Zarówno rząd, jak i eksperci, ostrzegają przed rosnącym zagrożeniem cyberatakami. Wicepremier, minister cyfryzacji Krzysztof Gawkowski powiedział niedawno, że "Polska jest na cybernetycznej zimnej wojnie", a "cyberataki będą się zdarzały, incydenty będą się podwajały". Z danych rządowych wynika, że Polska była w ostatnich miesiącach celem cyberataków wymierzonych m.in. w infrastrukturę krytyczną, służbę zdrowia i obronność, w tym w transport pomocy dla Ukrainy. Jednak zagrożenie nie ominie też przedsiębiorców.
Powstaje więc pytanie, czy jeśli już przedsiębiorca poniesie niezawinione przez siebie straty finansowe, z powodu ataku hakerów, to czy będzie mógł je uznać za koszt uzyskania przychodu. Skarbówka jest co do zasady na tak, ale jednocześnie stawia bardzo restrykcyjne warunki.
- Należy podkreślić, że strata poniesiona w wyniku cyberataku może być kosztem podatkowym. Fiskus potwierdza, iż przepisy nie przewidują żadnych wyłączeń w tym zakresie. Problemem jest jednak praktyka zarówno organów podatkowych, jak też organów ścigania. Według fiskusa warunkiem odliczenia straty jest uprawdopodobnienie jej powstania przez postanowienie o umorzeniu postępowania przez organy ścigania. Jednak praktyka pokazuje, że organy ścigania często zawieszają postępowanie, co uniemożliwia rozliczenie straty w kosztach podatkowych. Dlatego warto, by organy podatkowe rozważyły złagodzenia stanowiska w tym zakresie i dostosowanie go do rzeczywistości gospodarczej. Chodzi oczywiście o sytuacje, w których przedsiębiorca zawczasu stara się zapobiegać atakom, poprzez stworzenie odpowiednich procedur i zabezpieczeń. Pomocne może być wydanie interpretacji ogólnej dotyczącej dokumentowania strat powstałych w wyniku oszustwa – mówi Łukasz Andruszkiewicz, doradca podatkowy, menedżer w Gekko Taxens.
Czytaj w LEX: Rozliczanie strat z lat ubiegłych na przykładach >
Fiskus się zgadza, ale stawia restrykcyjne warunki
Przykładem może być interpretacja z 12 kwietnia 2024 r. (nr 0111-KDIB1-2.4010.82.2024.1.END) dotycząca spółki, która otrzymała do opłacenia fakturę od jednego ze swoich stałych zagranicznych kontrahentów z nowym numerem konta. Spółka przelała pieniądze na nowy numer, po telefonicznym potwierdzeniu go u kontrahenta. Okazało się jednak, że za przesłaniem jej nowego numeru i za potwierdzeniem tego faktu stał ten sam haker.
Spółka namierzyła hakera i zgłosiła sprawę na policję. Udało jej się odzyskać od brytyjskiego banku część przelanej kwoty. Otrzymała też odszkodowanie od ubezpieczyciela, który uznał brak możliwości odzyskania środków pieniężnych od oszusta. Postępowanie przed polskimi organami ścigania zostało umorzone, jednak w wyniku zażalenia spółki sąd uchylił postanowienie o umorzeniu. Policja ponownie podjęła śledztwo, ale wkrótce je zawiesiła na nieoznaczony czas, bo organy ścigania wystąpiły z wnioskiem o pomoc do brytyjskiego banku, który już raz odmówił ujawnienia danych dotyczących rachunku oszusta. Spółka wystąpiła o interpretację, czy może odliczyć stratę, skoro nie przyczyniła się do jej powstania, a z uwagi na stopień zaawansowania działań oszusta, nie miała możliwości jej rozpoznania.
Czytaj w LEX: Określenie wysokości straty >
Dyrektor KIS potwierdził, że co do zasady strata powstała w wyniku oszustwa, dlatego spółka może zaliczyć ją do kosztów uzyskania przychodów. Będzie to koszt bezpośredni, co oznacza możliwość jej odliczenia w dacie zaksięgowania. Dyrektor KIS argumentował, że wydatek powstał na skutek zdarzeń nieprzewidywalnych, nie do uniknięcia dla starannie działającego przedsiębiorcy. Koniecznym jest jednak, aby był to wydatek rzeczywisty, który musi być również prawidłowo udokumentowany.
- Podstawą do ujmowania kosztu w rachunku podatkowym są dokumenty potwierdzające definitywne poniesienie wydatku. W przedstawionym opisie sprawy, będzie to otrzymane ostateczne postanowienie o umorzeniu postępowania w sprawie, wtedy bowiem zostanie urzędowo poświadczone, że odzyskanie utraconych środków nie jest możliwe - wobec niewykrycia sprawcy spółka nie może podejmować działań zmierzających do odzyskania utraconych środków pieniężnych – stwierdził dyrektor KIS.
