Wysyłka deklaracji do ZUS drogą elektroniczną wymaga poprawnie skonfigurowanego certyfikatu — kwalifikowanego podpisu elektronicznego lub profilu zaufanego — bez którego program Płatnik nie zrealizuje transmisji.

Na czym polega ta usługa

Konfiguracja obejmuje instalację i przypisanie certyfikatu w programie Płatnik, sprawdzenie jego ważności i zgodności z danymi firmy oraz przetestowanie wysyłki próbnej deklaracji, żeby mieć pewność, że transmisja do ZUS zadziała bez problemów w realnym terminie rozliczeniowym.

Dla kogo ma sens

Usługa jest niezbędna dla każdej firmy rozpoczynającej korzystanie z elektronicznej wysyłki deklaracji, oraz przy wygaśnięciu lub wymianie dotychczasowego certyfikatu.

Ile to trwa

Konfiguracja certyfikatu to zabieg realizowany zwykle w ramach jednej wizyty lub do 24 godzin.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Różnice techniczne między programem Płatnik a modułem ePłatnik

Podstawowym źródłem nieporozumień podczas wdrażania elektronicznej wymiany dokumentów z Zakładem Ubezpieczeń Społecznych jest mylenie dwóch odrębnych narzędzi informatycznych: stacjonarnego programu Płatnik oraz przeglądarkowego modułu ePłatnik, działającego w ramach Platformy Usług Elektronicznych (PUE ZUS / eZUS).

Program Płatnik to klasyczna aplikacja desktopowa instalowana bezpośrednio w systemie operacyjnym Windows. Korzysta ona z lokalnej lub sieciowej bazy danych (w formacie pliku Microsoft Access MDB lub na silniku Microsoft SQL Server) i wymaga bezpośredniej integracji z podsystemem kryptograficznym systemu Windows (CryptoAPI oraz CNG, czyli Cryptography Next Generation). W programie stacjonarnym wysyłka dokumentów ubezpieczeniowych wymaga zastosowania kwalifikowanego podpisu elektronicznego, którego klucz prywatny zapisany jest na fizycznej karcie kryptograficznej lub w chmurze dostawcy podpisu.

Z kolei moduł ePłatnik jest aplikacją webową uruchamianą w przeglądarce internetowej. W tym wariancie proces podpisywania i wysyłki deklaracji może odbywać się nie tylko przy użyciu podpisu kwalifikowanego, ale także za pomocą bezpłatnego Profilu Zaufanego (ePUAP). Podpisywanie w przeglądarce wymaga poprawnej konfiguracji środowiska webowego, w tym instalacji odpowiednich komponentów integracyjnych udostępnianych przez centrum certyfikacji (na przykład dedykowanych aplikacji pośredniczących w autoryzacji z poziomu przeglądarki).

Centra certyfikacji i rodzaje kwalifikowanych podpisów elektronicznych

Kwalifikowany podpis elektroniczny ma w świetle prawa moc podpisu własnoręcznego. W Polsce certyfikaty kwalifikowane wydawane są przez kwalifikowanych dostawców usług zaufania, wpisanych do rejestru Narodowego Centrum Certyfikacji (NCCert). Do głównych podmiotów certyfikujących należą:

Certum (Asseco Data Systems),
KIR – Szafir (Krajowa Izba Rozliczeniowa),
EuroCert,
CenCert (Enigma Systemy Ochrony Informacji),
Sigillum (Polska Wytwórnia Papierów Wartościowych).

Pod względem technicznym podpisy kwalifikowane dzielą się na dwa główne warianty, co bezpośrednio determinuje sposób ich konfiguracji w środowisku komputerowym:

Pierwszy wariant to podpis tradycyjny, oparty na fizycznej karcie mikroprocesorowej (karcie chipowej) umieszczanej w dedykowanym czytniku kart podłączanym do portu USB komputera lub w postaci miniaturowego tokena USB. Klucz prywatny subskrybenta jest w tym przypadku trwale chroniony wewnątrz procesora karty i nigdy nie opuszcza pamięci tego urządzenia. Komputer komunikuje się z kartą za pomocą sterownika czytnika oraz oprogramowania pośredniczącego (middleware), takiego jak proCertum CardManager, Szafir, EuroCert CardManager, Enigma CardManager czy Sigillum CardManager.

