Programy księgowe w chmurze: dostęp, bezpieczeństwo i kopie zapasowe

Programy księgowe w chmurze: dostęp do danych i obsługa KSeF

Chmura to zdalne przechowywanie i przetwarzanie danych wraz z oprogramowaniem i infrastrukturą, czyli centrami danych usługodawcy. Dostęp do danych i programów wymaga internetu, a nie instalacji programu na konkretnym komputerze.

NIST definiuje chmurę jako technologię umożliwiającą wygodny dostęp na żądanie z dowolnego miejsca z internetem do konfigurowalnych usług: sieci, serwerów, przechowywania danych i powiązanego oprogramowania. Polskie prawo nie definiuje chmury obliczeniowej; pojęcie funkcjonuje w literaturze prawniczej i branży IT.

Popularność cloud accounting — przechowywania i przetwarzania danych księgowych w chmurze — wzrosła po pandemii COVID-19, gdy praca zdalna wymusiła dostęp do systemów finansowo-księgowych przez internet.

NIST wyróżnia trzy modele usług chmurowych; różnią się zakresem odpowiedzialności dostawcy i klienta. SaaS (Software as a Service) to dostęp w subskrypcji udzielany przez producentów oprogramowania. Dominuje w rachunkowości chmurowej — przykłady to Dynamics 365 i Comarch ERP Cloud.

PaaS (Platform as a Service) udostępnia infrastrukturę i narzędzia do tworzenia oprogramowania. Korzystają z niego głównie dostawcy oprogramowania, nie końcowi użytkownicy (np. Microsoft Azure App Service, Google App Engine).

IaaS (Infrastructure as a Service) to dostęp do zwirtualizowanej infrastruktury, która daje niewiele więcej niż surową moc obliczeniową i pamięć masową.

Chmura publiczna jest otwarta dla nieograniczonej liczby użytkowników i nie wymaga własnej infrastruktury; daje niższe koszty niż chmura prywatna. Chmura prywatna powstaje na rzecz jednego użytkownika, działa zazwyczaj za zaporą sieciową i jest dostępna wyłącznie dla użytkowników danej organizacji. Podmiot korzystający musi jednak dysponować własną infrastrukturą IT.

Chmury publiczne dostarczają m.in. Amazon, Microsoft, Google i INEA. Ich zasoby są współdzielone przez wszystkich klientów, co przekłada się na dużą przestrzeń i łatwą skalowalność.

Chmura hybrydowa łączy model publiczny z prywatnym — w części publicznej przetwarza się dane mniej istotne. Dla firm o bardzo restrykcyjnych wymaganiach regulacyjnych rozwiązaniem może być chmura całkowicie lokalna.

Program księgowy w chmurze daje dostęp do danych z dowolnego miejsca, czasu i urządzenia — komputera, telefonu lub tabletu — pod warunkiem połączenia z siecią. Dane nie są gromadzone wyłącznie na jednym fizycznym urządzeniu, jak w programach tradycyjnych.

System synchronizuje postęp prac między wszystkimi uprawnionymi użytkownikami, również pracującymi jednocześnie. To szczególnie przydatne przy pracy zdalnej i zadaniach grupowych, bo eliminuje przesyłanie kolejnych wersji dokumentów.

Oprogramowanie aktualizuje się automatycznie, a infrastrukturą zarządza dostawca — znika konieczność zakupu drogiego sprzętu i utrzymywania lokalnego serwera. Rozliczenie z dostawcą najczęściej opiera się na modelu pay per use, a pojemność chmury nie ma sztywnych limitów typowych dla dysków fizycznych.

Dane księgowe trafiają też do Microsoft OneDrive, Google Drive lub Dropbox. W przypadku każdej z tych usług trzeba ustalić położenie serwerowni i to, czy podpisano umowę powierzenia przetwarzania danych.

Wśród programów do fakturowania online wymienia się m.in. Fakturownię, inFakt, wFirmę i iFirmę. Fakturownia udostępnia aplikację na iOS i Androida oraz umożliwia połączenie z rachunkiem bankowym użytkownika. Wśród systemów desktop wymienia się Rachmistrz GT i Rewizor GT (Insert).

