Dlaczego trzeba wyłączyć BIP na PAD CMS?

30 września 2025 r. CERT Polska opublikował informację o krytycznych podatnościach w systemie PAD CMS, m.in. CVE-2025-7063, a Ministerstwo Cyfryzacji zaleciło wyłączenie stron opartych na tym systemie. Strona z niezałataną krytyczną podatnością narusza obowiązek zabezpieczenia BIP przed zmianą przez osoby nieuprawnione (§ 17 rozporządzenia MSWiA z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej).

Czy po wyłączeniu PAD CMS trzeba od razu mieć nowy BIP?

Tak. Obowiązek udostępniania informacji w BIP (art. 8 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej) nie znika. Najszybsza droga to tymczasowe uruchomienie BIP w bezpłatnym systemie SSDIP albo u nowego dostawcy, a potem przeniesienie archiwum. Przerwa w dostępności po awarii nie powinna przekraczać 24 godzin (§ 20-21 rozporządzenia MSWiA w sprawie BIP).

Jak zachować stare linki do dokumentów po przeniesieniu BIP?

Jeśli jednostka zachowuje swoją domenę BIP, nowy system powinien ustawić przekierowania 301 ze starych adresów dokumentów na nowe. Dzięki temu linki w pismach, uchwałach i wyszukiwarkach dalej działają. Warunkiem jest kontrola nad domeną: jeśli stary BIP działał na adresie dostawcy, przekierowania wymagają jego współpracy.

Co zrobić z kartą podmiotu na stronie głównej BIP po migracji?

Po zmianie adresu BIP trzeba zaktualizować kartę podmiotu na stronie głównej BIP (gov.pl/web/bip), na którą podmiot przekazuje swoje dane zgodnie z art. 9 ust. 3 ustawy o dostępie do informacji publicznej. Logowanie do edycji karty odbywa się przez Węzeł Krajowy (np. profil zaufany).

PAD CMS wyłączony: jak bezpiecznie przenieść BIP

Jeśli Twój BIP działa na PAD CMS, trzeba go wyłączyć i przenieść do innego systemu. 30 września 2025 r. CERT Polska opublikował informację o krytycznych podatnościach PAD CMS, m.in. CVE-2025-7063, a Ministerstwo Cyfryzacji zaleciło wyłączenie stron opartych na tym systemie. Bezpieczna migracja polega na: zabezpieczeniu kopii danych poza zagrożonym systemem, sprawdzeniu, czy nie doszło do incydentu, uruchomieniu nowego BIP z zachowaniem treści, metryczek i rejestru zmian, ustawieniu przekierowań 301 starych adresów i aktualizacji karty podmiotu na gov.pl/web/bip. Obowiązek prowadzenia BIP z art. 8 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej nie zawiesza się na czas zmiany systemu.

Co się stało i dlaczego to poważne

PAD CMS był używany przez część szkół, przedszkoli i jednostek samorządu do prowadzenia stron internetowych i BIP. Krytyczna podatność oznacza, że atakujący może zmienić treść strony, dostać się do danych albo wykorzystać serwer do dalszych ataków. Dla BIP to szczególnie groźne, bo rozporządzenie MSWiA z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej wymaga zabezpieczenia przed zniszczeniem lub zmianą przez osoby nieuprawnione (§ 17) i przed blokowaniem dostępu (§ 19).

To nie pierwszy taki przypadek. W czerwcu 2024 r. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa odradził korzystanie z systemów SmodBIP i MegaBIP. Wniosek jest szerszy niż jeden produkt: system BIP, który nie jest aktywnie rozwijany i łatany, prędzej czy później stanie się problemem.

Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Szkoły, przedszkola, OPS i biblioteki są podmiotami ważnymi, a urząd gminy ważnym lub kluczowym. Zostawienie podatnego systemu w sieci trudno pogodzić z obowiązkiem zarządzania ryzykiem, który ta ustawa nakłada na kierownika jednostki.

Plan migracji krok po kroku

1. Zabezpiecz dane, zanim wyłączysz system

Nie kasuj starego serwera. Najpierw wykonaj pełną kopię bazy danych, katalogu z plikami (załączniki, obrazy) i konfiguracji. Kopię przechowuj offline, poza zagrożonym serwerem. Jeśli nie masz dostępu technicznego, poproś o nią firmę hostingową lub informatyka, który wdrażał system.

Równolegle zapisz listę wszystkich adresów URL starego BIP (np. z mapy strony lub z eksportu z wyszukiwarki). Będzie potrzebna do przekierowań.

2. Odłącz stronę od internetu

Zgodnie z zaleceniem Ministerstwa Cyfryzacji system powinien zostać wyłączony. Na czas migracji na starym adresie można wystawić prostą stronę statyczną z informacją, gdzie tymczasowo znajduje się BIP, i z danymi kontaktowymi do złożenia wniosku o informację publiczną.

3. Sprawdź, czy nie doszło do incydentu

Przejrzyj logi serwera i dziennik zmian BIP (§ 16 rozporządzenia) pod kątem nieznanych kont, zmian treści w nietypowych godzinach i obcych plików na serwerze. Jeśli jednostka jest podmiotem objętym ustawą o KSC i stwierdzisz incydent, obowiązują terminy: wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin. Jeśli mogło dojść do naruszenia ochrony danych osobowych, oceń też obowiązek zgłoszenia do UODO. Zmień hasła wszystkich redaktorów, także w innych systemach, w których mogły być używane te same hasła.

