CERT

Co to jest CERT (Computer Emergency Response Team)?

CERT (Computer Emergency Response Team), czyli Zespół Reagowania na Incydenty Komputerowe, to wyspecjalizowana komórka organizacyjna, której nadrzędnym celem jest systemowe zarządzanie incydentami cyberbezpieczeństwa– od ich wstępnej identyfikacji, przez powstrzymanie i usunięcie zagrożenia, aż po działania naprawcze i prewencyjne. Zespół CERT stanowi centralny punkt kontaktowy, do którego trafiają zgłoszenia o naruszeniach bezpieczeństwa i który koordynuje reakcję na ataki wymierzone w infrastrukturę cyfrową organizacji lub całego państwa.

Jaka jest rola i zadania zespołu CERT?

Koncepcja zespołu CERT narodziła się pod koniec lat 80. XX wieku. Bezpośrednim katalizatorem był incydent z listopada 1988 roku, gdy tzw. Robak Morrisa (Morris Worm) – pierwszy zaawansowany kod samopowielający – sparaliżował tysiące maszyn w sieci ARPANET. Ponieważ administratorzy działali wówczas w całkowitej izolacji, bez procedur komunikacji kryzysowej, agencja DARPA zleciła uniwersytetowi Carnegie Mellon utworzenie pierwszego centrum koordynacyjnego. Tak, 22 listopada 1988 roku powstał CERT/CC (Coordination Center), który zapoczątkował globalne standardy reagowania na incydenty.

Rolą zespołu CERT jest zapewnienie powtarzalnej, ustandaryzowanej reakcji na incydenty bezpieczeństwa. Praca zespołu opiera się na ustrukturyzowanym procesie reagowania na incydenty (Incident Response), zgodnym z globalnymi standardami(np. NIST,  SANS), prowadzącym od przygotowania i detekcji, przez powstrzymanie i usunięcie zagrożenia, aż po odzyskanie środowiska i wyciągnięcie wniosków.

Charakterystyczne dla zespołów CERT jest jednak to, że reagowanie na incydenty stanowi tylko część ich zadań. Poza IR zespół CERT pełni funkcję centralnego punktu koordynacji i wczesnego ostrzegania: agreguje zgłoszenia z wielu podmiotów, prowadzi informatykę śledczą (DFIR – Digital Forensics and Incident Response), analizę zagrożeń (Threat Intelligence) oraz publikuje biuletyny i rekomendacje (constituency). To właśnie rola koordynacyjna i prewencyjna – a nie sama obsługa pojedynczego incydentu – odróżnia zespół CERT od doraźnie powoływanego zespołu reagowania.

Czym zespół CERT różni się od centrum operacji bezpieczeństwa (SOC)?

SOC prowadzi proaktywne monitorowanie infrastruktury w trybie ciągłym (24/7/365), gromadzi logi, konfiguruje reguły detekcji w SIEM i realizuje wstępny triage. CERT działa natomiast interwencyjnie (incident-driven) – wkracza dopiero po otrzymaniu raportupotwierdzającego incydent.

Gdy analityk SOC potwierdzi anomalię wykraczającą poza  standardową obsługę , następuje oficjalna eskalacja do zespołu CERT/CSIRT, który przejmuje dowodzenie operacyjne, prowadzi analitykę powłamaniową, inżynierię wsteczną złośliwego oprogramowania (reverse engineering) i komunikację kryzysową. W nomenklaturze korporacyjnej spotyka się również termin IRT (Incident Response Team) – szerszą, multidyscyplinarną grupę obejmującą nie tylko inżynierów, lecz także działy PR, prawny i kadrę zarządczą (C-level).

Jakie są rodzaje zespołów CERT i CSIRT?

W praktyce operacyjnej pojęcia CERT oraz CSIRT (Computer Security Incident Response Team) traktuje się niemal jak synonimy. Ponieważ nazwa „CERT” została zastrzeżona jako znak towarowy przez uniwersytet Carnegie Mellon, struktury normalizacyjne – w tym prawodawstwo Unii Europejskiej – promują skrót CSIRT. Analitycy wskazują, że CSIRT kładzie większy akcent na „Security” (bezpieczeństwo systemów informacyjnych), podczas gdy oryginalny CERT podkreślał „Emergency” (reakcję na awarie infrastrukturalne). Zespoły reagowania dzielą się ze względu na zasięg terytorialny i biznesowy na trzy nadrzędne kategorie.

• Zespoły krajowe (nCSIRT) – operują na szczeblu całego państwa, chronią infrastrukturę krytyczną, przyjmują zgłoszenia od podmiotów rządowych, przedsiębiorstw i obywateli oraz współpracują na szczeblu międzynarodowym (m.in. w ramach FIRST, Trusted Introducer i Sieci CSIRT z udziałem ENISA).
• Zespoły sektorowe (ISAC/ISIRT) – dedykowane konkretnym rynkom (np. bankowości, energetyce, ochronie zdrowia), dysponujące wąską i głęboką wiedzą domenową, szczególnie cenną przy obronie protokołów przemysłowych (OT/SCADA).
• Zespoły wewnętrzne (korporacyjne) – prywatne struktury zintegrowane wewnątrz przedsiębiorstwa (np. CERT mBank), reagujące na incydenty zagrażające wyłącznie interesom danej organizacji, jej pracownikom i klientom.

