Interpretacja 0112-KDIL2-2.4011.929.2025.2.AG

Interpretacja indywidualna – stanowisko prawidłowe

Szanowny Panie,

stwierdzam, że Pana stanowisko w sprawie oceny skutków podatkowych opisanego zdarzenia przyszłego w zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne jest prawidłowe.

Zakres wniosku o wydanie interpretacji indywidualnej

27 listopada 2025 r. wpłynął Pana wniosek z 27 listopada 2025 r. o wydanie interpretacji indywidualnej. Uzupełnił go Pan pismami z 13 grudnia 2025 r. (wpływ 13 grudnia 2025 r.) – w odpowiedzi na wezwanie oraz z 13 stycznia 2026 r. (wpływ 13 stycznia 2026 r.). Treść wniosku jest następująca:

Opis zdarzenia przyszłego

Prowadzi Pan jednoosobową działalność gospodarczą od (…) 2024 r. pod NIP (…), sklasyfikowaną pod PKD 62.20.A. Obecnie rozlicza się Pan na podstawie podatku liniowego 19%.

Niniejszy wniosek dotyczy zdarzenia przyszłego, to jest planowanego przejścia na ryczałt od przychodów ewidencjonowanych w 2026 r.

W ramach prowadzonej działalności świadczy Pan usługi z zakresu testowania bezpieczeństwa systemów informatycznych, które obejmują:

1)  realizację testów penetracyjnych infrastruktury IT klientów. Testy penetracyjne polegają na zaplanowanych, kontrolowanych i autoryzowanych próbach przełamywania zabezpieczeń infrastruktur informatycznych klientów w celu identyfikacji rzeczywistych podatności. Informację o zakresie testów (tj. ile i jakich systemów należy przetestować) dostarcza klient. Na zakres testów składa się mapowanie infrastruktury (określenie listy otwartych portów, identyfikacja usług sieciowych i wersji zainstalowanego oprogramowania) z wykorzystaniem gotowych programów (tzw. skanerów sieciowych). Następny krok to automatyczna lub manualna próba przetestowania zidentyfikowanych słabości infrastruktury (również z wykorzystaniem gotowych, specjalistycznych programów) i określenie, czy dana słabość może stanowić zagrożenie dla klienta i na ile jest ono poważne. Efektem testów penetracyjnych jest udokumentowany zbiór wszystkich wykrytych podatności wraz z dowodami (tj. zrzuty ekranu, logi z narzędzi), oceną wpływu na ryzyko dla klienta (np. krytyczny, wysoki, średni, mały), szczegółowym opisem prezentującym sposób identyfikacji danej podatności i skutkami jej wykorzystania oraz ogólną rekomendację dotyczącą sposobu usunięcia danej podatności do samodzielnego zaimplementowania przez klienta. Wszystkie te informacje następnie umieszczane są w finalnym raporcie, który przekazywany jest klientowi;

2)  identyfikację luk w zabezpieczeniach systemów. Identyfikacja luk polega na wyszukiwaniu słabych punktów w zabezpieczeniach systemów informatycznych klientach. Sprowadza się to do analizy konfiguracji bezpieczeństwa serwerów (np. czy konta użytkowników są chronione odpowiednio silnymi hasłami, czy zbędne usługi są wyłączone, jakie programy i w jakich wersjach są zainstalowane) i analizy konfiguracji usług (...). Efektem takiej identyfikacji jest wsad do raportu obejmujący listę wszystkich luk w zabezpieczeniach z oceną wpływu na ryzyko dla klienta (np. krytyczny, wysoki, średni, mały), szczegółowym opisem prezentującym sposób identyfikacji danej luki oraz skutkami jej wykorzystania oraz ogólną rekomendacją co do sposobu załatania danej luki do samodzielnego wdrożenia przez klienta;

