0112-KDSL1-2.4011.480.2026.3.PR

Interpretacja indywidualna
– stanowisko prawidłowe

Szanowny Panie,

stwierdzam, że Pana stanowisko w sprawie oceny skutków podatkowych opisanego stanu faktycznego i zdarzenia przyszłego w zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne jest prawidłowe.

Zakres wniosku o wydanie interpretacji indywidualnej

9 czerwca 2026 r. wpłynął Pana wniosek z 24 maja 2026 r. o wydanie interpretacji indywidualnej. Uzupełnił go Pan pismami z – brak daty sporządzenia (wpływ 20 i 23 lipca 2026 r.) – w odpowiedzi na wezwania. Treść wniosku jest następująca:

Opis stanu faktycznego i zdarzenia przyszłego

Jest Pan polskim rezydentem podatkowym, prowadzącym jednoosobową działalność gospodarczą. Złożony wniosek dotyczy zdarzenia przyszłego oraz zaistniałego stanu faktycznego. Wniosek dotyczy roku podatkowego 2025 i kolejnych.

Prowadzi Pan działalność gospodarczą w rozumieniu art. 3 ustawy Prawo przedsiębiorców jako osoba fizyczna. Rok 2025 i lata kolejne planuje Pan rozliczać się w zakresie jakiego dotyczy wniosek w oparciu o podatek ryczałtowy w wysokości 8,5% ryczałtu od przychodów ewidencjonowanych określony w art. 12 ust. 1 pkt 5 lit. a ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. Zakładana wysokość przychodów z pozarolniczej działalności gospodarczej nie przekracza i nie przekroczy kwoty 2 000 000 euro.

Zakres wykonanych usług mieści się w grupie usług opisanych kodem PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”. W praktyce działalność obejmuje świadczenie usług obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa.

Wszelkie wskazane powyżej zadania, które Pan realizuje, dotyczą usług pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego. W wyniku świadczonych usług wskazać należy, że udziela Pan pomocy klientowi w użytkowaniu i usuwaniu usterek sprzętu komputerowego, włączając testowanie i to jest efektem ich świadczenia.

Podsumowując, charakter tych usług jest ściśle ukierunkowany na udzielanie pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego.

Wskazany wyżej zakres opisanych prac nie stanowi usług związanych z szeroko rozumianym wytwarzaniem, rozwojem oraz implementacją oprogramowania, doradztwem w zakresie oprogramowania, a także doradztwem w zakresie sprzętu komputerowego.

Nie wyklucza Pan, że w roku podatkowym będzie świadczył usługi dla innych kontrahentów, jednakże zakres świadczonych usług, których dotyczy wniosek pozostanie tożsamy.

Zadecydował Pan o stosowaniu opodatkowania przychodów uzyskiwanych w ramach prowadzonej działalności gospodarczej w formie ryczałtu od przychodów ewidencjonowanych, tj. art. 2 ust. 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (tekst jedn.: Dz. U. z 2020 r. poz. 1905 z późn. zm., dalej: „ustawa o ryczałcie”). W tym celu, zgodnie z art. 9 ust. 1 ustawy o ryczałcie złożył Pan pisemne oświadczenie o wyborze opodatkowania przychodów z pozarolniczej działalności gospodarczej w formie ryczałtu od przychodów ewidencjonowanych.

Ośrodek Klasyfikacji i Nomenklatur Urzędu Statystycznego (...) w piśmie z (…) 2026 r. o znaku (…) poinformował Pana, że opisane we wniosku o interpretację podatkową czynności związane ze świadczeniem usług obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa,

mieszczą się w grupowaniu PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”.

Nie uzyskał i nie uzyska Pan z tej działalności przychodów ze świadczenia usług na rzecz byłego lub obecnego pracodawcy, odpowiadających czynnościom, które będzie wykonywał Pan w ramach stosunku pracy lub spółdzielczego stosunku pracy.

Podkreśla Pan, że świadczone usługi nie są związane z doradztwem w zakresie sprzętu komputerowego PKWiU ex 62.02.10.0, nie są związane z oprogramowaniem PKWiU ex 62.01.1, nie są objęte grupowaniem „ Oryginały oprogramowania komputerowego” (PKWiU 62.01.2), nie są związane z doradztwem w zakresie oprogramowania PKWiU ex 62.02, nie są związane z zarządzeniem siecią i systemami informatycznymi PKWiU 62.03.1.

Ilekroć w ustawie używa się oznaczenia „ex” przy symbolu danego grupowania PKWiU oznacza to, że zakres wyrobów lub usług jest węższy niż określony w tym grupowaniu – o czym stanowi art. 4 ust. 4 ustawy o ryczałcie. Oznaczenie „ex” dotyczy zatem tylko określonej usługi z danego grupowania.

Umieszczenie tego dopisku przy konkretnym symbolu statystycznym ma na celu zawężenie stosowania przepisu tylko do tej nazwy grupowania. Natomiast Pana działalność GUS w wydanej opinii zaklasyfikował pod PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”.

Na żadnym etapie świadczenia usług nie jest tworzone oprogramowanie, pisanie kodu lub analiza kodu oprogramowania, wobec czego nie świadczy Pan usług związanych z oprogramowaniem sklasyfikowanych pod PKWiU ex 62.01.1.

Miał i ma Pan prawo do stosowania formy opodatkowania – ryczałt ewidencjonowany zgodnie z art. 8 ustawy o podatku dochodowym w formie ryczałtu ewidencjonowanego, nie przekroczył i nie przekroczy Pan dochodu 2 000 000 euro. W przypadku działalności wykonywanej w roku 2025 i latach kolejnych, zachowane zostaną warunki określone w art. 6 ust 4 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów ewidencjonowanych przez osoby fizyczne.

W uzupełnieniu wniosku udzielił Pan następujących odpowiedzi na zawarte w wezwaniu pytania:

1.    Czy posiada Pan nieograniczony obowiązek podatkowy na terytorium Rzeczypospolitej Polskiej w myśl art. 3 ust. 1 i 1a ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (t. j. Dz. U. z 2026 r. poz. 592 ze zm.)?

