I SA/Gl 995/25

Wojewódzki Sąd Administracyjny w Gliwicach w składzie następującym: Przewodniczący Sędzia WSA Anna Tyszkiewicz-Ziętek, Sędziowie Asesor WSA Mikołaj Darmosz (spr.), Sędzia WSA Katarzyna Stuła-Marcela, Protokolant Nikola Bartosik, po rozpoznaniu na rozprawie w dniu 14 kwietnia 2026 r. sprawy ze skargi D.C. na interpretację indywidualną Dyrektora Krajowej Informacji Skarbowej z dnia 13 czerwca 2025 r. nr 0112-KDSL1-2.4011.226.2025.2.BR UNP: 2649270 w przedmiocie zryczałtowanego podatku dochodowego od niektórych przychodów osiąganych przez osoby fizyczne oddala skargę.

Przedmiot kontroli Sądu stanowiła interpretacja indywidualna przepisów prawa podatkowego wydana przez Dyrektora Krajowej Informacji Skarbowej (dalej: "DKIS", "Dyrektor", "organ interpretacyjny") w dniu 13 czerwca 2025 r. o nr 0112-KDSL1-2.4011.226.2025.2.BR UNP: 2649270 na podstawie art. 13 § 2a oraz art. 14b § 1 ustawy z 29 sierpnia 1997 r. Ordynacja podatkowa (tj. Dz. U. z 2025 r. poz. 111 – dalej: "o.p.") oraz powołanych w niej przepisów ustawy dnia 20 listopada 1998 r. o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (tj. Dz. U. z 2024 r. poz. 776 ze zm. ze zm. – dalej: "u.z.p.d." ) na wniosek D. C. (dalej: "Wnioskodawca", "Podatnik", "skarżący", "strona") w przedmiocie zryczałtowanego podatku dochodowego od osób fizycznych. Interpretacja indywidualna wydana została w następującym stanie faktycznym i prawnym: Strona, reprezentowana przez zawodowego pełnomocnika, we wniosku z 31 marca 2025 r. zwróciła się o wydanie interpretacji indywidualnej dotyczącej zryczałtowanego podatku dochodowego od niektórych przychodów osiąganych przez osoby fizyczne. Wnioskodawca przedstawił problem dotyczący przyporządkowania przychodów uzyskiwanych z prowadzonej działalności gospodarczej do odpowiedniej stawki podatku. Wnioskodawca przedstawił następujący opis stanu faktycznego. Wnioskodawca jest przedsiębiorcą prowadzącym jednoosobowo pozarolniczą działalność gospodarczą na terenie RP i podlega na terenie RP opodatkowaniu od całości uzyskiwanych przychodów. Wnioskodawca jest opodatkowany zryczałtowanym podatkiem dochodowym od niektórych przychodów na podstawie ustawy z dnia 20 listopada 1998 r o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne (tj. Dz. U. z 2024 poz. 776 ze zm. – dalej: "u.z.p.d."). W ramach prowadzonej działalności Wnioskodawca świadczy usługi m.in. na rzecz podmiotu z siedzibą na terenie USA (dalej "Zlecający"). Złożony wniosek dotyczy zdarzenia przyszłego oraz zaistniałego stanu faktycznego z uwagi na datę złożenia wniosku. W ramach zawartej umowy z podmiotem z USA Wnioskodawca świadczy usługi związane z audytami bezpieczeństwa i testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych. Strony ustaliły w tej umowie, że Wnioskodawca działa jako Inżynier ds. bezpieczeństwa. Sposób wykonywania umowy polega na tym że najpierw ustalany jest zakres takich testów bezpieczeństwa, tj. ustalana jest aplikacja, która ma być przedmiotem testów, to jakie ma funkcjonalności, jakie są zagrożenia, jak wygląda jej kod, jak ją uruchomić lub jakie są dane do środowiska do testowania. W dalszej kolejności Wnioskodawca, współpracując z innymi osobami w zespole, przeprowadza testy bezpieczeństwa ww. aplikacji, infrastruktury czy kodów. W ramach ww. testów Wnioskodawca poszukuje błędów w aplikacji, "dziur" bezpieczeństwa. Skutkiem przeprowadzenia audytu, o którym mowa wyżej jest ostateczne ustalenie, czy dana aplikacja jest bezpieczna, czy da się "do niej włamać", czy da się wykraść dane lub sprawić żeby przestała działać. Finalnie, każdy taki błąd zostaje opisany w raporcie bezpieczeństwa lub w określonym systemie zgłaszania takich błędów (jeżeli klient docelowy nie jest zainteresowany otrzymaniem raportu). Raport zawiera w sobie m.in. informacje, w jaki sposób dana podatność została zidentyfikowana przez Wnioskodawcę, jakie są jej zagrożenia oraz jak mogą zostać wykorzystane, czasami Zlecającemu proponowany jest fragment kodu źródłowego, którego celem jest zablokowanie ustalonej "dziury bezpieczeństwa", jako rekomendacja dla ewentualnych działań Zlecającego. Szczegółowiej czynności Wnioskodawcy polegają na: wykonywaniu testów penetracyjnych (audytów) systemów informatycznych oraz infrastruktury, wydawaniu rekomendacji w zakresie środków technicznych w celu zabezpieczenia systemów informatycznych i tworzonego oprogramowania, wspieraniu wiedzą i ekspertyzą przy rozwiązywaniu problemów świadczone dla pracowników i klientów kontrahentów implementujących środki bezpieczeństwa służące zwiększeniu poziomu bezpieczeństwa infrastruktury teleinformatycznej, modelowaniu zagrożeń dla wytwarzanego oprogramowania w formie listy ryzyk i propozycji ich naprawy, dokonywaniu przeglądów i analizie dokumentacji systemów teleinformatycznych pod kątem funkcjonalnym i bezpieczeństwa, dokonywaniu analizy i zgłaszaniu luk bezpieczeństwa w wytwarzanym przez kontrahentów oprogramowaniu, a także sporządzaniu stosownych raportów oraz rekomendacji naprawy, zapewnianiu komunikacji i współpracy z inżynierami zaangażowanymi w pracę nad wykrytymi lukami bezpieczeństwa w wytwarzanym przez nich oprogramowaniu i/lub zarządzanej infrastrukturze, tworzeniu raportów z propozycjami ulepszenia procedur i środków kontroli bezpieczeństwa, weryfikacji, czy zastosowane środki bezpieczeństwa poprawnie wykrywają ataki cybernetyczne, aktywnym wsparciu wiedzą i ekspertyzą w użytkowaniu i usuwaniu usterek w oprogramowaniu wytwarzanym przez kontrahentów, udzielaniu pomocy technicznej w celu rozwiązania problemów klientów z zakresu cyberbezpieczeństwa. Wnioskodawca w ramach świadczonych usług współpracuje m.in. także z zespołem badawczo rozwojowym, aby pomóc w uzyskaniu funduszy od agencji rządowych na badania nad bezpieczeństwem oprogramowania. Usługi świadczone przez Wnioskodawcę na podstawie ww. umowy nie są związane z doradztwem w zakresie sprzętu komputerowego i nie prowadzą do wytworzenie nowego programowania czy kodu źródłowego do komercyjnej sprzedaży. Wnioskodawca nie doradza także w zakresie oprogramowania, jedynie wskazuje na ustalone w toku badania błędy w aplikacji. Wartość przychodów z pozarolniczej działalności gospodarczej uzyskiwanych przez Wnioskodawcę za lata poprzednie oraz rok bieżący nie przekraczała i nie przekroczy kwoty 2.000.000 EURO. Z danych ujętych w Centralnej Ewidencji i Informacji o Działalności Gospodarczej wynika, że działalność Wnioskodawcy jest oznaczona m.in. poprzez PKD 62.01.Z Działalność związana z oprogramowaniem czy PKD 62.02.Z Działalność związana z doradztwem w zakresie informatyki. Podmiot z siedzibą na terenie USA nie jest obecnym ani też byłym pracodawcą Wnioskodawcy. Wnioskodawca nie wykonuje świadczonych przez siebie usług na rzecz podmiotów trzecich, w tym na rzecz Zlecającego z siedzibą na terenie USA pod kierownictwem tych podmiotów. Usługi te są świadczone przez Wnioskodawcę w wybranym przez niego czasie oraz miejscu, nadto Wnioskodawca ponosi pełne ryzyko gospodarcze związane z prowadzoną działalnością oraz ponosi pełną odpowiedzialność wobec osób trzecich za rezultat wykonywanych usług. Wnioskodawca nie występował o wydanie opinii klasyfikacyjnej do Głównego Urzędu Statystycznego w zakresie świadczonych przez siebie usług. Na wezwanie DKIS strona uzupełniła opis stanu faktycznego udzielając odpowiedzi na pytania organu: Pytanie 1. Czy prowadzona przez stronę działalność gospodarcza jest działalnością usługową w myśl art. 4 ust. 1 pkt 1 u.z.p.d.? Odpowiedź. Wnioskodawca prowadzi opisaną we wniosku o wydanie interpretacji podatkowej – działalność gospodarczą w postaci działalności usługowej zgodnie z art. 4 ust. 1 pkt 1 u.z.p.d., tj. pozarolniczą działalność gospodarczą, której przedmiotem są czynności zaliczone do usług zgodnie z Polską Klasyfikacją Wyrobów i Usług (PKWiU) wprowadzoną rozporządzeniem Rady Ministrów z 4 września 2015 r. w sprawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU) (Dz. U. poz. 1676 z 2017 r. poz. 2453, z 2018 r. poz. 2440, z 2019 r. poz. 2554 oraz z 2020 r. poz. 556), a która nie jest działalnością gastronomiczną ani też działalnością usługową w zakresie handlu. Pytania 2. Jak są sklasyfikowane – na podstawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU) – faktycznie wykonywane przez wnioskodawcę usługi związane z audytami bezpieczeństwa i testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych, których dotyczy wniosek (proszę podać podstawowy symbol grupowania, który jest siedmiocyfrowy, zapisywany w blokach po dwa znaki oddzielone kropką – dla usług będących przedmiotem zapytania). Odpowiedź. Wnioskodawca wskazuje, że prowadzona przez niego działalność – opisana w treści wniosku o wydanie indywidulanej interpretacji podatkowej – a związana z audytami bezpieczeństwa, testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych – winna być klasyfikowana jako PKWiU 62.02.30 "Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego" (PKWiU 2015). Pytanie 3. Czy oprócz wskazanej działalności gospodarczej strona uzyskuje inne dochody podlegające opodatkowaniu? Jeśli tak, to czy prowadzi ewidencję w sposób umożliwiający określenie przychodów z każdego rodzaju prowadzonej działalności odrębnie (jeżeli zaistnieje taka sytuacja)? Odpowiedź. Poza przychodami z usług opisanych we wniosku o interpretację podatkową, doprecyzowanych poniżej, Wnioskodawca świadczy w ramach prowadzonej przez siebie jednoosobowej działalności gospodarczej także inne usługi, opodatkowane innymi stawkami ryczałtu od przychodów ewidencjonowanych. Prowadzona ewidencja przychodów umożliwia określenie przychodów z każdego rodzaju działalności odrębnie i zastosowanie do każdego z rodzajów prowadzonej działalności właściwej stawki zryczałtowanego podatku od niektórych przychodów osiąganych przez osoby fizyczne. Pytanie 4. Jakie dokładnie czynności wykonuje wnioskodawca w ramach świadczonych usług związanych z audytami bezpieczeństwa i testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych? Należy szczegółowo wskazać na czym konkretnie polegają czynności w zakresie: 1. wykonywania testów penetracyjnych (audytów) systemów informatycznych oraz infrastruktury, Odpowiedź. Polega to na przeprowadzeniu symulowanego ataku na działającym środowisku testowym oraz analizie zagrożeń, wyszukiwaniu podatności i sporządzeniu raportu z przeprowadzonego audytu. Takie testy dotyczą systemów informatycznych lub infrastruktury. Głównym zakresem pracy jest znalezienie dziur oraz błędów bezpieczeństwa, które mogłyby zostać wykorzystane w złym celu oraz sporządzeniu raportów z wykonanych usług. Raport końcowy zawiera takie rzeczy jak: - podstawowe informacje o audycie: podsumowanie wykonanych prac, wersje lub adresy zaudytowanego systemu, zakres wykonanych prac; - ogólne rekomendacje pomagające poprawić procesy bezpieczeństwa dla danego systemu; - szczegółowe opisy znalezionych podatności (wraz z klasyfikacją, oceną ryzyka, trudności wykorzystania oraz przykładowymi scenariuszami ataku) oraz wskazówki, jak można/powinno się zapobiec wskazanym podatnościom; - dodatki jak na przykład skrypty także stworzone przez Wnioskodawcę pod kątem analizy konkretnego przedmiotu zlecenia, regułki do statycznej analizy kodu czy opis wykorzystanych narzędzi podczas audytu. Okazjonalnie, na życzenie kontrahenta, audyt może zawierać również "retesty", tzn. sprawdzenie, czy wdrożone poprawki zapobiegają znalezionym podatnościom. Podsumowanie takich retestów jest również opisywane w raporcie końcowym. Przeprowadzane testy penetracyjne/audyty bezpieczeństwa polegają na obserwacji zachowania się aplikacji, nie polegają natomiast na pisaniu testów. 2. wydawania rekomendacji w zakresie środków technicznych w celu zabezpieczenia systemów informatycznych i tworzonego oprogramowania, Odpowiedź. Czynność ta polega na opisie w raporcie jak można naprawić, usunąć lub zabezpieczyć przedmiot badania przed daną podatnością, tak, aby dana luka nie mogła zostać wykorzystana przez niepowołane osoby (atakujących). W zależności od przypadku, rekomendacje te mogą być zwykłym opisem, jak należy naprawić dany błąd lub mogą być też sugestią, jak można naprawić dany problem w systemie informatycznym. Finalnym efektem wydania rekomendacji jest zawarcie ich w raporcie, który jest przekazywany klientowi. To klient decyduje, czy i w jaki sposób naprawia daną podatność. Czasami zdarza się, że w ramach projektu wykonuje się również sprawdzenie, czy i jak zostały naprawione dane podatności oraz opisuje się wynik takiego testu w raporcie. Ww. czynności, nie mają zdaniem Wnioskodawcy, charakteru usług doradztwa w zakresie oprogramowania, a pozostają jednym z elementów całościowej usługi audytu bezpieczeństwa, podsumowującym dokonane ustalenia w trakcie testowania. 3. wspierania wiedzą i ekspertyzą przy rozwiązywaniu problemów świadczone dla pracowników i klientów kontrahentów implementujących środki bezpieczeństwa służące zwiększeniu poziomu bezpieczeństwa infrastruktury teleinformatycznej, Odpowiedź. W ramach danego projektu Wnioskodawca planuje spotkania z klientem tak, aby omówić wykryte problemy oraz wyjaśnić w jaki sposób można je naprawić. Również Wnioskodawca tworzy kanał komunikacji z klientem tak, aby ten mógł dopytać o wskazówki czy komentarze odnośnie implementowanych poprawek czy wdrażanych środków bezpieczeństwa. Efektem tego są spisane wskazówki w raporcie, wiedza przekazana podczas spotkań, oraz wiadomości wymienione na komunikatorze. 4. modelowania zagrożeń dla wytwarzanego oprogramowania w formie listy ryzyk i propozycji ich naprawy, Odpowiedź. W przypadku, gdy klient się na to zdecyduje, Wnioskodawca przeprowadza tak zwany "threat modeling", czyli analizę zagrożeń danego systemu informatycznego. W tym celu Wnioskodawca przeprowadza spotkania z klientem tak, aby pozyskać od niego informacje odnośnie działania systemu, procesów wytwarzania systemu, wykorzystywanych zabezpieczeń, komponentów, z których składa się system, metod komunikacji pomiędzy nimi oraz aktorów i ich ról w systemie. Następnie Wnioskodawca przeprowadza analizę zagrożeń oraz ryzyk i tworzy raport zawierający listę zagrożeń oraz ryzyk oraz rekomendacje jak można usprawnić system oraz jego procesy wytwarzania. 5. dokonywania przeglądów i analizy dokumentacji systemów teleinformatycznych pod kątem funkcjonalnym i bezpieczeństwa, Odpowiedź. W ramach przeprowadzanych audytów bezpieczeństwa Wnioskodawca analizuje również dokumentację (jeśli istnieje i jest w zakresie) i wskazuje zapisy, które mogą być niebezpieczne jeśli zostaną wykorzystane przez użytkowników danego systemu. Takie przypadki Wnioskodawca dokumentuje tak samo, jak inne podatności w przygotowywanym raporcie. 6. dokonywania analizy i zgłaszania luk bezpieczeństwa w wytwarzanym przez kontrahentów oprogramowaniu, a także sporządzania stosownych raportów oraz rekomendacji naprawy, Odpowiedź. Czynności analogiczne do opisanych w punkcie a. 7. zapewniania komunikacji i współpracy z inżynierami zaangażowanymi w pracę nad wykrytymi lukami bezpieczeństwa w wytwarzanym przez nich oprogramowaniu i/lub zarządzanej infrastrukturze, Odpowiedź. Czynności analogiczne do opisanych w punkcie c – w ramach danego projektu prowadzone są spotkania z inżynierami klienta oraz odbywa się komunikacja poprzez komunikator internetowy. W ramach tej czynności Wnioskodawca wyjaśnia informacje związane ze znalezionymi lukami bezpieczeństwa oraz możliwymi metodami ich naprawy. 8. tworzenia raportów z propozycjami ulepszenia procedur i środków kontroli bezpieczeństwa, weryfikacji, czy zastosowane środki bezpieczeństwa poprawnie wykrywają ataki cybernetyczne, Odpowiedź. W tym zakresie tworzone są opisujące, jak naprawić wykryte podatności, jak ulepszyć procesy czy procedury, aby nie popełnić podobnych błędów w przyszłości oraz (jeśli klient się zdecyduje na retest) zawierający informacje czy wdrożone zmiany systemów naprawiają dane luki i zabezpieczają przed atakami. 