Drugi wariant to podpis mobilny w chmurze (na przykład SimplySign, mSzafir czy CloudSign). W tym rozwiązaniu klucz prywatny przechowywany jest w certyfikowanym, sprzętowym module bezpieczeństwa (HSM – Hardware Security Module) zlokalizowanym w zabezpieczonym centrum danych dostawcy usługi. Aby program Płatnik mógł skorzystać z takiego podpisu, na komputerze instaluje się aplikację emulującą obecność fizycznej karty kryptograficznej. Aplikacja ta łączy się przez sieć z serwerem dostawcy, a każda operacja złożenia podpisu wymaga autoryzacji za pomocą kodu jednorazowego generowanego na smartfonie użytkownika.

Procedura wdrożenia i konfiguracji certyfikatu w środowisku Windows

Prawidłowe przygotowanie stanowiska komputerowego do obsługi certyfikatu kwalifikowanego w programie Płatnik wymaga zachowania określonej kolejności czynności administracyjnych i technicznych:

W pierwszej kolejności instalowane są sterowniki sprzętowe dla czytnika kart oraz pakiet oprogramowania zarządzającego kartą kryptograficzną dostarczony przez wystawcę certyfikatu. Oprogramowanie to rejestruje w systemie operacyjnym odpowiednie biblioteki kryptograficzne zgodne ze standardem PKCS#11 (międzynarodowy standard interfejsu programistycznego dla urządzeń kryptograficznych) oraz dostawcę usług kryptograficznych (CSP – Cryptographic Service Provider).

Kolejnym etapem jest weryfikacja magazynu certyfikatów systemu Windows. Certyfikat kwalifikowany użytkownika musi zostać poprawnie zarejestrowany w magazynie osobistym (magazyn „Osobisty” w profilu użytkownika). Równolegle w systemie muszą znajdować się zainstalowane certyfikaty nadrzędne (Root CA) oraz certyfikaty pośrednie (Intermediate CA) danego centrum certyfikacji. Brak certyfikatu pośredniego uniemożliwia zbudowanie prawidłowej ścieżki certyfikacji, co skutkuje błędem braku zaufania do certyfikatu.

Następnie przeprowadza się konfigurację wewnątrz samego programu Płatnik. W menu ustawień przekazu elektronicznego wskazuje się właściwy certyfikat do podpisywania przesyłek oraz certyfikat do autoryzacji zapytań i pobierania potwierdzeń. Niezbędne jest także pobranie i zainstalowanie aktualnego certyfikatu ZUS (klucza publicznego Zakładu Ubezpieczeń Społecznych), który służy do szyfrowania przesyłanych paczek z danymi ubezpieczonymi.

Ostatnim krokiem jest wykonanie synchronizacji słowników i komponentów programu z serwerami ZUS, pobranie aktualnych list unieważnionych certyfikatów (CRL – Certificate Revocation List) oraz wysyłka próbnego pakietu dokumentów zakończona odebraniem Urzędowego Poświadczenia Przedłożenia (UPP), które stanowi dowód prawidłowego dostarczenia danych.

Najczęstsze błędy i problemy z podpisem elektronicznym w programie Płatnik

W codziennej eksploatacji programu Płatnik użytkownicy napotykają szereg specyficznych komunikatów o błędach, które blokują możliwość wysyłki deklaracji w wyznaczonym terminie:

Błąd „Klucz prywatny nie jest dostępny” lub brak widoczności certyfikatu na liście wyboru w Płatniku najczęściej oznacza, że system operacyjny widzi jedynie publiczną część certyfikatu, ale nie ma aktywnego połączenia z nośnikiem kryptograficznym. Przyczyną bywa uszkodzenie sterownika czytnika, zawieszenie usługi systemowej zarządzania kartami inteligentnymi (usługa Smart Card w systemie Windows), brak uruchomionej aplikacji obsługującej podpis w chmurze lub brak przypisania certyfikatu do karty w oprogramowaniu dostawcy.