4. Uruchom nowy BIP

Ustawa o dostępie do informacji publicznej (art. 9 ust. 2) pozwala prowadzić BIP w bezpłatnym systemie SSDIP albo w innym systemie teleinformatycznym. Jeśli potrzebujesz szybkiego rozwiązania tymczasowego, SSDIP jest dostępny od ręki. Jeśli wybierasz dostawcę, sprawdź go według listy z tekstu Jak kupić BIP w jednostce publicznej: umowa powierzenia, eksport danych, kopie zgodne z § 18, czas przywrócenia do 24 godzin zgodnie z § 21, logowanie dwuskładnikowe, zgodność z WCAG. Ponieważ wartość takiej usługi jest daleko poniżej progu 170 000 zł netto, zakup nie wymaga przetargu.

5. Przenieś treści

Co przenieść	Na co uważać
Treść informacji	Zachowaj strukturę menu przedmiotowego, popraw ją przy okazji pod art. 8 ust. 3 UDIP
Załączniki	Sprawdź, czy wszystkie pliki się otwierają, oznacz skany bez warstwy tekstowej
Metryczki	Pierwotny czas wytworzenia i udostępnienia, a nie data importu (art. 8 ust. 6 UDIP)
Rejestr zmian	Zachowaj eksport dziennika jako archiwum, nawet jeśli nowy system go nie zaimportuje
Archiwum	Nieaktualne treści też są informacją publiczną, przenieś je do archiwum. Danych osobowych po terminie publikacji (oświadczenia majątkowe po 6 latach, wyniki naborów po co najmniej 3 miesiącach) nie przenoś, wystarczy informacja o zakończeniu publikacji
Dane redaktorów	Nowe konta imienne z MFA, bez kopiowania starych haseł

Przenosząc oświadczenia majątkowe, sprawdź przy okazji, czy nie są publikowane dłużej niż 6 lat (art. 24h ust. 6 ustawy o samorządzie gminnym) i czy są poprawnie zanonimizowane. Więcej w tekście Oświadczenia majątkowe i RODO w BIP.

6. Ustaw przekierowania 301

Stare adresy dokumentów są wpisane w pismach, uchwałach, e-mailach i wynikach wyszukiwania. Jeśli zostawisz je bez przekierowania, mieszkaniec trafi na błąd 404, a Ty stracisz ślad, gdzie dokument był publikowany.

Przekierowanie 301 kieruje każdy stary adres na odpowiadający mu nowy, a nie na stronę główną.
Warunkiem jest kontrola nad domeną. Jeśli BIP działał na domenie jednostki (np. bip.szkola.pl), przekierowania ustawisz u nowego dostawcy. Jeśli działał na adresie dostawcy lub hostingodawcy, potrzebna będzie ich współpraca.
Przy okazji przenieś BIP na domenę jednostki, żeby przy kolejnej zmianie dostawcy problem się nie powtórzył.

7. Zaktualizuj kartę na stronie głównej BIP

Dane podmiotu przekazuje się na stronę główną BIP (art. 9 ust. 3 UDIP). Po zmianie adresu zaloguj się na gov.pl/web/bip przez Węzeł Krajowy (np. profil zaufany) i popraw adres BIP w karcie podmiotu. Karty miały zostać przeniesione do nowej strony głównej do 30 czerwca 2025 r., a stare dane trafiły do archiwum.bip.gov.pl. Jeśli karta Twojej jednostki nie została przeniesiona, to dobry moment, żeby to nadrobić.

8. Domknij formalności

Nowa deklaracja dostępności dla nowego BIP (art. 10 ustawy z dnia 4 kwietnia 2019 r. o dostępności cyfrowej), zob. Deklaracja dostępności w BIP.
Umowa powierzenia z nowym dostawcą (art. 28 RODO) i rozwiązanie lub aktualizacja umowy ze starym hostingodawcą.
Aktualizacja dokumentacji bezpieczeństwa: kto jest administratorem BIP, gdzie są kopie.
Informacja na stronie internetowej jednostki o nowym adresie BIP.

Lista kontrolna migracji z PAD CMS

Najczęstsze błędy przy migracji

wyłączenie systemu bez kopii, a potem odtwarzanie dokumentów z papierowego archiwum,
import wszystkich dokumentów z datą udostępnienia równą dacie importu,
przekierowanie wszystkich starych adresów na stronę główną nowego BIP,
pozostawienie starego systemu „na wszelki wypadek” w internecie pod innym adresem,
przeniesienie problemów razem z treścią: skanów bez tekstu, nieaktualnych oświadczeń, niezanonimizowanych petycji.

Przeniesienie z PAD CMS, SSDIP, SmodBIP, MegaBIP czy WordPressa, razem z przekierowaniami 301 i pomocą przy karcie na gov.pl/web/bip, jest w Polskim BIP częścią usługi. Opisujemy je na stronie Migracja. Wymagania bezpieczeństwa znajdziesz na stronie Bezpieczeństwo, a gotowe menu przedmiotowe dla szkół, gmin i innych jednostek możesz porównać z tym, co masz dziś. Jeśli potrzebujesz pomocy w konkretnej sytuacji, napisz przez stronę Kontakt.