0112-KDSL1-2.4011.531.2026.2.AP

Interpretacja indywidualna
– stanowisko nieprawidłowe

Szanowny Panie,

stwierdzam, że Pana stanowisko w sprawie oceny skutków podatkowych opisanego stanu faktycznego w zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne jest nieprawidłowe.

Zakres wniosku o wydanie interpretacji indywidualnej

1 lipca 2026 r. wpłynął Pana wniosek z 1 lipca 2026 r. o wydanie interpretacji indywidualnej. Uzupełnił go Pan pismem z 16 sierpnia 2026 r. (wpływ 16 sierpnia 2026 r.) – w odpowiedzi na wezwanie. Treść wniosku jest następująca:

Opis stanu faktycznego

Prowadzi Pan jednoosobową działalność gospodarczą zarejestrowaną w CEIDG, rozlicza się Pan w oparciu o zasady ryczałtu od przychodu ewidencjonowanego. Zakłada Pan, że przychody w roku nie przekroczą 2 000 000 EUR. Jest Pan polskim rezydentem podatkowym. Pana działalność jest zarejestrowana od 1 marca 2022 r. z kodami PKD:

70.20.Z – Doradztwo w zakresie prowadzenia działalności gospodarczej i pozostałe doradztwo w zakresie zarządzania,

62.20.A – Działalność w zakresie cyberbezpieczeństwa,

62.20.B – Pozostała działalność związana z doradztwem w zakresie informatyki oraz zarządzaniem urządzeniami informatycznymi,

62.90.Z – Pozostała działalność usługowa w zakresie technologii informatycznych i komputerowych,

74.99.Z – Wszelka pozostała działalność profesjonalna, naukowa i techniczna, gdzie indziej niesklasyfikowana.

Od marca 2026 r świadczy Pan usługi dla (…). U kontrahenta jest Pan odpowiedzialny za:

1.    Prowadzenie i koordynację spraw dotyczących istotnych podatności bezpieczeństwa zidentyfikowanych w ramach testów (…) oraz działań operacyjnych z obszaru bezpieczeństwa IT.

2.    Zarządzanie powierzonymi sprawami w obszarze bezpieczeństwa informacji, w tym ocena ryzyka, ustalanie priorytetów, monitorowanie postępów oraz zapewnienie terminowej realizacji działań zgodnie z obowiązującymi w organizacji standardami.

3.    Koordynację współpracy pomiędzy zespołami technicznymi i biznesowymi oraz monitorowanie terminowości realizacji działań naprawczych.

4.    Raportowanie statusu spraw, identyfikację ryzyk oraz ich eskalację do właściwych interesariuszy.

5.    Wsparcie procesów zarządzania ryzykiem IT z wykorzystaniem uznanych standardów i frameworków cyberbezpieczeństwa.

Pana działalność koncentruje się na ocenie bezpieczeństwa w obszarze IT, zgodnie z PKD 62.20.A – Działalność w zakresie cyberbezpieczeństwa. Wykonuje Pan techniczne audyty bezpieczeństwa IT, które stanowią usługi w rozumieniu art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym. Nie świadczy Pan usług doradztwa w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), doradztwa w zakresie oprogramowania (PKWiU ex 62.02), projektowania, programowania, rozwoju, ani modyfikacji oprogramowania (PKWiU ex 62.01.1 oraz 62.01.2), instalowania oprogramowania (PKWiU ex 62.09.20.0), ani usług zarządzania siecią i systemami informatycznymi (PKWiU 62.03.1).

Świadczy Pan usługi doradcze w zakresie cyberbezpieczeństwa, obejmujące bezpieczeństwo technologii informatycznych, ochronę informacji oraz zapewnienie zgodności ze standardami i przepisami dotyczącymi bezpieczeństwa systemów, danych i prywatności. Przeprowadza Pan audyty, oceny ryzyka, testy bezpieczeństwa oraz analizy podatności systemów, sieci, aplikacji i procesów w przedsiębiorstwie, a następnie sporządza Pan i przedstawia raporty z uzyskanych wyników. W ramach działalności przygotowuje Pan rekomendacje oraz projektuje i wdraża techniczne usprawnienia infrastruktury IT, systemów i aplikacji oraz procesów organizacyjnych (np. proces wdrożenia nowego pracownika, zarządzanie zmianami, cykl życia systemu) z perspektywy bezpieczeństwa informacji, aby łagodzić, minimalizować lub eliminować wykryte luki i ryzyka. Celem Pana usług jest ograniczenie ryzyka IT zgodnie z apetytem ryzyka ustalonym wewnątrz organizacji klienta oraz wsparcie w osiągnięciu zgodności z obowiązującymi standardami i regulacjami.

Oferuje Pan także stały nadzór nad programem bezpieczeństwa informacji i zarządzanie nim w organizacji. Zakres Pana kompetencji obejmuje zadania typowe dla audytora, analityka, inżyniera, kierownika projektu oraz lidera ds. cyberbezpieczeństwa i zgodności w organizacji korzystającej z Pana usług.

W ramach prowadzonej działalności nie wykonuje Pan czynności związanych z oprogramowaniem – nie tworzy Pan, nie pisze, nie analizuje, ani nie modyfikuje kodu, nie pełni Pan funkcji programisty. Pana rola ogranicza się do analizy podatności, projektowania rozwiązań technicznych na poziomie konfiguracji systemowej, koordynacji działań oraz przeprowadzania audytów.

Pierwszy miesiąc świadczenia usług był w marcu i w marcu została wystawiona faktura VAT. Nie otrzymuje Pan innych dochodów podlegających opodatkowaniu. Prowadzi Pan ewidencję przychodów umożliwiającą określenie przychodu.

Pana czynności mają charakter operacyjny i techniczny, a nie doradczy czy programistyczny.

W uzupełnieniu wniosku udzielił Pan następujących odpowiedzi na zawarte w wezwaniu pytania:

1.    We wniosku wskazał Pan:

oraz

Wobec powyższego, proszę o jednoznaczne wskazanie, jakie dokładnie czynności wykonuje Pan w ramach świadczonych usług, będących przedmiotem złożonego wniosku? Proszę o ich enumeratywne wymienienie (w formie katalogu zamkniętego) oraz wyczerpujące scharakteryzowanie, tj. opisanie:

1)    na czym konkretnie polegają te czynności i jakie dokładnie zadania/działania realizuje Pan w ramach tych czynności?

2)    czego dotyczą?

3)    jaki jest ich zakres?

4)    jaki konkretny cel realizują?

5)    co jest ich efektem?

6)    w jaki sposób efekty te wykorzystuje Pana zleceniodawca?

Proszę o oddzielną charakterystykę w odniesieniu do każdej z czynności wykonywanych przez Pana w ramach usług będących przedmiotem wniosku.

Odpowiedź: Szczegółowa charakterystyka każdej czynności.

·         Przeprowadzanie audytów bezpieczeństwa informacji.

1)    na czym polegają:

-        Planowanie audytu (zakres, cele, metodyka).

-        Zbieranie dokumentacji (polityki, procedury, diagramy sieci, konfiguracje).

-        Przeprowadzenie przeglądu zgodności z politykami i standardami.

-        Wywiady z właścicielami procesów i administratorami.

-        Weryfikacja wdrożeń technicznych i procesowych.

2)    czego dotyczą: systemów zarządzania informacją.

3)    zakres: od przeglądu dokumentacyjnego po weryfikację konfiguracji i procedur.

4)    cel: ocenić zgodność i skuteczność zabezpieczeń oraz zidentyfikować luki i ryzyka.

5)    efekt: szczegółowy raport poaudytowy z ustaleniami, oceną ryzyka, priorytetyzacją niezgodności i rekomendacjami.

