CERT Polska / CSIRT NASK, CSIRT GOV, CSIRT MON

CERT Polska, CSIRT NASK, CSIRT GOV i CSIRT MON to nazwy własne polskich zespołów reagowania na incydenty bezpieczeństwa komputerowego. Ustawa o krajowym systemie cyberbezpieczeństwa definiuje trzy zespoły poziomu krajowego: CSIRT GOV prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, CSIRT MON prowadzony przez Ministra Obrony Narodowej i CSIRT NASK prowadzony przez NASK – Państwowy Instytut Badawczy ^[2]. CERT Polska to pierwszy powstały w Polsce zespół reagowania na incydenty, działający od 1996 roku w strukturach NASK ^[1]. Realizuje on część zadań CSIRT NASK zgodnie z art. 26 ustawy ^[1]. Ogólne pojęcie zespołu opisuje hasło CSIRT.

Trzy zespoły krajowe

Każdy z trzech zespołów koordynuje obsługę incydentów zgłaszanych przez inną grupę podmiotów. Tabela podaje zakresy według pierwotnego brzmienia art. 26 ustawy o krajowym systemie cyberbezpieczeństwa (KSC) z 2018 roku; późniejsze nowelizacje zmieniały część przepisów.

CSIRT GOV opisuje siebie jako zespół pełniący rolę CSIRT-u poziomu krajowego, który koordynuje reagowanie na incydenty komputerowe i zajmuje się zagrożeniami dla systemów administracji publicznej oraz infrastruktury krytycznej ^[4]. CSIRT MON udostępnia na swojej stronie formularz zgłoszenia incydentu i publikuje rekomendacje dla obywateli i firm ^[5]. Dla zwykłego użytkownika i właściciela firmowej strony właściwy jest zwykle CSIRT NASK, bo ustawa przypisała mu między innymi incydenty zgłaszane przez osoby fizyczne i podmioty niewymienione w innych punktach ^[2].

Zadania

Artykuł 26 wymienia wspólne zadania trzech zespołów. Należą do nich monitorowanie zagrożeń i incydentów na poziomie krajowym, szacowanie ryzyka, wydawanie komunikatów o zagrożeniach, reagowanie na zgłoszone incydenty oraz klasyfikowanie incydentów i koordynowanie obsługi incydentów krytycznych ^[2]. Zespoły mają też prowadzić zaawansowane analizy złośliwego oprogramowania i podatności oraz uczestniczyć w europejskiej Sieci CSIRT ^[2]. Współpracują ze sobą tak, by zapewnić spójny system zarządzania ryzykiem na poziomie krajowym ^[2].

RYS. 1Obsługa zgłoszenia w zespole krajowym

CERT Polska działa także w sieciach międzynarodowych: od 1998 roku jest członkiem FIRST, od 2000 roku TF-CSIRT, a od 2010 roku Anti-Phishing Working Group ^[1]. Prowadzi narzędzia takie jak Lista Ostrzeżeń, n6, Artemis i MWDB ^[1].

Zgłoszenia i skala

Do CERT Polska zgłasza się incydenty przez formularz incydent.cert.pl, formularz zgłoszenia złośliwej domeny, SMS na numer 8080, aplikację mObywatel, pocztę elektroniczną i tradycyjną ^[6]. Kanał SMS opisuje hasło zgłoszenie podejrzanego SMS-a na numer 8080, a aplikację hasło mObywatel / Profil Zaufany (mDowód).

W 2025 roku zespół otrzymał 658 320 zgłoszeń i zarejestrował na ich podstawie 260 783 unikalne incydenty ^[6]. Oszustwa komputerowe stanowiły 97% obsłużonych zdarzeń, czyli 253 238 incydentów ^[6]. Najczęstszym rodzajem był phishing, z 78 391 incydentami ^[6]. Na Listę Ostrzeżeń przed niebezpiecznymi stronami wpisano w tym roku 244 341 domen ^[6].