9. aktywnego wsparcia wiedzą i ekspertyzą w użytkowaniu i usuwaniu usterek w oprogramowaniu wytwarzanym przez kontrahentów, Odpowiedź. Tak jak opisane w punktach c i g. 10. udzielania pomocy technicznej w celu rozwiązania problemów klientów z zakresu cyberbezpieczeństwa. Odpowiedź. Tak jak opisane w punktach powyżej. Wnioskodawca wskazał, że czynności audytu bezpieczeństwa obejmują szereg czynności o różnym charakterze, zaś celem działania Wnioskodawcy jest rozwiązanie problemów klienta dotyczących bezpieczeństwa użytkowanych oraz tworzonych przez klienta systemów informatycznych oraz infrastruktury. Pytanie 5. Czy usługi dla zagranicznego kontrahenta wnioskodawcy są wykonywane przez stronę w Polsce czy w kraju, w którym podmiot ten ma siedzibę? Jeśli usługi są wykonywane w kraju, w którym podmiot ten ma siedzibę, to, czy działalność gospodarcza w tym państwie jest prowadzona za pośrednictwem zakładu w rozumieniu umowy o unikaniu podwójnego opodatkowania zawartej między Polską a tym państwem? Odpowiedź. Wnioskodawca świadczy usługi na rzecz klienta zagranicznego na terenie Polski. W tak przedstawionym opisie stanu faktycznego strona zadała pytanie: Czy przychód osiągany przez Wnioskodawcę w ramach pozarolniczej działalności gospodarczej ze świadczenia usług opisanych w stanie faktycznym, a związanych z audytami bezpieczeństwa i testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych podlega opodatkowaniu ryczałtem od przychodów ewidencjonowanych przy zastosowaniu stawki 8,5% zgodnie z art. 12 ust. 1 pkt 5 lit. a u.z.p.d.? Przedstawiając własne stanowisko Wnioskodawca wskazał, że jego zdaniem, przychody osiągane przez Wnioskodawcę w ramach pozarolniczej działalności gospodarczej ze świadczenia opisanych powyżej usług związanych z audytami bezpieczeństwa i testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych mogą podlegać opodatkowaniu ryczałtem od przychodów ewidencjonowanych przy zastosowaniu stawki 8,5% zgodnie z art. 12 ust. 1 pkt 5 lit. a u.z.p.d. Strona argumentowała, że zgodnie z art. 1 pkt 1 oraz art. 2 ust. 1 pkt 1 u.z.p.d., opodatkowaniu ryczałtem od przychodów ewidencjonowanych podlegają przychody (dochody) osiągane przez osoby fizyczne prowadzące pozarolniczą działalność gospodarczą. Na podstawie art. 6 ust. 1 tej ustawy, opodatkowaniu ryczałtem od przychodów ewidencjonowanych podlegają przychody osób fizycznych z pozarolniczej działalności gospodarczej, o których mowa m.in. w art. 14 ustawy o podatku dochodowym od osób fizycznych, tj. kwoty należne, choćby nie zostały faktycznie otrzymane, po wyłączeniu wartości zwróconych towarów, udzielonych bonifikat i skont. Jak zostało wskazane w art. 6 ust. 4 u.z.p.d. , uprawnienie do skorzystania z ryczałtu od przychodów ewidencjonowanych przysługuje tym podatnikom, którzy w roku poprzedzającym rok podatkowy uzyskali przychód z pozarolniczej działalności gospodarczej w wysokości nieprzekraczającej 2.000.000 euro. Dodatkowo, zgodnie z art. 8 ust. 2, utrata możliwości zastosowania ryczałtu od przychodów ewidencjonowanych następuje w przypadku osiągnięcia przychodów w ramach pozarolniczej działalności gospodarczej z tytułu sprzedaży towarów, wyrobów lub świadczenia usług na rzecz byłego lub obecnego pracodawcy odpowiadającym czynnościom, które podatnik wykonywał lub wykonuje w roku podatkowym w ramach stosunku pracy lub spółdzielczego stosunku pracy. Zgodnie z art. 4 ust. 1 pkt 1 u.z.p.d., działalność usługowa oznacza pozarolniczą działalność gospodarczą, której przedmiotem są czynności zaliczane do usług zgodnie klasyfikacją PKWiU 2015, z zastrzeżeniem definicji działalności gastronomicznej oraz działalności usługowej w zakresie handlu. Art. 12 ust. 1 u.z.p.d. wskazuje właściwe stawki ryczałtu od przychodów ewidencjonowanych dla poszczególnych rodzajów usług sklasyfikowanych według PKWiU 2015. Art. 12 ust. 1 pkt 5 lit. a u.z.p.d. stanowi, że stawka ryczałtu 8,5% znajdzie zastosowanie w stosunku do przychodów z działalności usługowej, w tym z działalności gastronomicznej w zakresie sprzedaży napojów o zawartości alkoholu powyżej 1,5%, z zastrzeżeniem usług wskazanych w pkt 1-4 oraz 6-8 tego artykułu. Z kolei zgodnie z art. 12 ust. 1 pkt 2b lit. b u.z.p.d. wynika, że ryczałt od przychodów ewidencjonowanych wynosi 12% z tytułu przychodów ze świadczenia usług związanych z doradztwem w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), związanych z oprogramowaniem (PKWiU ex 62.01.1), objętych grupowaniem "Oryginały oprogramowania komputerowego" (PKWiU 62.01.2), związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02), w zakresie instalowania oprogramowania (PKWiU ex 62.09.20.0), związanych z zarządzaniem siecią i systemami informatycznymi (PKWiU 62.03.1). Strona wskazała, z powyższej regulacji wynika, że opodatkowaniu ryczałtem od przychodów ewidencjonowanych wg stawki 12% podlegają generalnie m.in. usługi związane z doradztwem w zakresie oprogramowania (ex 62.02). Wnioskodawca wskazał, że ilekroć w ustawie używa się oznaczenia "ex" przy symbolu danego grupowania PKWiU oznacza to, że zakres wyrobów lub usług jest węższy niż określony w tym grupowaniu – o czym stanowi art. 4 ust. 4 u.z.p.d.osiąganych przez osoby fizyczne. Oznaczenie "ex" dotyczy zatem tylko określonej usługi z danego grupowania. Umieszczenie tego dopisku przy konkretnym symbolu statystycznym ma na celu zawężenie stosowania przepisu tylko do tej nazwy grupowania. Powyższe przepisy nie wskazują jednak na zastosowanie stawki 12% ryczałtu czy stawki 15% stawki ryczałtu od przychodów ewidencjonowanych do usług obejmujących w szczególności wykonywanie testów penetracyjnych (audytów) systemów informatycznych oraz infrastruktury, wydawanie rekomendacji w zakresie środków technicznych w celu zabezpieczenia systemów informatycznych i tworzonego oprogramowania, wspieranie wiedzą i ekspertyzą przy rozwiązywaniu problemów świadczone dla pracowników i klientów kontrahentów implementujących środki bezpieczeństwa służące zwiększeniu poziomu bezpieczeństwa infrastruktury teleinformatycznej. Wskazał, że stawka 12% ma przy tym zastosowanie tylko do usług doradztwa w zakresie oprogramowania. Strona wskazała, że Polska Klasyfikacja Wyrobów i Usług (PKWiU 2015), w kategorii 62.02 "Usługi związane z doradztwem w zakresie oprogramowania", obejmuje także usługi innego rodzaju, tj. usługi oznaczane PKWiU 62.02.30 "Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego". Ww. usługi nie są zatem objęte stawką 12%, ze względu na wyłączenie przewidziane przepisami u.z.p.d. Wyjaśnienia do PKWiU 2015 wskazują, że grupowanie to obejmuje usługi pomocy technicznej mające na celu rozwiązanie problemów klienta w zakresie technologii informatycznych i sprzętu komputerowego, takie jak: - udzielanie pomocy klientowi w uruchamianiu i usuwaniu usterek w oprogramowaniu; - usługi zastępowania nowszą wersją oprogramowania; - udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek sprzętu komputerowego, włączając testowanie podstawowego oprogramowania oraz naprawę sprzętu informatycznego; - udzielanie pomocy technicznej w przenoszeniu systemu komputerowego klienta na nowe miejsce; - udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek dla kombinacji sprzęt komputerowy i oprogramowanie; - udzielanie pomocy technicznej w celu rozwiązania problemów klienta związanych z użytkowaniem systemu komputerowego, tj. usługi w zakresie kontroli lub oceny działania komputera, włączając usługi w zakresie kontroli, oceny i dokumentowania serwera, sieci lub technologii dla elementów, wydajności lub bezpieczeństwa. W przekonaniu Wnioskodawcy, świadczone przez niego usługi winny być kwalifikowane właśnie jako usługi oznaczone PKWiU 62.02.30 "Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego". Wnioskodawca