W 2026 r. od programu księgowego w chmurze oczekuje się obsługi Krajowego Systemu e-Faktur (KSeF) oraz JPK. Pełną integrację z KSeF — wysyłanie, odbieranie i tryb offline — oferują m.in. Fakturownia, wFirma, inFakt i iFirma.

Bezpieczeństwo danych księgowych w chmurze: firewall, szyfrowanie i 2FA

Podstawą ochrony infrastruktury jest zapora sieciowa (firewall), która w czasie rzeczywistym kontroluje przychodzący i wychodzący ruch sieciowy, wychwytując zagrożenia i działalność intruzów. W razie potrzeby blokuje i przekierowuje ruch nieupoważnionych użytkowników, co pozwala natychmiast reagować po wykryciu niebezpieczeństwa. W chmurze prywatnej zasoby działają zazwyczaj właśnie za zaporą sieciową.

Drugi filar to szyfrowanie: dane w oprogramowaniu chmurowym są przekształcane w nieczytelny format, a dostęp do konkretnych informacji wymaga klucza kryptograficznego, który ma dostawca usługi chmurowej. Intruz, nawet jeśli uzyska dostęp do poufnych danych firmowych, nie może ich odczytać.

Ochronę wzmacniają automatyczne aktualizacje oprogramowania i przejęcie przez dostawcę odpowiedzialności za utrzymanie infrastruktury. Poprawki bezpieczeństwa nie zależą wtedy od pojedynczego użytkownika ani od wewnętrznego działu IT.

Według publikacji branżowych rozwiązania chmurowe są mniej narażone na ataki hakerskie niż tradycyjne oprogramowanie instalowane lokalnie, a odpowiednie szyfrowanie chroni dane przed kradzieżą. Przy wyborze dostawcy warto sprawdzić stosowane certyfikaty i standardy bezpieczeństwa, lokalizację serwerów oraz metody szyfrowania danych.

Bezpieczeństwo przetwarzania reguluje art. 32 RODO, czyli rozporządzenia (UE) 2016/679.

Trzeci obszar to kontrola dostępu wewnątrz organizacji. Samo hasło nie wystarcza — dane księgowe i dane klientów trzeba chronić uwierzytelnianiem dwuskładnikowym (2FA), a pliki dodatkowo szyfrować narzędziami takimi jak VeraCrypt czy BitLocker.

Uprawnienia ograniczające, np. dostęp tylko do odczytu, rejestr osób uprawnionych i logi dostępu dostępne w większości systemów chmurowych pozwalają później wykazać, kto i kiedy miał dostęp do danych.

Zakres zabezpieczeń konkretnej usługi warto sprawdzić u dostawcy. Po stronie użytkownika pozostają 2FA, ograniczone uprawnienia i szyfrowanie plików.

RODO w praktyce: kto odpowiada za dane w chmurze księgowej?

RODO jest aktem neutralnym technologicznie i nie zabrania usług chmurowych — trzeba jednak spełnić określone w nim warunki. Administrator danych osobowych samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania oraz decyduje, w jakim celu i w jaki sposób dane będą przetwarzane.

Dostawca chmury jedynie świadczy usługę, która pozwala administratorowi zrealizować jego cele, i nie decyduje o celu ani sposobie przetwarzania. Dlatego jest podmiotem przetwarzającym (procesorem).

Z tego podziału wynika obowiązek zawarcia umowy powierzenia przetwarzania danych osobowych. Może to być zapis w umowie o świadczenie usług albo odrębna umowa między administratorem a dostawcą chmury; podstawę stanowi art. 28 RODO.

Podstawą prawną jest rozporządzenie (UE) 2016/679. Obejmuje ono art. 28 dla powierzenia przetwarzania, art. 32 dla bezpieczeństwa przetwarzania oraz art. 5 dla zasady minimalizacji i ograniczenia przechowywania.

Administrator powinien wybrać usługodawcę, który zagwarantuje wdrożenie odpowiednich środków technicznych i organizacyjnych, tak by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Przed podpisaniem umowy trzeba ustalić, jakie standardy bezpieczeństwa przetwarzania danych spełnia potencjalny procesor.