6)    wykorzystanie efektów przez zleceniodawcę: planowanie działań naprawczych, poprawa polityk i procedur, alokacja budżetu na zabezpieczenia, dowód zgodności dla audytów zewnętrznych.

·         Oceny ryzyka IT (analizy ryzyka).

1)    na czym polegają:

-        Identyfikacja aktywów, zagrożeń i podatności.

-        Określenie wpływu i prawdopodobieństwa.

-        Kwantyfikacja/kwalifikacja ryzyka.

2)    czego dotyczą: wybranych systemów informatycznych, procesów biznesowych.

3)    zakres: od pojedynczych systemów po procesy organizacyjne; może obejmować ocenę ryzyka dla całego obszaru IT.

4)    cel: umożliwić świadome decyzje zarządcze o priorytetach i środkach kontroli.

5)    efekt: lista ryzyk z oceną i rekomendowanymi działaniami.

6)    wykorzystanie: priorytetyzacja projektów bezpieczeństwa, budżetowanie, raportowanie do zarządu.

·         Analizy podatności i testy bezpieczeństwa (w tym koordynacja testów (…)).

1)    na czym polegają:

-        Plan testów (zakres, reguły, zgody).

-        Zlecenie testów penetracyjnych (…) u zewnętrznych wykonawców.

-        Analiza wyników, weryfikacja false positives, klasyfikacja podatności.

2)    czego dotyczą: systemów, serwerów, sieci.

3)    zakres: od skanów automatycznych po testy manualne; obejmuje identyfikację i weryfikację krytycznych podatności.

4)    cel: wykryć i opisać podatności, które mogą być wykorzystane przez atakujących.

5)    efekt: raport z listą podatności, oceną krytyczności, instrukcjami naprawczymi i propozycją priorytetów.

6)    wykorzystanie: zespoły techniczne wdrażają poprawki/zmiany konfiguracji; zarząd monitoruje ryzyko; dokumentacja służy do audytów i compliance.

·         Przygotowywanie rekomendacji technicznych i organizacyjnych.

1)    na czym polegają:

-        Opracowanie konkretnych działań naprawczych (konfiguracje, polityki, procedury, zmiany architektury).

-        Priorytetyzacja i oszacowanie wymaganego wysiłku/zasobów.

2)    czego dotyczą: konfiguracji systemów, polityk dostępu.

3)    zakres: od pojedynczych ustawień konfiguracyjnych po zmiany procesowe i projektowe.

4)    cel: zredukować wykryte luki i doprowadzić do zgodności ze standardami.

5)    efekt: dokument rekomendacji z krokami wdrożeniowymi, kryteriami sukcesu i metrykami.

6)    wykorzystanie: implementacja przez zespoły IT.

·         Projektowanie rozwiązań konfiguracyjnych i usprawnień infrastruktury.

1)    na czym polegają:

-        Opracowanie wzorców konfiguracji (…).

-        Przygotowanie specyfikacji technicznej do wdrożenia.

2)    czego dotyczą: serwerów.

3)    zakres: projekt konfiguracyjny, dokumentacja wdrożeniowa, rekomendacje testów.

4)    cel: poprawa bezpieczeństwa operacyjnego i zmniejszenie powierzchni ataku.

5)    efekt: specyfikacje, checklisty konfiguracji, propozycje architektury.

6)    wykorzystanie: inżynierowie wdrażają zmiany; dokumentacja służy utrzymaniu i audytom.

·         Koordynacja i zarządzanie działaniami naprawczymi (…).

1)    na czym polegają:

-        Przyjmowanie wyników testów/podatności, przypisywanie właścicieli, ustalanie terminów.

-        Monitorowanie postępów, eskalacje, weryfikacja zamknięcia.

2)    czego dotyczą: listy podatności, zadania konfiguracyjne, zmiany procesowe.

3)    zakres: zarządzanie cyklem od wykrycia do zweryfikowanego zamknięcia.

4)    cel: zapewnić terminowe i skuteczne usunięcie krytycznych problemów.

5)    efekt: zamknięte zadania, zaktualizowane statusy, dowody weryfikacji.

6)    wykorzystanie: zleceniodawca raportuje zgodność, redukuje ryzyka i planuje dalsze działania.

·         Monitorowanie postępów i raportowanie statusu interesariuszom.

1)    na czym polegają:

-        Przygotowanie cyklicznych raportów statusowych, dashboardów, spotkań statusowych.

-        Identyfikacja ryzyk i rekomendacja eskalacji.

2)    czego dotyczą: postępów w działaniach naprawczych.

3)    zakres: raporty techniczne i zarządcze.

4)    cel: zapewnić przejrzystość i umożliwić decyzje zarządcze.

5)    efekt: raporty, prezentacje.

6)    wykorzystanie: zarząd i właściciele procesów podejmują decyzje i alokują zasoby.

·         Wsparcie procesów zarządzania ryzykiem i zgodnością.

1)    na czym polegają:

-        Pomoc przy wdrażaniu standardów.

-        Przygotowanie do audytów, mapowanie wymagań prawnych.

2)    czego dotyczą: polityk, procedur, kontroli technicznych i organizacyjnych.

3)    zakres: doradztwo strategiczne i operacyjne.

4)    cel: osiągnięcie i utrzymanie zgodności.

5)    efekt: dokumentacja zgodności, plan działań korygujących.

6)    wykorzystanie: zleceniodawca używa do certyfikacji i raportowania regulatorom.

·         Stały nadzór nad programem bezpieczeństwa informacji.

1)    na czym polegają:

-        Utrzymanie backlogu działań bezpieczeństwa, przeglądy ryzyk.

-        Aktualizacja polityk.

2)    czego dotyczą: całego programu bezpieczeństwa informacji organizacji.

3)    zakres: długoterminowe zarządzanie programem.

4)    cel: zapewnić ciągłość i rozwój bezpieczeństwa IT.

5)    efekt: (…), zrealizowane inicjatywy.

6)    wykorzystanie: zleceniodawca ma stały nadzór i wsparcie eksperckie.

2.    Czy czynności wykonywane przez Pana w ramach usług będących przedmiotem wniosku polegają na udzielaniu porad, opinii i wyjaśnień charakterystycznych dla usług doradztwa? Proszę uzasadnić.

Odpowiedź: Tak. Większość wymienionych czynności ma charakter doradczy-techniczny: identyfikuje Pan problemy, ocenia ryzyko, proponuje rozwiązania i rekomenduje priorytety.

Uzasadnienie:

·        Audyty, oceny ryzyka i analizy podatności dostarczają wiedzy i ocen, na podstawie których klient podejmuje decyzje.

·        Rekomendacje i projektowanie rozwiązań to formy doradztwa technicznego i organizacyjnego, ponieważ nie polegają na stałym wykonywaniu pracy operacyjnej za klienta, lecz na wskazaniu, jak klient powinien postąpić.

·        Koordynacja i zarządzanie sprawami naprawczymi obejmują elementy wykonawcze (monitoring, weryfikacja), ale nadal w ramach roli doradczej – nadzoruje Pan i weryfikuje działania, nie wykonuje Pan programistycznych prac naprawczych.

3.    Co dokładnie zawierają i czego dotyczą rekomendacje, które przygotowuje Pan w ramach działalności?

Odpowiedź: Rekomendacje zawierają:

·        Opis problemu (krótka synteza wykrytej luki).

·        Kategoryzację krytyczności (np. krytyczne/wysokie/średnie/niskie).

·        Szczegółowe kroki naprawcze (konkretne ustawienia konfiguracyjne, zmiany w politykach, procedury testowe).