3)  analizę podatności systemów informatycznych. Analiza podatności systemów informatycznych to proces polegający na technicznym przeglądzie z wykorzystaniem gotowych narzędzi (tzw. skanerów podatności) całej infrastruktury klienta i ręcznej weryfikacji wyników skanów. Celem tego działania jest potwierdzenie, że dana podatność zidentyfikowana przez narzędzie stanowi rzeczywiste zagrożenie dla klienta oraz ustalenie, z czego podatność wynika. Efektem tej analizy jest lista podatności stanowiących realne zagrożenie wraz ze szczegółowym opisem sposobu identyfikacji podatności, oceną wpływu na ryzyko, informacją na temat skutków jej wykorzystania oraz ogólną rekomendacją co do sposobu jej usunięcia do samodzielnego zastosowania przez klienta;

4)  testowanie zabezpieczeń aplikacji webowych. Testowanie zabezpieczeń aplikacji webowych to proces polegający na zaplanowanych, kontrolowanych i autoryzowanych próbach identyfikacji słabości, które mogą zostać wykorzystane w rzeczywistym ataku. Na zakres tych testów składają się m.in. próby przeprowadzenia konkretnych ataków charakterystycznych dla aplikacji web, próby obejścia logiki biznesowej poprzez odpowiednie manipulowanie działaniem aplikacji, identyfikacja rekomendowanych zabezpieczeń (...). Testy wykonywane są za pomocą specjalistycznego, gotowego oprogramowania, które umożliwia modyfikację (...). Wynikiem tych testów jest zbiór wykrytych podatności wraz z dowodami (...), oceną wpływu na ryzyko dla klienta, szczegółowym opisem prezentującym sposób identyfikacji danej podatności, skutkami jej wykorzystania oraz ogólną rekomendacją co do sposobu jej usunięcia do zaimplementowania przez klienta;

5)  raportowanie wykrytych problemów bezpieczeństwa bez wskazywania konkretnych rozwiązań programistycznych. Produktem końcowym wszystkich realizowanych testów bezpieczeństwa jest raport zawierający wszystkie zidentyfikowane luki i podatności, które mogą zostać wykorzystane w rzeczywistych atakach. Raport ma na celu dostarczyć klientowi szczegółowych informacji o sposobie identyfikacji danej słabości, dowód występowania słabości (...), jej wpływ na ryzyko oraz skutki jej wykorzystania w rzeczywistym ataku. Opis danej słabości zawiera również ogólną rekomendację, co do sposobu usunięcia danej słabości, którą klient implementuje samodzielnie po swojej stronie;

6)  weryfikację skuteczności wdrożonych zabezpieczeń. Weryfikacja skuteczności wdrożonych zabezpieczeń polega na ponownym przeprowadzeniu danego testu bezpieczeństwa (np. aplikacji web) w celu określenia, czy zmiany wdrożone przez klienta spowodowały usunięcie danej słabości z systemu lub aplikacji. Te czynności realizowane są po otrzymaniu przez klienta finalnego raportu z testów bezpieczeństwa i po zgłoszeniu przez klienta danych słabości do ponownej weryfikacji. Efektem tych powtórnych testów jest udokumentowana informacja o skuteczności wprowadzonych zmian.

Usługi wykonuje Pan wyłącznie z wykorzystaniem gotowego oprogramowania, którego nie jest Pan twórcą. Nie wytwarza Pan oprogramowania, nie pisze Pan kodu, nie modyfikuje Pan istniejących aplikacji. Nie doradza Pan wyboru konkretnych technologii ani produktów. Nie uczestniczy Pan we wdrażaniu przez klientów zmian i poprawek. Pana usługi nie obejmują usług związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02). Pana działalność ma charakter usług pomocy technicznej.

Świadczone przez Pana usługi klasyfikuje Pan jako PKWiU 62.02.30.0 – usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego.

W 2025 roku uzyska Pan przychody z działalności gospodarczej w wysokości nieprzekraczającej 2 000 000 euro. W odniesieniu do działalności wykonywanej przez Pan nie będą miały zastosowania wyłączenia zawarte w art. 8 ust. 1 ust. 2 i ust. 3 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843).

Opis sprawy wynika z uzupełnienia wniosku.

Pytania

1.  Czy świadczone przez Pana usługi testowania bezpieczeństwa systemów informatycznych (testy penetracyjne), sklasyfikowane jako PKWiU 62.02.30.0, kwalifikują się do opodatkowania w formie ryczałtu od przychodów ewidencjonowanych według stawki 8,5%, określonej w art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym?