Błąd weryfikacji łańcucha certyfikacji („Certyfikat jest nieważny lub nie można zweryfikować jego łańcucha zaufania”) pojawia się w sytuacji, gdy w systemie brakuje zaktualizowanych certyfikatów nadrzędnych Narodowego Centrum Certyfikacji (NCCert) lub certyfikatów pośrednich wystawcy podpisu. Problem ten występuje bardzo często po wymianie komputera na nowy lub po przeinstalowaniu systemu operacyjnego.

Błędy pobierania list CRL oraz błędy komunikacji z serwerami ZUS (komunikaty o niemożności nawiązania bezpiecznego połączenia TLS) wynikają przeważnie z restrykcyjnych reguł zapory sieciowej (firewalla), blokowania ruchu przez programy antywirusowe skanujące połączenia szyfrowane HTTPS, nieaktualnych bibliotek protokołów kryptograficznych TLS 1.2 / TLS 1.3 w systemie Windows lub nieprawidłowych ustawień serwera pośredniczącego (proxy).

Błąd niezgodności danych identyfikacyjnych pojawia się w momencie, gdy dane wpisane w kartotece płatnika składek w programie Płatnik (na przykład numer NIP lub PESEL) nie są w pełni zgodne z numerami identyfikacyjnymi zawartymi w strukturze certyfikatu kwalifikowanego osoby składającej podpis.

Błędy popełniane podczas samodzielnych prób instalacji podpisu

Samodzielna próba konfiguracji podpisu kwalifikowanego i programu Płatnik często prowadzi do problemów wynikających z pominięcia kluczowych zależności systemowych:

Powszechnym błędem jest ręczne importowanie pliku certyfikatu (plik z rozszerzeniem .cer lub .crt) bezpośrednio do przeglądarki lub magazynu Windows z pominięciem dedykowanego oprogramowania dostawcy karty. Taki import wprowadza do systemu jedynie klucz publiczny bez powiązania z kluczem prywatnym na karcie, co uniemożliwia złożenie podpisu pod jakimkolwiek dokumentem.

Innym błędem jest odnowienie certyfikatu kwalifikowanego u dostawcy i pozostawienie w programie Płatnik starej konfiguracji przekazu elektronicznego. Nowy certyfikat – mimo że zawiera te same dane osobowe – posiada nowy numer seryjny oraz nowy okres ważności i musi zostać ponownie jawnie wybrany i przypisany w parametrach przekazu programu Płatnik.

Często spotyka się także instalowanie oprogramowania pośredniczącego w wersji niezgodnej z architekturą systemu operacyjnego (na przykład instalacja wyłącznie 64-bitowych bibliotek na komputerze, podczas gdy program Płatnik jest aplikacją 32-bitową i wymaga obecności 32-bitowych bibliotek kryptograficznych do komunikacji z kartą).

Zdarza się również nieprawidłowa próba użycia Profilu Zaufanego w stacjonarnej wersji Płatnika. Ponieważ stacjonarny program Płatnik nie posiada technicznej możliwości autoryzacji przez system login.gov.pl, próby wymuszenia takiego podpisu w tej aplikacji są bezcelowe i wymagają albo zakupu podpisu kwalifikowanego, albo przejścia na obsługę deklaracji przez webowy moduł ePłatnik na PUE ZUS.

Kiedy problem wynika z uszkodzenia bazy lub systemu, a nie z samego certyfikatu

Podczas diagnozowania trudności z wysyłką dokumentów należy odróżnić błędy samego podpisu elektronicznego od awarii środowiska bazodanowego i systemowego:

W przypadku baz danych opartych na plikach Microsoft Access (pliki z rozszerzeniem .mdb) częstym problemem jest uszkodzenie wewnętrznej struktury pliku bazy na skutek nagłego zamknięcia programu, zaniku zasilania lub problemów z uprawnieniami sieciowymi. Objawia się to zawieszaniem programu podczas próby podpisywania zestawu lub komunikatami o błędach silnika bazy danych Jet. W takiej sytuacji konieczne jest wykonanie procedury naprawy i kompaktowania bazy danych.

Przy korzystaniu z serwera Microsoft SQL Server przyczyną problemów z podpisywaniem bywa brak odpowiednich uprawnień użytkownika do wykonywania procedur składowanych w bazie Płatnika lub blokada transakcji na poziomie serwera bazy danych.

