Bezpieczeństwo4 lis 2026, 00:36 UTC·2 min czytania

NASK uruchamia państwowy bug bounty z pulą miliona złotych

NASK uruchomił rządową platformę bug bounty dla serwisów publicznych. Pula nagród wynosi milion złotych, a za jedną podatność można dostać do 20 tys. zł.

Cybersecurity researcher at a laptop with a Polish government website on screen, symbolizing a state bug bounty program. — Zdjęcie: Spider's Web

SUMO

Dialo

ediviewer

NASK uruchomił państwową platformę bug bounty dla serwisów publicznych. Na początek program obejmuje portal gov.pl, systemy NASK i CERT Polska, systemy gminy Władysławowo oraz komunikator mSzyfr. Łączna pula nagród wynosi milion złotych, a za pojedynczą potwierdzoną podatność badacz może otrzymać maksymalnie 20 tys. zł.

Mechanizm jest prosty: właściciel systemu określa, co wolno badać i na jakich zasadach, a następnie zaprasza specjalistów do szukania luk. Zgłoszenia są obsługiwane przez platformę hack.cert.pl. Zakres jest jednak ograniczony do wymienionych uczestników, choć program ma być otwarty na kolejne instytucje. To nie jest zgoda na dowolne atakowanie administracji publicznej, lecz zaproszenie do działań przewidzianych regulaminem.

Własna platforma i wymogi dla badaczy

NASK podkreśla, że Polska zbudowała własną platformę zamiast korzystać z zewnętrznej usługi. Informacje o podatnościach mają pozostawać w zamkniętym obiegu zespołów weryfikujących i naprawiających błędy, bez dostępu firm trzecich. Szef CERT Polska Marcin Dudek mówi, że według jego wiedzy to pierwszy przypadek, gdy rząd samodzielnie stworzył takie narzędzie; w innych państwach działają programy oparte na zewnętrznych firmach. NASK uznaje Polskę za jedno z pierwszych państw z własną platformą tego typu.

Udział jest ograniczony: badacz musi być pełnoletni, mieć numer PESEL i polską rezydencję podatkową oraz wskazać polski rachunek bankowy do wypłaty nagrody. Nie jest to więc otwarty konkurs dla specjalistów z całego świata.

Skala problemu

Według NASK od stycznia do września 2026 r. wykryto na świecie ponad 105 tys. nowych podatności, wobec blisko 71 tys. w całym 2025 r. Liczba podatności obsłużonych przez CERT Polska wzrosła w ciągu trzech lat o ponad 300 proc. NASK wskazuje też sztuczną inteligencję jako czynnik przyspieszający wyszukiwanie i wykorzystywanie luk.

Dyrektor NASK Radosław Nielek zwraca uwagę, że nie ma systemów bez podatności, a kluczowa jest zdolność instytucji do szybkiego usunięcia błędu. Bug bounty działa więc tylko wtedy, gdy za zgłoszeniem stoi sprawny proces weryfikacji i naprawy.