Od 1 października 2026 r. adres do e-Doręczeń wpisany do bazy adresów elektronicznych musi mieć każdy przedsiębiorca z CEIDG, także ten, który zarejestrował firmę przed 2025 rokiem711. Ustawa nie przewiduje kary za brak adresu, ale pismo od urzędu, którego nikt nie odebrał ze skrzynki, uznaje się za doręczone w dniu następującym po upływie 14 dni od jego wpłynięcia11. Przy poprzednim takim terminie, dla spółek z KRS, CyberDefence24 opisało kampanię fałszywych powiadomień o e-Doręczeniach już trzy dni po nim1.
Harmonogram wchodził w życie etapami. 1 października obejmie przedsiębiorców z CEIDG, którzy nie mają jeszcze adresu.
Kto musi mieć e-Doręczenia od 1 października 2026
Obowiązek rozkłada się według rejestru i daty wpisu, a nie według branży czy wielkości firmy.
| Grupa | Obowiązek | Stan na 24 września 2026 r. |
|---|---|---|
| Adwokaci, radcowie prawni, doradcy podatkowi, doradcy restrukturyzacyjni, rzecznicy patentowi i notariusze wykonujący zawód | adres od 1 stycznia 2025 r.7 | obowiązuje |
| Firmy rejestrujące się w KRS albo w CEIDG od 1 stycznia 2025 r. | dane do utworzenia adresu we wniosku o wpis711 | obowiązuje |
| Spółki i inne podmioty wpisane do KRS przed 1 stycznia 2025 r. | adres od 1 kwietnia 2025 r.7 | termin minął |
| Przedsiębiorcy z CEIDG wpisani do 31 grudnia 2024 r., którzy zmieniają wpis | dane do utworzenia adresu we wniosku o zmianę wpisu, od 1 lipca 2025 r.711 | obowiązuje |
| Wszyscy przedsiębiorcy wpisani do CEIDG | adres od 1 października 2026 r.711 | zaczyna obowiązywać |
Dla jednoosobowej działalności gospodarczej rozstrzyga data wpisu do CEIDG. Kto zarejestrował firmę do 31 grudnia 2024 r. i od lipca 2025 r. nie składał wniosku o zmianę wpisu, ma obowiązek od 1 października 2026 r.11 Kto taki wniosek złożył, musiał już w nim podać dane potrzebne do utworzenia adresu11. Adres trafia do bazy adresów elektronicznych dopiero po aktywacji skrzynki, dlatego biznes.gov.pl radzi złożyć wniosek odpowiednio wcześniej7. Publiczna usługa e-Doręczeń jest bezpłatna7.
Ustawa o doręczeniach elektronicznych nie zawiera przepisów o karze dla przedsiębiorcy, który adresu nie założy11. Brak adresu nie wstrzymuje też korespondencji z urzędem. Gdy pisma nie da się doręczyć na adres elektroniczny, urząd wysyła je przesyłką listową w ramach publicznej usługi hybrydowej, którą świadczy Poczta Polska jako operator wyznaczony1011.
Jak zalogować się do e-Doręczeń
Skrzynkę do e-Doręczeń przedsiębiorca obsługuje na Koncie Przedsiębiorcy w serwisie biznes.gov.pl albo w serwisie edoreczenia.gov.pl. Tożsamość potwierdza się jedną z trzech metod8:
- aplikacją mObywatel,
- profilem zaufanym,
- e-dowodem, czyli dowodem osobistym z warstwą elektroniczną.
Do e-Doręczeń nie loguje się osobnym hasłem ustawionym w tym serwisie. Adres e-mail i hasło wpisuje się dopiero po wybraniu profilu zaufanego i są to dane tego profilu18. W kampanii z kwietnia 2025 r. fałszywa strona pomijała wybór metody i od razu żądała adresu e-mail oraz hasła1. Formularz logowania bez wcześniejszego wyboru metody to najprostszy sygnał podrobionej strony.
Najbezpieczniej wpisać adres serwisu samodzielnie albo otworzyć go z zakładki. Link w wiadomości e-mail może pokazywać poprawny adres, a prowadzić gdzie indziej - tak działał link w kampanii z kwietnia 2025 r.1
Co się dzieje, jeśli nie odbierzesz pisma z urzędu
Pismo, które urząd wyśle na adres do e-Doręczeń, nie czeka na odbiorcę bez końca. Jeśli przedsiębiorca nie odbierze go w ciągu 14 dni od wpłynięcia do skrzynki, operator wystawia dowód otrzymania, a pismo uznaje się za doręczone w dniu następującym po upływie tych 14 dni11. Kto otworzy wiadomość wcześniej, ma ją doręczoną w chwili odebrania, wskazanej w dowodzie otrzymania11.
Terminy na odpowiedź, zapłatę czy odwołanie liczy się od dnia doręczenia. Przy piśmie nieodebranym jest to dzień następujący po upływie 14 dni od wpłynięcia, niezależnie od tego, czy ktokolwiek zajrzał do skrzynki.