·        Sugerowane terminy i priorytety (np. natychmiastowe/30 dni/90 dni).

·        Szacunkowy wysiłek i zasoby (przybliżony czas pracy, wymagane role, wdrożenie/zakup oprogramowania lub sprzętu).

·        Kryteria weryfikacji (jak sprawdzić, że problem został usunięty).

·        Wpływ na biznes (ocena wpływu na operacje i ryzyko).

·        Opcje alternatywne (jeśli istnieją różne podejścia). Rekomendacje dotyczą konfiguracji, procesów, polityk i ewentualnych zmian architektonicznych – nie zawierają kodu, ani implementacji programistycznej.

4.    Na czym dokładnie polegają świadczone przez Pana usługi doradcze w zakresie cyberbezpieczeństwa?

Odpowiedź:

·        Diagnoza: identyfikacja zagrożeń i podatności.

·        Analiza: ocena ryzyka i wpływu na biznes.

·        Doradztwo: proponowanie rozwiązań technicznych i organizacyjnych.

·        Planowanie: przygotowanie roadmapy działań i priorytetów.

·        Nadzór: koordynacja wdrożeń, weryfikacja i raportowanie.

·        Wsparcie zgodności: mapowanie wymagań prawnych i standardów.

Wszystkie powyższe działania mają charakter doradczy i koordynacyjny; nie obejmują tworzenia lub modyfikacji kodu źródłowego.

5.    Co dokładnie zawierają (jakie dane i informacje) sporządzane i przedstawiane przez Pana raporty z uzyskanych wyników po przeprowadzonych audytach, ocenach ryzyka, testach bezpieczeństwa oraz analizach podatności systemów, sieci, aplikacji i procesów w przedsiębiorstwie?

Odpowiedź: Raporty zawierają:

·        Streszczenie wykonanych działań (zakres, metodyka, daty).

·        Opis badanych zasobów (lista systemów, serwerów, aplikacji, sieci, usług chmurowych objętych testem).

·        Szczegółowe wyniki (lista wykrytych podatności/niezgodności wraz z dowodami, zrzutami/logami tam, gdzie to konieczne).

·        Ocena krytyczności i ryzyka dla każdej pozycji.

·        Rekomendacje naprawcze z priorytetami i kryteriami weryfikacji.

·        Plan działań (sugestie kolejności i estymacje wysiłku).

Czy ww. raporty dotyczą konkretnych systemów informatycznych lub oprogramowania?

Odpowiedź: Tak.

6.    Wobec wskazania we wniosku, że:

proszę wyjaśnić jakich dokładnie systemów, sieci, aplikacji oraz infrastruktury IT dotyczą świadczone przez Pana usługi?

Odpowiedź: Usługi dotyczą systemów, sieci i aplikacji wchodzących w skład całej infrastruktury IT klienta. Są to m.in.:

·        systemy bazodanowe,

·        systemy przechowywania danych,

·        sieci przewodowe LAN,

·        sieci bezprzewodowe WLAN,

·        systemy operacyjne,

·        aplikacje tworzone wewnątrz organizacji,

·        aplikacje w modelu (…),

·        środowiska deweloperskie,

·        rozwiązania chmurowe,

·        systemy wirtualizacji środowiska IT,

·        stacje robocze,

·        serwery,

·        urządzenia/systemy z obszaru bezpieczeństwa IT.

Pytanie

Czy przychód z prowadzonej przez Pana działalności, opisanej we wniosku, kwalifikuje się do opodatkowania w formie ryczałtu od przychodów ewidencjonowanych w wysokości ustalonej zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy z 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, a więc w stawce 8,5%?

Pana stanowisko w sprawie

Pana zdaniem, przychód z tytułu opisanej działalności usługowej z zakresu cyberbezpieczeństwa może być opodatkowany w formie ryczałtu od przychodów ewidencjonowanych według stawki 8,5% (art. 12 ust. 1 pkt 5 lit. a u.o.r.).

Według Pana, spełnia Pan warunki do opodatkowania ryczałtem, w tym warunek dotyczący limitu przychodów (art. 6 ust. 4 u.o.r.) oraz warunek dotyczący świadczenia usług na rzecz byłego/obecnego pracodawcy (art. 8 ust. 2 pkt 1 lit. b u.o.r.).

Nie wykonuje Pan usług związanych z doradztwem w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), związanych z oprogramowaniem (PKWiU ex 62.01.1), objętych grupowaniem „Oryginały oprogramowania komputerowego” (PKWiU 62.01.2), związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02), w zakresie instalowania oprogramowania (PKWiU ex 62.09.20.0), związanych z zarządzaniem siecią i systemami informatycznymi (PKWiU 62.03.1) – art. 12 ust. 1 pkt 2b lit. b u.o.r.

Na podstawie art. 14b § 1 ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa wnosi Pan o wydanie interpretacji indywidualnej w przedmiocie kwalifikacji podatkowej przychodów uzyskiwanych z prowadzonej przez Pana działalności gospodarczej w zakresie cyberbezpieczeństwa oraz zastosowania stawki ryczałtu od przychodów ewidencjonowanych w wysokości 8,5%, zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (dalej: u.o.r.).

Stan faktyczny przedstawiony we wniosku (w tym opis zakresu czynności wykonywanych na rzecz (…), wskazanie kodów PKD/PKWiU oraz przykładowych zadań: przeprowadzanie testów penetracyjnych i skanów podatności, analiza wyników testów, audyty techniczne konfiguracji systemów i aplikacji, projektowanie i wdrażanie zmian konfiguracyjnych na poziomie systemowym, monitorowanie zagrożeń, weryfikacja wdrożonych poprawek, nadzór nad programem bezpieczeństwa oraz koordynacja działań technicznych) należy uznać za rzetelne i kompletne dla potrzeb oceny prawnej.

Zgodnie z art. 4 ust. 1 pkt 1 u.o.r., przedmiotem opodatkowania ryczałtem są przychody z działalności gospodarczej w rozumieniu przepisów o swobodzie działalności gospodarczej, w tym przychody z działalności usługowej.

Na gruncie art. 12 ust. 1 pkt 5 lit. a u.o.r., stawka 8,5% ma zastosowanie do przychodów z działalności usługowej, z zastrzeżeniem katalogu wyłączeń wskazanych w art. 12 ust. 1 pkt 2b lit. b u.o.r. (m.in. usługi związane z projektowaniem, programowaniem, rozwojem oprogramowania, doradztwem w zakresie oprogramowania, zarządzaniem systemami informatycznymi).

W świetle powyższego kluczowe dla zastosowania stawki 8,5% jest merytoryczne przyporządkowanie świadczonych przez Pana czynności do odpowiedniego grupowania PKWiU oraz wykazanie, że nie mieszczą się one w katalogu wyłączeń.

Wykonywane przez Pana czynności mają charakter techniczny i operacyjny, polegający na bezpośredniej pracy z infrastrukturą informatyczną i konfiguracją systemów w celu identyfikacji i eliminacji luk bezpieczeństwa. W szczególności: (i) przeprowadzanie testów penetracyjnych i skanów podatności (…) oraz analiza techniczna wyników tych testów; (ii) audyty techniczne konfiguracji systemów, aplikacji i urządzeń sieciowych; (iii) projektowanie i wdrażanie zmian konfiguracyjnych na poziomie systemowym ((…), segmentacja, konfiguracja mechanizmów kontroli dostępu) mające na celu usunięcie wykrytych podatności; (iv) monitorowanie zagrożeń i weryfikacja skuteczności zastosowanych poprawek technicznych; (v) weryfikacja i testowanie wdrożonych rozwiązań zabezpieczających. Działania te nie obejmują tworzenia, modyfikacji ani rozwoju kodu źródłowego, nie polegają na świadczeniu usług instalacyjnych oprogramowania w rozumieniu PKWiU ex 62.09.20.0, nie stanowią usług doradczych w rozumieniu katalogu wyłączeń (tj. doradztwa w zakresie oprogramowania lub sprzętu), ani zarządzania systemami i sieciami informatycznymi w sensie operacyjnym obejmującym stałe administrowanie środowiskiem klienta (PKWiU 62.03.1).