Parametr	SOC (Security Operations Center)	CERT / CSIRT
Paradygmat działania	Ciągłe monitorowanie 24/7/365	Działanie interwencyjne (incident-driven)
Główne obowiązki	Gromadzenie logów, reguły SIEM, triage	Analityka powłamaniowa, DFIR, komunikacja kryzysowa
Specjalizacja techniczna	Analiza telemetrii, zarządzanie podatnościami	Reverse engineering malware, memory forensics
Poziom decyzyjny	Operacyjny nadzór nad stabilnością sieci	Strategiczne i taktyczne zarządzanie incydentem

Co to jest CERT Polska?

CERT Polska to najstarszy i najbardziej rozbudowany zespół reagowania na incydenty komputerowe w Polsce, działający w strukturach Naukowej i Akademickiej Sieci Komputerowej (NASK). Powstał w 1996 roku jako pierwszy tego typu zespół w kraju, a dziś tworzy go ponad 100 ekspertów. Zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa (KSC) CERT Polska pełni funkcję jednego z trzech CSIRT-ów poziomu krajowego, realizując zadania CSIRT NASK i odpowiadając za ochronę całego cywilnego segmentu polskiej cyberprzestrzeni.

Polska przyjęła trójfilarową strukturę zarządzania incydentami na szczeblu krajowym, w której jurysdykcje trzech równorzędnych zespołów CSIRT powiązane są ze specyfiką chronionych instytucji.

• CSIRT NASK – chroni cywilny segment Internetu: jednostki samorządu terytorialnego, uczelnie, instytuty badawcze, spółki komunalne oraz obywateli. To w jego ramach działa zespół badawczy CERT Polska.
• CSIRT GOV – prowadzony przez Agencję Bezpieczeństwa Wewnętrznego (ABW); chroni administrację rządową, infrastrukturę krytyczną państwa i spółki skarbu państwa.
• CSIRT MON – prowadzony przez Ministerstwo Obrony Narodowej; zabezpiecza sieci Sił Zbrojnych RP oraz przedsiębiorstw zbrojeniowych.

Uzupełnieniem poziomu krajowego są zespoły sektorowe, których siatkę systematyzuje i rozszerza znowelizowana ustawa o KSC – m.in. CSIRT KNF (sektor finansowy), CSIRT CeZ (ochrona zdrowia), CSIRT Cyfra (infrastruktura cyfrowa) oraz CSIRT Infrastruktura (transport i logistyka).

Czym zajmuje się CERT Polska?

CERT Polska łączy klasyczną obsługę incydentów z zaawansowaną prewencją. Skala jego działań rośnie z roku na rok – tylko w 2025 roku zespół obsłużył ok. 260 tys. incydentów. Do kluczowych zadań i inicjatyw należą:

• Projekt Artemis – skalowalny silnik analizy podatności zewnętrznej, który dynamicznie monitoruje zasoby polskiej cyberprzestrzeni (w tym regularne audyty domen .gov.pl) i wyszukuje najsłabiej zabezpieczone panele oraz domyślne hasła. Od 2025 roku udostępniany globalnie i bezpłatnie.
• System n6 – platforma raportowania powłamaniowego, która dostarcza organizacjom podpiętym pod bazę błyskawiczne raporty o tym, czy ich serwery nie stały się częścią botnetu ani czy dane firmy nie wyciekły do sieci.
• Lista Ostrzeżeń i numer 8080 – mechanizm zgłaszania podejrzanych SMS-ów, dzięki któremu złośliwe domeny trafiają na krajową czarną listę blokowaną przez operatorów telekomunikacyjnych. W 2025 roku CERT Polska zablokował ponad 140 mln prób wejścia na niebezpieczne strony, a przez 30 lat działalności otrzymał ponad 2 mln zgłoszeń od użytkowników.
• Rejestracja podatności (CVE) – jako certyfikowany węzeł CNA (CVE Numbering Authority), CERT Polska nadaje oficjalne identyfikatory podatnościom wykrytym w polskim oprogramowaniu (m.in. CVE-2025-4049 w oprogramowaniu dla parafii).
• Platforma moje.cert.pl – bezpłatne monitorowanie bezpieczeństwa domen oraz wykrywanie wycieków haseł i błędów konfiguracji, z którego korzysta już blisko 18 tys. użytkowników.

Jak zgłosić zagrożenie do CERT Polska?

CERT Polska udostępnia kilka kanałów zgłaszania zagrożeń, dostosowanych do rodzaju incydentu.

