SmodBIP i MegaBIP: rekomendacja Pełnomocnika i migracja BIP

Jeśli Twój BIP działa na SmodBIP albo MegaBIP, przenieś go do innego systemu. 11 czerwca 2024 r. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa zalecił podmiotom krajowego systemu cyberbezpieczeństwa, które udostępniają informację publiczną, niestosowanie tych systemów jako platform BIP. Powodem były krytyczne podatności opisane przez CERT Polska. Obowiązek prowadzenia BIP z art. 8 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (dalej: UDIP) trwa także w czasie migracji.

Co dokładnie zalecił Pełnomocnik

Rekomendacja (znak DC.WAC.5555.13.2024) została wydana 11 czerwca 2024 r. i opublikowana przez Ministerstwo Cyfryzacji na gov.pl 12 czerwca 2024 r. Jej najważniejsze elementy:

• Do kogo: podmioty krajowego systemu cyberbezpieczeństwa, które są obowiązane do udostępniania informacji publicznej (art. 4 UDIP). Według ówczesnego art. 4 ustawy o KSC do tego systemu należały m.in. wskazane w nim jednostki sektora finansów publicznych (pkt 7) i spółki komunalne wykonujące zadania o charakterze użyteczności publicznej (pkt 15).
• Co: niestosowanie systemów SmodBIP i MegaBIP jako platform BIP.
• Dlaczego: wykrycie krytycznych podatności. Pełnomocnik skonsultował sprawę z CSIRT MON, CSIRT NASK i CSIRT GOV, które potwierdziły możliwość wystąpienia incydentu krytycznego w razie niezastosowania się do rekomendacji.
• Co zamiast: systemy BIP udostępniane przez Centralny Ośrodek Informatyki, w tym przez platformę samorzad.gov.pl.
• Podstawa: art. 33 ust. 4a ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (dalej: ustawa o KSC), w brzmieniu z 2024 r. Podmiot mógł wnieść zastrzeżenia na zasadach z art. 33 ust. 5 tej ustawy.

Rekomendacja to nie tylko porada. Na wniosek Pełnomocnika podmiot informuje, jak i w jakim zakresie ją uwzględnił, a jej nieuwzględnienie jest podstawą do przekazania tej informacji organowi nadzorującemu podmiot (art. 33 ust. 7 i 8 ustawy o KSC w brzmieniu z 2024 r.). Rekomendacje wydane przed nowelizacją z 2026 r. zachowują moc (art. 27 ust. 1 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw).

Co wykrył CERT Polska

CERT Polska napisał wprost, że SmodBIP nie jest już utrzymywany i nie należy oczekiwać usunięcia luk. Przy MegaBIP CERT Polska wskazał, że mimo wielokrotnych prób kontaktu producent nie wdrożył niezbędnych poprawek i zaleceń. Później opisano kolejne podatności tego systemu.

Dla BIP to poważne, bo rozporządzenie MSWiA z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej wymaga ochrony przed zniszczeniem lub modyfikacją informacji przez osoby nieuprawnione (§ 17) oraz przed celowym spowolnieniem lub uniemożliwieniem dostępu (§ 19). Przejęte konto administratora pozwala zmienić treść uchwały, podmienić załącznik albo usunąć dziennik zmian.

Co zmienia nowelizacja KSC z 2026 r.

Od 3 kwietnia 2026 r. obowiązuje ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252). Dla jednostki z BIP na SmodBIP lub MegaBIP ważne są trzy rzeczy:

1. Jednostka może być podmiotem ważnym albo kluczowym. Samorządowe jednostki budżetowe, zakłady budżetowe, instytucje kultury i spółki komunalne użyteczności publicznej są podmiotami ważnymi, jeśli realizują zadanie publiczne z wykorzystaniem systemów informacyjnych (art. 5 ust. 2 pkt 8 ustawy o KSC). Urząd gminy zatrudniający co najmniej 50 osób na pełnych etatach i starostwo powiatowe są podmiotami kluczowymi (załącznik nr 1).
2. System zarządzania bezpieczeństwem informacji ma wymagać aktualnego oprogramowania. W podmiocie ważnym publicznym obejmuje on m.in. stosowanie stabilnych wersji produktów i usług ICT, w których nie występują krytyczne podatności (załącznik nr 4 pkt I ppkt 16). Przegląd tego systemu robi się bezzwłocznie po wydaniu przez Pełnomocnika rekomendacji dotyczącej używanych produktów lub usług (załącznik nr 4 pkt III ppkt 2).
3. Kierownik odpowiada osobiście. Kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa, także gdy je powierzył innej osobie (art. 8c ustawy o KSC).