Odpowiedź: Posiada Pan nieograniczony obowiązek podatkowy na terytorium Rzeczypospolitej Polskiej w rozumieniu art. 3 ust. 1 i 1a ustawy o podatku dochodowym od osób fizycznych.

2.    Czy prowadzona przez Pana działalność opisana we wniosku była/jest/będzie działalnością usługową w myśl art. 4 ust. 1 pkt 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843 ze zm.)?

Odpowiedź: Działalność prowadzona przez Pana, opisana we wniosku, była, jest i będzie działalnością usługową w rozumieniu art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

3.    Czy wykonywana przez Pana usługa będąca przedmiotem wniosku polegała/polega/będzie polegała na udzielaniu porad, opinii i wyjaśnień charakterystycznych dla usług doradztwa? Proszę udzielić wyczerpującej odpowiedzi.

Odpowiedź: Usługa będąca przedmiotem wniosku nie polegała, nie polega i nie będzie polegała na udzielaniu porad, opinii ani wyjaśnień charakterystycznych dla usług doradztwa.

Nie przedstawia Pan kontrahentowi wariantów postępowania wraz z rekomendacją wyboru określonego rozwiązania, nie podejmuje Pan za kontrahenta decyzji dotyczących sposobu prowadzenia działalności ani nie formułuje Pan opinii prawnych, technicznych lub informatycznych.

Pana czynności polegają na wykonywaniu uzgodnionych działań w ramach istniejących u kontrahenta zasad, wymagań, procedur i kryteriów. Zbiera i porządkuje Pan informacje, prowadzi Pan rejestry, aktualizuje Pan dokumentację, monitoruje Pan wykonanie ustalonych działań, koordynuje Pan ich przebieg oraz przygotowuje Pan informacje o stanie ich realizacji.

Decyzje dotyczące wyboru zabezpieczeń, akceptacji ryzyka, zakresu obowiązków prawnych, wyboru rozwiązań technicznych oraz kierunków działania podejmuje kontrahent albo właściwe osoby lub podmioty działające na jego rzecz.

W szczególności:

·         nie tworzy, nie rozwija ani nie modyfikuje Pan oprogramowania;

·         nie tworzy Pan kodu źródłowego;

·         nie projektuje Pan architektury systemów informatycznych;

·         nie instaluje Pan oprogramowania;

·         nie świadczy Pan usług doradztwa w zakresie sprzętu komputerowego lub oprogramowania;

·         nie zarządza Pan siecią ani systemami informatycznymi kontrahenta;

·         nie sporządza Pan opinii prawnych i nie dokonuje Pan wiążącej wykładni przepisów prawa.

Użyte we wniosku określenie „program cyberbezpieczeństwa” oznacza zorganizowany zbiór zasad, procedur, rejestrów, czynności kontrolnych oraz działań organizacyjnych. Nie oznacza ono programu komputerowego ani oprogramowania.

Określenie „doradztwo i wsparcie eksperckie” użyte w opisie zakresu usług miało charakter ogólny. Faktycznie wykonywane przez Pana wsparcie eksperckie polega na realizacji powierzonych czynności, przedstawianiu informacji o stanie realizacji działań, objaśnianiu obowiązujących u kontrahenta procedur oraz rozwiązywaniu bieżących kwestii wykonawczych na podstawie uprzednio ustalonych zasad. Nie świadczy Pan w tym zakresie odrębnej usługi doradczej.

4.    Na czym dokładnie polegały/polegają/będą polegały czynności, które wykonywał/wykonuje/ będzie Pan wykonywał w ramach usługi będącej przedmiotem wniosku, tj. w zakresie:

a)    opracowywania i nadzoru nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenia;

b)    oceny zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

c)    zarządzania ryzykiem w cyberbezpieczeństwie;

d)    wdrażania adekwatnych zabezpieczeń;

e)    zarządzania incydentami z zakresu cyberbezpieczeństwa;

f)     zarządzania podatnościami z zakresu cyberbezpieczeństwa;

g)    opracowywania i nadzoru nad dokumentacją z zakresu cyberbezpieczeństwa;

h)    audytu i raportowania z zakresu cyberbezpieczeństwa;

i)     szkolenia i uświadamiania (dla pracowników) z zakresu cyberbezpieczeństwa;

j)     doradztwa i wsparcie eksperckie z zakresu cyberbezpieczeństwa?

Proszę o ich wyczerpujące scharakteryzowanie, tj. opisanie:

1)   na czym konkretnie polegały/polegają/będą polegały te czynności i jakie dokładnie zadania/działania zrealizował/realizuje/zrealizuje Pan w ramach tych czynności?

2)   czego dotyczyły/dotyczą/będą dotyczyły?

3)   jaki był/jest/będzie ich zakres?

4)   jaki konkretny cel zrealizują/realizują/zrealizują?

5)   co było/jest/będzie ich efektem?

6)   w jaki sposób efekty te wykorzystywał/wykorzystuje/wykorzysta Pana kontrahent?

Proszę o oddzielną charakterystykę w odniesieniu do każdej z dziesięciu wykonywanych przez Pana czynności wymienionych w lit. a-j.

Odpowiedź: Używane poniżej określenia „zarządzanie”, „nadzór” lub „wdrażanie” odnoszą się do bieżącej organizacji, koordynacji, dokumentowania i monitorowania określonych działań. Nie oznaczają podejmowania decyzji zarządczych za kontrahenta, zarządzania jego przedsiębiorstwem ani zarządzania siecią lub systemami informatycznymi.

a)    Opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożeniem

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na porządkowaniu działań kontrahenta związanych z bezpieczeństwem informacji, przygotowywaniu i aktualizowaniu opisów procedur, ustalaniu kolejności realizacji wcześniej określonych zadań, prowadzeniu wykazu tych zadań oraz monitorowaniu terminów i stanu ich wykonania. Zbiera Pan od właściwych osób informacje o przebiegu działań, odnotowuje ich status, wskazuje brakujące dokumenty lub dowody wykonania oraz przygotowuje okresowe zestawienia dotyczące realizacji programu.