świadczy bowiem usługi w zakresie usuwania usterek w oprogramowaniu oraz w zakresie udzielania pomocy technicznej przy rozwiązywaniu problemów klienta w kontekście w szczególności kontroli bezpieczeństwa. Charakter tych usług jest ściśle ukierunkowany na udzielanie pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego, a wskazany wyżej zakres prac nie stanowi w żadnym razie usług związanych z szeroko rozumianym wytwarzaniem, rozwojem oraz implementacją oprogramowania, doradztwem w zakresie oprogramowania, a także doradztwem w zakresie sprzętu komputerowego. Na taką klasyfikację usług świadczonych przez Wnioskodawcę wskazuje także analiza opinii klasyfikacyjnych GUS powoływanych we wnioskach o interpretacje podatkowe. Np. w interpretacji z 5 stycznia 2024 r. sygn. 0112-KDSL1-1.4011.433.2023.2.DS – Wnioskodawca wskazał, że usługi typu: wykonywanie testów penetracyjnych (audytów) systemów informatycznych oraz infrastruktury, wydawanie rekomendacji w zakresie środków technicznych w celu zabezpieczenia systemów informatycznych i tworzonego oprogramowania, przegląd i analiza dokumentacji systemów teleinformatycznych pod kątem funkcjonalnym i bezpieczeństwa, czy analiza i zgłaszanie luk bezpieczeństwa w wytwarzanym przez kontrahentów oprogramowaniu, a także sporządzanie stosownych raportów oraz rekomendacji naprawy – są uznawane przez Główny Urząd Statystyczny jako mieszczące się pod PKWiU 62.20.30. Usługi powyższe odpowiadają w pełni usługom jakie świadczy Wnioskodawca, co przemawia także za uznaniem świadczonych przez niego usług jako objętych PKWiU 62.20.30. Ze względu na fakt, iż Ustawa o ryczałcie nie przewiduje odrębnej stawki ryczałtu od przychodów ewidencjonowanych dla przychodów osiągniętych z usług związanych z audytami bezpieczeństwa i testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych opisanych szerzej w opisie stanu faktycznego, które zdaniem Wnioskodawcy spełniają warunki do ich zakwalifikowania jako usługi objęte PKWiU 62.20.30 "Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego" to zastosowanie do ww. usług winna znaleźć stawka ryczałtu 8,5%, jako właściwa dla przychodów z działalności usługowej, zgodnie z art. 12 ust. 1 pkt 5 lit. a u.z.p.d. Strona podniosła, że za jej stanowiskiem przemawiają interpretacje indywidualne wydawane przez DKIS m.in. z 3 marca 2023 r. 0115-KDST2-1.4011.18.2023.1.RH, z 10 maja 2024 r. sygn. 0113-KDIPT2-1.4011.238.2024.2.DJD, z 23 stycznia 2024 r. sygn. 0115-KDST2-2.4011.495.2023.2.KK, z 5 stycznia 2024 r. sygn. 0112 KDSL1-1.4011.433. 2023.2.DS. Dyrektor w interpretacji z 13 czerwca 2025 r. uznał stanowisko Wnioskodawcy za nieprawidłowe. Organ podatkowy przywołał i omówił treść art. 1 pkt 1, art. 4 ust. 1 pkt 12, art. 6 ust. 1 i ust. 4, art. 8, art. 9 u.z.p.d. oraz art. 5a pkt 6, art. 5b ust. 1 ustawy z 26 lipca 1991 r. o podatku dochodowym od osób fizycznych (tj. Dz. U. z 2025 r. poz. 163 ze zm. – dalej: "u.p.d.o.f."). Organ podobnie jak wnioskodawca przytoczył i objaśnił treść art. 12 ust. 1 pkt 2b lit. b oraz art. 12 ust. 1 pkt 5 lit. a u.z.p.d. Dyrektor zwrócił uwagę, że możliwość opłacania oraz wysokość stawki ryczałtu od przychodów ewidencjonowanych uzyskanych w związku z prowadzoną działalnością gospodarczą zależy wyłącznie od faktycznego rodzaju wykonywanych w ramach tej działalności usług. Konieczne jest każdorazowe przypisanie rodzaju wykonywanych czynności do określonego grupowania PKWiU. Przy czym klasyfikacji tej do określonego symbolu PKWiU dokonuje sam podatnik. W myśl art. 12 ust. 3 u.z.p.d. jeżeli podatnik obowiązany do prowadzenia ewidencji przychodów prowadzi działalność, z której przychody są opodatkowane różnymi stawkami określonymi w ust. 1, ryczałt od przychodów ewidencjonowanych ustala się według stawki właściwej dla przychodów z każdego rodzaju działalności, pod warunkiem, że ewidencja przychodów jest prowadzona w sposób umożliwiający określenie przychodów z każdego rodzaju działalności. W przypadku gdy podatnik, o którym mowa w zdaniu poprzednim, nie prowadzi ewidencji w sposób zapewniający ustalenie przychodów dla każdego rodzaju działalności, ryczałt od przychodów ewidencjonowanych wynosi 8,5% przychodów, z tym że w przypadku osiągania również przychodów, o których mowa w: 1) ust. 1 pkt 1, ryczałt wynosi 17%; 2) ust. 1 pkt 2, ryczałt wynosi 15%; 2a) ust. 1 pkt 2a, ryczałt wynosi 14%; 2b) ust. 1 pkt 2b, ryczałt wynosi 12%; 3) ust. 1 pkt 3, ryczałt wynosi 10%; 4) ust. 1 pkt 4, ryczałt wynosi 12,5%. Dokonując analizy będących przedmiotem wniosku usług, w pierwszej kolejności DKIS podniósł, że należy mieć na uwadze Polską Klasyfikacją Wyrobów i Usług (PKWiU) wprowadzoną rozporządzeniem Rady Ministrów z dnia 4 września 2015 r. w sprawie Polskiej Klasyfikacji Wyrobów i Usług (PKWiU) (Dz. U. z 2015 r. poz. 1676 ze zm.) oraz wyjaśnienia Głównego Urzędu Statystycznego do PKWiU z 2015 r. Zgodnie z wyjaśnieniami GUS w klasie PKWiU 62.02 mieszczą się USŁUGI ZWIĄZANE Z DORADZTWEM W ZAKRESIE INFORMATYKI. Klasa ta obejmuje grupowania: - 62.02.10.0 – Usługi związane z doradztwem w zakresie sprzętu komputerowego; - 62.02.20.0 – Usługi związane z doradztwem w zakresie oprogramowania komputerowego; - 62.02.30.0 – Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego. Organ interpretacyjny zaznaczył, że grupowanie PKWiU 62.02.10.0 – Usługi związane z doradztwem w zakresie sprzętu komputerowego obejmuje: - usługi związane z doradztwem lub opiniowaniem przez specjalistę technologii informatycznych dotyczące sprzętu komputerowego, takie jak: doradztwo w sprawach dotyczących wymagań odnośnie sprzętu komputerowego i zaopatrzenia w sprzęt komputerowy, - usługi w zakresie dostarczania certyfikatów dotyczących sprzętu komputerowego, - usługi łączące ocenę potrzeb związanych z systemem komputerowym, doradzanie w zakresie zakupu oprogramowania i sprzętu komputerowego oraz umieszczenia nowego systemu na miejscu, - usługi w zakresie integracji systemów komputerowych, tj. analiza aktualnego systemu komputerowego klienta, obecne i przyszłe wymagania odnośnie zakupu nowego sprzętu i oprogramowania oraz integracja nowych i starych elementów systemu w celu stworzenia nowego zintegrowanego systemu. Grupowanie PKWiU 62.02.20.0 – Usługi związane z doradztwem w zakresie oprogramowania komputerowego obejmuje: - usługi związane z doradztwem lub opiniowaniem przez ekspertów spraw w zakresie systemów informatycznych i oprogramowania, takie jak: - doradztwo dotyczące oprogramowania w zakresie wymagań i zaopatrzenia, - systemy zabezpieczające. Natomiast grupowanie 62.02.30.0 "Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego" obejmuje usługi pomocy technicznej mające na celu rozwiązanie problemów klienta w zakresie technologii informatycznych i sprzętu komputerowego, takie jak: - udzielanie pomocy klientowi w uruchamianiu i usuwaniu usterek w oprogramowaniu, - usługi zastępowania nowszą wersją oprogramowania, - udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek sprzętu komputerowego, włączając testowanie podstawowego oprogramowania oraz naprawę sprzętu informatycznego, - udzielanie pomocy technicznej w przenoszeniu systemu komputerowego klienta na nowe miejsce, - udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek dla kombinacji sprzęt komputerowy i oprogramowanie, - udzielanie pomocy technicznej w celu rozwiązania problemów klienta związanych z użytkowaniem systemu komputerowego, tj. usługi w zakresie kontroli lub oceny działania komputera, włączając usługi w zakresie kontroli, oceny i dokumentowania serwera, sieci lub technologii dla elementów, wydajności lub bezpieczeństwa. W odniesieniu do świadczonych przez Wnioskodawcę usług sklasyfikowanych pod symbolem PKWiU 62.02.30 DKIS zwrócił uwagę, że z art. 12 ust. 1 pkt 2b lit. b u.z.p.d. wynika, że ryczałt od przychodów ewidencjonowanych wynosi 12% przychodów ze świadczenia usług związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02). Przy czym przepis ten nie odwołuje się ani do bezpośredniego, ani pośredniego związku z doradztwem w zakresie oprogramowania. W tej regulacji nie ma też mowy o usługach związanych z doradztwem w zakresie programowania (doradztwem w zakresie tworzenia czy dodawania nowych kodów źródłowych programów komputerowych), a związanych z doradztwem w zakresie oprogramowania. Zgodnie z wykładnią literalną słowo "związany z" oznacza "dotyczy czegoś, mający związek z czymś lub kimś". Tym samym usługi związane z doradztwem w zakresie oprogramowania to usługi, które dotyczą doradztwa w zakresie oprogramowania, przy czym sformułowanie "doradztwo w zakresie oprogramowania" ma tu znaczenie szersze niż "doradztwo w zakresie programowania". Należy podkreślić, że oznaczenie "ex" przy grupowaniu PKWiU 62.02, o którym mowa jest w art. 12 ust. 1 pkt 2b lit. b u.z.p.d. osiąganych przez osoby fizyczne, oznacza, że 12% stawkę ryczałtu należy stosować do przychodów uzyskiwanych ze świadczenia usług związanych z doradztwem w zakresie oprogramowania. Dyrektor wskazał, że ustawa o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, nie zawiera definicji oprogramowania. W tym celu – mając na względzie, że ustawa dla ustalenia właściwej stawki podatku, odsyła do właściwej klasyfikacji statystycznej – należy posłużyć się definicją Oprogramowania zawartą w zeszycie metodologicznym Głównego Urzędu Statystycznego "Zeszyt metodologiczny. Wskaźnik społeczeństwa informacyjnego. Badania wykorzystania technologii informacyjno-komunikacyjnych". Zgodnie z zawartą tam definicją Oprogramowanie (Software) to – całość instrukcji i procedur (programów) oraz powiązanych z nimi danych umożliwiających komputerom i innym programowalnym urządzeniom wykonywanie określonych funkcji. Oprogramowanie jest często rozumiane jako synonim terminu program komputerowy, chociaż ma nieco szersze znaczenie – obejmuje także programy wykorzystywane przez inne urządzenia. Do oprogramowania zalicza się systemy operacyjne, programy użytkowe (aplikacje), programy do tworzenia programów, programy sterujące działaniem różnych urządzeń (od telewizorów i innego sprzętu elektronicznego, kalkulatorów, przez telefony komórkowe, do podzespołów komputerowych np. nagrywarek DVD) – tzw. firmware, a także różnego rodzaju programy wykorzystywane przez urządzenia i systemy sieciowe, telekomunikacyjne itp. Nawiązując do pojęcia "doradzać" DKIS wskazał, że w świetle definicji zawartej w internetowym Słowniku Języka Polskiego PWN oznacza "udzielić porady, wskazać sposób postępowania w jakiejś sprawie". Na podobny kierunek wskazuje również potoczne rozumienie tego terminu, zgodnie z którym "doradztwo" to udzielanie porad, opinii i wyjaśnień. Analiza powołanych przepisów prawa, jak również wyjaśnień Głównego Urzędu Statystycznego do PKWiU 2015, w kontekście przedstawionego opisu sprawy, w szczególności zakresu świadczonych przez Wnioskodawcę usług prowadzi do stwierdzenia, że będące przedmiotem zapytania usługi przeprowadzania audytów bezpieczeństwa, testów penetracyjnych aplikacji, infrastruktury oraz kodów źródłowych (PKWiU 62.02.30), mają związek z doradztwem w zakresie oprogramowania. Organ interpretacyjny dochodząc do powyższego zauważył, że we wniosku podano, iż: - testy penetracyjne systemów informatycznych oraz infrastruktury – których efektem jest raport końcowy zawierający m.in.: ogólne rekomendacje pomagające poprawić procesy bezpieczeństwa dla danego systemu; szczegółowe opisy znalezionych podatności (wraz z klasyfikacją, oceną ryzyka, trudności wykorzystania oraz przykładowymi scenariuszami ataku) oraz wskazówki, jak można/powinno się zapobiec wskazanym podatnościom; dodatki jak na przykład skrypty także stworzone przez Wnioskodawcę pod kątem analizy konkretnego przedmiotu zlecenia, regułki do statycznej analizy kodu czy opis wykorzystanych narzędzi podczas audytu; na życzenie kontrahenta, audyt może zawierać również "retesty", tzn. sprawdzenie, czy wdrożone poprawki zapobiegają znalezionym podatnościom; - wydawanie rekomendacji w zakresie środków technicznych w celu zabezpieczenia systemów informatycznych i tworzonego oprogramowania – czynność ta polega na opisie w raporcie jak można naprawić, usunąć lub zabezpieczyć przedmiot badania przed daną podatnością, tak, aby dana luka nie mogła zostać wykorzystana przez niepowołane osoby (atakujących). W zależności od przypadku rekomendacje te mogą być zwykłym opisem jak należy naprawić dany błąd lub mogą być też sugestią jak można naprawić dany problem w systemie informatycznym. Finalnym efektem wydania rekomendacji jest zawarcie ich w raporcie, który jest przekazywany klientowi. To klient decyduje, czy i w jaki sposób naprawia daną podatność. Czasami zdarza się, że w ramach projektu wykonuje się również sprawdzenie, czy i jak zostały naprawione dane podatności oraz opisuje się wynik takiego testu w raporcie; - wspieranie wiedzą i ekspertyzą przy rozwiązywaniu problemów świadczone dla pracowników i klientów kontrahentów implementujących środki bezpieczeństwa służące zwiększeniu poziomu bezpieczeństwa infrastruktury teleinformatycznej – w ramach danego projektu planuje Wnioskodawca spotkania z klientem tak, aby omówić wykryte problemy oraz wyjaśnić w jaki sposób można je naprawić. Również strona tworzy kanał komunikacji z klientem tak, aby ten mógł dopytać o wskazówki czy komentarze odnośnie implementowanych poprawek czy wdrażanych środków bezpieczeństwa. Efektem tego są spisane wskazówki w raporcie, wiedza przekazana podczas spotkań, oraz wiadomości wymienione na komunikatorze; - modelowanie zagrożeń dla wytwarzanego oprogramowania w formie listy ryzyk i propozycji ich naprawy – w przypadku, gdy klient się na to zdecyduje, przeprowadza pan tak zwany "threat modeling", czyli analizę zagrożeń danego systemu informatycznego. W tym celu Wnioskodawca przeprowadza spotkania z klientem tak, aby pozyskać od niego informacje odnośnie działania systemu, procesów wytwarzania systemu, wykorzystywanych zabezpieczeń, komponentów z których składa się system, metod komunikacji pomiędzy nimi oraz aktorów i ich ról w systemie. Następnie Wnioskodawca przeprowadza analizę zagrożeń oraz ryzyk i tworzy raport zawierający listę zagrożeń oraz ryzyk oraz rekomendacje jak można usprawnić system oraz jego procesy wytwarzania. - dokonywanie analizy i zgłaszanie luk bezpieczeństwa w wytwarzanym przez kontrahentów oprogramowaniu, a także sporządzania stosownych raportów oraz rekomendacji naprawy, których efektem jest raport końcowy zawierający m.in.: ogólne rekomendacje pomagające poprawić procesy bezpieczeństwa dla danego systemu; szczegółowe opisy znalezionych podatności (wraz z klasyfikacją, oceną ryzyka, trudności wykorzystania oraz przykładowymi scenariuszami ataku) oraz wskazówki, jak można/powinno się zapobiec wskazanym podatnościom; dodatki jak na przykład skrypty także stworzone przez Wnioskodawcę pod kątem analizy konkretnego przedmiotu zlecenia, regułki do statycznej analizy kodu czy opis wykorzystanych narzędzi podczas audytu; na życzenie kontrahenta, audyt może zawierać również "retesty", tzn. sprawdzenie, czy wdrożone poprawki zapobiegają znalezionym podatnościom; - zapewnianie komunikacji i współpracy z inżynierami zaangażowanymi w pracę nad wykrytymi lukami bezpieczeństwa w wytwarzanym przez nich oprogramowaniu i/lub zarządzanej infrastrukturze – w ramach danego projektu prowadzone są spotkania z inżynierami klienta oraz odbywa się komunikacja poprzez komunikator internetowy. W ramach tej czynności Wnioskodawca wyjaśnia informacje związane ze znalezionymi lukami bezpieczeństwa oraz możliwymi metodami ich naprawy, planuje on spotkania z klientem tak, aby omówić wykryte problemy oraz wyjaśnić w jaki sposób można je naprawić. Wnioskodawca również tworzy kanał komunikacji z klientem tak, aby ten mógł dopytać o wskazówki czy komentarze