Brak możliwości podpisania dokumentu może także wynikać z uszkodzenia bibliotek środowiska wykonawczego (np. Microsoft .NET Framework lub Visual C++ Redistributable), które są niezbędne do prawidłowego działania silnika kryptograficznego programu Płatnik.

Należy również zweryfikować stan techniczny usług samego Zakładu Ubezpieczeń Społecznych. Prowadzone przez ZUS prace serwisowe i przerwy techniczne na bramkach odbiorczych skutkują brakiem odpowiedzi serwerów, co bywa mylnie interpretowane jako awaria podpisu kwalifikowanego na stanowisku komputerowym.

Pytania i odpowiedzi dotyczące konfiguracji podpisu i e-Płatnika (FAQ)

Czy w stacjonarnym programie Płatnik można podpisywać dokumenty Profilem Zaufanym (ePUAP)?

Nie, stacjonarna wersja programu Płatnik zainstalowana na komputerze nie obsługuje Profilu Zaufanego. Do wysyłki dokumentów z tego programu niezbędny jest certyfikat kwalifikowany. Jeśli firma chce rozliczać się wyłącznie za pomocą bezpłatnego Profilu Zaufanego, musi korzystać z przeglądarkowej aplikacji ePłatnik dostępnej po zalogowaniu na platformie PUE ZUS / eZUS.

Co zrobić, gdy po odnowieniu certyfikatu program Płatnik nadal zgłasza błąd ważności?

Po odnowieniu certyfikatu należy wgrać nowy certyfikat na kartę przy użyciu oprogramowania dostawcy podpisu (lub zsynchronizować aplikację chmurową), zarejestrować go w magazynie systemu Windows, a następnie otworzyć program Płatnik, przejść do ustawień przekazu elektronicznego i ręcznie wskazać nowy certyfikat jako aktywny podpis, zatwierdzając zmianę.

Czy podpis kwalifikowany w chmurze działa stabilnie z programem Płatnik?

Tak, podpis mobilny w chmurze działa poprawnie z programem Płatnik, pod warunkiem zainstalowania na komputerze dedykowanej aplikacji desktopowej dostawcy podpisu (np. SimplySign Desktop lub odpowiednika innego centrum certyfikacji). Aplikacja ta tworzy wirtualny czytnik w systemie Windows i pośredniczy w autoryzacji kodem ze smartfona.

Dlaczego program Płatnik nie widzi karty włożonej do czytnika USB?

Najczęstsze przyczyny to brak zainstalowanych dedykowanych sterowników czytnika, zatrzymana usługa systemowa „Karta inteligentna” (Smart Card) w systemie Windows, uszkodzenie portu USB lub brak uruchomionego oprogramowania zarządzającego kartą (middleware). Warto sprawdzić, czy czytnik jest poprawnie wykrywany w Menedżerze urządzeń.

Jak skonfigurować podpis kwalifikowany do pracy z programem Płatnik na serwerze zdalnym (RDP)?

Praca w sesji zdalnego pulpitu (RDP – Remote Desktop Protocol) wymaga włączenia przekierowywania urządzeń Plug and Play oraz kart inteligentnych w opcjach klienta zdalnego pulpitu, a także zainstalowania odpowiednich sterowników i bibliotek kryptograficznych zarówno na stacji lokalnej, jak i na serwerze terminalowym.

Wsparcie techniczne i prawidłowe przygotowanie stanowiska rozliczeniowego

Prawidłowo skonfigurowane środowisko kryptograficzne oraz zoptymalizowana baza programu Płatnik zapewniają ciągłość rozliczeń ubezpieczeniowych i eliminują ryzyko opóźnień w wysyłce deklaracji do ZUS. Wszystkie prace konfiguracyjne, instalacje sterowników, weryfikacje łańcuchów certyfikacji oraz testy integralności baz danych realizowane są bezpośrednio na stanowisku komputerowym w siedzibie klienta, z zachowaniem pełnego bezpieczeństwa przetwarzanych danych osobowych i rozliczeniowych.

22 378 48 09

Konfiguracja e-Płatnika i certyfikatu kwalifikowanego