22 lipca 2026
·
7 min czytania
Atak DDoS to incydent, a często też przestępstwo. Gdzie i w jakim czasie zgłosić: CSIRT (24 h / 72 h), CBZC, operator. Instrukcja z terminami.
Krótka odpowiedź: długotrwały atak DDoS zgłasza się w trzech niezależnych miejscach, i to równolegle, nie po kolei. Do CSIRT (CERT Polska / CSIRT NASK) — jako incydent, z terminem 24 godzin na wczesne ostrzeżenie. Do CBZC (policja) — jako podejrzenie przestępstwa. Oraz do swojego operatora / upstreamu — bo tylko on zatrzyma ruch, zanim dojdzie do Twojego łącza. Zgłoszenie do CERT nie zastępuje zawiadomienia o przestępstwie i odwrotnie.
Poniżej konkret: kto ma obowiązek, w jakim czasie, co przygotować i co dokładnie napisać.
Czy atak DDoS trzeba zgłaszać?
To zależy, kim jesteś — i to jest najczęstsze nieporozumienie.
- Podmioty kluczowe i ważne (Krajowy System Cyberbezpieczeństwa, wdrożenie NIS2) — mają obowiązek zgłoszenia incydentu poważnego, w ustawowych terminach. Za niedopełnienie grożą kary.
- Pozostałe firmy — nie mają obowiązku wobec CSIRT, ale mogą i powinny zgłaszać. Zgłoszenie jest bezpłatne, a CERT Polska realnie pomaga w koordynacji.
- Każdy, kto padł ofiarą — może złożyć zawiadomienie o podejrzeniu przestępstwa. To ścieżka niezależna od KSC.
Uwaga dla operatorów (ISP). Unijne rozporządzenie wykonawcze 2024/2690, które definiuje progi „incydentu poważnego”, nie ma zastosowania do przedsiębiorców komunikacji elektronicznej ani do punktów wymiany ruchu (IXP) — lista adresatów w art. 1 jest zamknięta. Progi krajowe dla tej grupy określi dopiero rozporządzenie Rady Ministrów wydane na podstawie art. 11 ust. 4 ustawy o KSC. Jeśli jesteś ISP — nie przyjmuj automatycznie progów „30 minut / 5% użytkowników”, bo one Cię nie dotyczą. Do czasu wydania rozporządzenia stosuj własną, udokumentowaną politykę progów.
Gdzie zgłosić atak DDoS — trzy ścieżki
| Gdzie | Po co | Kanał | Kiedy |
|---|---|---|---|
| CSIRT / CERT Polska | zgłoszenie incydentu, koordynacja, wsparcie | incydent.cert.pl · cert@cert.pl | 24 h od wykrycia |
| CBZC (policja) | ściganie sprawcy — zawiadomienie o przestępstwie | kontakt.cbzc@cbzc.policja.gov.pl · tel. 47 72 136 99 (całodobowo) | niezwłocznie |
| Operator / upstream | realne zatrzymanie ruchu przed Twoim łączem | kanał awaryjny z umowy / NOC operatora | natychmiast |
Trzecia ścieżka jest tą, która faktycznie kończy atak. Zgłoszenia do CSIRT i CBZC są ważne, ale żadne z nich nie odetka Ci łącza. Jeśli atak wysyca uplink, jedyne co pomaga to filtrowanie wyżej — u operatora, przez RTBH albo BGP FlowSpec.
Terminy zgłoszenia incydentu — 24 h / 72 h / miesiąc
Dla podmiotów objętych KSC terminy liczy się od momentu wykrycia incydentu (nie od jego początku, nie od zakończenia):
| Termin | Co składasz | Podstawa |
|---|---|---|
| 24 godziny | wczesne ostrzeżenie — sam sygnał, że incydent trwa | art. 11 ust. 1 pkt 4 |
| 72 godziny | zgłoszenie incydentu — pełniejszy opis, ocena, wstępne skutki | art. 11 ust. 1 pkt 4a |
| na wniosek CSIRT | sprawozdanie okresowe | art. 11 ust. 1 pkt 4b |
| miesiąc od zgłoszenia | sprawozdanie końcowe | art. 11 ust. 1 pkt 4c, elementy w art. 12a |
| w trakcie | sprawozdanie z postępu (gdy incydent nadal trwa) | art. 12b |
Dostawcy usług zaufania mają odrębny reżim — 24 godziny na pełne zgłoszenie (art. 11 ust. 1a).