W innej interpretacji z 26 kwietnia 2024 r. (nr 0111-KDIB1-1.4010.484.2021.15.BS) fiskus rozpatrywał sprawę przedsiębiorcy, który został oszukany przez hakera podszywającego się pod kontrahenta z Wietnamu. Najpierw odmówił wydania interpretacji, twierdząc, że nie jest w stanie ocenić, czy spółka dochowała należytej staranności w kontaktach z kontrahentem. Dopiero po wyroku NSA wydał interpretację potwierdzającą możliwość odliczenia.
W oczekiwaniu na rozstrzygnięcie NSA
- Wymagane przez fiskusa postanowienie o umorzeniu postępowania jest często warunkiem niemożliwym do spełnienia. Duże nadzieje na rozstrzygnięcie podobnych spraw na korzyść podatników daje wyrok WSA w Łodzi z 6 lipca 2022 r. (sygn. I SA/Łd 284/22), zgodnie z którym żadne przepisy nie nakładają na podatnika obowiązku, by w podobnej sytuacji niezbędne było spełnienie wymogu dokumentacyjnego w postaci posiadania takiego postanowienia. Należy mieć nadzieję, że NSA potrzyma to stanowisko. Ułatwiłoby to również dochodzenie swoich praw przez innych podatników, którzy padli ofiarą niezawinionego przez siebie oszustwa - mówi Łukasz Andruszkiewicz.
Sprawa dotyczyła producenta wyrobów medycznych, który padł ofiarą hakera i przelał znaczną kwotę na konto oszusta. Fiskus odmówił prawa do odliczenia straty, argumentując, że konieczne jest jej uprawdopodobnione przez właściwe organy ścigania - policję czy prokuraturę, a to jest możliwe dopiero po zakończeniu przez nie postępowania. WSA nie zgodził się z fiskusem. Orzekł, że skoro spółka dysponuje potwierdzeniem przelewu na rachunek oszusta, dowodem zgłoszenia sprawy do organów ścigania, dowodem ujęcia straty w księgach, a także dowodem wypłaty jej odszkodowania wobec zakończenia postępowania przed ubezpieczycielem, który uznał brak możliwości odzyskania środków pieniężnych od oszusta, to trudno uznać, że zaistnienie straty jest wątpliwe oraz że nie została ona należycie udokumentowana.
![[E-book] CIT. Komentarz. Podatki i rachunkowość](/gfx/prawopl/_thumbs/produkty_foto/81778/978-83-8358-493-5_,mXqL62OeqFTLkrXdmIyYmw.jpg)
Cena promocyjna: 219.8 zł
|Cena regularna: 314 zł
|Najniższa cena w ostatnich 30 dniach: 314 zł
Można odliczyć wydatki na zapobieganie cyberatakom
Patryk Kozioł, doradca podatkowy w kancelarii PodatkiRymaszewski.pl, podkreśla, że przedsiębiorcy powinni podejmować teraz wzmożone działania w kierunku wzmocnienia cyberbezpieczeństwa i zapobieganiu cyberatakom. Konieczne są zarówno szkolenia przedsiębiorców i ich pracowników, jak też wydatki na wzmocnienie firmowych systemów bezpieczeństwa.
- Tego typu wydatki mogą być kosztem uzyskania przychodu, ponieważ mają na celu zachowanie źródła przychodu. Poza tym istnieją korzystne interpretacje organów podatkowych, iż prace na rzecz cyberbezpieczeństwa mogą być objęte ulgą B+R, jeśli mają charakter twórczy oraz podejmowane są w celu zwiększania zasobów wiedzy, co potwierdza np. interpretacja nr 0111-KDIB1-3.4010.157.2023.2JM. Niezależnie od tego Krajowa Izba Doradców Podatkowych wystąpiła z nową inicjatywą legislacyjną, której celem jest wprowadzenie nowej ulgi dla bezpieczeństwa. Współpracujemy w tym zakresie z innymi samorządami zaufania publicznego, a efektem naszych działań będzie raport i propozycje zmian legislacyjnych, które przedstawimy stronie rządowej - mówi Patryk Kozioł, który jest jednym z pomysłodawców akcji.
Chodzi o wprowadzenie ulgi na bezpieczeństwo w podatkach dochodowych, zarówno dla przedsiębiorców, jak i osób fizycznych. Przedsiębiorcy mogliby odliczyć w zeznaniu rocznym wydatki kwalifikowane na działania związane z poprawą bezpieczeństwa osobistego i publicznego. Mogliby odliczyć te same wydatki podwójnie, po pierwsze jako koszty uzyskania przychodu w PIT lub CIT, a po drugie jako koszty kwalifikowane (w wysokości 100 proc.) w ramach nowej ulgi.
Samorząd zawodowy doradców podatkowych zaprasza do udziału w projekcie wszystkich obywateli. Na stronie KIDP opublikowano ankietę, która celem jest zebranie opinii na temat projektowanej ulgi. Ankietowani mogą m.in. ocenić pomysł i wypowiedzieć się, jakie wydatki powinny być objęte ulgą. W ankiecie wskazano:
Ankietę można znaleźć pod adresem: https://kidp.pl/ulga-na-bezpieczenstwo-wypelnij-ankiete-i-zostan-wspolautorem-inicjatywy-legislacyjnej.
Czytaj również: Czy będzie ulga na bezpieczeństwo i jakie wydatki obejmie >>
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