W związku z tym zasadnym jest przyporządkowanie świadczonych usług do grupowania PKWiU 62.02.30.0 – Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego, które obejmuje usługi o charakterze technicznym i pomocniczym wobec infrastruktury IT.

W świetle art. 12 ust. 1 pkt 2b lit. b u.o.r. oraz wykładni dokonywanej w praktyce orzeczniczej i interpretacyjnej, wyłączenia ze stawki 8,5% dotyczą usług o charakterze projektowo-programistycznym, doradczym w zakresie oprogramowania oraz usług polegających na zarządzaniu systemami informatycznymi.

W przedstawionym stanie faktycznym brak jest elementów typowych dla tych wyłączeń: nie wykonuje Pan prac programistycznych, nie tworzy, ani nie modyfikuje Pan kodu źródłowego, nie świadczy stałego administrowania systemami, ani usług wdrożeniowych polegających na instalacji oprogramowania w rozumieniu PKWiU ex 62.09.20.0, a rekomendacje techniczne, które Pan sporządza, mają charakter wynikowy i wykonawczy (konfiguracje, poprawki, testy weryfikacyjne), a nie strategicznego doradztwa biznesowego czy tworzenia oprogramowania.

Mając na uwadze obowiązujące przepisy proceduralne, wniosek o wydanie interpretacji indywidualnej składa Pan na podstawie art. 14b § 1 Ordynacji podatkowej; w związku z powyższym wnosi Pan o potwierdzenie, że przychody uzyskiwane z działalności opisanej we wniosku podlegają opodatkowaniu ryczałtem od przychodów ewidencjonowanych według stawki 8,5% (art. 12 ust. 1 pkt 5 lit. a u.o.r.), przy jednoczesnym stwierdzeniu, iż opisane usługi kwalifikują się do PKWiU 62.02.30.0 i nie mieszczą się w katalogu wyłączeń wskazanym w art. 12 ust. 1 pkt 2b lit. b u.o.r.

Ponadto oświadcza Pan, że spełnia warunki formalne do opodatkowania w formie ryczałtu, w tym warunek limitu przychodów określony w art. 6 ust. 4 u.o.r., oraz warunek dotyczący świadczenia usług na rzecz byłego/obecnego pracodawcy określony w art. 8 ust. 2 pkt 1 lit. b u.o.r. (jeżeli ma zastosowanie).

W razie potrzeby zobowiązuje się Pan do przedstawienia dodatkowych dokumentów potwierdzających techniczny charakter świadczonych usług.

W uzasadnieniu prawnym niniejszego stanowiska powołuje się Pan na: art. 4 ust. 1 pkt 1 u.o.r. (zakres przedmiotu opodatkowania ryczałtem), art. 6 ust. 4 u.o.r. (limit przychodów uprawniający do wyboru ryczałtu), art. 8 ust. 2 pkt 1 lit. b u.o.r. (świadczenie usług na rzecz byłego/obecnego pracodawcy), art. 12 ust. 1 pkt 5 lit. a u.o.r. (stosowanie stawki 8,5%), art. 12 ust. 1 pkt 2b lit. b u.o.r. (katalog wyłączeń), oraz art. 14b § 1 Ordynacji podatkowej (podstawa wniosku o interpretację indywidualną).

Dodatkowo wskazuje Pan na dotychczasową linię interpretacyjną organów podatkowych, w tym interpretacje indywidualne potwierdzające możliwość kwalifikacji usług o charakterze technicznym w obszarze cyberbezpieczeństwa do PKWiU 62.02.30.0 i zastosowania stawki 8,5% (przykładowo: interpretacja indywidualna Dyrektora Krajowej Informacji Skarbowej z 4 kwietnia 2025 r., sygn. 0114-KDIP3-1.4011.115.2025.2.BS – wnioskuje Pan o uwzględnienie tej linii orzeczniczej przy ocenie złożonego wniosku).

Ocena stanowiska

Stanowisko, które przedstawił Pan we wniosku jest nieprawidłowe.

Uzasadnienie interpretacji indywidualnej

Stosownie do art. 1 pkt 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843 ze zm.):

Przy czym w myśl art. 4 ust. 1 pkt 12 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Według art. 5a pkt 6 ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (t. j. Dz. U. z 2026 r. poz. 592 ze zm.):

Z kolei, zgodnie z treścią art. 5b ust. 1 tej ustawy:

Stosownie do art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Na mocy art. 6 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

W myśl art. 6 ust. 4 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Możliwość opodatkowania w formie ryczałtu od przychodów ewidencjonowanych uzależniona jest między innymi od niespełnienia przesłanek negatywnych określonych w art. 8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Według ww. przepisu:

Kolejnym warunkiem skorzystania ze zryczałtowanej formy opodatkowania jest złożenie oświadczenia o wyborze opodatkowania w formie ryczałtu od przychodów ewidencjonowanych.

Na podstawie art. 9 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Na podstawie art. 4 ust. 4 cytowanej ustawy:

Oznaczenie „ex” dotyczy zatem tylko określonej usługi z danego grupowania. Umieszczenie tego dopisku przy konkretnym symbolu statystycznym ma na celu zawężenie stosowania przepisu tylko do tej nazwy grupowania.

Stawki ryczałtu od przychodów ewidencjonowanych zostały określone w art. 12 ust. 1 ustawy i zależą od tego, z jakiego rodzaju działalności podatnik uzyskuje przychody. Dla rozróżnienia rodzajów tych działalności, ustawodawca posłużył się m.in. grupowaniami Polskiej Klasyfikacji Wyrobów i Usług (PKWiU), wprowadzonej rozporządzeniem Rady Ministrów z dnia 4 września 2015 r. w sprawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU) (Dz. U. z 2015 r. poz. 1676). Zatem konieczne jest każdorazowe przypisanie rodzaju wykonywanych czynności do określonego grupowania PKWiU.

W myśl art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Stosownie do art. 12 ust. 1 pkt 5 lit. a ww. ustawy:

Co do zasady, przychody z działalności usługowej są objęte stawką ryczałtu w wysokości 8,5%, jeżeli brak jest możliwości przyporządkowania danego rodzaju usług do innych kategorii czynności precyzyjnie określonych w art. 12 ust. 1 pkt 1-4 oraz 6-8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, do których stosowane są odmienne stawki.

Z opisu sprawy przedstawionego we wniosku oraz jego uzupełnieniu wynika, że prowadzi Pan jednoosobową działalność gospodarczą zarejestrowaną w CEIDG, rozlicza się Pan w oparciu o zasady ryczałtu od przychodu ewidencjonowanego. Zakłada Pan, że Pana przychody nie przekroczą kwoty 2 000 000 EUR. Jest Pan polskim rezydentem podatkowym. Pana działalność jest zarejestrowana od 1 marca 2022 r. Od marca 2026 r świadczy Pan usługi dla (…). U kontrahenta jest Pan odpowiedzialny za:

·         Prowadzenie i koordynację spraw dotyczących istotnych podatności bezpieczeństwa zidentyfikowanych w ramach testów (…) oraz działań operacyjnych z obszaru bezpieczeństwa IT.

