanzministerium: offline24
- Polnisches Finanzministerium: Störungsmodus
FAQ
Kann ein externer Dienstleister Rechnungen aus KSeF abrufen?
Ja, wenn er die passende Berechtigung erhält. Der Umfang muss zur Aufgabe passen; Verantwortung, Freigaben und Sicherheit bleiben unter Kontrolle des Unternehmens.
Ersetzt KSeF den Accounts-Payable-Prozess?
Nein. KSeF tauscht und speichert strukturierte Rechnungen, ersetzt aber weder Einkaufsprüfung noch Kostenfreigabe, Bestellabgleich, Buchung oder Zahlung.
Kann ein Token vom gesamten Team verwendet werden?
Eine Integration kann technische Zugangsdaten nutzen. Unkontrollierte gemeinsame Token schwächen jedoch Auditierbarkeit und Widerruf. Sicherer sind personenbezogene Rollen oder verwaltete technische Zugangsdaten mit begrenztem Umfang und Rotation.
Was muss der Dienstleister bei einer KSeF-Störung tun?
Das vereinbarte Notverfahren aktivieren, offizielle Meldungen überwachen, Dokumente korrekt kennzeichnen, eine Warteschlange führen und innerhalb der jeweiligen Frist übermitteln.
Wie wird die Vollständigkeit geprüft?
Die in KSeF verfügbaren Rechnungen werden regelmäßig mit Dienstleisterregister und ERP abgestimmt. Abweichungen werden geklärt und Nachweise zu Abruf, Prüfung, Freigabe und Export aufbewahrt.