Bug bounty CERT Polska: do 20 tys. zł za lukę. Zasady

Od 3 listopada 2026 roku CERT Polska płaci w programie bug bounty od 100 do 20 000 zł za potwierdzoną lukę w systemach państwa. Program obejmuje portal gov.pl, komunikator mSzyfr i serwisy NASK, CERT Polska oraz Gminy Władysławowo. Nagrodę może dostać tylko pełnoletni polski rezydent podatkowy z numerem PESEL, który zaloguje się przez login.gov.pl i trzyma się zasad testów z regulaminu. Zgłoszenia do pierwszej edycji przyjmuje platforma hack.cert.pl do 30 listopada. Na nagrody przeznaczono łącznie 1 mln zł, ale w listopadowych regulaminach pięciu konkursów pule sumują się do 410 tys. zł. Zgłoszenie przez platformę organizatorzy uznają za powiadomienie z art. 269c Kodeksu karnego. Przed karą chroni jednak tylko wtedy, gdy test służył wyłącznie zabezpieczeniu systemu i nikomu nie zaszkodził. Stan na 3 listopada 2026 roku, godz. 15:00, według hack.cert.pl, regulaminów konkursów i komunikatu CERT Polska.

Co to jest bug bounty CERT Polska i co ruszyło 3 listopada

Bug bounty to konkurs, w którym właściciel systemu płaci za zgłoszone i potwierdzone błędy bezpieczeństwa. FAQ platformy definiuje go jako “formę konkursu, w ramach którego uczestnicy zgłaszają podatności (błędy bezpieczeństwa) znalezione w określonych systemach”. CERT Polska to zespół reagowania na incydenty działający od 1996 roku w strukturach NASK – Państwowego Instytutu Badawczego.

Program ruszył 3 listopada na platformie hack.cert.pl, którą CERT Polska zbudował i sam obsługuje. W komunikacie CERT Polska czytamy, że cały proces zgłaszania odbywa się w wewnętrznej infrastrukturze, bez komercyjnych pośredników. Zespół nazywa to “jednym z pierwszych na świecie przedsięwzięć tego rodzaju”. To ocena organizatora, której nie sprawdzaliśmy.

Organizatorem wszystkich pięciu konkursów jest NASK. Przy programie portalu GOV.PL partnerem jest Centralny Ośrodek Informatyki, a przy programie gminy Centrum Cyberbezpieczeństwa i Ochrony Danych we Władysławowie. Każde zgłoszenie najpierw ocenia CERT Polska, a potem trafia do właściciela systemu.

Wicepremier i minister cyfryzacji Krzysztof Gawkowski powiedział w komunikacie ministerstwa: “Każdy, kto pomoże nam wykrywać podatności, będzie miał szansę na nagrodę finansową”.

Na zdjęciu wyróżniającym: siedziba NASK przy ul. Kolskiej 12 w Warszawie. Fot. Adrian Grycuk, Wikimedia Commons, licencja CC BY-SA 3.0 PL.

Ile płaci bug bounty CERT Polska: stawki pięciu programów

Stawka zależy od programu i od krytyczności luki w skali CVSS 4.0, czyli w dziesięciopunktowej skali dotkliwości podatności. Za krytyczną lukę w portalu gov.pl, mSzyfr oraz głównych serwisach CERT Polska i NASK płaci się 20 000 zł. W gminie Władysławowo najwyższa stawka wynosi 4 000 zł.

Grupy “Tier” dzielą domeny jednego programu na ważniejsze i mniej ważne. Ta sama luka w serwisie z grupy Tier 2 jest warta połowę stawki z grupy Tier 1.

Według FAQ kwota z regulaminu to kwota przelewu. Organizator dolicza do nagrody zryczałtowany podatek dochodowy i sam go odprowadza, więc uczestnik nic nie rozlicza.

Komunikaty CERT Polska i ministerstwa mówią o 1 mln zł na nagrody łącznie. Regulaminy listopadowej edycji podają mniejsze pule: po 100 000 zł dla GOV.PL, mSzyfr, CERT Polska i NASK oraz 10 000 zł dla Władysławowa. Razem to 410 000 zł, to nasze wyliczenie. Na co pójdzie reszta miliona, żaden dokument nie mówi. Każdy regulamin pozwala zwiększyć pulę. Regulamin platformy pozwala też wstrzymać zgłoszenia i wypłaty, gdy pula się wyczerpie.

Które systemy można testować w programie

Testować wolno tylko domeny wpisane w regulamin danego konkursu i tylko systemy dostępne bezpośrednio z internetu, bez VPN ani kont domenowych. Lista z 3 listopada:

• Portal GOV.PL (COI): www.gov.pl.
• mSzyfr: wszystkie subdomeny komunikator.narodowy.gov.pl.
• CERT Polska: w grupie Tier 1 cert.pl, m.cert.pl, incydent.cert.pl, moje.cert.pl, n6portal.cert.pl, mwdb.cert.pl i hack.cert.pl. W grupie Tier 2 pozostałe subdomeny cert.pl i ctf.hack.cert.pl. Wyłączone są subdomeny lab.cert.pl i subdomeny hack.cert.pl poza ctf.hack.cert.pl.
• NASK: w grupie Tier 1 nask.pl, dyzurnet.pl, dns.pl, oad.nask.pl i zglos-dezinformacje.nask.pl. W grupie Tier 2 siedem serwisów, między innymi bezpiecznewybory.pl, 116sos.pl i pllum.org.pl.
• Gmina Władysławowo: w grupie Tier 1 eobieg.wladyslawowo.pl, w grupie Tier 2 wladyslawowo.pl i cciod.wladyslawowo.pl.