2.    Czego dotyczą czynności:

Czynności dotyczą organizacyjnych zasad postępowania w zakresie bezpieczeństwa informacji, w szczególności zasad nadawania i odbierania uprawnień, zgłaszania incydentów, postępowania z informacjami, kontroli realizacji obowiązków oraz dokumentowania wykonanych działań.

3.    Jaki jest zakres czynności:

Zakres obejmuje procesy i obszary wskazane przez kontrahenta. Nie tworzy Pan programów komputerowych, nie projektuje Pan systemów informatycznych i nie wybiera Pan rozwiązań technologicznych.

4.    Jaki cel realizują czynności:

Celem jest zapewnienie uporządkowanego, powtarzalnego i możliwego do udokumentowania sposobu wykonywania działań określonych przez kontrahenta.

5.    Co jest efektem czynności:

Efektem są zaktualizowane procedury, harmonogramy działań, wykazy zadań, rejestry ich realizacji oraz informacje o stanie wykonania programu.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje je do organizowania pracy osób odpowiedzialnych za poszczególne działania, sprawdzania terminowości ich wykonania oraz wykazywania, że przyjęte zasady są stosowane.

b)   Ocena zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na porównywaniu dokumentów, rejestrów i sposobu wykonywania procesów u kontrahenta z uprzednio określoną listą wymagań i kryteriów kontrolnych. Lista wymagań wynika z informacji oraz założeń przekazanych przez kontrahenta lub właściwych doradców prawnych kontrahenta. Sprawdza Pan, czy dla poszczególnych wymagań istnieją odpowiednie dokumenty, procedury, rejestry lub dowody wykonania działań. Nie rozstrzyga Pan, jakie przepisy mają zastosowanie do kontrahenta, nie dokonuje Pan ich wykładni oraz nie wydaje Pan opinii prawnej o zgodności działalności kontrahenta z prawem.

2.    Czego dotyczą czynności:

Czynności dotyczą formalnego i faktycznego wykonania określonych wcześniej obowiązków organizacyjnych i dokumentacyjnych związanych z cyberbezpieczeństwem.

3.    Jaki jest zakres czynności:

Zakres ogranicza się do zebrania informacji, sprawdzenia ich według ustalonych kryteriów oraz odnotowania stwierdzonego stanu. Ocena nie ma charakteru opinii prawnej, ani wiążącego potwierdzenia zgodności z prawem.

4.    Jaki cel realizują czynności:

Celem jest ustalenie, czy kontrahent posiada dokumenty i dowody wykonania działań odpowiadające przekazanej Panu liście wymagań.

5.    Co jest efektem czynności:

Efektem jest zestawienie stanu wykonania poszczególnych wymagań, wykaz brakujących dokumentów lub dowodów oraz opis faktycznie stwierdzonego stanu.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje zestawienie do podjęcia własnych decyzji, zlecenia wymaganych działań właściwym osobom lub uzyskania, w razie potrzeby, odrębnej porady prawnej.

c)    Zarządzanie ryzykiem w cyberbezpieczeństwie

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na zbieraniu informacji o zdarzeniach, procesach, zasobach i okolicznościach mogących wpływać na bezpieczeństwo informacji, wpisywaniu tych informacji do rejestru ryzyka oraz aktualizowaniu rejestru. Przypisuje Pan ryzykom kategorie i poziomy zgodnie z gotową metodą oraz kryteriami ustalonymi przez kontrahenta. Następnie monitoruje Pan realizację działań przypisanych do poszczególnych ryzyk i odnotowuje ich status.

2.    Czego dotyczą czynności:

Czynności dotyczą ryzyk wskazanych przez kontrahenta lub ujawnionych w toku bieżących przeglądów, incydentów i kontroli.

3.    Jaki jest zakres czynności:

Zakres obejmuje ewidencjonowanie, porządkowanie, klasyfikowanie według gotowych kryteriów oraz monitorowanie ryzyk. Nie podejmuje Pan decyzji o akceptacji ryzyka, ani o wyborze określonego sposobu postępowania z ryzykiem.

4.    Jaki cel realizują czynności:

Celem jest zapewnienie aktualnej i uporządkowanej informacji o ryzykach oraz o stanie realizacji działań wcześniej zatwierdzonych przez kontrahenta.

5.    Co jest efektem czynności:

Efektem jest aktualny rejestr ryzyka, zestawienie statusów oraz wykaz działań i terminów.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje rejestr do podejmowania decyzji dotyczących akceptacji ryzyka, kolejności działań oraz przydziału odpowiedzialności.

d)   Wdrażanie adekwatnych zabezpieczeń

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na organizowaniu i koordynowaniu zastosowania zabezpieczeń uprzednio wybranych i zatwierdzonych przez kontrahenta. Przekształca Pan zatwierdzony zakres działań w listę zadań, wskazuje Pan osoby odpowiedzialne zgodnie z decyzją kontrahenta, monitoruje Pan terminy, zbiera Pan informacje o wykonaniu oraz sprawdza Pan, czy zgromadzono wymagane potwierdzenia realizacji. Może Pan również aktualizować procedury i instrukcje organizacyjne związane z zastosowaniem zabezpieczenia.

2.    Czego dotyczą czynności:

Czynności dotyczą zabezpieczeń organizacyjnych i proceduralnych oraz organizacyjnego aspektu zastosowania zabezpieczeń technicznych wybranych przez kontrahenta.

3.    Jaki jest zakres czynności:

Zakres nie obejmuje programowania, tworzenia oprogramowania, instalowania oprogramowania, projektowania systemów ani doradzania w wyborze sprzętu lub oprogramowania.

4.    Jaki cel realizują czynności:

Celem jest doprowadzenie do wykonania zatwierdzonych przez kontrahenta działań oraz zapewnienie ich właściwego udokumentowania.