Administrator odpowiada nie tylko za podział obowiązków, ale też za ewentualne incydenty naruszenia RODO. Choć rozwiązania technologiczne dostarcza firma IT, w razie kontroli UODO administrator musi wykazać, że działał zgodnie z zasadą rozliczalności — czyli że podjął działania uznawane w świetle przepisów za wystarczające do ochrony informacji.

Osobna kwestia to lokalizacja serwerów i przekazywanie danych poza Europejski Obszar Gospodarczy. RODO obowiązuje w państwach członkowskich Unii Europejskiej oraz EOG.

Zgodnie z art. 45 ust. 1 rozporządzenia przekazanie danych do państwa trzeciego jest możliwe tylko wtedy, gdy zapewnia ono podstawowy poziom ochrony, obejmujący m.in. praworządność, poszanowanie praw człowieka i podstawowych wartości, istnienie przynajmniej jednego niezależnego organu sprawującego nadzór nad ochroną danych osobowych oraz zobowiązania wynikające z umów międzynarodowych.

W praktyce trzeba przechowywać dane klientów w EOG albo zastosować odpowiednie zabezpieczenia prawne, takie jak standardowe klauzule umowne (SCC), i ustalić położenie centrów danych dostawcy.

W programach księgowych w chmurze administrator zawiera z dostawcą umowę powierzenia przetwarzania danych (DPA). Podstawę stanowi art. 28 RODO.

Kopie zapasowe i archiwizacja: jak nie stracić danych księgowych?

Archiwizacja danych klientów to obowiązek wynikający z prawa, ale także element budowania zaufania i bezpieczeństwa operacyjnego.

Kopia zapasowa chroni dane księgowe przed utratą i zniszczeniem — w wyniku awarii, błędu lub nieuprawnionego usunięcia. Przechowywanie danych u dostawcy nie zwalnia z myślenia o backupie: utrata danych oznacza dla księgowości brak możliwości odtworzenia zapisów i dokumentów źródłowych. Oprócz backupu po stronie dostawcy trzeba mieć własną, niezależną kopię danych krytycznych.

Polityka retencji powinna być spisana: kiedy dane są archiwizowane, a kiedy trwale usuwane. Proces można automatyzować — np. etykietami czasowymi w chmurze — żeby terminy nie zależały od pamięci pracowników.

Okresy przechowywania wynikają z przepisów i specyfiki działalności; wskazuje się np. 5 lat w świetle ustawy AML lub 6 lat z tytułu dochodzenia roszczeń cywilnych. Te wartości trzeba dopasować do własnej branży i charakteru dokumentacji.

RODO wymaga przestrzegania zasady minimalizacji i ograniczenia przechowywania (art. 5), co oznacza, że danych nie wolno trzymać w nieskończoność „na wszelki wypadek”.

Kopia zapasowa powinna znajdować się w innej lokalizacji niż dane podstawowe. Trzeba ustalić procedurę eksportu danych oraz okresowo sprawdzać dostępność usługodawcy i zgodność umów z aktualnym stanem.

Okresowo weryfikuj, czy wykonana kopia daje się faktycznie odtworzyć — nieprzetestowany backup bywa kopią tylko z nazwy.

Osobny scenariusz to zakończenie współpracy z dostawcą, np. gdy firma hostingowa przestanie istnieć albo zmieni warunki. Dane księgowe nie mogą wtedy przepaść ani zostać przekazane do państwa trzeciego bez zabezpieczeń.

W programach księgowych w chmurze backup po stronie dostawcy nie zwalnia z posiadania własnej, niezależnej kopii. Trzeba też ustalić procedurę eksportu danych; Fakturownia pozwala eksportować je do programów Raks SQL i CDN Optima (fakturownia.pl).

Okresy przechowywania danych księgowych – podstawowe wymagania prawne

Jak wybrać i zweryfikować dostawcę programu księgowego w chmurze?

Wybór dostawcy powinien opierać się na weryfikowalnych kryteriach, nie na samej funkcjonalności programu. Najważniejsze to: zgodność usługi z RODO, standardy bezpieczeństwa przetwarzania danych (w tym normy ISO/IEC), lokalizacja serwerów, gotowość do podpisania umowy powierzenia przetwarzania danych (DPA), opis procedur bezpieczeństwa, dostępność usług i plan eksportu danych.

Model rozliczenia też ma znaczenie — dostawcy oferują różne plany i ceny, które warto porównać przed wyborem.