Inne serwisy administracji, na przykład mObywatel czy e-Urząd Skarbowy, nie są objęte programem. Ich sprawdzanie nie korzysta z zasad konkursu.

Kto może wziąć udział w bug bounty CERT Polska

Wziąć udział może osoba fizyczna, która skończyła 18 lat, ma numer PESEL i status polskiego rezydenta podatkowego. Rejestracja i logowanie działają wyłącznie przez login.gov.pl, czyli Węzeł Krajowy, a nagroda trafia na polski rachunek bankowy. Firma, zespół ani osoba bez PESEL-u nie wezmą udziału. CERT Polska zapowiada, że w kolejnych etapach dopuści osoby w wieku od 16 do 18 lat za zgodą opiekuna.

Regulaminy wykluczają osoby związane z właścicielem systemu:

• w programie GOV.PL pracowników i współpracowników COI oraz ich najbliższą rodzinę;
• w programach CERT Polska, NASK i mSzyfr pracowników i współpracowników NASK oraz ich najbliższą rodzinę;
• w programie Władysławowa członków najbliższej rodziny pracowników i współpracowników gminnego centrum.

Współpracownikiem jest także osoba na umowie zlecenia, o dzieło albo na fakturze z jednoosobowej firmy.

Czy szukanie luk w gov.pl jest legalne? Art. 269c Kodeksu karnego

Organizator dopuszcza testy tylko w zakresie i na zasadach konkursu, a ochronę przed karą daje art. 269c Kodeksu karnego, gdy uczestnik spełni łącznie wszystkie jego warunki. Bez uprawnienia wejście do systemu informatycznego jest przestępstwem z art. 267 § 2 Kodeksu karnego. Grozi za nie grzywna, ograniczenie wolności albo do 2 lat więzienia. Art. 269c brzmi tak według tekstu jednolitego w Dz.U. 2026 poz. 1342:

“Nie podlega karze za przestępstwo określone w art. 267 § 2 lub art. 269a, kto działa wyłącznie w celu zabezpieczenia systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej albo opracowania metody takiego zabezpieczenia i niezwłocznie powiadomił dysponenta tego systemu lub sieci o ujawnionych zagrożeniach, a jego działanie nie naruszyło interesu publicznego lub prywatnego i nie wyrządziło szkody.”

Regulamin platformy (§ 7 ust. 5) stanowi, że przesłanie zgłoszenia “stanowi formę powiadomienia dysponenta systemu lub sieci o ujawnionych zagrożeniach zgodnie z Art. 269c Kodeksu karnego”. Platforma załatwia więc tylko jeden z warunków przepisu. Pozostałe zależą od uczestnika: cel ma być wyłącznie zabezpieczający, a test nie może nikomu zaszkodzić ani naruszyć cudzego interesu.

Zasady testów: czego nie wolno robić

Najważniejsze zakazy są wspólne dla pięciu programów. Wynikają z regulaminu platformy i regulaminów konkursów:

1. Bez cudzych kont. Testy prowadzi się bez logowania albo na własnych lub testowych kontach. CERT Polska i mSzyfr zaznaczają, że nie dają kont testowych.
2. Najwyżej 5 zapytań na sekundę. Tyle wolno wysyłać automatycznym narzędziom.
3. Żadnego DoS (przeciążania usługi aż do niedostępności) ani testów obciążeniowych. Regulamin zabrania wszystkich ataków, które zakłócają albo przerywają działanie usług.
4. Żadnego kopiowania danych. Uczestnik nie może przetwarzać, kopiować ani usuwać danych osobowych ani poufnych.
5. Milczenie do poprawki. Szczegółów luki nie wolno ujawniać przed jej usunięciem. Potem tylko w wersji zanonimizowanej i bez danych z systemu.

Naruszenie zasad może skończyć się odrzuceniem zgłoszenia. Rażące naruszenie oznacza wykluczenie z konkursu.

Jak zgłosić lukę w hack.cert.pl i kiedy przychodzi nagroda

Lukę zgłasza się formularzem na stronie konkretnego programu, po zalogowaniu na hack.cert.pl. Według FAQ i § 6 regulaminu platformy proces wygląda tak:

1. Zaloguj się przez login.gov.pl i zaakceptuj regulamin platformy oraz regulamin konkursu.
2. Na stronie programu, którego domeny dotyczy luka, wypełnij formularz zgłoszenia.
3. Opisz kroki reprodukcji albo dołącz działający PoC, czyli odtwarzalny dowód istnienia luki. Dodaj opis wpływu na bezpieczeństwo i proponowaną ocenę CVSS.
4. Odpowiadaj na pytania analityków w dyskusji na platformie. Analityk może zmienić twoją ocenę krytyczności.

