KSeF ma uszczelniać podatki i dawać państwu niemal pełny wgląd w obieg faktur. Tym bardziej kompromitujące jest to, że osłonę takiego systemu oparto na Impervie, amerykańskiej spółce cyberbezpieczeństwa należącej do francuskiego koncernu Thales. Przy infrastrukturze tej rangi nie jest to detal techniczny. To jest problem polityczny.
Przez KSeF przechodzą informacje o realnych relacjach gospodarczych — kto komu wystawia fakturę, na jaką kwotę i kiedy. To nie są żadne cyfrowe resztki, tylko zapis gospodarczego krwiobiegu państwa. Jeżeli władza uznaje taki system za podstawowe narzędzie kontroli podatkowej, nie może traktować jego ochrony jak zwykłej usługi kupowanej na zewnątrz.
Ministerstwo Finansów przekonuje, że wszystko jest bezpieczne, dane są szyfrowane, a zewnętrzny operator nie ma dostępu do treści faktur. Nawet jeśli przyjąć tę wersję, sedno problemu się nie zmienia. W systemie tej rangi nie chodzi wyłącznie o to, czy ktoś może zajrzeć do treści dokumentu. Chodzi o całą architekturę zaufania, kontroli i odpowiedzialności. Jeżeli ruch związany z ochroną tak wrażliwego systemu przechodzi przez zewnętrzną warstwę bezpieczeństwa, państwo samo prowokuje pytania o zakres własnej kontroli, przejrzystość modelu ochrony i realne granice swojej niezależności.
I właśnie tu przebiega granica odpowiedzialności. Nie między jedną a drugą procedurą, lecz między państwem, które naprawdę kontroluje kluczową infrastrukturę, a państwem, które tylko udaje, że ją kontroluje. To nie jest kwestia taniej sensacji ani opowieści, że ktoś z zewnątrz automatycznie czyta faktury. Problem polega na tym, że państwo zbudowało system fiskalny o znaczeniu strategicznym, a potem dopuściło do sytuacji, w której obywatel ma po prostu uwierzyć, że wszystko jest pod pełną kontrolą, choć kluczowa warstwa ochrony nie znajduje się w pełni we własnym aparacie.
Na tle innych państw europejskich Polska wypada słabo. We Włoszech system e-faktur obsługuje państwowa spółka podległa resortowi gospodarki i finansów. W Hiszpanii obieg takich dokumentów opiera się na rządowej sieci administracyjnej. We Francji odpowiada za to państwowa agencja związana z ministerstwem finansów. W Rumunii system funkcjonuje w ramach krajowej administracji skarbowej. Modele są różne, ale zasada pozostaje ta sama — to, co wrażliwe, państwo trzyma możliwie blisko własnych instytucji.
W Polsce po raz kolejny wybrano model typowy dla państwa zależnego. Najpierw buduje się system o znaczeniu strategicznym. Potem opowiada o cyfrowej nowoczesności. A na końcu okazuje się, że przy kluczowym odcinku bezpieczeństwa stoi zewnętrzny dostawca. Państwo chce być twarde wobec przedsiębiorców, ale mięknie tam, gdzie samo powinno być najbardziej samodzielne — przy ochronie własnej infrastruktury fiskalnej.
Osłona systemu tej wagi nie została oparta w pełni na własnym zapleczu państwa. To samo w sobie powinno być alarmem. Nie dlatego, że każda zagraniczna technologia jest z definicji zagrożeniem. Dlatego, że państwo, które nie potrafi samodzielnie osłonić własnego systemu fiskalnego, nie pokazuje siły. Pokazuje słabość przefarbowaną na cyfryzację.