Ta reguła dotyczy korespondencji od podmiotu publicznego. Przesyłka od innej firmy wysłana na adres do e-Doręczeń jest doręczona dopiero z chwilą odebrania11.
Fałszywe powiadomienia o e-Doręczeniach - co już się zdarzyło
Termin dla spółek z KRS minął 1 kwietnia 2025 r. Trzy dni później CyberDefence24 opisało kampanię phishingu podszywającą się pod e-Doręczenia, a fałszywą stronę redakcja zgłosiła do CERT Polska1. Wiadomość informowała, że w skrzynce od ponad tygodnia czeka przesyłka, i straszyła jej usunięciem po 7 dniach. Link wyglądał jak adres konto.biznes.gov.pl, ale prowadził na podrobioną stronę, która od razu żądała adresu e-mail i hasła. Stronie brakowało godła, a formularz zawierał błędy w rodzaju "Zaloguj się przez adresu e-mail"1.
Termin 7 dni nie ma oparcia w przepisach. Ustawa daje odbiorcy 14 dni, zanim nieodebrane pismo z urzędu zostanie uznane za doręczone, i nie przewiduje kasowania korespondencji, której nikt nie odebrał11.
Niespełna rok później pod e-Doręczenia podszyła się kolejna kampania. 12 marca 2026 r. Poczta Polska, operator wyznaczony w publicznej usłudze e-Doręczeń10, ostrzegła przed wiadomościami udającymi oficjalną korespondencję o zakładaniu skrzynek. Pretekstem była zapełniona chmura i groźba utraty danych, a przyciski w rodzaju "Zwiększ przestrzeń" prowadziły na fałszywe strony. Poczta Polska zaznaczyła, że nie wysyła żadnych komunikatów o zapełnieniu przestrzeni dyskowej6.
Ten sam schemat wraca przy innych serwisach dla firm. We wrześniu 2022 r. Niebezpiecznik, dobreprogramy.pl i Bankier.pl opisywały wiadomości podszywające się pod biznes.gov.pl, z załącznikiem instalującym złośliwe oprogramowanie234. W kwietniu 2026 r. CERT Polska ostrzegało przed fałszywymi powiadomieniami z Krajowego Systemu e-Faktur, których linki prowadziły do pobrania złośliwego oprogramowania5. We wszystkich tych przypadkach wiadomość udawała komunikat instytucji, z którą przedsiębiorca i tak ma kontakt, a link albo załącznik prowadził gdzie indziej, niż wskazywał nadawca.
Dawid Ryłko, architekt IT i ekspert cyberbezpieczeństwa, wskazuje, co z tego wynika dla przedsiębiorców przed 1 października:
Obowiązkowy termin administracyjny daje przestępcom gotowy pretekst. Odbiorca spodziewa się wiadomości od urzędu, więc sfałszowane powiadomienie nie musi budować wiarygodności od zera. Warto więc przyjąć jedną zasadę: do skrzynki e-Doręczeń wchodzi się wyłącznie przez adres wpisany samodzielnie, nigdy przez link z wiadomości.
Nie wiadomo, czy przy terminie dla CEIDG kampania się powtórzy. Oba opisane przypadki wiązały się jednak z zakładaniem skrzynek, a od 1 października obowiązek obejmie kolejną grupę przedsiębiorców.
Jak odróżnić prawdziwe powiadomienie od fałszywego
| Cecha | Stan faktyczny | Sygnał fałszywej wiadomości |
|---|---|---|
| Nadawca | komunikat o założeniu skrzynki i regulamin Poczta Polska wysyła wyłącznie z adresu informacja@poczta-polska.pl6 | adres spoza domen Poczty Polskiej i gov.pl |
| Gdzie jest pismo | w skrzynce do e-Doręczeń, a e-mail tylko o nim informuje811 | załącznik do pobrania i uruchomienia25 |
| Logowanie | najpierw wybór metody: mObywatel, profil zaufany albo e-dowód8 | od razu formularz na e-mail i hasło1 |
| Presja czasu | przepisy nie przewidują kasowania nieodebranego pisma11 | usunięcie przesyłki po 7 dniach1, zapełniona chmura6 |
Adres nadawcy da się podrobić, więc zgodny adres nie przesądza o autentyczności wiadomości. Rozstrzyga to, gdzie się logujesz: w skrzynce, do której wszedłeś sam.
Domenę z podejrzanego linku można sprawdzić na Liście Ostrzeżeń przed niebezpiecznymi stronami, którą prowadzi CSIRT NASK. Brak domeny na liście nie oznacza, że strona jest bezpieczna. Trafiają na nią adresy zgłoszone i zweryfikowane, więc świeżo uruchomiona fałszywa strona może jeszcze na niej nie figurować.
Co zrobić, jeśli kliknąłeś w link albo podałeś dane
Jeśli na fałszywej stronie wpisałeś login i hasło do profilu zaufanego, zmień hasło od razu, zanim zrobisz cokolwiek innego. Jeśli podałeś dane karty albo logowałeś się danymi bankowymi, skontaktuj się z bankiem, żeby zablokować kartę albo dostęp.