·         Zarządzanie powierzonymi sprawami w obszarze bezpieczeństwa informacji, w tym ocena ryzyka, ustalanie priorytetów, monitorowanie postępów oraz zapewnienie terminowej realizacji działań zgodnie z obowiązującymi w organizacji standardami.

·         Koordynację współpracy pomiędzy zespołami technicznymi i biznesowymi oraz monitorowanie terminowości realizacji działań naprawczych.

·         Raportowanie statusu spraw, identyfikację ryzyk oraz ich eskalację do właściwych interesariuszy.

·         Wsparcie procesów zarządzania ryzykiem IT z wykorzystaniem uznanych standardów i frameworków cyberbezpieczeństwa.

W uzupełnieniu wniosku przedstawił Pan szczegółową charakterystykę każdej czynności.

1.    Przeprowadzanie audytów bezpieczeństwa informacji – polega na: planowaniu audytu (zakres, cele, metodyka); zbieraniu dokumentacji (polityki, procedury, diagramy sieci, konfiguracje); przeprowadzeniu przeglądu zgodności z politykami i standardami; wywiadach z właścicielami procesów i administratorami; weryfikacji wdrożeń technicznych i procesowych. Dotyczy systemów zarządzania informacją. Zakres: od przeglądu dokumentacyjnego po weryfikację konfiguracji i procedur. Cel: ocenić zgodność i skuteczność zabezpieczeń oraz zidentyfikować luki i ryzyka. Efekt: szczegółowy raport poaudytowy z ustaleniami, oceną ryzyka, priorytetyzacją niezgodności i rekomendacjami. Wykorzystanie efektów przez zleceniodawcę: planowanie działań naprawczych, poprawa polityk i procedur, alokacja budżetu na zabezpieczenia, dowód zgodności dla audytów zewnętrznych.

2.    Ocena ryzyka IT (analiza ryzyka) – polega na: identyfikacji aktywów, zagrożeń i podatności; określeniu wpływu i prawdopodobieństwa; kwantyfikacji/kwalifikacji ryzyka. Dotyczy wybranych systemów informatycznych, procesów biznesowych. Zakres: od pojedynczych systemów po procesy organizacyjne; może obejmować ocenę ryzyka dla całego obszaru IT. Cel: umożliwić świadome decyzje zarządcze o priorytetach i środkach kontroli. Efekt: lista ryzyk z oceną i rekomendowanymi działaniami. Wykorzystanie efektów przez zleceniodawcę: priorytetyzacja projektów bezpieczeństwa, budżetowanie, raportowanie do zarządu.

3.    Analiza podatności i testy bezpieczeństwa (w tym koordynacja testów (…)) – polega na: planie testów (zakres, reguły, zgody); zleceniu testów penetracyjnych (…) u zewnętrznych wykonawców; analizie wyników, weryfikacji false positives, klasyfikacji podatności. Dotyczy systemów, serwerów, sieci. Zakres: od skanów automatycznych po testy manualne; obejmuje identyfikację i weryfikację krytycznych podatności. Cel: wykryć i opisać podatności, które mogą być wykorzystane przez atakujących. Efekt: raport z listą podatności, oceną krytyczności, instrukcjami naprawczymi i propozycją priorytetów. Wykorzystanie efektów przez zleceniodawcę: zespoły techniczne wdrażają poprawki/zmiany konfiguracji; zarząd monitoruje ryzyko; dokumentacja służy do audytów i compliance.

4.    Przygotowywanie rekomendacji technicznych i organizacyjnych – polega na: opracowaniu konkretnych działań naprawczych (konfiguracje, polityki, procedury, zmiany architektury); priorytetyzacji i oszacowaniu wymaganego wysiłku/zasobów. Dotyczy konfiguracji systemów, polityk dostępu. Zakres: od pojedynczych ustawień konfiguracyjnych po zmiany procesowe i projektowe. Cel: zredukować wykryte luki i doprowadzić do zgodności ze standardami. Efekt: dokument rekomendacji z krokami wdrożeniowymi, kryteriami sukcesu i metrykami. Wykorzystanie efektów przez zleceniodawcę: implementacja przez zespoły IT.

5.    Projektowanie rozwiązań konfiguracyjnych i usprawnień infrastruktury – polega na opracowaniu wzorców konfiguracji (…) oraz przygotowaniu specyfikacji technicznej do wdrożenia. Dotyczy serwerów. Zakres: projekt konfiguracyjny, dokumentacja wdrożeniowa, rekomendacje testów. Cel: poprawa bezpieczeństwa operacyjnego i zmniejszenie powierzchni ataku. Efekt: specyfikacje, checklisty konfiguracji, propozycje architektury. Wykorzystanie efektów przez zleceniodawcę: inżynierowie wdrażają zmiany; dokumentacja służy utrzymaniu i audytom.

6.    Koordynacja i zarządzanie działaniami naprawczymi (…) – polega na przyjmowaniu wyników testów/podatności, przypisywaniu właścicieli, ustalaniu terminów oraz monitorowaniu postępów, eskalacji, weryfikacji zamknięcia. Dotyczy listy podatności, zadania konfiguracyjne, zmiany procesowe. Zakres: zarządzanie cyklem od wykrycia do zweryfikowanego zamknięcia. Cel: zapewnić terminowe i skuteczne usunięcie krytycznych problemów. Efekt: zamknięte zadania, zaktualizowane statusy, dowody weryfikacji. Wykorzystanie efektów przez zleceniodawcę: zleceniodawca raportuje zgodność, redukcję ryzyka i planuje dalsze działania.

7.    Monitorowanie postępów i raportowanie statusu interesariuszom – polega na przygotowaniu cyklicznych raportów statusowych, dashboardów, spotkań statusowych oraz identyfikacji ryzyk i rekomendacji eskalacji. Dotyczy postępów w działaniach naprawczych. Zakres: raporty techniczne i zarządcze. Cel: zapewnić przejrzystość i umożliwić decyzje zarządcze. Efekt: raporty, prezentacje. Wykorzystanie efektów przez zleceniodawcę: zarząd i właściciele procesów podejmują decyzje i alokują zasoby.

8.    Wsparcie procesów zarządzania ryzykiem i zgodnością – polega na pomocy przy wdrażaniu standardów oraz przygotowaniu do audytów, mapowaniu wymagań prawnych. Dotyczy polityk, procedur, kontroli technicznych i organizacyjnych. Zakres: doradztwo strategiczne i operacyjne. Cel: osiągnięcie i utrzymanie zgodności. Efekt: dokumentacja zgodności, plan działań korygujących. Wykorzystanie efektów przez zleceniodawcę: zleceniodawca używa do certyfikacji i raportowania regulatorom.

9.    Stały nadzór nad programem bezpieczeństwa informacji – polega na utrzymaniu backlogu działań bezpieczeństwa, przeglądy ryzyk oraz aktualizacji polityk. Dotyczy całego programu bezpieczeństwa informacji organizacji. Zakres: długoterminowe zarządzanie programem. Cel: zapewnić ciągłość i rozwój bezpieczeństwa IT. Efekt: (…), zrealizowane inicjatywy. Wykorzystanie efektów przez zleceniodawcę: zleceniodawca ma stały nadzór i wsparcie eksperckie.