odnośnie implementowanych poprawek czy wdrażanych środków bezpieczeństwa. Efektem tego są spisane wskazówki w raporcie, wiedza przekazana podczas spotkań, oraz wiadomości wymienione na komunikatorze; - tworzenie raportów z propozycjami ulepszenia procedur i środków kontroli bezpieczeństwa, weryfikacji, czy zastosowane środki bezpieczeństwa poprawnie wykrywają ataki cybernetyczne – w tym zakresie tworzone są opisujące, jak naprawić wykryte podatności, jak ulepszyć procesy czy procedury, aby nie popełnić podobnych błędów w przyszłości oraz (jeśli klient się zdecyduje na retest) zawierający informacje czy wdrożone zmiany systemów naprawiają dane luki i zabezpieczają przed atakami; - aktywne wsparcie wiedzą i ekspertyzą w użytkowaniu i usuwaniu usterek w oprogramowaniu wytwarzanym przez kontrahentów – w ramach danego projektu prowadzone są spotkania z inżynierami klienta oraz odbywa się komunikacja poprzez komunikator internetowy. W ramach tej czynności wyjaśnia Wnioskodawca informacje związane ze znalezionymi lukami bezpieczeństwa oraz możliwymi metodami ich naprawy, planuje spotkania z klientem tak, aby omówić wykryte problemy oraz wyjaśnić w jaki sposób można je naprawić. Wnioskodawca tworzy kanał komunikacji z klientem tak, aby ten mógł dopytać o wskazówki czy komentarze odnośnie implementowanych poprawek czy wdrażanych środków bezpieczeństwa. Efektem tego są spisane wskazówki w raporcie, wiedza przekazana podczas spotkań, oraz wiadomości wymienione na komunikatorze. W tym miejscu DKIS wskazał, że aplikacje, systemy, systemy informatyczne wchodzą w zakres pojęcia "oprogramowanie". Zgodnie z Encyklopedią PWN, "aplikacja" to program komputerowy, który ma bezpośredni kontakt z użytkownikiem, realizuje zadania dla użytkownika, natomiast "system informatyczny" to zespół systemów komputerowych, sieci i oprogramowania, służący do przetwarzania informacji; w skład systemu informatycznego wchodzi z reguły komputer (jeden lub wiele, połączonych w sieć lub nie) wraz z oprogramowaniem, a także różne urządzenia pomocnicze (takie jak urządzenia peryferyjne, np. drukarki, skanery, a także dyskietki itp.). W tej sytuacji usługi doradztwa z nimi związane spełniają przesłankę wykluczającą możliwość zastosowania stawki podatku w wysokości 8,5%. Z tego powodu, w ocenie tutejszego organu, wszelkie analizy, propozycje napraw i ulepszenia, rekomendacje, wskazówki, sugestie, raporty oraz rekomendacje naprawy, raporty z propozycjami ulepszenia, wyjaśnienia sposobu naprawy wykrytych problemów, które dotyczą oprogramowania, aplikacji, systemów informatycznych, wskazują na ścisły związek z doradztwem w zakresie oprogramowania. Z przedstawionych okoliczności wynika, że pomimo, stwierdzenia we wniosku, że czynności wykonywane przez Podatnika nie mają charakteru usług doradztwa w zakresie oprogramowania, a pozostają jednym z elementów całościowej usługi audytu bezpieczeństwa, podsumowującym dokonane ustalenia w trakcie testowania i wskazania na ustalone w toku badania błędy w aplikacji, świadczone przez Wnioskodawcę usługi są ściśle powiązane z doradztwem w zakresie oprogramowania. Zatem spełniają przesłankę wykluczającą możliwość zastosowania stawki podatku w wysokości 8,5%. Skoro usługi Wnioskodawcy skupiają się na doradztwie oraz jednocześnie dotyczą oprogramowania stwierdzić należy, że stanowią one usługi związane z doradztwem w zakresie oprogramowania, o których mowa w art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne. W konsekwencji DKIS stwierdził, że osiągany przez Podatnika przychód w ramach pozarolniczej działalności gospodarczej ze świadczenia opisanych we wniosku i uzupełnieniu usług, a związanych z audytami bezpieczeństwa i testami penetracyjnymi aplikacji, infrastruktury oraz kodów źródłowych, objętych pozycją PKWiU 62.02.30. i – jak wynika z przeprowadzonej analizy – związanych z doradztwem w zakresie oprogramowania, podlega opodatkowaniu stawką ryczałtu od przychodów ewidencjonowanych w wysokości 12%, określoną w art. 12 ust. 1 pkt 2b lit. b ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, a nie – jak wynika ze stanowiska prezentowanego we wniosku – stawką 8,5%. Wnioskodawca reprezentowany przez zawodowego pełnomocnika wniósł skargę na wspomnianą interpretację indywidualną zarzucając jej wydanie z naruszeniem: art. 12 ust. 1 pkt 2b lit. b u.z.p.d. poprzez jego błędne zastosowanie i bezpodstawne uznanie, że usługi świadczone przez Skarżącego jako usługi związane z doradztwem w zakresie oprogramowania powinny być opodatkowane stawką ryczałtu w wysokości 12%, podczas gdy w istocie usługi te mają charakter pomocy technicznej w zakresie technologii informatycznych, a do sytuacji Skarżącego zastosowanie powinien mieć przepis art. 12 ust. 1 pkt 5 lit. a u.z.p.d. dający możliwość zastosowania stawki podatkowej 8,5%. art. 120 i art. 121 § 1 o.p. poprzez nieuprawnione dokonanie przez organ wykładni rozszerzającej pojęcie: "związany z doradztwem w zakresie programowania", skutkujące objęciem tym pojęciem także czynności o charakterze technicznym, i w efekcie wydanie interpretacji indywidualnej z naruszeniem zasady legalizmu i dokonywania ścisłej wykładni prawa podatkowego oraz z naruszeniem zasady prowadzenia postępowania w sposób budzących zaufanie do organów podatkowych. art. 124 o.p. poprzez brak dostatecznego wyjaśnienia i uzasadnienia Skarżącemu zasadności przesłanek, którymi organ kierował się podczas wydawania interpretacji indywidualnej dotyczącej Skarżącego; art. 191 o.p. poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów i w efekcie błędne uznanie, że całość świadczonej przez Skarżącego usługi ma charakter doradczy, podczas gdy z zebranego w sprawie materiału dowodowego oraz wyjaśnień Skarżącego, jasno wynika, że ewentualny charakter doradczy może stanowić jedynie marginalna część tej usługi, która nie determinuje jej zasadniczego charakteru Strona wniosła o: a) Uchylenie zaskarżonej interpretacji indywidualnej w całości, oraz b) Zasądzenie kosztów postępowania w tym kosztów zastępstwa procesowego według norm przepisanych. W uzasadnieniu skargi przedstawiono dotychczasowy przebieg postępowania. Podniesiono, że w przekonaniu Skarżącego, Organ interpretacyjny do stanu faktycznego przedstawionego przez Skarżącego w sposób błędny i pozbawiony podstaw zastosował art. 12 ust. 1 pkt 2b lit. b u.z.p.d., podczas gdy usługi świadczone przez Skarżącego winny być opodatkowane wg stawki 8,5%. Skarżący podkreślił, że - co zostało szczegółowo opisane w treści wniosku o wydanie interpretacji indywidualnej - świadczy on usługi przeprowadzania audytów bezpieczeństwa i w tym zakresie przeprowadza m.in. testy aplikacji, infrastruktury oraz kodów źródłowych. Podejmowane przez Skarżącego czynności wiążą się w szczególności z testami penetracyjnymi systemów informatycznych oraz infrastruktury, w ramach których przeprowadzane są m.in. symulowane ataki na działającym środowisku testowym, służące do analizy zagrożeń, ustalania dziur w systemie, błędów systemu oraz wiążące się z wyszukaniem podatności systemu na ataki. Zdaniem Skarżącego, clue czynności realizowanych przez Skarżącego stanowią w istocie czynności techniczne - podejmowane w celu rozwiązania problemów klientów w zakresie bezpieczeństwa użytkowanych systemów informatycznych. Raport końcowy jaki sporządzany jest po przeprowadzeniu tych czynności ma stanowić dla klienta generalnie dowód tego, że usługa została wykonana, a nadto obejmować może ogólne rekomendacje czy wskazówki jak poprawić bezpieczeństwo danego systemu. Na taką klasyfikację usług, tj. zgodnie z PKWiU 62.02.30 "Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego" świadczonych przez Skarżącego wskazuje także analiza opinii klasyfikacyjnych GUS powoływanych we wnioskach o interpretacje podatkowe. Dyrektor w piśmie z 13 sierpnia 2025 r. stanowiącym odpowiedź na skargę wniósł o jej oddalenie. Organ interpretacyjny podtrzymał