Fałszywą stronę zgłoś do CERT Polska przez formularz na incydent.cert.pl albo w aplikacji mObywatel5, a podejrzany SMS przekaż bezpłatnie na numer 8080. Oba kanały opisuje nasz przewodnik po zgłaszaniu incydentów do CERT Polska. Wiadomość podszywającą się pod Pocztę Polską można też przesłać na adres incydent@poczta-polska.pl6.
Jeśli w formularzu podałeś numer PESEL albo inne dane osobowe, potraktuj to jak wyciek danych. Kolejne kroki opisuje przewodnik: co zrobić po wycieku danych, a numer PESEL zastrzeżesz według instrukcji zastrzeżenia numeru PESEL.
Jak zabezpieczyć konto i skrzynkę e-Doręczeń
Skrzynka jest tak bezpieczna jak dostęp do niej i adres, na który przychodzą powiadomienia. Najwięcej ryzyka ograniczają cztery rzeczy:
- Wchodź do skrzynki wyłącznie przez adres wpisany samodzielnie albo zapisany w zakładkach, czyli przez edoreczenia.gov.pl albo biznes.gov.pl.
- Powiadomienia kieruj na skrzynkę e-mail, którą sprawdzasz codziennie. Ten adres podaje się przy aktywacji skrzynki8, a od niego zależy, czy zauważysz pismo przed upływem 14 dni.
- Zabezpiecz tę skrzynkę e-mail uwierzytelnianiem wieloskładnikowym. Kto przejmie konto pocztowe, może usuwać powiadomienia, zanim je zobaczysz.
- Pozostań administratorem skrzynki. Administrator nadaje uprawnienia innym użytkownikom i może zaprosić kolejne osoby8, więc księgowej albo pracownikowi wystarczy dostęp nadany przez Ciebie, bez roli administratora.
Skrzynka musi mieć co najmniej jednego administratora, a zmiana administratora wymaga wniosku o aktualizację wpisu w bazie adresów elektronicznych9. Rolę administratora warto więc oddać tylko osobie, która rzeczywiście ma zarządzać skrzynką w imieniu firmy.
Źródła
- CyberDefence24, "Phishing na e-Doręczenia. Uważaj na fałszywe maile", Paweł Makowiec, 04.04.2025 - treść fałszywej wiadomości, adres linku i wygląd fałszywej strony logowania (odczyt 23.09.2026)
- Niebezpiecznik.pl, "Uwaga na maile od biznes.gov.pl", 09.09.2022 - wiadomości z załącznikiem RAR i skryptem VBS podszywające się pod biznes.gov.pl (odczyt 23.09.2026)
- dobreprogramy.pl, "Fałszywy e-mail od "Biznes.gov.pl". Załącznik jest zainfekowany", Oskar Ziomek, 09.09.2022 - ta sama kampania (odczyt 23.09.2026)
- Bankier.pl, "Oszuści atakują. Fałszywe e-maile od rządowego serwisu Biznes.gov.pl", 15.09.2022 - kampania z załącznikiem i ostrzeżenie CERT Polska z 09.09.2022 (odczyt 23.09.2026)
- dobreprogramy.pl, "CERT Polska ostrzega przed fałszywymi powiadomieniami KSeF", Oskar Ziomek, 20.04.2026 - fałszywe powiadomienia KSeF z linkiem do złośliwego oprogramowania, kanały zgłoszeń do CERT Polska (odczyt 23.09.2026)
- Poczta Polska, "Poczta Polska ostrzega: Nowy atak cyberoszustów", 12.03.2026 - kampania "pełnej chmury", jedyny prawidłowy adres nadawcy komunikatu o założeniu skrzynki, adres do zgłoszeń (odczyt 23.09.2026)
- Biznes.gov.pl, "e-Doręczenia dla przedsiębiorców" - terminy dla grup przedsiębiorców, aktywacja adresu, bezpłatna usługa publiczna (odczyt 23.09.2026)
- e-Doręczenia (gov.pl), "Najczęściej zadawane pytania" - metody logowania, adres e-mail do powiadomień, uprawnienia administratora (odczyt 23.09.2026)
- e-Doręczenia (gov.pl), "Jak zmienić administratora skrzynki" - co najmniej jeden administrator, zmiana przez wniosek o aktualizację wpisu w bazie adresów elektronicznych (odczyt 23.09.2026)
- e-Doręczenia (gov.pl), "Pojemność skrzynki do e-Doręczeń oraz archiwizacja korespondencji" - Poczta Polska SA jako operator wyznaczony w publicznej usłudze e-Doręczeń (odczyt 23.09.2026)
- Ustawa z dnia 18 listopada 2020 r. o doręczeniach elektronicznych (tekst jednolity: Dz.U. 2026 poz. 3), art. 2 pkt 7, art. 5, art. 9 ust. 1 pkt 8 i 9, art. 41, art. 42, art. 152 ust. 1 i 2, art. 166 pkt 9 (odczyt 23.09.2026)