Pana działalność koncentruje się na ocenie bezpieczeństwa w obszarze IT. Wykonuje Pan techniczne audyty bezpieczeństwa IT, które stanowią usługi w rozumieniu art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. Świadczy Pan usługi doradcze w zakresie cyberbezpieczeństwa, obejmujące bezpieczeństwo technologii informatycznych, ochronę informacji oraz zapewnienie zgodności ze standardami i przepisami dotyczącymi bezpieczeństwa systemów, danych i prywatności. Przeprowadza Pan audyty, oceny ryzyka, testy bezpieczeństwa oraz analizy podatności systemów, sieci, aplikacji i procesów w przedsiębiorstwie, a następnie sporządza Pan i przedstawia raporty z uzyskanych wyników. W ramach działalności przygotowuje Pan rekomendacje oraz projektuje i wdraża techniczne usprawnienia infrastruktury IT, systemów i aplikacji oraz procesów organizacyjnych (np. proces wdrożenia nowego pracownika, zarządzanie zmianami, cykl życia systemu) z perspektywy bezpieczeństwa informacji, aby łagodzić, minimalizować lub eliminować wykryte luki i ryzyka. Celem Pana usług jest ograniczenie ryzyka IT zgodnie z apetytem ryzyka ustalonym wewnątrz organizacji klienta oraz wsparcie w osiągnięciu zgodności z obowiązującymi standardami i regulacjami. Oferuje Pan także stały nadzór nad programem bezpieczeństwa informacji i zarządzanie nim w organizacji. Zakres Pana kompetencji obejmuje zadania typowe dla audytora, analityka, inżyniera, kierownika projektu oraz lidera ds. cyberbezpieczeństwa i zgodności w organizacji korzystającej z Pana usług. W ramach prowadzonej działalności nie wykonuje Pan czynności związanych z oprogramowaniem – nie tworzy Pan, nie pisze, nie analizuje, ani nie modyfikuje kodu, nie pełni Pan funkcji programisty. Pana rola ogranicza się do analizy podatności, projektowania rozwiązań technicznych na poziomie konfiguracji systemowej, koordynacji działań oraz przeprowadzania audytów. Nie otrzymuje Pan innych dochodów podlegających opodatkowaniu. Prowadzi Pan ewidencję przychodów umożliwiającą określenie przychodu.

Dokonując analizy będących przedmiotem wniosku usług, w pierwszej kolejności należy mieć na uwadze Polską Klasyfikacją Wyrobów i Usług (PKWiU) wprowadzoną rozporządzeniem Rady Ministrów z dnia 4 września 2015 r. w sprawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU) (Dz. U. z 2015 r. poz. 1676 ze zm.) oraz wyjaśnienia Głównego Urzędu Statystycznego do PKWiU z 2015 r.

I tak – zgodnie ze schematem klasyfikacji PKWiU 2015 – klasa PKWiU 62.02 „Usługi związane z doradztwem w zakresie informatyki” obejmuje następujące grupowania:

-        62.02.10.0 „Usługi związane z doradztwem w zakresie sprzętu komputerowego”;

-        62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego”;

-        62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego”.

Klasa PKWiU 62.02 „Usługi związane z doradztwem w zakresie informatyki” nie obejmuje:

-       usług związanych z doradztwem połączonych z projektowaniem i rozwojem technologii informatycznych (strona internetowa, baza danych, określona aplikacja, sieć itp.), sklasyfikowanych w 62.01.1,

-       usług związanych z doradztwem w zakresie strategii przedsiębiorstw, takich jak: doradztwo dotyczące rozwoju strategii handlu elektronicznego, sklasyfikowanych w 70.22.11.0.

Zgodnie z wyjaśnieniami GUS do PKWiU 2015:

Grupowanie PKWiU 62.02.10.0 „Usługi związane z doradztwem w zakresie sprzętu komputerowego” obejmuje:

-        usługi związane z doradztwem lub opiniowaniem przez specjalistę technologii informatycznych dotyczące sprzętu komputerowego, takie jak: doradztwo w sprawach dotyczących wymagań odnośnie sprzętu komputerowego i zaopatrzenia w sprzęt komputerowy,

-        usługi w zakresie dostarczania certyfikatów dotyczących sprzętu komputerowego,

-        usługi łączące ocenę potrzeb związanych z systemem komputerowym, doradzanie w zakresie zakupu oprogramowania i sprzętu komputerowego oraz umieszczenia nowego systemu na miejscu,

-        usługi w zakresie integracji systemów komputerowych, tj. analiza aktualnego systemu komputerowego klienta, obecne i przyszłe wymagania odnośnie zakupu nowego sprzętu i oprogramowania oraz integracja nowych i starych elementów systemu w celu stworzenia nowego zintegrowanego systemu.

Grupowanie PKWiU 62.02.20.0 „Usługi związane z doradztwem w zakresie oprogramowania komputerowego” obejmuje:

-     usługi związane z doradztwem lub opiniowaniem przez ekspertów spraw w zakresie systemów informatycznych i oprogramowania, takie jak:

-        doradztwo dotyczące oprogramowania w zakresie wymagań i zaopatrzenia,

-        systemy zabezpieczające.

Natomiast grupowanie 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego” obejmuje usługi pomocy technicznej mające na celu rozwiązanie problemów klienta w zakresie technologii informatycznych i sprzętu komputerowego, takie jak:

-        udzielanie pomocy klientowi w uruchamianiu i usuwaniu usterek w oprogramowaniu,

-        usługi zastępowania nowszą wersją oprogramowania,

-        udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek sprzętu komputerowego, włączając testowanie podstawowego oprogramowania oraz naprawę sprzętu informatycznego,

-        udzielanie pomocy technicznej w przenoszeniu systemu komputerowego klienta na nowe miejsce,

-        udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek dla kombinacji sprzęt komputerowy i oprogramowanie,

-        udzielanie pomocy technicznej w celu rozwiązania problemów klienta związanych z użytkowaniem systemu komputerowego, tj. usługi w zakresie kontroli lub oceny działania komputera, włączając usługi w zakresie kontroli, oceny i dokumentowania serwera, sieci lub technologii dla elementów, wydajności lub bezpieczeństwa.

Grupowanie to nie obejmuje:

-        usług odzyskiwania danych, sklasyfikowanych w 62.09.20.0.

Jak wynika z powołanego przepisu art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne ustawodawca przewidział 12% stawkę ryczałtu m.in. dla usług związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02).

Jednak znajdujące się przy grupowaniu PKWiU 62.02 oznaczenie „ex” oznacza, że stawkę ryczałtu 12% należy stosować wyłącznie do przychodów uzyskiwanych ze świadczenia usług, które są związane z doradztwem w zakresie oprogramowania.

Zgodnie z wykładnią literalną słowo „związany z” oznacza „dotyczy czegoś, mający związek z czymś lub kimś”. Tym samym usługi związane z doradztwem w zakresie oprogramowania to usługi, które dotyczą doradztwa w zakresie oprogramowania.

Ustawa o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, nie zawiera definicji oprogramowania. W tym celu – mając na względzie, że ustawa dla ustalenia właściwej stawki podatku, odsyła do właściwej klasyfikacji statystycznej – należy posłużyć się definicją Oprogramowania zawartą w zeszycie metodologicznym Głównego Urzędu Statystycznego „Zeszyt metodologiczny. Wskaźnik społeczeństwa informacyjnego. Badania wykorzystania technologii informacyjno-komunikacyjnych”. Zgodnie z zawartą tam definicją Oprogramowanie (Software) to – całość instrukcji i procedur (programów) oraz powiązanych z nimi danych umożliwiających komputerom i innym programowalnym urządzeniom wykonywanie określonych funkcji. Oprogramowanie jest często rozumiane jako synonim terminu program komputerowy, chociaż ma nieco szersze znaczenie – obejmuje także programy wykorzystywane przez inne urządzenia. Do oprogramowania zalicza się systemy operacyjne, programy użytkowe (aplikacje), programy do tworzenia programów, programy sterujące działaniem różnych urządzeń (od telewizorów i innego sprzętu elektronicznego, kalkulatorów, przez telefony komórkowe, do podzespołów komputerowych np. nagrywarek DVD) – tzw. firmware, a także różnego rodzaju programy wykorzystywane przez urządzenia i systemy sieciowe, telekomunikacyjne itp.