5.    Co jest efektem czynności:

Efektem jest wykonanie zaplanowanych działań organizacyjnych, zaktualizowanie procedur, zamknięcie zadań oraz zgromadzenie potwierdzeń ich realizacji.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje efekty w bieżącej działalności oraz do potwierdzania, że wskazane przez niego zabezpieczenia zostały zastosowane.

e)   Zarządzanie incydentami z zakresu cyberbezpieczeństwa

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na przyjmowaniu i rejestrowaniu informacji o zdarzeniach, nadawaniu im kategorii zgodnie z obowiązującą procedurą, przekazywaniu zgłoszeń właściwym osobom, monitorowaniu przebiegu działań oraz prowadzeniu chronologii incydentu. Gromadzi Pan informacje o podjętych czynnościach, aktualizuje Pan status incydentu, koordynuje Pan przepływ informacji i sprawdza Pan wykonanie działań zamykających.

2.    Czego dotyczą czynności:

Czynności dotyczą zdarzeń zgłaszanych jako potencjalne lub rzeczywiste naruszenia przyjętych zasad bezpieczeństwa informacji.

3.    Jaki jest zakres czynności:

Zakres obejmuje obsługę organizacyjną i dokumentacyjną incydentu. Nie obejmuje tworzenia narzędzi informatycznych, programowania ani podejmowania za kontrahenta decyzji dotyczących sposobu technicznego usunięcia incydentu.

4.    Jaki cel realizują czynności:

Celem jest zapewnienie uporządkowanego przebiegu obsługi incydentu, terminowego przekazywania informacji oraz kompletnego udokumentowania działań.

5.    Co jest efektem czynności:

Efektem jest karta lub rejestr incydentu, chronologia działań, zebrane potwierdzenia oraz informacja o zamknięciu incydentu.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje dokumentację do kontroli przebiegu incydentu, wyciągania wniosków organizacyjnych oraz wykazywania sposobu jego obsługi.

f)     Zarządzanie podatnościami z zakresu cyberbezpieczeństwa

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na zbieraniu informacji o podatnościach ujawnionych przez narzędzia, kontrole, audyty lub osoby odpowiedzialne za określone obszary, a następnie na wpisywaniu ich do rejestru. Przypisuje Pan podatnościom kategorie według wcześniej ustalonych kryteriów, przekazuje Pan informacje osobom odpowiedzialnym za ich usunięcie, monitoruje Pan terminy oraz odnotowuje Pan przedstawione dowody wykonania działań.

2.    Czego dotyczą czynności:

Czynności dotyczą zidentyfikowanych słabości organizacyjnych, proceduralnych albo technicznych wskazanych w otrzymanych wynikach kontroli lub skanowania.

3.    Jaki jest zakres czynności:

Zakres obejmuje ewidencję, klasyfikację według gotowych kryteriów, przekazywanie i monitorowanie informacji. Nie tworzy Pan narzędzi wykrywających podatności, nie przeprowadza Pan testów penetracyjnych i nie programuje Pan poprawek.

4.    Jaki cel realizują czynności:

Celem jest zapewnienie, aby każda ujawniona podatność została zarejestrowana, przekazana właściwej osobie i objęta kontrolą realizacji.

5.    Co jest efektem czynności:

Efektem jest aktualny rejestr podatności, wykaz terminów, statusów i dowodów wykonania działań.

6.    Jak kontrahent wykorzystuje efekty: Kontrahent wykorzystuje rejestr do ustalania kolejności działań oraz kontrolowania pracy osób odpowiedzialnych za usuwanie podatności.

g)   Opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na przygotowywaniu, porządkowaniu i aktualizowaniu dokumentów opisujących przyjęty przez kontrahenta sposób postępowania. Nanosi Pan do dokumentów zatwierdzone zmiany, ujednolica Pan ich układ, sprawdza Pan kompletność, prowadzi Pan rejestr wersji oraz koordynuje Pan proces przekazania dokumentów do akceptacji.

2.    Czego dotyczą czynności:

Czynności dotyczą polityk, procedur, instrukcji, formularzy, wykazów, rejestrów i szablonów wykorzystywanych w ramach organizacji cyberbezpieczeństwa.

3.    Jaki jest zakres czynności:

Zakres ma charakter dokumentacyjny i organizacyjny. Nie tworzy Pan dokumentacji programistycznej ani technicznego projektu systemu informatycznego.

4.    Jaki cel realizują czynności:

Celem jest zapewnienie, aby dokumentacja była aktualna, spójna, uporządkowana i dostępna dla właściwych osób.

5.    Co jest efektem czynności:

Efektem są zaktualizowane dokumenty, rejestr ich wersji oraz informacja o statusie zatwierdzenia.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje dokumentację jako wewnętrzne zasady wykonywania czynności oraz jako potwierdzenie przyjęcia określonych procedur.

h)   Audyt i raportowanie z zakresu cyberbezpieczeństwa

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności określane jako audyt polegają na wykonywaniu wewnętrznych przeglądów dokumentów, rejestrów i sposobu realizacji procesów według przygotowanej wcześniej listy kontrolnej. Zbiera Pan próbki dokumentów i dowodów, porównuje Pan je z kryteriami kontrolnymi, zapisuje Pan ustalony stan oraz przygotowuje Pan raport zawierający wyniki przeglądu i status poszczególnych punktów kontrolnych. Nie jest to audyt ustawowy, audyt finansowy ani usługa certyfikacyjna.

2.    Czego dotyczą czynności:

Czynności dotyczą sprawdzenia, czy określone procedury i działania są wykonywane oraz czy ich wykonanie zostało udokumentowane.

3.    Jaki jest zakres czynności:

Zakres obejmuje przegląd faktycznie dostępnych informacji i dowodów według ustalonych kryteriów. Nie obejmuje opinii prawnej, doradztwa informatycznego, ani projektowania rozwiązań.

4.    Jaki cel realizują czynności:

Celem jest przedstawienie kontrahentowi rzetelnej informacji o stanie realizacji kontrolowanych działań.