2.  Czy ma Pan prawo do przejścia z podatku liniowego na ryczałt od przychodów ewidencjonowanych w 2026 roku, przy założeniu złożenia odpowiedniego oświadczenia w ustawowym terminie?

Pana stanowisko w sprawie

W Pana ocenie – świadczone przez Pana usługi kwalifikują się do opodatkowania stawką ryczałtu 8,5%, na podstawie art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. Usługi testowania bezpieczeństwa systemów informatycznych (testy penetracyjne) świadczone przez Pana klasyfikuje Pan jako PKWiU 62.02.30.0 – usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego. Usługi te nie są usługami związanymi z doradztwem w zakresie oprogramowania (PKWiU ex 62.02), które podlegałyby stawce 12% zgodnie z art. 12 ust. 1 pkt 2b lit. b ustawy.

Pana działalność ma charakter pomocy technicznej, a nie doradztwa programistycznego. Identyfikuje Pan luki bezpieczeństwa i raportuję problemy, ale nie doradza Pan w zakresie wyboru, projektowania czy modyfikacji oprogramowania. Nie tworzy Pan kodu, nie projektuje Pan rozwiązań programistycznych, nie rekomenduje konkretnego oprogramowania zabezpieczającego.

Zgodnie z interpretacją Dyrektora KIS z dnia 4 kwietnia 2025 r. (nr 0113-KDIPT2-1.4011.171.2025.2.HJ) usługi cyberbezpieczeństwa sklasyfikowane jako PKWiU 62.02.30.0 mogą być opodatkowane stawką 8,5%, jeśli nie zawierają elementów doradztwa w zakresie oprogramowania.

Ocena stanowiska

Stanowisko, które przedstawił Pan we wniosku, jest prawidłowe.

Uzasadnienie interpretacji indywidualnej

Zgodnie z art. 1 pkt 1 ustawy z dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (t. j. Dz. U. z 2025 r. poz. 843 ze zm.):

Przy czym w myśl art. 4 ust. 1 pkt 12 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne

Stosownie do art. 5a pkt 6 ustawy z dnia 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (t. j. Dz. U. z 2025 r. poz. 163 ze zm.):

Z kolei, zgodnie z art. 5b ust. 1 ustawy o podatku dochodowym od osób fizycznych:

Na mocy art. 6 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

W myśl art. 6 ust. 4 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Możliwość opodatkowania w formie ryczałtu od przychodów ewidencjonowanych jest uzależniona między innymi od niespełnienia przesłanek negatywnych określonych w art. 8 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

W artykule tym zawarto wyłączenia z opodatkowania ryczałtem od przychodów ewidencjonowanych, jednak – jak Pan wskazał – do wykonywanej przez Pana działalności nie będą miały zastosowania wyłączenia zawarte w art. 8 ww. ustawy.

Zgodnie z art. 4 ust. 1 pkt 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

W myśl art. 4 ust. 4 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Oznaczenie „ex” dotyczy zatem tylko określonej usługi z danego grupowania. Umieszczenie tego dopisku przy konkretnym symbolu statystycznym ma na celu zawężenie stosowania przepisu tylko do tej nazwy grupowania.

Zwracam również uwagę, że możliwość opłacania oraz wysokość stawki ryczałtu od przychodów ewidencjonowanych uzyskanych w związku z prowadzoną działalnością gospodarczą zależy wyłącznie od faktycznego rodzaju świadczonych w ramach tej działalności usług.

Wysokość stawek ryczałtu od przychodów ewidencjonowanych została przez ustawodawcę ustalona w art. 12 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Stosownie do art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

Zgodnie z art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

W myśl art. 9 ust. 1 ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne:

W przedstawionym we wniosku opisie sprawy wskazał Pan, że prowadzi Pan działalność gospodarczą, opodatkowaną w 2025 r. podatkiem liniowym. W 2026 r. planuje Pan zmienić formę opodatkowania działalności na ryczałt od przychodów ewidencjonowanych. Usługi, jakie świadczy Pan w ramach działalności gospodarczej, są sklasyfikowane pod symbolem PKWiU 62.02.30.0 – Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego. Wskazał Pan, jakie czynności wykonuje Pan w ramach tych usług. Jednocześnie wskazał Pan, że nie uzyskuje przychodów z usług związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02). Ponadto w 2025 r. nie uzyska Pan przychodów z działalności gospodarczej w wysokości przekraczającej 2 000 000 euro.