Szerzej piszemy o tym w tekście KSC a BIP.

Migracja krok po kroku

1. Zabezpiecz dane. Zrób pełną kopię bazy danych, załączników i konfiguracji. Przechowuj ją poza starym serwerem.
2. Spisz stare adresy. Lista adresów URL dokumentów będzie potrzebna do przekierowań.
3. Sprawdź, czy nie doszło do incydentu. Przejrzyj listę kont administratorów (czy nie pojawiło się nowe, nieznane konto), dziennik zmian (§ 16 rozporządzenia) i pliki na serwerze. Jeśli jednostka jest podmiotem ważnym lub kluczowym i stwierdzisz incydent poważny, wczesne ostrzeżenie zgłasza się do 24 godzin, a zgłoszenie do 72 godzin od wykrycia (art. 11 ust. 1 pkt 4 i 4a ustawy o KSC). Oceń też, czy nie doszło do naruszenia ochrony danych osobowych.
4. Wybierz nowy system. Do wyboru są systemy Centralnego Ośrodka Informatyki (w tym samorzad.gov.pl), bezpłatny SSDIP albo dostawca komercyjny. Porównanie znajdziesz w tekście SSDIP czy system BIP.
5. Przenieś treści z pierwotnymi datami. Metryczka ma pokazywać rzeczywisty czas wytworzenia i udostępnienia (art. 8 ust. 6 UDIP), a nie datę importu. Eksport dziennika zmian zachowaj jako archiwum.
6. Nie przenoś problemów. Oświadczeń majątkowych starszych niż 6 lat, niezanonimizowanych petycji i skanów bez tekstu nie kopiuj bez przeglądu.
7. Ustaw przekierowania 301 ze starych adresów na nowe, każdy dokument na swój odpowiednik.
8. Wyłącz stary system. Nie zostawiaj go w internecie „na wszelki wypadek” pod innym adresem.
9. Zaktualizuj kartę podmiotu na stronie głównej BIP (gov.pl/web/bip), na którą przekazuje się dane podmiotu (art. 9 ust. 3 UDIP).
10. Domknij formalności: nowa deklaracja dostępności, umowa powierzenia z nowym dostawcą (art. 28 RODO), aktualizacja zarządzenia w sprawie BIP.

Ten sam schemat opisaliśmy szerzej przy innym wycofanym systemie w tekście PAD CMS wyłączony: jak bezpiecznie przenieść BIP.

Lista kontrolna

• Wiem, czy BIP działa na SmodBIP lub MegaBIP (stopka, panel administracyjny, informacja od informatyka)
• Pełna kopia danych poza starym serwerem
• Konta administratorów i dziennik zmian sprawdzone pod kątem incydentu
• Nowy system wybrany i uruchomiony
• Treści, załączniki i archiwum przeniesione z pierwotnymi datami
• Przekierowania 301 działają
• Stary system wyłączony
• Karta na gov.pl/web/bip zaktualizowana
• Migracja odnotowana w dokumentacji systemu zarządzania bezpieczeństwem informacji

Jak pomaga Polski BIP

Przeniesienie z SmodBIP i MegaBIP jest w Polskim BIP częścią usługi: treści, załączniki, archiwum, metryczki, rejestr zmian (jeśli da się go wyeksportować) i przekierowania 301 starych adresów. Pomagamy też zaktualizować kartę podmiotu na gov.pl/web/bip. Nowy BIP oglądasz pod adresem testowym przed przełączeniem domeny, a redaktorzy logują się dwuskładnikowo. Szczegóły na stronach Migracja i Bezpieczeństwo.

Źródła

• Ministerstwo Cyfryzacji: Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej (12 czerwca 2024 r.)
• CERT Polska: Podatność w oprogramowaniu SmodBIP, CVE-2023-4837
• CERT Polska: Podatność w oprogramowaniu MegaBIP i SmodBIP, CVE-2023-5378
• CERT Polska: Krytyczne podatności w oprogramowaniu MegaBIP
• Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, Dz.U. 2026 poz. 252 (ISAP)
• Rozporządzenie MSWiA z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej, Dz.U. 2007 nr 10 poz. 68 (ISAP)