Przed zawarciem umowy trzeba ustalić, jakie standardy bezpieczeństwa przetwarzania danych spełnia potencjalny procesor, i zażądać dokumentu DPA (Data Processing Agreement). Dotyczy to również popularnych usług, takich jak Microsoft OneDrive, Google Drive czy Dropbox.

Weryfikacji podlegają wszystkie usługi, w których przechowujesz dane księgowe, nie tylko główny program. W każdej z nich trzeba ustalić lokalizację serwerów oraz podstawę transferu danych poza EOG.

Weryfikacja nie kończy się na deklaracjach dostawcy. Ustal, w jakim kraju stoją serwery i czy dane mieszczą się w obrębie EOG — a jeśli nie, czy istnieje podstawa prawna transferu, np. standardowe klauzule umowne.

Choć dostawca chmury świadczy usługę, a nie decyduje o przetwarzaniu, użytkownik odpowiada za legalność przetwarzania i powinien wnikliwie weryfikować, czy dostawca rzeczywiście spełnia wymagane warunki.

Umowa powinna rozstrzygać podział zadań między dostawcą a użytkownikiem oraz zakres środków technicznych i organizacyjnych stosowanych przy przetwarzaniu.

Po zawarciu umowy weryfikację trzeba powtarzać okresowo, bo zmieniają się warunki usługi, lokalizacja infrastruktury i przepisy.

Kryterium wyboru jest również model chmury. Chmura publiczna nie wymaga własnej infrastruktury i jest tańsza, ale jest otwarta dla nieograniczonej liczby użytkowników. Chmura prywatna, działająca za zaporą sieciową i dostępna tylko dla użytkowników danej organizacji, daje wyższy poziom kontroli, lecz wymaga własnego zaplecza IT.

Przy bardzo restrykcyjnych wymaganiach regulacyjnych uzasadnione może być rozwiązanie całkowicie lokalne. Wybór między modelami powinien wynikać z charakteru danych księgowych i wymagań, którym podlega firma, a nie z samej różnicy w cenie.

Weryfikacja dostawcy powinna obejmować zgodność z ustawą o rachunkowości (uor) oraz RODO. Można też kierować się wytycznymi CCBE i normami ISO. Dotyczy to zarówno głównego programu księgowego, jak i usług takich jak Microsoft OneDrive, Google Drive czy Dropbox.

Dobre praktyki codziennej pracy z programem księgowym w chmurze

Ogranicz uprawnienia: każdy użytkownik powinien mieć dostęp tylko do tego, czego potrzebuje, a tam gdzie to wystarcza — wyłącznie do odczytu. Prowadź rejestr osób uprawnionych, choćby obejmował tylko właściciela firmy i księgowego, i korzystaj z logów dostępu dostępnych w większości systemów chmurowych.

Zgodnie z RODO musisz być w stanie wykazać, kto i kiedy miał dostęp do danych, co ma bezpośrednie znaczenie przy kontroli UODO.

Nie udostępniaj plików księgowych mailem. Używaj bezpiecznych linków czasowych, które wygasają po określonym czasie, oraz uwierzytelniania dwuskładnikowego przy logowaniu.

Pliki z danymi klientów szyfruj dodatkowo (np. VeraCrypt, BitLocker), a danych nie trzymaj w folderze synchronizowanym równolegle na wielu prywatnych urządzeniach pracowników.

Przed wdrożeniem chmury zidentyfikuj potencjalne zagrożenia i wybierz usługodawcę oferującego warunki ochronne oraz środki zapobiegające nieautoryzowanemu dostępowi do danych. Rejestr dostawców i decyzji ułatwia późniejsze wykazanie rozliczalności.

Wprowadź regularny przegląd ustawień: uprawnień, aktywnych kont, udostępnień zewnętrznych i polityki retencji, tak aby konfiguracja odpowiadała aktualnemu składowi zespołu i zakresowi współpracy z klientami.

W codziennej pracy z programami do fakturowania online, takimi jak wFirma, inFakt czy Fakturownia, stosuj zasadę minimalnych uprawnień i przeglądaj logi dostępu. Pamiętaj o 2FA i szyfrowaniu plików np. VeraCrypt lub BitLocker.