Wczesne ostrzeżenie to nie jest raport. Nie czekaj, aż ustalisz wektor ataku i sprawcę — na to jest 72 godziny i sprawozdanie końcowe. W ciągu doby wystarczy zgłosić, że incydent wystąpił, wstępnie go zaklasyfikować i podać kontakt.
Kalendarz wdrożenia — co i od kiedy
| Data | Co zaczyna obowiązywać |
|---|---|
| 3.04.2026 | wejście w życie nowelizacji; operatorzy usług kluczowych stają się podmiotami kluczowymi |
| 3.10.2026 | termin na wniosek o wpis do wykazu |
| 3.04.2027 | obowiązki rozdziału 3 oraz korzystanie z systemu teleinformatycznego z art. 46 ust. 1 (S46) |
| ok. 3.10.2027 | ustanowienie CSIRT sektorowych |
| 3.04.2028 | pierwsza możliwa kara; pierwszy audyt podmiotu kluczowego |
Do czasu uruchomienia obowiązkowej ścieżki S46 zgłoszenia realizuje się kanałami CSIRT — w praktyce formularzem CERT Polska.
Jak zgłosić do CERT Polska — krok po kroku
- Wejdź na incydent.cert.pl (albo napisz na
cert@cert.pl). - Wybierz kategorię incydentu — dla DDoS będzie to atak na dostępność usługi.
- Podaj nazwę podmiotu i systemu, którego dotyczy incydent, oraz kontakt umożliwiający reakcję zwrotną.
- Załącz fragmenty logów lub pliki z danymi o incydencie — to najbardziej przyspiesza obsługę.
- Zachowaj potwierdzenie zgłoszenia (data, godzina, numer) — będzie potrzebne do sprawozdania końcowego.
Zgłoszenie należy złożyć nie później niż 24 godziny od wykrycia.
Jak zgłosić przestępstwo do CBZC
Atak DDoS to w Polsce przestępstwo — zakłócenie pracy systemu informatycznego (typowa kwalifikacja: art. 269a Kodeksu karnego). Zawiadomienie możesz złożyć:
- e-mailem: kontakt.cbzc@cbzc.policja.gov.pl
- telefonicznie: 47 72 136 99 — dyżurka całodobowa
- osobiście na komisariacie (każda jednostka Policji przyjmie zawiadomienie)
Adres: Centralne Biuro Zwalczania Cyberprzestępczości, ul. Wąwozowa 18, 02-796 Warszawa.
Zawiadomienie musi opierać się na racjonalnych i wiarygodnych przesłankach. Zawiadomienie o przestępstwie, którego nie popełniono, jest karalne (art. 238 k.k.). Nie zgłaszaj „na wszelki wypadek” pojedynczego skoku ruchu — zgłaszaj udokumentowany, długotrwały atak.
Co przygotować przed zgłoszeniem (checklista)
Im więcej z tego masz, tym szybciej ktokolwiek Ci pomoże:
- [ ] Czas wykrycia i czas rozpoczęcia ataku (ze strefą czasową!) — od tego liczą się terminy
- [ ] Czas trwania i czy atak nadal trwa
- [ ] Cel: adresy IP / prefiksy / usługi, w które uderzono
- [ ] Wolumen: szczyt w Gbps i pps (pakiety/s) — to dwie różne historie
- [ ] Wektor: UDP flood, amplifikacja (NTP/DNS/memcached), SYN flood, atak warstwy 7
- [ ] Skutek: czy usługa była niedostępna, dla ilu użytkowników i jak długo
- [ ] Podjęte działania: RTBH, BGP FlowSpec, filtrowanie u operatora, zgłoszenie do upstreamu
- [ ] Dowody: fragmenty logów, wykresy ruchu, dane z sensora przepływów (NetFlow/sFlow/IPFIX)
- [ ] Kontakt techniczny dostępny do odpowiedzi zwrotnej
Ostatni punkt bywa lekceważony, a to on decyduje, czy zgłoszenie zamieni się w realną pomoc.