• Podejrzane SMS-y – przekazywane (przez usługę SMS-Forward) na bezpłatny, czterocyfrowy numer 8080.
• Podejrzane e-maile i strony – zgłaszane przez formularz na platformie incydent.cert.pl oraz przez usługę „Bezpiecznie w sieci” w aplikacji mObywatel.
• Incydenty korporacyjne – podmioty objęte krajowym systemem cyberbezpieczeństwa raportują incydenty poważne za pośrednictwem systemu S46 do właściwego zespołu CSIRT na poziomie krajowym.

Zgłoszenie zagrożenia jest dostępne dla każdego – od pojedynczego obywatela po dużą instytucję – i stanowi istotny element społecznego mechanizmu wczesnego ostrzegania.

Kiedy kontakt z CERT jest obowiązkiem firmy?

Dla wielu przedsiębiorstw kontakt z zespołem CERT nie jest jedynie dobrą praktyką, lecz prawnym obowiązkiem. Podstawę stanowi ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC), wdrażającym europejską dyrektywę NIS, wraz z jej nowelizacją implementującą dyrektywę NIS2 (tzw. KSC2). Nowelizację podpisano 19 lutego 2026 r., opublikowano w Dzienniku Ustaw 2 marca 2026 r., a po miesięcznym vacatio legis weszła ona w życie 3 kwietnia 2026 r. – jednocześnie prezydent skierował do Trybunału Konstytucyjnego wniosek o kontrolę przepisów dotyczących dostawców wysokiego ryzyka.

Obowiązek zgłaszania incydentów dotyczy podmiotów kluczowych oraz podmiotów ważnych, których katalog dyrektywa NIS 2 znacząco poszerza (w porównaniu do NIS)– z sektorów tradycyjnych (energetyka, transport, bankowość, ochrona zdrowia) na kolejne branże, m.in. gospodarkę wodno-ściekową, produkcję chemiczną, usługi kurierskie i produkcję żywności. Każdy taki podmiot musi przeprowadzić samoidentyfikację, wpisać się do Wykazu KSC oraz zgłaszać incydenty do właściwego zespołu CSIRT.

Zgłoszenia trafiają do właściwego zespołu CSIRT poziomu krajowego (w praktyce najczęściej CSIRT NASK / CERT Polska) za pośrednictwem państwowej platformy S46. Reżim komunikacji kryzysowej wprowadzony przez NIS2 nakłada przy tym sztywne terminy – od wczesnego ostrzeżenia w ciągu 24 godzin od wykrycia, przez zgłoszenie incydentu poważnego w ciągu 72 godzin, po sprawozdanie końcowe w ciągu 1 miesiąca; ich szczegółowy rozkład omawia hasło Incident Response. To właśnie zespół CERT jest po drugiej stronie tego obowiązku – jako instytucja przyjmująca zgłoszenie, koordynująca reakcję i wydająca ostrzeżenia powiązanym podmiotom.

Niespełnienie wymogów znowelizowanej UoKSC niesie ryzyko dotkliwych sankcji finansowych – dla podmiotów kluczowych do 10 mln EUR lub 2% rocznego obrotu, a w przypadku naruszeń powodujących bezpośrednie i poważne zagrożenie nawet do 100 mln zł – przy czym odpowiedzialność za realizację obowiązków spoczywa osobiście na kierowniku podmiotu. Dla firmy oznacza to, że sprawny kontakt z zespołem CERT musi być wpisany w wewnętrzne procedury reagowania na incydenty, jeszcze zanim dojdzie do naruszenia.

Podsumowanie wiedzy o CERT

CERT (Computer Emergency Response Team), czyli Zespół Reagowania na Incydenty Komputerowe, to wyspecjalizowana jednostka odpowiedzialna za systemowe zarządzanie incydentami teleinformatycznymi – od detekcji, przez powstrzymanie i eradykację zagrożenia, aż po odzyskiwanie środowiska i działania postincydentowe. Od powstania pierwszego CERT/CC w 1988 roku zespoły te ewoluowały z wąskich grup akademickich w wysoce wyspecjalizowane formacje obronne, wspierane informatyką śledczą (DFIR), analizą Threat Intelligence i automatyzacją SOAR.

W praktyce pojęcia CERT i CSIRT stosuje się wymiennie, a zespoły reagowania dzielą się na krajowe, sektorowe i korporacyjne, uzupełniając rolę centrów operacji bezpieczeństwa (SOC). W Polsce filarem systemu jest CERT Polska, działający w ramach CSIRT NASK obok CSIRT GOV i CSIRT MON, oferujący narzędzia takie jak Projekt Artemis, system n6 czy numer 8080. Dla firm objętych ustawą o krajowym systemie cyberbezpieczeństwa (KSC) oraz dyrektywą NIS2 kontakt z zespołem CERT i terminowe zgłaszanie incydentów stanowią bezwzględny obowiązek prawny. Zrozumienie roli i zadań zespołu CERT jest dziś fundamentem dojrzałej strategii cyberbezpieczeństwa każdej organizacji.

Słowniczek pojęć powiązanych z zespołem CERT