Ocena zgłoszenia trwa do 60 dni i w uzasadnionych przypadkach może się wydłużyć. Zwycięzców komisja wyłania do 30 dni po końcu edycji, a we Władysławowie w ciągu 90 dni. Może to też robić w trakcie edycji. Zwycięzca ma 7 dni na potwierdzenie na platformie, że odbiera nagrodę. Inaczej traci do niej prawo. Przelew przychodzi do 60 dni od ogłoszenia wyników. Przy wykorzystaniu pełnych terminów przelew za lukę zgłoszoną 30 listopada przyjdzie w czterech programach pod koniec lutego 2027 roku. We Władysławowie, gdzie komisja ma 90 dni na wyniki, może to być dopiero koniec kwietnia.

Za co CERT Polska nie zapłaci

Nagrody nie będzie za zgłoszenie bez działającego dowodu luki i za raport ze skanera bez ręcznego potwierdzenia. Regulaminy wykluczają też wiele drobnych ustaleń, które w innych programach często wracają z odmową:

• brak nagłówków bezpieczeństwa w odpowiedziach serwera (na przykład HSTS) albo flag w ciasteczkach;
• publicznie znane luki z numerem CVE i stare biblioteki bez działającego PoC;
• self-XSS, czyli skrypt, który ofiara musiałaby sama wkleić u siebie, a także clickjacking (podstawienie ofierze niewidocznego elementu do kliknięcia) bez krytycznej akcji i wstrzyknięcie HTML bez JavaScriptu;
• sprawdzanie, czy dany e-mail istnieje, wersje oprogramowania i ścieżki w komunikatach błędów;
• ataki wymagające przejęcia sieci ofiary albo fizycznego dostępu do jej urządzenia;
• phishing i socjotechnikę wobec pracowników.

Tę samą lukę nagradza się raz, a o pierwszeństwie decyduje godzina prawidłowego zgłoszenia. Trzy kolejne odrzucone zgłoszenia mogą skończyć się czasową blokadą wysyłania. Odrzucenia sumują się między programami i edycjami, więc masowe wysyłanie wyników automatu przestaje się opłacać. Ten sam problem mają duże programy firm technologicznych. Apple przestał nagradzać raporty przygotowane przez AI, jeśli nie sprawdził ich człowiek. Opisaliśmy to w tekście o zgłoszeniach błędów generowanych przez AI w programie Apple.

Co zrobić z luką w systemie spoza programu

Lukę w systemie spoza programu FAQ każe zgłosić niezwłocznie właścicielowi systemu albo producentowi oprogramowania. Gdy kontaktu nie ma, zgłoszenie idzie do właściwego zespołu reagowania na incydenty (CSIRT) według zasad skoordynowanego ujawniania podatności CERT Polska. Za takie zgłoszenie nie ma nagrody z hack.cert.pl. W ten sposób CERT Polska koordynował na przykład publikację 11 luk w szpitalnym systemie CGM CLININET.

Instytucje, które chcą objąć swoje systemy programem, CERT Polska zaprasza do kontaktu pod adresem hack@cert.pl.

FAQ

Czy można się przygotować przed pierwszym zgłoszeniem?

CERT Polska prowadzi zawody CTF, czyli zadania z łamania zabezpieczeń przygotowane do ćwiczeń, pod adresem ctf.hack.cert.pl, a menu platformy prowadzi do nich bezpośrednio. Uwaga na zakres: ctf.hack.cert.pl jest też domeną z grupy Tier 2 w programie CERT Polska, więc luka w samej platformie CTF może być warta nagrody.

Czy obcokrajowiec mieszkający w Polsce może wziąć udział?

Może, jeśli ma numer PESEL, status polskiego rezydenta podatkowego i może zalogować się przez login.gov.pl. Regulaminy nie wymagają polskiego obywatelstwa. Bez tych trzech warunków konto na platformie nie powstanie.

Podsumowanie

CERT Polska i NASK od 3 listopada 2026 roku płacą za luki w portalu gov.pl, komunikatorze mSzyfr i serwisach CERT Polska, NASK oraz Gminy Władysławowo. Za lukę krytyczną w głównych serwisach można dostać 20 000 zł, a pierwsza edycja przyjmuje zgłoszenia do 30 listopada. Wziąć udział może pełnoletnia osoba z PESEL-em i polską rezydencją podatkową, zalogowana przez login.gov.pl. Podatek od nagrody odprowadza organizator. Zgłoszenie przez platformę spełnia warunek powiadomienia z art. 269c Kodeksu karnego. Za cel testu i brak szkody odpowiada już sam uczestnik. Program płaci tylko za luki potwierdzone działającym dowodem, a raporty z automatycznych skanerów bez ręcznego sprawdzenia odpadają. Przed pierwszym testem warto przeczytać regulamin wybranego programu, bo to on wyznacza domeny i zasady testów.