5.    Co jest efektem czynności:

Efektem jest raport z przeglądu, zestawienie ustaleń, wykaz brakujących dowodów oraz informacja o stanie wykonania działań.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje raport do kontroli wewnętrznej, przydzielania dalszych zadań oraz podejmowania własnych decyzji organizacyjnych.

i)     Szkolenie i uświadamianie pracowników z zakresu cyberbezpieczeństwa

1.    Na czym polegają czynności i jakie działania Pan realizuje:

Czynności polegają na przygotowywaniu i prowadzeniu spotkań informacyjnych oraz szkoleń dotyczących obowiązujących u kontrahenta zasad bezpieczeństwa. Przedstawia Pan pracownikom zatwierdzone zasady, omawia Pan sposób zgłaszania zdarzeń, wskazuje Pan prawidłowy sposób postępowania w typowych sytuacjach oraz sprawdza uczestnictwo w szkoleniu.

2.    Czego dotyczą czynności:

Czynności dotyczą wewnętrznych procedur, zasad bezpiecznego postępowania z informacjami oraz sposobu reagowania na zdarzenia.

3.    Jaki jest zakres czynności:

Zakres obejmuje przekazywanie wiedzy o zatwierdzonych zasadach. Nie obejmuje szkoleń programistycznych ani doradztwa dotyczącego projektowania lub wyboru systemów informatycznych.

4.    Jaki cel realizują czynności:

Celem jest zapoznanie pracowników z obowiązującymi zasadami i zwiększenie prawidłowości ich stosowania.

5.    Co jest efektem czynności:

Efektem jest przeprowadzone szkolenie, przekazane materiały, lista uczestników oraz potwierdzenia ukończenia szkolenia.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje efekty do podnoszenia świadomości pracowników oraz dokumentowania wykonania działań szkoleniowych.

j)     Doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa

1.    Na czym polegają czynności i jakie działania Pan realizuje:

W praktyce czynności te mają charakter wsparcia wykonawczego, a nie doradczego. Polegają na udziale w spotkaniach roboczych, przekazywaniu informacji o stanie realizacji działań, objaśnianiu obowiązujących procedur, porządkowaniu zgłoszonych kwestii oraz wykonywaniu konkretnych zadań powierzonych przez kontrahenta. Odpowiada Pan na pytania dotyczące treści istniejącej dokumentacji, statusu zadań, sposobu zastosowania obowiązującej procedury albo miejsca przechowywania określonych informacji. Nie przygotowuje Pan opinii, nie przedstawia Pan rekomendacji wyboru rozwiązania oraz nie podejmuje Pan decyzji za kontrahenta.

2.    Czego dotyczą czynności:

Czynności dotyczą bieżącej realizacji działań organizacyjnych, dokumentacyjnych i kontrolnych objętych zakresem usługi.

3.    Jaki jest zakres czynności:

Zakres ogranicza się do przekazywania informacji faktycznych, wyjaśniania istniejących procedur i wykonywania powierzonych zadań. Nie obejmuje doradztwa prawnego, biznesowego, informatycznego ani technicznego.

4.    Jaki cel realizują czynności:

Celem jest zapewnienie sprawnego wykonywania bieżących zadań oraz prawidłowego obiegu informacji między osobami uczestniczącymi w tych działaniach.

5.    Co jest efektem czynności:

Efektem są wykonane zadania, uporządkowane informacje, notatki ze spotkań, zaktualizowane statusy oraz rozwiązane kwestie dotyczące stosowania istniejących procedur.

6.    Jak kontrahent wykorzystuje efekty:

Kontrahent wykorzystuje efekty w bieżącej organizacji pracy oraz do monitorowania realizacji przyjętych zasad i zadań.

Wskazuje Pan ponadto, że opisany charakter usług był, jest i będzie taki sam. Usługi nie prowadzą do powstania programu komputerowego, kodu źródłowego, projektu systemu informatycznego ani innego rezultatu stanowiącego oprogramowanie. Nie instaluje Pan oprogramowania oraz nie zarządza Pan siecią, ani systemami informatycznymi kontrahenta.

Pytanie

Czy przychód osiągany w ramach pozarolniczej działalności gospodarczej z tytułu usług obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa,

wskazanych we wniosku, które mieszczą się w grupowaniu PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego” podlega opodatkowaniu ryczałtem od przychodów ewidencjonowanych przy zastosowaniu stawki 8,5%, zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy o ryczałcie?

Pana stanowisko w sprawie

Pana zdaniem, przychód osiągany w ramach pozarolniczej działalności gospodarczej z tytułu usług obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa,

które zostały zaklasyfikowane pod kodem PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego” podlega opodatkowaniu ryczałtem od przychodów ewidencjonowanych przy zastosowaniu stawki 8,5%, zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy o ryczałcie.

Zgodnie z art. 1 pkt 1 oraz art. 2 ust. 1 pkt 1 ustawy o ryczałcie, opodatkowaniu ryczałtem od przychodów ewidencjonowanych podlegają przychody (dochody) osiągane przez osoby fizyczne prowadzące pozarolniczą działalność gospodarczą.

Na podstawie art. 6 ust. 1 ustawy o ryczałcie, opodatkowaniu ryczałtem od przychodów ewidencjonowanych podlegają przychody osób fizycznych z pozarolniczej działalności gospodarczej, o których mowa m.in. w art. 14 ustawy o PIT, tj. kwoty należne, choćby nie zostały faktycznie otrzymane, po wyłączeniu wartości zwróconych towarów, udzielonych bonifikat i skont.

Jak zostało wskazane w art. 6 ust. 4 ustawy o ryczałcie, uprawnienie do skorzystania z ryczałtu od przychodów ewidencjonowanych przysługuje tym podatnikom, którzy w roku poprzedzającym rok podatkowy uzyskali przychód z pozarolniczej działalności gospodarczej w wysokości nieprzekraczającej 2 000 000 euro.

Dodatkowo, zgodnie z art. 8 ust. 2, utrata możliwości zastosowania ryczałtu od przychodów ewidencjonowanych następuje w przypadku osiągnięcia przychodów w ramach pozarolniczej działalności gospodarczej z tytułu sprzedaży towarów, wyrobów lub świadczenia usług na rzecz byłego lub obecnego pracodawcy odpowiadającym czynnościom, które podatnik wykonywał lub wykonuje w roku podatkowym w ramach stosunku pracy lub spółdzielczego stosunku pracy.

