UKE chce szybkich zgłoszeń DDoS — operator ma dwa kanały kontaktu

13 października 2026 r. UKE zaapelował do przedsiębiorców telekomunikacyjnych o „niezwłoczne przekazywanie informacji” o incydentach DDoS i ich skutkach dla usług. Operator ma dwa kanały kontaktu o różnych zadaniach: incydent zgłasza do CSIRT NASK przez incydent.cert.pl, a równolegle może poinformować UKE o sytuacji i zwrócić się o wsparcie w zakresie kompetencji urzędu. Ten układ obowiązuje do czasu ustanowienia sektorowego CSIRT, z uwzględnieniem przepisów i procedury właściwej dla danego zgłoszenia.

Apel dotyczy usług świadczonych w Polsce. TELKO.in zwrócił tego samego dnia uwagę na problem ataków wśród operatorów z sektora małych i średnich firm. Dla osoby obsługującej zdarzenie rozróżnienie adresatów jest konkretne: zespół reagowania otrzymuje zgłoszenie incydentu, natomiast regulator może otrzymać informację o zakłóceniach usług i potrzebie wsparcia. Wiadomość do UKE nie zastępuje zgłoszenia do CSIRT NASK.

Które zdarzenie kierować do CSIRT NASK

Punktem wyjścia jest rozpoznanie incydentu oraz jego wpływu na świadczone usługi. Sam wzrost ruchu w sieci i potwierdzone ograniczenie dostępności usługi to różne ustalenia; w zgłoszeniu warto je od siebie oddzielić. Operator może opisać, co zaobserwował, kiedy wykrył zakłócenie i które usługi są dotknięte, bez przypisywania atakowi zasięgu, którego jeszcze nie ustalił.

Komunikat UKE wskazuje CSIRT NASK jako adresata zgłoszeń incydentów DDoS do czasu powstania zespołu sektorowego. Wskazanie adresata nie zwalnia jednak operatora z zastosowania procedury odpowiedniej do rodzaju zdarzenia i jego obowiązków. Dlatego pierwszy opis powinien rozróżniać potwierdzony incydent, podejrzenie ataku oraz skutki widoczne dla użytkowników. Taka kwalifikacja pomaga przekazać użyteczne informacje nawet wtedy, gdy analiza ruchu nadal trwa.

Znaczenie ma również to, czy atak nadal zakłóca usługę, czy jego skutki już ustąpiły. W pierwszym przypadku odbiorca zgłoszenia potrzebuje aktualnego obrazu zdarzenia; w drugim — informacji, kiedy wystąpiło zakłócenie i co wiadomo o jego przebiegu. Nie trzeba zastępować tych ustaleń ogólnym stwierdzeniem, że sieć jest „atakowana”. Opis konkretnej usługi i rodzaju niedostępności lepiej pokazuje, z jakim problemem mierzy się operator.

Termin i treść pierwszego zgłoszenia

Rządowa instrukcja zgłaszania incydentów wskazuje formularz incydent.cert.pl, alternatywny adres [email protected] oraz przekazanie zgłoszenia jak najszybciej, nie później niż w ciągu 24 godzin od wykrycia. Radzi też przesłać informacje znane w chwili zgłoszenia, które zespół może później uzupełnić. To ogólna instrukcja kontaktu z CERT Polska; nie rozstrzyga sama o kwalifikacji każdego zakłócenia u operatora ani o całej procedurze wynikającej z jego obowiązków.

Wstępne zgłoszenie powinno pozwolić zespołowi reagowania ustalić, z kim się skontaktować i czego dotyczy sprawa. Przydatne są następujące informacje, o ile operator już nimi dysponuje:

• nazwa przedsiębiorcy i dane osoby, która może udzielić wyjaśnień;
• czas wykrycia incydentu oraz informacja, czy zakłócenie nadal trwa;
• usługi objęte zdarzeniem i zaobserwowany wpływ na ich dostępność;
• krótki opis ataku, podjętych działań oraz ustaleń wymagających jeszcze potwierdzenia.

To uporządkowanie pierwszej wiadomości, a nie zamknięta lista pól formularza lub dodatkowy wymóg regulatora. Jeśli nie jest jeszcze znana pełna skala ataku, można podać zakres ustalony na daną chwilę i zaznaczyć, co pozostaje niepewne. Szybkie przekazanie rzetelnych danych daje zespołowi punkt wyjścia do obsługi sprawy; dalsze ustalenia mogą trafić do niego w toku korespondencji.

Kiedy równolegle napisać do UKE

Kontakt z urzędem ma sens wtedy, gdy operator chce przekazać informacje o sytuacji w swoich usługach lub potrzebuje wsparcia należącego do kompetencji regulatora. Komunikat przewiduje w tym celu wiadomość na wskazany przez UKE adres e-mail. Nie określa osobnego terminu dla tej wiadomości, dlatego nie należy przenosić na nią terminu podanego w ogólnej instrukcji zgłaszania incydentów do CERT Polska.

Wiadomość do regulatora powinna przede wszystkim pokazywać skutek: która usługa działa z ograniczeniami, czy przerwa trwa i jaki obszar oddziaływania operator potrafi już potwierdzić. Jeśli przedsiębiorca zwraca się o wsparcie, warto jasno nazwać sprawę, w której oczekuje kontaktu z urzędem. Szczegółowe dane techniczne przeznaczone do obsługi incydentu trafiają do właściwego zespołu reagowania zgodnie z procedurą zgłoszeniową.

Obie wiadomości można wysłać niemal jednocześnie. Operator nie musi czekać na numer sprawy z CSIRT NASK, aby przekazać UKE znane już skutki zakłócenia. Jeśli później otrzyma potwierdzenie przyjęcia zgłoszenia, może powiązać z nim dalszą korespondencję. Ważne, by adresaci dostali informacje odpowiadające ich zadaniom, a nie dwie identyczne wiadomości bez wskazania celu kontaktu.

UKE wiąże szybki napływ informacji z rozpoznaniem skali zagrożenia, jego wpływu na sektor i koordynacją działań instytucji. Z perspektywy pojedynczego operatora oznacza to potrzebę aktualizowania przede wszystkim danych o skutkach dla usług: rozszerzeniu zakłócenia, przywróceniu dostępności albo zmianie wstępnej oceny zdarzenia. Dzięki temu pierwszy sygnał może zostać wysłany szybko, a odbiorcy otrzymują pełniejszy obraz w miarę postępu ustaleń.

Przeczytaj także:

• Rozszerzenie chce czytać każdą stronę — ogranicz mu dostęp w Chrome
• arXiv ogranicza zgłoszenia do dwóch miesięcznie — odrzucony tekst też zajmuje limit
• Firmy wzywają do biur, lecz 31 proc. pracowników chce więcej pracy z domu