Ponadto, pojęcie „doradzać” – w świetle definicji zawartej w internetowym Słowniku Języka Polskiego PWN – oznacza „udzielić porady, wskazać sposób postępowania w jakiejś sprawie”. Na podobny kierunek wskazuje również potoczne rozumienie tego terminu, zgodnie z którym „doradztwo” to udzielanie porad, opinii i wyjaśnień.

Zatem usługi związane z doradztwem w zakresie oprogramowania (PKWiU ex 62.02) to takie spośród „Usług związanych z doradztwem w zakresie informatyki” (PKWiU 62.02), które dotyczą doradztwa w zakresie oprogramowania.

Jeszcze raz podkreślam, że przepis art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne w przypadku PKWiU ex 62.02, wskazuje na związek świadczonych usług z doradztwem w zakresie oprogramowania, przy czym związek ten, może być zarówno bezpośredni, jak i pośredni.

Biorąc pod uwagę przedstawiony opis sprawy, w szczególności zakres świadczonych usług, powołane przepisy prawa, a także uwzględniając ww. Zasady metodyczne oraz wyjaśnienia GUS do Polskiej Klasyfikacji Wyrobów i Usług stwierdzam, że świadczone przez Pana usługi, które opisał Pan we wniosku i uzupełnieniu, wpisują się w zakres grupowania PKWiU 62.02 „USŁUGI ZWIĄZANE Z DORADZTWEM W ZAKRESIE INFORMATYKI”, bowiem mają związek z doradztwem w zakresie oprogramowania.

Jak sam Pan wskazał, świadczy Pan usługi doradcze w zakresie cyberbezpieczeństwa, obejmujące bezpieczeństwo technologii informatycznych, ochronę informacji oraz zapewnienie zgodności ze standardami i przepisami dotyczącymi bezpieczeństwa systemów, danych i prywatności. Przeprowadza Pan audyty, oceny ryzyka, testy bezpieczeństwa oraz analizy podatności systemów, sieci, aplikacji i procesów w przedsiębiorstwie, a następnie sporządza Pan i przedstawia raporty z uzyskanych wyników. W ramach działalności przygotowuje Pan rekomendacje oraz projektuje i wdraża techniczne usprawnienia infrastruktury IT, systemów i aplikacji oraz procesów organizacyjnych (np. proces wdrożenia nowego pracownika, zarządzanie zmianami, cykl życia systemu) z perspektywy bezpieczeństwa informacji, aby łagodzić, minimalizować lub eliminować wykryte luki i ryzyka. Celem Pana usług jest ograniczenie ryzyka IT zgodnie z apetytem ryzyka ustalonym wewnątrz organizacji klienta oraz wsparcie w osiągnięciu zgodności z obowiązującymi standardami i regulacjami. Oferuje Pan także stały nadzór nad programem bezpieczeństwa informacji i zarządzanie nim w organizacji. Zakres Pana kompetencji obejmuje zadania typowe dla audytora, analityka, inżyniera, kierownika projektu oraz lidera ds. cyberbezpieczeństwa i zgodności w organizacji korzystającej z Pana usług. W odpowiedzi na pytanie, czy czynności wykonywane przez Pana w ramach usług będących przedmiotem wniosku polegają na udzielaniu porad, opinii i wyjaśnień charakterystycznych dla usług doradztwa wskazał Pan: tak. Wyjaśnił Pan ponadto, że większość wymienionych czynności ma charakter doradczy-techniczny: identyfikuje Pan problemy, ocenia ryzyko, proponuje rozwiązania i rekomenduje priorytety. Uzasadnił Pan powyższe wskazując, że:

-        audyty, oceny ryzyka i analizy podatności dostarczają wiedzy i ocen, na podstawie których klient podejmuje decyzje;

-        rekomendacje i projektowanie rozwiązań to formy doradztwa technicznego i organizacyjnego, ponieważ nie polegają na stałym wykonywaniu pracy operacyjnej za klienta, lecz na wskazaniu, jak klient powinien postąpić;

-        koordynacja i zarządzanie sprawami naprawczymi obejmują elementy wykonawcze (monitoring, weryfikacja), ale nadal w ramach roli doradczej – nadzoruje Pan i weryfikuje działania, nie wykonuje Pan programistycznych prac naprawczych.

Rekomendacje, które przygotowuje Pan w ramach działalności zawierają: opis problemu (krótka synteza wykrytej luki); kategoryzację krytyczności (np. krytyczne/wysokie/średnie/niskie); szczegółowe kroki naprawcze (konkretne ustawienia konfiguracyjne, zmiany w politykach, procedury testowe); sugerowane terminy i priorytety (np. natychmiastowe/30 dni/90 dni); szacunkowy wysiłek i zasoby (przybliżony czas pracy, wymagane role, wdrożenie/zakup oprogramowania lub sprzętu); kryteria weryfikacji (jak sprawdzić, że problem został usunięty); wpływ na biznes (ocena wpływu na operacje i ryzyko); opcje alternatywne (jeśli istnieją różne podejścia). Rekomendacje dotyczą konfiguracji, procesów, polityk i ewentualnych zmian architektonicznych – nie zawierają kodu, ani implementacji programistycznej. Świadczone przez Pana usługi doradcze w zakresie cyberbezpieczeństwa polegają na: diagnozie – identyfikacji zagrożeń i podatności; analizie – ocenie ryzyka i wpływu na biznes; doradztwie – proponowaniu rozwiązań technicznych i organizacyjnych; planowaniu – przygotowaniu roadmapy działań i priorytetów; nadzorze – koordynacji wdrożeń, weryfikacji i raportowaniu; wsparciu zgodności – mapowaniu wymagań prawnych i standardów. Wszystkie powyższe działania mają charakter doradczy i koordynacyjny; nie obejmują tworzenia lub modyfikacji kodu źródłowego. Sporządzane i przedstawiane przez Pana raporty z uzyskanych wyników po przeprowadzonych audytach, ocenach ryzyka, testach bezpieczeństwa oraz analizach podatności systemów, sieci, aplikacji i procesów w przedsiębiorstwie zawierają: streszczenie wykonanych działań (zakres, metodyka, daty); opis badanych zasobów (lista systemów, serwerów, aplikacji, sieci, usług chmurowych objętych testem); szczegółowe wyniki (lista wykrytych podatności/niezgodności wraz z dowodami, zrzutami/logami tam, gdzie to konieczne), ocenę krytyczności i ryzyka dla każdej pozycji; rekomendacje naprawcze z priorytetami i kryteriami weryfikacji; plan działań (sugestie kolejności i estymacje wysiłku). Odpowiadając na pytanie organu, czy ww. raporty dotyczą konkretnych systemów informatycznych lub oprogramowania wyjaśnił Pan, że tak – świadczone przez Pana usługi dotyczą systemów, sieci i aplikacji wchodzących w skład całej infrastruktury IT klienta. Są to m.in.: systemy bazodanowe, systemy przechowywania danych, sieci przewodowe LAN, sieci bezprzewodowe WLAN, systemy operacyjne, aplikacje tworzone wewnątrz organizacji, aplikacje w modelu (…), środowiska deweloperskie, rozwiązania chmurowe, systemy wirtualizacji środowiska IT, stacje robocze, serwery, urządzenia/systemy z obszaru bezpieczeństwa IT.