Na postawie art. 15 ust. 1 ustawy o ryczałcie, na podatnikach stosujących taką formę opodatkowania ciążą również obowiązki związane z prawidłowym prowadzeniem ewidencji przychodów odrębnie dla każdego roku podatkowego (dalej: „ewidencja przychodów”), wykazu środków trwałych oraz wartości niematerialnych i prawnych oraz posiadaniem i przechowywaniem dowodów zakupu towarów.

Cechą charakterystyczną formy opodatkowania jaką jest ryczałt od przychodów ewidencjonowanych, jest uzależnienie wysokości stawki ryczałtu od przychodów ewidencjonowanych od faktycznie wykonywanych przez podatnika czynności, podlegających klasyfikacji według PKWiU 2015. W świetle art. 12 ust. 3 ustawy o ryczałcie, jeśli podatnik prowadzi działalność, z której przychody podlegają opodatkowaniu różnymi stawkami ryczałtu od przychodów ewidencjonowanych, ryczałt ustala się według stawki właściwej dla każdego z rodzajów prowadzonej działalności, pod warunkiem prowadzenia ewidencji przychodów w sposób umożliwiający określenie wysokości przychodów z każdego rodzaju działalności.

W świetle art. 4 ust. 1 pkt 1 ustawy o ryczałcie, działalność usługowa została zdefiniowana jako pozarolnicza działalność gospodarcza, której przedmiotem są czynności zaliczane do usług zgodnie klasyfikacją PKWiU 2015, z zastrzeżeniem definicji działalności gastronomicznej oraz działalności usługowej w zakresie handlu.

Art. 12 ust. 1 ustawy o ryczałcie wskazuje właściwe stawki ryczałtu od przychodów ewidencjonowanych dla poszczególnych rodzajów usług sklasyfikowanych według PKWiU 2015.

Zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy o ryczałcie, stawka ryczałtu 8,5% znajdzie zastosowanie w stosunku do przychodów z działalności usługowej, w tym z działalności gastronomicznej w zakresie sprzedaży napojów o zawartości alkoholu powyżej 1,5%, z zastrzeżeniem usług wskazanych w pkt 1-4 oraz 6-8 tego artykułu.

Z kolei w art. 12 ust. 1 pkt 2b lit. b (od 1 stycznia 2022 r.) ustawy o ryczałcie zostało wskazane, iż właściwą stawką ryczałtu od przychodów ewidencjonowanych dla usług związanych z doradztwem w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), związanych z oprogramowaniem (PKWiU ex 62.01.1), objętych grupowaniem „Oryginały oprogramowania komputerowego” (PKWiU 62.01.2), związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02), w zakresie instalowania oprogramowania (PKWiU ex 62.09.20.0), związanych z zarządzaniem siecią i systemami informatycznymi (PKWiU 62.03.1), jest stawka 12% (od roku 2022).

Ponadto art. 12 ust. 1 pkt 2 lit. h przewiduje stawkę 15% w przypadku świadczenia usług związanych z nadawaniem programów ogólnodostępnych i abonamentowych (PKWiU dział 60).

Powyższy przepis nie wskazuje jednak na zastosowanie 12%-owej (od roku 2022) oraz 15% stawki ryczałtu od przychodów ewidencjonowanych do usług obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa,

które zostały zaklasyfikowane pod kodem PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”.

Trzeba zwrócić uwagę, iż na podstawie art. 4 ust. 4 ustawy o ryczałcie, ilekroć w ustawie pojawia się przedrostek „ex” przy symbolu danego grupowania PKWiU, należy to rozumieć jako zawężenie zakresu wyrobów lub usług w stosunku do ich określenia w tym grupowaniu. Oznacza to, że zastosowanie takiego symbolu przy danym kodzie statystycznym ma na celu zawężenie stosowania danego przepisu tylko do danego grupowania.

Konkludując powyższe, w stosunku do przychodów z Pana działalności obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa,

które zostały zaklasyfikowane pod kodem PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego” nie powinna znaleźć zastosowania 12%-owa (od roku 2022) oraz odpowiednio 15% stawka ryczałtu od przychodów ewidencjonowanych, ponieważ usługi te nie mieszczą się w definicji usług związanych z doradztwem w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), związanych z oprogramowaniem (PKWiU ex 62.01.1), objętych grupowaniem „Oryginały oprogramowania komputerowego” (PKWiU 62.01.2), związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02), w zakresie instalowania oprogramowania (PKWiU ex 62.09.20.0), związanych z zarządzaniem siecią i systemami informatycznymi (PKWiU 62.03.1) oraz usług związanych z nadawaniem programów ogólnodostępnych i abonamentowych (PKWiU dział 60), oraz nie są usługami związanymi z oprogramowaniem.

Ze względu na fakt, iż ustawa o ryczałcie nie przewiduje odrębnej stawki ryczałtu od przychodów ewidencjonowanych dla przychodów osiągniętych z usług obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa,

które zostały zaklasyfikowane pod kodem PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego” zastosowanie znajdzie w przypadku tych usług stawka ryczałtu 8,5%, jako właściwa dla przychodów z działalności usługowej, zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy o ryczałcie.

Ocena stanowiska

Stanowisko, które przedstawił Pan we wniosku jest prawidłowe.

Uzasadnienie interpretacji indywidualnej

Stosownie do art. 1 pkt 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843 ze zm.):

Przy czym w myśl art. 4 ust. 1 pkt 12 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Według art. 5a pkt 6 ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (t. j. Dz. U. z 2026 r. poz. 592 ze zm.):

Z kolei, zgodnie z treścią art. 5b ust. 1 ustawy o podatku dochodowym od osób fizycznych:

Stosownie do art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Zgodnie z art. 6 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

W myśl art. 6 ust. 4 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Możliwość opodatkowania w formie ryczałtu od przychodów ewidencjonowanych uzależniona jest między innymi od niespełnienia przesłanek negatywnych określonych w art. 8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Według ww. przepisu:

Kolejnym warunkiem skorzystania ze zryczałtowanej formy opodatkowania jest złożenie oświadczenia o wyborze opodatkowania w formie ryczałtu od przychodów ewidencjonowanych.

