Treść interpretacji
Interpretacja indywidualna
– stanowisko nieprawidłowe
Szanowny Panie,
stwierdzam, że Pana stanowisko w sprawie oceny skutków podatkowych opisanego stanu faktycznego w zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne jest nieprawidłowe.
Zakres wniosku o wydanie interpretacji indywidualnej
24 września 2025 r. wpłynął Pana wniosek z 24 września 2025 r. o wydanie interpretacji indywidualnej, który dotyczy zryczałtowanego podatku dochodowego od niektórych przychodów osiąganych przez osoby fizyczne. Treść wniosku jest następująca:
Opis stanu faktycznego
1) Informacje ogólne
Od 1 lipca 2025 r. prowadzi Pan – jako osoba fizyczna – jednoosobową pozarolniczą działalność gospodarczą zarejestrowaną w CEIDG. Jest Pan polskim rezydentem podatkowym i podlega w Polsce nieograniczonemu obowiązkowi podatkowemu w rozumieniu art. 3 ust. 1 ustawy o PIT. Wybrał Pan ryczałt od przychodów ewidencjonowanych jako formę opodatkowania. Zakłada Pan, że przychody nie przekroczą 2 000 000 EUR.
2) Profil działalności
Pana działalność koncentruje się na testowaniu systemów informatycznych i ocenie ich bezpieczeństwa – PKD 62.20.A „Działalność w zakresie cyberbezpieczeństwa” – poprzez techniczne audyty bezpieczeństwa IT. Są to usługi w rozumieniu art. 4 ust. 1 pkt 1 ustawy o ryczałcie.
Nie świadczy Pan usług: doradztwa w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), doradztwa w zakresie oprogramowania (PKWiU ex 62.02), projektowania/programowania/rozwoju/ modyfikacji oprogramowania (PKWiU ex 62.01.1 oraz 62.01.2), instalowania oprogramowania (PKWiU ex 62.09.20.0), zarządzania siecią i systemami (PKWiU 62.03.1). Wskazane wyłączenia odnoszą się do art. 12 ust. 1 pkt 2b lit. b ustawy o ryczałcie.
3) Zakres świadczonych usług (cyberbezpieczeństwo)
Testy penetracyjne systemów, aplikacji i infrastruktury (symulacje ataków, analiza podatności – m.in. (…) – i weryfikacja mechanizmów kontroli dostępu). Efekt: raport z listą podatności i rekomendacjami naprawczymi.
Testy red team badające odporność organizacji na rzeczywiste scenariusze ataków (w tym phishing i socjotechnika). Efekt: raport ryzyk i zalecenia wzmacniające ochronę.
Raportowanie i rekomendacje – priorytetyzacja zagrożeń oraz katalog działań naprawczych.