Najczęściej zadawane pytania
Gdzie zgłosić atak DDoS?
Do CSIRT — CERT Polska przez incydent.cert.pl — oraz, jeśli chcesz ścigania sprawcy, do CBZC. Równolegle powiadom operatora, bo tylko on zatrzyma ruch przed Twoim łączem.
Ile mam czasu na zgłoszenie ataku DDoS?
Podmioty objęte KSC: 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu — licząc od wykrycia. Sprawozdanie końcowe: miesiąc od zgłoszenia.
Co grozi za atak DDoS?
Przeprowadzenie ataku DDoS jest przestępstwem — zakłóceniem pracy systemu informatycznego (typowo art. 269a k.k.). Sankcje określa Kodeks karny; sprawę prowadzi Policja / CBZC i prokuratura.
Czy muszę zgłaszać, jeśli nie jestem podmiotem kluczowym?
Nie masz obowiązku wobec CSIRT, ale zgłoszenie jest bezpłatne i warto je złożyć. Zawiadomienie o przestępstwie może złożyć każdy poszkodowany.
Czy zgłoszenie do CERT zatrzyma atak?
Nie. Zgłoszenie uruchamia koordynację i pomoc, ale ruch zatrzymuje się technicznie — filtrowaniem u operatora (RTBH, BGP FlowSpec) albo systemem ochrony w Twojej sieci.
Kiedy zacznie obowiązywać system S46?
Korzystanie z systemu teleinformatycznego z art. 46 ust. 1 ustawy o KSC obowiązuje od 3 kwietnia 2027. Wcześniej zgłoszenia idą kanałami CSIRT.
Zanim przyjdzie kolejny atak
Zgłoszenie jest obowiązkiem — ale nie jest ochroną. Jeżeli atak wysyca Twój uplink, żadne pismo tego nie odwróci; liczy się to, jak szybko wykryjesz i gdzie odetniesz ruch.
W ITORO budujemy dokładnie tę warstwę: wykrywanie w kilka sekund na podstawie przepływów i blokowanie na Twoich routerach oraz wyżej — u operatora (RTBH, BGP FlowSpec). Dzięki temu masz też gotowe dane do zgłoszenia: czasy, wolumeny, wektory i wykresy, zamiast rekonstruowania zdarzenia po fakcie.
Czy atak DDoS jest karalny?
Tak. Przeprowadzenie ataku DDoS to w Polsce przestępstwo — zakłócenie pracy systemu informatycznego (typowa kwalifikacja: art. 269a Kodeksu karnego). Karalne jest także zlecenie takiego ataku oraz udostępnianie narzędzi do jego przeprowadzenia. Sprawę prowadzi Policja (CBZC) i prokuratura.
Ile trwa atak DDoS?
Większość ataków trwa od kilku minut do kilku godzin. Zdarzają się jednak ataki wielodniowe, prowadzone falami — i to one najczęściej spełniają przesłanki incydentu poważnego, bo skutek utrzymuje się w czasie. Dla obowiązku zgłoszenia liczy się moment wykrycia, a nie zakończenia ataku.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan na lipiec 2026 — przepisy KSC i akty wykonawcze są w trakcie wdrażania, a progi krajowe dla przedsiębiorców komunikacji elektronicznej nie zostały jeszcze wydane. Przed zgłoszeniem zweryfikuj aktualny stan prawny i swoją kwalifikację jako podmiotu.