Na podstawie art. 9 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Zgodnie z art. 4 ust. 4 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Oznaczenie „ex” dotyczy zatem tylko określonej usługi z danego grupowania. Umieszczenie tego dopisku przy konkretnym symbolu statystycznym ma na celu zawężenie stosowania przepisu tylko do tej nazwy grupowania.

Wysokość stawki ryczałtu od przychodów ewidencjonowanych zależy od tego, z jakiego rodzaju działalności podatnik uzyskuje przychody. Zostały one określone w art. 12 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

W myśl art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Stosownie do art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Ponadto zauważyć należy, że możliwość opłacania oraz wysokość stawki ryczałtu od przychodów ewidencjonowanych uzyskanych w związku z prowadzoną działalnością gospodarczą zależy wyłącznie od faktycznego rodzaju świadczonych w ramach tej działalności usług. Zatem konieczne jest każdorazowe przypisanie rodzaju wykonywanych czynności do określonego grupowania PKWiU.

Z opisu sprawy wynika, że jest Pan polskim rezydentem podatkowym, prowadzącym jednoosobową działalność gospodarczą. Pana wniosek dotyczy roku podatkowego 2025 i kolejnych. Pana działalność była, jest i będzie działalnością usługową w rozumieniu art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne i obejmuje świadczenie usług, szczegółowo opisanych w uzupełnieniu, obejmujących:

·         opracowywanie i nadzór nad programem cyberbezpieczeństwa, w tym nad procedurami i procesami cyberbezpieczeństwa oraz ich wdrożenie;

·         ocenę zgodności organizacji z przepisami prawa w kontekście cyberbezpieczeństwa;

·         zarządzanie ryzykiem w cyberbezpieczeństwie;

·         wdrażanie adekwatnych zabezpieczeń;

·         zarządzanie incydentami z zakresu cyberbezpieczeństwa;

·         zarządzanie podatnościami z zakresu cyberbezpieczeństwa;

·         opracowywanie i nadzór nad dokumentacją z zakresu cyberbezpieczeństwa;

·         audyt i raportowanie z zakresu cyberbezpieczeństwa;

·         szkolenia i uświadamianie (dla pracowników) z zakresu cyberbezpieczeństwa;

·         doradztwo i wsparcie eksperckie z zakresu cyberbezpieczeństwa,

które Ośrodek Klasyfikacji i Nomenklatur Urzędu Statystycznego (...) sklasyfikował w grupowaniu PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”. Wszelkie wskazane powyżej zadania, które Pan realizuje, dotyczą usług pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego. W wyniku świadczonych usług udziela Pan pomocy klientowi w użytkowaniu i usuwaniu usterek sprzętu komputerowego, włączając testowanie i to jest efektem ich świadczenia. Charakter tych usług jest ściśle ukierunkowany na udzielanie pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego. Wskazany wyżej zakres opisanych prac nie stanowi usług związanych z szeroko rozumianym wytwarzaniem, rozwojem oraz implementacją oprogramowania, doradztwem w zakresie oprogramowania, a także doradztwem w zakresie sprzętu komputerowego. Świadczone usługi nie są związane z doradztwem w zakresie sprzętu komputerowego PKWiU ex 62.02.10.0, nie są związane z oprogramowaniem PKWiU ex 62.01.1, nie są objęte grupowaniem „ Oryginały oprogramowania komputerowego” (PKWiU 62.01.2), nie są związane z doradztwem w zakresie oprogramowania PKWiU ex 62.02, nie są związane z zarządzeniem siecią i systemami informatycznymi PKWiU 62.03.1. Usługa będąca przedmiotem wniosku nie polegała, nie polega i nie będzie polegała na udzielaniu porad, opinii ani wyjaśnień charakterystycznych dla usług doradztwa. Nie przedstawia Pan kontrahentowi wariantów postępowania wraz z rekomendacją wyboru określonego rozwiązania, nie podejmuje Pan za kontrahenta decyzji dotyczących sposobu prowadzenia działalności ani nie formułuje Pan opinii prawnych, technicznych lub informatycznych. Pana czynności polegają na wykonywaniu uzgodnionych działań w ramach istniejących u kontrahenta zasad, wymagań, procedur i kryteriów. Zbiera i porządkuje Pan informacje, prowadzi Pan rejestry, aktualizuje Pan dokumentację, monitoruje Pan wykonanie ustalonych działań, koordynuje Pan ich przebieg oraz przygotowuje Pan informacje o stanie ich realizacji. Decyzje dotyczące wyboru zabezpieczeń, akceptacji ryzyka, zakresu obowiązków prawnych, wyboru rozwiązań technicznych oraz kierunków działania podejmuje kontrahent albo właściwe osoby lub podmioty działające na jego rzecz. W szczególności nie tworzy, nie rozwija ani nie modyfikuje Pan oprogramowania; nie tworzy Pan kodu źródłowego; nie projektuje Pan architektury systemów informatycznych; nie instaluje Pan oprogramowania; nie świadczy Pan usług doradztwa w zakresie sprzętu komputerowego lub oprogramowania; nie zarządza Pan siecią ani systemami informatycznymi kontrahenta; nie sporządza Pan opinii prawnych i nie dokonuje Pan wiążącej wykładni przepisów prawa. Użyte we wniosku określenie „program cyberbezpieczeństwa” oznacza zorganizowany zbiór zasad, procedur, rejestrów, czynności kontrolnych oraz działań organizacyjnych. Nie oznacza ono programu komputerowego, ani oprogramowania. Określenie „doradztwo i wsparcie eksperckie” użyte w opisie zakresu usług miało charakter ogólny. Faktycznie wykonywane przez Pana wsparcie eksperckie polega na realizacji powierzonych czynności, przedstawianiu informacji o stanie realizacji działań, objaśnianiu obowiązujących u kontrahenta procedur oraz rozwiązywaniu bieżących kwestii wykonawczych na podstawie uprzednio ustalonych zasad. Nie świadczy Pan w tym zakresie odrębnej usługi doradczej.