Część zadań wynika z ustawy o zwalczaniu nadużyć w komunikacji elektronicznej. CSIRT NASK prowadzi wykaz wzorców złośliwych SMS-ów, a operatorzy muszą blokować wiadomości zgodne z którymkolwiek wzorcem ^[7]. W 2025 roku 790 wzorców doprowadziło do zablokowania 1 883 610 wiadomości, co ogranicza smishing ^[6].

Podatności i skoordynowane ujawnianie

Od sierpnia 2023 roku CERT Polska ma status CNA i według raportu za 2025 rok pozostaje jedynym podmiotem w Polsce uprawnionym do nadawania identyfikatorów CVE ^[6]. W 2025 roku opublikował 165 takich identyfikatorów ^[6]. Jako CNA może obsługiwać tylko produkty, które nie należą do zakresu innego CNA; w pozostałych przypadkach kieruje zgłaszającego do właściwej organizacji ^[6].

Nowelizacja z 23 stycznia 2026 roku dodała art. 26a, zgodnie z którym CSIRT NASK pełni funkcję koordynatora skoordynowanego ujawniania podatności (coordinated vulnerability disclosure) ^[3]. Wykrytą podatność może mu zgłosić osoba fizyczna, osoba prawna albo jednostka organizacyjna bez osobowości prawnej ^[3]. Nowelizacja wdraża dyrektywę NIS2 ^[3].

W WordPressie

Najbliższym dla właściciela strony WordPress narzędziem jest serwis moje.cert.pl, udostępniony publicznie 12 lutego 2025 roku ^[6]. Raport CERT Polska wskazuje, że może z niego korzystać każdy zarejestrowany użytkownik, od właściciela niszowego bloga po administratora wielu systemów ^[6]. Po weryfikacji własności domeny użytkownik dostaje informacje o podatnościach: od niepoprawnej konfiguracji certyfikatu SSL/TLS po możliwość zdalnego wykonania kodu ^[6]. Serwis powiadamia też o wyciekach haseł, między innymi wykradzionych przez infostealery, i o sytuacji, w której serwer udostępnia szkodliwe treści ^[6]. Skanowanie wykonuje system Artemis ^[6]. Do końca 2025 roku zarejestrowało się ponad 15 tysięcy użytkowników, którzy dodali ponad 18 tysięcy domen ^[6].

Doświadczenia zespołu z systemami CMS są konkretne. W 2025 roku CERT Polska nadał 43 numery CVE podatnościom w programach CMS do prowadzenia Biuletynów Informacji Publicznej ^[6]. Wśród błędów były hasła przechowywane jawnym tekstem, brak ograniczeń przesyłania plików (CWE-434) i niepoprawna neutralizacja danych wejściowych (CWE-79) ^[6]. Te same klasy błędów w ekosystemie WordPressa opisują hasła wgranie dowolnego pliku i XSS (Cross-Site Scripting). Autor, który znajdzie podatność we wtyczce polskiego producenta, może po nowelizacji z 2026 roku zgłosić ją do CSIRT NASK ^[3].

Przejęta witryna WordPress może też trafić do CERT Polska jako źródło zagrożenia. W 2025 roku zespół otrzymał 144 320 zgłoszeń phishingu hostowanego w polskich sieciach ^[6]. Właściciel, który dostaje takie powiadomienie, rozpoczyna reagowanie na incydent, a nie tylko usuwa jeden plik.

Historia

• 1996: powstaje CERT Polska, pierwszy zespół tego typu w Polsce ^[1].
• 5 lipca 2018: uchwalona zostaje ustawa o krajowym systemie cyberbezpieczeństwa, która ustanawia CSIRT GOV, CSIRT MON i CSIRT NASK ^[2].
• 25 sierpnia 2023: ogłoszona zostaje ustawa o zwalczaniu nadużyć w komunikacji elektronicznej ^[7].
• sierpień 2023: CERT Polska uzyskuje status CNA ^[6].
• listopad 2023: rusza bezpłatny numer 8080 do zgłaszania SMS-ów ^[6].
• 12 lutego 2025: startuje moje.cert.pl ^[6].
• 23 stycznia 2026: nowelizacja KSC czyni CSIRT NASK koordynatorem ujawniania podatności ^[3].