W tym miejscu wskazuję, że systemy oraz systemy informatyczne wchodzą w zakres pojęcia „oprogramowanie”. Zgodnie z Encyklopedią PWN, „system informatyczny” to zespół systemów komputerowych, sieci i oprogramowania, służący do przetwarzania informacji; w skład systemu informatycznego wchodzi z reguły komputer (jeden lub wiele, połączonych w sieć lub nie) wraz z oprogramowaniem, a także różne urządzenia pomocnicze (takie jak urządzenia peryferyjne, np. drukarki, skanery, a także dyskietki itp.). Zatem usługi doradztwa z nimi związane spełniają przesłankę wykluczającą możliwość zastosowania stawki podatku w wysokości 8,5%.

Z tego powodu, w mojej ocenie, świadczone przez Pana usługi doradcze w zakresie cyberbezpieczeństwa, obejmujące bezpieczeństwo technologii informatycznych, ochronę informacji oraz zapewnienie zgodności ze standardami i przepisami dotyczącymi bezpieczeństwa systemów, danych i prywatności wskazują na ścisły związek z doradztwem w zakresie oprogramowania, nawet jeżeli bezpośrednio nie uczestniczy Pan w procesie tworzenia oprogramowania.

Okoliczność, że w ramach prowadzonej działalności nie wykonuje Pan (pośrednio, ani bezpośrednio) czynności związanych z oprogramowaniem, tj. nie tworzy Pan, nie pisze, nie analizuje, ani nie modyfikuje kodu, nie pełni Pan funkcji programisty – nie jest wystarczającą przesłanką do uznania braku związku świadczonych usług z doradztwem w zakresie oprogramowania.

Jednocześnie zauważam, że świadczone przez Pana usługi wymagają wysokiego poziomu wiedzy eksperckiej, analizy potrzeb klienta oraz formułowania indywidualnych rekomendacji dotyczących systemu informatycznego klienta, dlatego trudno w przedstawionych okolicznościach uznać, że nie mają związku z doradztwem w zakresie oprogramowania, o którym mowa w art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. Nie są one bowiem – na co wskazują okoliczności przedstawione w opisie sprawy – jedynie nieskomplikowanymi czynnościami w zakresie usuwania usterek oprogramowania i sprzętu komputerowego, czy też udzielaniem klientowi pomocy technicznej w tym zakresie, które jako jedyne w ramach klasy PKWiU 62.02 objęte są stawką ryczałtu w wysokości 8,5%.

Zatem, na podstawie powołanych wyżej przepisów oraz opisu sprawy stwierdzam, że przychody uzyskiwane przez Pana w ramach działalności gospodarczej z tytułu wykonywania usług będących przedmiotem wniosku, które wpisują się w zakres grupowania PKWiU 62.02 i które – jak wynika z przeprowadzonej analizy – są związane z doradztwem w zakresie oprogramowania, podlegają opodatkowaniu stawką ryczałtu od przychodów ewidencjonowanych w wysokości 12%, określoną w art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, a nie – jak wynika z Pana stanowiska – stawką 8,5%.

Stawka ta ma zastosowanie wyłącznie, jeśli spełnione są warunki do zastosowania tej formy opodatkowania, o których mowa w cytowanych przepisach o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Dodatkowe informacje

Informacja o zakresie rozstrzygnięcia

Interpretacja dotyczy zaistniałego stanu faktycznego przedstawionego przez Pana i stanu prawnego obowiązującego w dacie zaistnienia zdarzenia.

Zaklasyfikowanie do odpowiedniego grupowania PKWiU zostało przeprowadzone wyłącznie na potrzeby ustalenia właściwej stawki zryczałtowanego podatku dochodowego. Zgodnie bowiem z zasadami metodycznymi Polskiej Klasyfikacji Wyrobów i Usług (PKWiU 2015) zaliczanie danego produktu do odpowiedniego grupowania jest obowiązkiem producenta, względnie usługodawcy [pkt 7.3 załącznika do Rozporządzenia Rady Ministrów w sprawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU) z dnia 4 września 2015 r. (Dz. U. z 2015 r. poz. 1676)].

Interpretacja indywidualna wywołuje skutki prawnopodatkowe tylko wtedy, gdy rzeczywisty stan faktyczny sprawy będącej przedmiotem interpretacji pokrywał się będzie ze stanem faktycznym podanym przez wnioskodawcę w złożonym wniosku. W związku z powyższym, w przypadku zmiany któregokolwiek elementu przedstawionego we wniosku opisu sprawy, udzielona interpretacja traci swoją aktualność.

Przy wydawaniu niniejszej interpretacji dokonałem wyłącznie analizy okoliczności podanych we wniosku. Rolą postępowania w sprawie wydania indywidualnej interpretacji przepisów prawa podatkowego nie jest bowiem ustalanie, czy przedstawiony we wniosku stan faktyczny jest zgodny ze stanem rzeczywistym. W ramach postępowania o wydanie interpretacji przepisów prawa podatkowego nie przeprowadzam postępowania dowodowego, lecz opieram się jedynie na stanie faktycznym przedstawionym we wniosku. Ustalenie stanu rzeczywistego stanowi domenę ewentualnego postępowania podatkowego. To na podatniku ciąży obowiązek udowodnienia w toku tego postępowania okoliczności faktycznych, z których wywodzi on dla siebie korzystne skutki prawne.

W odniesieniu do powołanej interpretacji zauważam, że została ona wydana w indywidualnej sprawie innego podatnika i nie jest wiążąca w Pana sprawie.

Pouczenie o funkcji ochronnej interpretacji

·     Funkcję ochronną interpretacji indywidualnych określają przepisy art. 14k-14nb ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa (t. j. Dz. U. z 2026 r. poz. 622 ze zm.). Interpretacja będzie mogła pełnić funkcję ochronną, jeśli Pana sytuacja będzie zgodna (tożsama) z opisem stanu faktycznego i zastosuje się Pan do interpretacji.

·     Zgodnie z art. 14na § 1 Ordynacji podatkowej:

·     Zgodnie z art. 14na § 2 Ordynacji podatkowej:

Pouczenie o prawie do wniesienia skargi na interpretację

Ma Pan prawo do zaskarżenia tej interpretacji indywidualnej do Wojewódzkiego Sądu Administracyjnego. Zasady zaskarżania interpretacji indywidualnych reguluje ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2026 r. poz. 143 ze zm.; dalej jako „PPSA”).

Skargę do Sądu wnosi się za pośrednictwem Dyrektora KIS (art. 54 § 1 PPSA). Skargę należy wnieść w terminie trzydziestu dni od dnia doręczenia interpretacji indywidualnej (art. 53 § 1 PPSA):

·         w formie papierowej, w dwóch egzemplarzach (oryginał i odpis) na adres: Krajowa Informacja Skarbowa, ul. Warszawska 5, 43-300 Bielsko-Biała (art. 47 § 1 PPSA), albo

·         w formie dokumentu elektronicznego, w jednym egzemplarzu (bez odpisu), na adres Krajowej Informacji Skarbowej na platformie ePUAP: /KIS/wnioski albo /KIS/SkrytkaESP (art. 47 § 3 i art. 54 § 1a PPSA).

Skarga na interpretację indywidualną może opierać się wyłącznie na zarzucie naruszenia przepisów postępowania, dopuszczeniu się błędu wykładni lub niewłaściwej oceny co do zastosowania przepisu prawa materialnego. Sąd jest związany zarzutami skargi oraz powołaną podstawą prawną (art. 57a PPSA).

Podstawa prawna dla wydania interpretacji

Podstawą prawną dla wydania tej interpretacji jest art. 13 § 2a oraz art. 14b § 1 Ordynacji podatkowej.