W odniesieniu zatem do świadczonych przez Pana usług sklasyfikowanych pod symbolem PKWiU 62.02.30.0 wskazać należy, że nie zostały one objęte dyspozycją art. 12 ust. 1 pkt 1-4 oraz 6-8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

W związku z powyższym, przychody osiągane z tytułu świadczenia usług sklasyfikowanych pod symbolem PKWiU 62.02.30.0, które – jak wynika z okoliczności przedstawionych w opisie sprawy – nie były/nie są/nie będą związane z doradztwem w zakresie oprogramowania (w rozumieniu PKWiU ex 62.02), były/są/będą opodatkowane zryczałtowanym podatkiem dochodowym w wysokości 8,5%, zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym.

Na podstawie powołanych wyżej przepisów oraz opisu sprawy stwierdzam, że przychody uzyskiwane przez Pana w ramach działalności gospodarczej, z tytułu świadczenia usług będących przedmiotem wniosku, sklasyfikowanych pod symbolem PKWiU 62.02.30.0, i które – jak wynika ze wskazanych przez Pana we wniosku i uzupełnieniu okoliczności – nie były/nie są/nie będą związane z doradztwem w zakresie oprogramowania, podlegały/podlegają/będą podlegały opodatkowaniu ryczałtem od przychodów ewidencjonowanych stawką w wysokości 8,5%, zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Zaznaczyć jednak należy, że ww. stawka ryczałtu znajdzie zastosowanie wyłącznie, jeśli spełnione były/są/będą warunki do zastosowania tej formy opodatkowania, o których mowa w cytowanych przepisach ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Dodatkowe informacje

Informacja o zakresie rozstrzygnięcia

Interpretacja dotyczy:

-        zaistniałego stanu faktycznego przedstawionego przez Pana i stanu prawnego obowiązującego w dacie zaistnienia zdarzenia,

-        zdarzenia przyszłego przedstawionego przez Pana i stanu prawnego obowiązującego w dniu wydania interpretacji.

Interpretacja została wydana przy założeniu, że poprawnie zakwalifikował Pan świadczone usługi do odpowiedniego grupowania PKWiU. Interpretacja nie rozstrzyga o prawidłowości tej klasyfikacji. Przyporządkowanie do wskazanej klasyfikacji zostało podane jako element opisu stanu faktycznego i zdarzenia przyszłego.

Interpretacja indywidualna wywołuje skutki prawnopodatkowe tylko wtedy, gdy rzeczywisty stan faktyczny sprawy będącej przedmiotem interpretacji pokrywał się będzie ze stanem faktycznym i zdarzeniem przyszłym podanym przez wnioskodawcę w złożonym wniosku. W związku z powyższym, w przypadku zmiany któregokolwiek elementu przedstawionego we wniosku opisu sprawy, udzielona interpretacja traci swoją aktualność

Przy wydawaniu niniejszej interpretacji tutejszy organ dokonał wyłącznie analizy okoliczności podanych we wniosku. Rolą postępowania w sprawie wydania indywidualnej interpretacji przepisów prawa podatkowego nie jest bowiem ustalanie, czy przedstawiony we wniosku stan faktyczny i zdarzenie przyszłe jest zgodne ze stanem rzeczywistym. W ramach postępowania o wydanie interpretacji przepisów prawa podatkowego organ nie przeprowadza postępowania dowodowego, lecz opiera się jedynie na stanie faktycznym oraz zdarzeniu przyszłym przedstawionym we wniosku. Ustalenie stanu rzeczywistego stanowi domenę ewentualnego postępowania podatkowego. To na podatniku ciąży obowiązek udowodnienia w toku tego postępowania okoliczności faktycznych, z których wywodzi on dla siebie korzystne skutki prawne.

Pouczenie o funkcji ochronnej interpretacji

·   Funkcję ochronną interpretacji indywidualnych określają przepisy art. 14k-14nb ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa (t. j. Dz. U. z 2026 r. poz. 622 ze zm.). Interpretacja będzie mogła pełnić funkcję ochronną, jeśli Pana sytuacja będzie zgodna (tożsama) z opisem stanu faktycznego i zdarzenia przyszłego oraz zastosuje się Pan do interpretacji.

·   Zgodnie z art. 14na § 1 Ordynacji podatkowej:

·   Zgodnie z art. 14na § 2 Ordynacji podatkowej:

Pouczenie o prawie do wniesienia skargi na interpretację

Ma Pan prawo do zaskarżenia tej interpretacji indywidualnej do Wojewódzkiego Sądu Administracyjnego. Zasady zaskarżania interpretacji indywidualnych reguluje ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2026 r. poz. 143 ze zm.; dalej jako „PPSA”).

Skargę do Sądu wnosi się za pośrednictwem Dyrektora KIS (art. 54 § 1 PPSA). Skargę należy wnieść w terminie trzydziestu dni od dnia doręczenia interpretacji indywidualnej (art. 53 § 1 PPSA):

·    w formie papierowej, w dwóch egzemplarzach (oryginał i odpis) na adres: Krajowa Informacja Skarbowa, ul. Warszawska 5, 43-300 Bielsko-Biała (art. 47 § 1 PPSA), albo

·    w formie dokumentu elektronicznego, w jednym egzemplarzu (bez odpisu), na adres Krajowej Informacji Skarbowej na platformie ePUAP: /KIS/wnioski albo /KIS/SkrytkaESP (art. 47 § 3 i art. 54 § 1a PPSA).

Skarga na interpretację indywidualną może opierać się wyłącznie na zarzucie naruszenia przepisów postępowania, dopuszczeniu się błędu wykładni lub niewłaściwej oceny co do zastosowania przepisu prawa materialnego. Sąd jest związany zarzutami skargi oraz powołaną podstawą prawną (art. 57a PPSA).

Podstawa prawna dla wydania interpretacji

Podstawą prawną dla wydania tej interpretacji jest art. 13 § 2a oraz art. 14b § 1 Ordynacji podatkowej.