swoje w zakresie zarzutów naruszenia przepisów prawa materialnego podtrzymał dotychczasowe zapatrywanie wraz z argumentacją na jego poparcie. Odnosząc się do zarzutów naruszenia przepisów prawa procesowego DKIS wskazał w szczególności, że z tego iż zaskarżona interpretacja zawiera odmienne stanowisko od prezentowanego we wcześniej wydanych interpretacjach w podobnych sprawach, nie można wywodzić o naruszeniu zasady prowadzenia postępowania w sposób budzący zaufanie do organu. Wojewódzki Sąd Administracyjny w Gliwicach zważył, co następuje: Skarga wniesiona została na interpretację indywidualną przepisów prawa podatkowego, o jakiej mowa w art. 3 § 2 pkt 4a ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj. Dz. U. z 2026 r. poz. 134 – dalej "p.p.s.a."), a zatem podlegała kontroli sądowej wykonywanej przez sądy administracyjne. Stosownie do art. 1 pkt 1 i 2 ustawy z 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (tj. Dz. U. z 2024 r. poz. 1267 ze zm.) kontrola działalności administracji publicznej sprawowana jest pod względem zgodności z prawem, z zastrzeżeniem przypadków w których ustawy stanowią inaczej. Zgodnie z art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a p.p.s.a. Stosownie do treści art. 57a p.p.s.a. skarga na pisemną interpretację przepisów prawa podatkowego wydaną w indywidualnej sprawie może być oparta wyłącznie na zarzucie naruszenia przepisów postępowania, dopuszczeniu się błędu wykładni lub niewłaściwej oceny co do zastosowania przepisu prawa materialnego. Sąd administracyjny jest związany zarzutami skargi oraz powołaną podstawą prawną. Przywołany powyżej art. 57a p.p.s.a. stanowi odstępstwo od reguły wyrażonej w art. 134 § 1 tej samej ustawy, który to przewiduje że sąd przy rozpoznaniu skargi nie jest związany zarzutami i wnioskami oraz powołaną w niej podstawą prawną Istota sporu sprowadza się do tego, czy usługi świadczone przez Skarżącego stanowią "Usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego" (62.02.30.0 PKWiU) w związku z czym jest uprawniony, do zastosowania 8,5% stawki ryczałtu, o której mowa w art. 12 ust. 1 pkt 5 lit. a ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, czy też jako "Usługi związane z doradztwem w zakresie informatyki" (PKWiU 62.02) podlegają opodatkowaniu stawką ryczałtu od przychodów ewidencjonowanych 12%, określoną w art. 12 ust. 1 pkt 2b lit. b wspomnianej ustawy – za czym opowiada się organ podatkowy. Art. 12 ust. 1 pkt 5 lit. a u.z.p.d. stanowi, że stawkę 8,5% stosuje się do przychodów z działalności usługowej, w tym przychodów z działalności gastronomicznej w zakresie sprzedaży napojów o zawartości alkoholu powyżej 1,5%, z zastrzeżeniem pkt 1-4 oraz 6-8. Ma ona zatem zastosowanie do tych rodzajów działalności o charakterze usługowym, która nie kwalifikuje się do objęcia jej art. 12 ust. 1 w pkt 1-4 czy pkt 6-8. Tymczasem zgodnie z art. 12 ust. 1 pkt 2b lit. b) u.z.p.d., a zatem mieszczącym się w zastrzeżeniu z art. 12 ust. 1 pkt 5 lit. a stawkę podatku ryczałtowego wynoszącą 12 % przewidziano dla przychodów związanych z świadczeniem usług doradztwa w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), związanych z oprogramowaniem (PKWiU ex 62.01.1), objętych grupowaniem "Oryginały oprogramowania komputerowego" (PKWiU 62.01.2), związanych z doradztwem w zakresie oprogramowania (PKWiU ex 62.02), w zakresie instalowania oprogramowania (PKWiU ex 62.09.20.0), związanych z zarządzaniem siecią i systemami informatycznymi (PKWiU 62.03.1). Prawidłowo DKIS wyjaśnił, że pojęcie "usług związanych z doradztwem w zakresie oprogramowania" jakie użyto w art. 12 ust. 1 pkt 1 lit. 2b lit. b u.z.p.d. obejmuje nie tylko doradzanie przy programowaniu (np. tworzeniu kodu, aplikacji), ale wszelkie doradztwo związane oprogramowaniem. Przepis ten nie odwołuje się ani do bezpośredniego, ani do pośredniego związku z oprogramowaniem, a słowo "związany" oznacza to samo co "dotyczący czegoś, mający związek z kimś lub czymś". Tak bowiem przymiotnik "związany" definiuje słownik języka polskiego PWN. Podejście takie jest akceptowane w orzecznictwie sądów administracyjnych (por. m.in. wyroki WSA we Wrocławiu z 16 listopada 2023 r. sygn. akt I SA/Wr 422/23, WSA w Gliwicach z 19 listopada 2025 r. sygn. akt I SA/Gl 675/25). Podążając za uzasadnieniem wyroku WSA w Gdańsku z 18 marca 2025 r., sygn. akt I SA/Gd 895/24 wskazać również należy, że podatkowaniem według stawki w wysokości 12% ryczałtu będą objęte przychody z tych usług, które mieszczą się w klasie PKWiU 62.02 (a więc znajdujące się w którymkolwiek z wymienionych w niej grupowań PKWiU: 62.02.10.0, 62.02.20.0, 62.02.30.0), o ile są one związane z doradztwem w zakresie oprogramowania. Przypomnieć należy, że grupowanie 62.02.30.0, do którego nawiązano we wniosku oraz skardze dotyczy usługi pomocy technicznej w zakresie technologii informatycznych i sprzętu komputerowego i obejmuje ono usługi pomocy technicznej mające na celu rozwiązanie problemów klienta w zakresie technologii informatycznych i sprzętu komputerowego, takie jak: - udzielanie pomocy klientowi w uruchamianiu i usuwaniu usterek w oprogramowaniu, - usługi zastępowania nowszą wersją oprogramowania, - udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek sprzętu komputerowego, włączając testowanie podstawowego oprogramowania oraz naprawę sprzętu informatycznego, - udzielanie pomocy technicznej w przenoszeniu systemu komputerowego klienta na nowe miejsce, - udzielanie pomocy klientowi w użytkowaniu i usuwaniu usterek dla kombinacji sprzęt komputerowy i oprogramowanie, - udzielanie pomocy technicznej w celu rozwiązania problemów klienta związanych z użytkowaniem systemu komputerowego, tj. usługi w zakresie kontroli lub oceny działania komputera, włączając usługi w zakresie kontroli, oceny i dokumentowania serwera, sieci lub technologii dla elementów, wydajności lub bezpieczeństwa. Grupowanie to nie obejmuje: - usług odzyskiwania danych, sklasyfikowanych w 62.09.20.0. Z perspektywy ustawy o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne, usługi związane z doradztwem w zakresie oprogramowania, o których mowa w art. 12 ust. 1 pkt 2b lit. b tej ustawy, nie są zatem ograniczone wyłącznie do grupowania PKWiU 62.02.20.0 - "Usługi związane z doradztwem w zakresie oprogramowania komputerowego". Gdyby tak było, ustawodawca redagując zakres przepisu art. 12 ust. 1 pkt 2b lit. b ww. ustawy dałby temu wyraz określając związek z doradztwem w zakresie oprogramowania poprzez wskazanie PKWiU 62.02.20.0, a nie przez odniesienie się do klasy PKWiU 62.02 z zastrzeżeniem określonym symbolem "ex". Postąpiłby zatem podobnie, jak to zrobił w przypadku usług związanych z doradztwem w zakresie sprzętu komputerowego (PKWiU 62.02.10.0), co do których to usług brak jest zastrzeżenia w ww. ustawie wynikającego z symbolu "ex", w związku z czym usługi te, niezależnie od ich związku z doradztwem w zakresie oprogramowania, w całości mieszczą się w zakresie art. 12 ust. 1 pkt 2b lit. b cytowanej ustawy. Uzupełniająco wskazać należy na stanowisko zgodnie z którym z art. 12 ust. 1 pkt 2b lit. b) u.z.p.d. wynika, że ryczałt od przychodów ewidencjonowanych wynosi 12% przychodów ze świadczenia usług związanych z oprogramowaniem (PKWiU ex 62.01.1) – por. WSA we Wrocławiu wyrok z 12 lutego 2026 r. sygn. akt I SA/Wr 521/25. Ustawa o zryczałtowanym podatku dochodowym od niektórych przychodów osiąganych przez osoby fizyczne nie zawiera definicji oprogramowania. Dlatego - mając na względzie, że ustawa dla ustalenia właściwej stawki podatku, odsyła do właściwej klasyfikacji statystycznej - należało posłużyć się definicją "Oprogramowania" zawartą w zeszycie metodologicznym Głównego Urzędu Statystycznego "Zeszyt metodologiczny. Wskaźnik społeczeństwa informacyjnego. Badania wykorzystania technologii informacyjno-komunikacyjnych". Zgodnie z zawartą tam definicją Oprogramowanie (Software) to - całość instrukcji i procedur (programów) oraz powiązanych z nimi danych umożliwiających komputerom i innym programowalnym urządzeniom wykonywanie określonych funkcji. Oprogramowanie jest często rozumiane jako synonim terminu program komputerowy, chociaż ma nieco szersze znaczenie - obejmuje także programy wykorzystywane przez inne urządzenia. Do oprogramowania zalicza się systemy operacyjne, programy użytkowe (aplikacje), programy do tworzenia programów, programy sterujące działaniem różnych urządzeń (od telewizorów i innego sprzętu elektronicznego, kalkulatorów, przez telefony komórkowe, do podzespołów komputerowych np. nagrywarek DVD) - tzw. firmware, a także różnego rodzaju programy wykorzystywane przez urządzenia i systemy sieciowe, telekomunikacyjne itp. Zwrot "doradzać" rozumieć trzeba jako udzielanie porady, wskazywanie sposobu postępowania w jakiejś sprawie, wskazywanie możliwej ścieżki postępowania. Zestawiając powyższe z opisem stanu faktycznego przedstawionym we wniosku oraz przedstawionym tamże własnym stanowiskiem Skarżącego stwierdzić przychodzi, że objęte pytaniem przychody pochodzą ze świadczenia usług związanych z oprogramowaniem, o jakich mowa w art. 12 ust. 1 pkt 2b lit. b u.z.p.d. Po pierwsze usługi objęte zapytaniem związane są oprogramowaniem w wyżej podanym szerokim rozumieniu. Dotyczy to tej usług część, których przedmiotem jest badanie funkcjonowania oprogramowania, analiza oprogramowania pod kątem bezpieczeństwa, wskazywania propozycji ulepszeń i w tym kontekście współpracy z osobami odpowiedzialnymi za rozwój oprogramowania u klienta. Polegają one w uproszczeniu na wykonywaniu testów penetracyjnych systemów informatycznych oraz infrastruktury, przekazaniu rezultatów tych testów klientów oraz przygotowywaniu propozycji rozwiązań mających służyć zwiększeniu bezpieczeństwa oprogramowania czy infrastruktury teleinformatycznej. Po drugie z opisu zamieszczonego we wniosku i wyjaśnień przedstawionych przez Skarżącego wynika, że świadczonych przez niego usług nie można sprowadzić do testowania polegającego poddanie badaniu przedmiotu jakim jest oprogramowanie i zebranie wyników takiego badania. Czynności o charakterze technicznym składające się na testowanie oprogramowania były środkiem do realizacji tego celu. Celem i sensem tych usług, co akcentowano w wystąpieniach strony skarżącej, było podnoszenie bezpieczeństwa oprogramowania. Realizowane było to w drodze ustalenia przez Wnioskodawcę luk w zabezpieczeniach, a następnie przygotowanie propozycji możliwych rozwiązań dla zidentyfikowanych problemów oraz pomoc w ich wdrażaniu. W tym kontekście nieuzasadnione byłoby rozdzielanie objętej pytaniem usługi odrębnie na usługi o charakterze technicznym oraz usługi doradztwa związanego z oprogramowaniem, a to dla przyporządkowania im różnych stawek podatku. Strona w tym zakresie nie wskazała, że usługi te traktowane są przez strony stosunku zlecenia jako osobne i osobno rozliczane, a nadto mieszczą się w grupowaniu 62.02. Po trzecie, rolą Skarżącego było przygotowywanie raportów, rekomendacji, sugestii i udzielenia pomocy zleceniodawcy dla podniesienia poziomu cyberbezpieczeństwa. Wnioskodawca miał tego dokonać przy wykorzystaniu wiedzy eksperckiej oraz w oparciu uzyskane wyniki testów. Działania Skarżącego nie skupiały się wyłącznie na samym testowaniu. W opisie stanu faktycznego zaznaczono, że finalnie każdy wykryty błąd zostaje opisany pod kątem zagrożeń bezpieczeństwa, czemu towarzyszyć może propozycja fragmentu kodu jako rekomendacja dla ewentualnych działań zleceniodawcy. Dostrzec należy, że to w związku z tym procesem Skarżący wchodził w interakcje ze przedstawicielami zleceniodawcy omawiając wykryte problemy i sposoby ich usuwania, przygotowując wskazówki związane z cyberbezpieczeństwem. Wnioskodawca działał zatem w charakterze doradcy wskazując zleceniodawcy, co w zaistniałej sytuacji może i powinien zrobić dla podniesienia poziomu cyberbezpieczeństwa. Wszystko to pozwala na stwierdzenie, że objęte pytaniem usługi objęte są stawką z art. 12 ust. 1 pkt 2b lit. b) u.p.d.z. Nie potwierdziły się tym samym sformułowane w skardze zarzuty naruszenia powołanego przepisu ustawy podatkowe. Nietrafne były również zarzuty skargi dotyczące naruszenia przepisów postępowania. W ocenie Sądu w niniejszej sprawie nie doszło do naruszenia art. 121 § 1 o.p. poprzez nieuzasadnione odejście od utrwalonego stanowiska w zakresie wykładni przepisów prawa podatkowego mających odniesienie do sprawy. Przegląd orzecznictwa, w szczególności powołanego w motywach niniejszego wyroku, wskazuje iż stanowisko organów podatkowych oraz sądów administracyjnej w sprawach dotyczących klasyfikacji usług informatycznych na potrzeby doboru stawki ryczałtowego podatku dochodowego nie cechuje się jednolitością i trwałością, a nadto ewoluuje w kierunku przeciwnym do stanowiska strony skarżącej. Jak słusznie wskazał DKIS odmienność opisów prawnopodaktowych stanów faktycznych na kanwie których wydawano interpretacje indywidualne nie pozwala na zbudowanie jednego wzorca wykładni art. 12 ust. 1 pkt 2b lit. b i art. 12 ust. 1 pkt 5 ustawy podatkowej, odpowiadającego stanowi przedstawionemu we wniosku. Rację ma strona skarżąca, że pożądane jest dążenie do stałości i przewidywalności rozstrzygnięć organów władzy publicznej. Zmienność rozstrzygnięć organów podatkowych w tożsamych stanach faktycznych i prawnych, godzi w zasadę prowadzenia postępowania w sposób budzący zaufanie. Postulat stałości działań organów podatkowych nie ma jednak charakteru bezwzględnego. Utrzymywanie niezmiennego stanowisko organów podatkowych nie powinno odbywać kosztem kategorycznej wartości jaką jest nakaz działanie organów władzy publicznej na podstawie i w granicach przepisów prawa. Odejście od określonego stanowiska dotyczącego interpretacji i stosowania prawa podatkowego jest uzasadnione jeżeli służy realizacji tego obowiązku (art. 7 Konstytucji RP), a dodatkowo przyczynia się do pełniejszej realizacji zasady powszechności i równości rozkładu ciężaru podatkowego (art. 84 Konstytucji RP). Jak już wcześniej wskazano ocena prawna przedstawiona przez DKIS, co do art. 12 ust. 1 pkt 2b lit. b u.z.p.d. była poprawna. Wbrew zarzutom skargi uzasadnienie zaskarżonej interpretacji zawiera rzeczowe i wyczerpujące przedstawienie stanowiska jakie legło u podstaw wydania negatywnej dla Wnioskodawcy interpretacji. Dyrektor odniósł się do argumentacji przedstawianej przez Skarżącego. Jednocześnie przedstawił pełny i spójny wywód prowadzący do wniosku o braku słuszności zapatrywania Skarżącego, co do zastosowania wobec usług objętych pytaniem stawki 8,5 % oraz zasadności zastosowania stawki 12%. Stąd chybione okazały się zarzuty skargi dotyczące naruszenia art. 120 o.p., art. 121 § 1 o.p. Z konieczności Sąd przytacza w tym miejscu pełne brzmienie art. 14h o.p., który stanowi: "W sprawach dotyczących interpretacji indywidualnej stosuje się odpowiednio przepisy art. 120, art. 121 § 1, art. 125, art. 126, art. 129, art. 130, art. 135, art. 140, art. 143, art. 165 § 3b, art. 165a, art. 168, art. 169 § 1-2 i 4, art. 170, art. 171, art. 208, art. 213 w zakresie uzupełniania lub sprostowania co do skargi do sądu administracyjnego, art. 214, art. 215 § 1 i 3 oraz przepisy rozdziałów 3a, 5, 6, 7, 10, 14, 16 i 23 działu IV." Z uwagi na treść art. 14h o.p. nie mógł zatem odnieść skutku zarzut skargi dotyczący naruszenia art. 124 o.p. przy wydaniu zaskarżone interpretacji indywidualnej przepisów prawa podatkowego. W art. 14h o.p. brak jest bowiem odesłania do stosowania art. 124 o.p. w sprawach dotyczących interpretacji indywidualnych. Podobnie ocenić należy zarzut naruszenia art. 191 o.p., który to przepis mieści się w Rozdziale 11 "Dowody" Działu IV Ordynacji podatkowej nie wymienionym w art. 14h o.p. W postępowaniu w sprawie wydania interpretacji, co wynika z jego istoty, nie prowadzi się oceny dowodów.