Oznacza to, że przychody ze świadczenia przez Pana usług sklasyfikowanych pod symbolem PKWiU 62.02.30.0 „Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego” podlegają opodatkowaniu 8,5% stawką ryczałtu od przychodów ewidencjonowanych, określoną w art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne.

Podsumowanie: świadczone przez Pana usługi testowania bezpieczeństwa systemów informatycznych (testy penetracyjne), sklasyfikowane jako PKWiU 62.02.30.0, kwalifikują się do opodatkowania w formie ryczałtu od przychodów ewidencjonowanych według stawki 8,5%, określonej w art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. Ma Pan prawo do przejścia z podatku liniowego na ryczałt od przychodów ewidencjonowanych w 2026 r., przy założeniu złożenia odpowiedniego oświadczenia w ustawowym terminie.

Dodatkowe informacje

Informacja o zakresie rozstrzygnięcia

Interpretacja dotyczy zdarzenia przyszłego, które Pan przedstawił, i stanu prawnego, który obowiązuje w dniu wydania interpretacji.

Ponadto w odniesieniu do powołanej przez Pana interpretacji stwierdzam, że zapadła ona w indywidualnej sprawie i nie jest wiążąca dla organu wydającego tę interpretację.

Interpretacja została wydana przy założeniu, że poprawnie zakwalifikował Pan świadczone usługi do odpowiedniego grupowania PKWiU. Interpretacja nie rozstrzyga o prawidłowości tej klasyfikacji. Przyporządkowanie do wskazanej klasyfikacji zostało podane jako element opisu zdarzenia przyszłego.

Pouczenie o funkcji ochronnej interpretacji

·   Funkcję ochronną interpretacji indywidualnych określają przepisy art. 14k-14nb ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa (t. j. Dz. U. z 2025 r. poz. 111 ze zm.). Interpretacja będzie mogła pełnić funkcję ochronną, jeśli Pana sytuacja będzie zgodna (tożsama) z opisem zdarzenia przyszłego i zastosuje się Pan do interpretacji.

·   Zgodnie z art. 14na § 1 Ordynacji podatkowej:

·      Zgodnie z art. 14na § 2 Ordynacji podatkowej:

Pouczenie o prawie do wniesienia skargi na interpretację

Ma Pan prawo do zaskarżenia tej interpretacji indywidualnej do Wojewódzkiego Sądu Administracyjnego. Zasady zaskarżania interpretacji indywidualnych reguluje ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2024 r. poz. 935 ze zm.; dalej jako „PPSA”).

Skargę do Sądu wnosi się za pośrednictwem Dyrektora KIS (art. 54 § 1 PPSA). Skargę należy wnieść w terminie trzydziestu dni od dnia doręczenia interpretacji indywidualnej (art. 53 § 1 PPSA):

·      w formie papierowej, w dwóch egzemplarzach (oryginał i odpis) na adres: Krajowa Informacja Skarbowa, ul. Warszawska 5, 43-300 Bielsko-Biała (art. 47 § 1 PPSA), albo

·      w formie dokumentu elektronicznego, w jednym egzemplarzu (bez odpisu), na adres Krajowej Informacji Skarbowej na platformie ePUAP: /KIS/wnioski albo /KIS/SkrytkaESP (art. 47 § 3 i art. 54 § 1a PPSA).

Skarga na interpretację indywidualną może opierać się wyłącznie na zarzucie naruszenia przepisów postępowania, dopuszczeniu się błędu wykładni lub niewłaściwej oceny co do zastosowania przepisu prawa materialnego. Sąd jest związany zarzutami skargi oraz powołaną podstawą prawną (art. 57a PPSA).

Podstawa prawna dla wydania interpretacji

Podstawą prawną dla wydania tej interpretacji jest art. 13 § 2a oraz art. 14b § 1 Ordynacji podatkowej.