Według resortu cyfryzacji cyberatak na państwowy system ePUAP został wykryty i zatrzymany: wicepremier i minister cyfryzacji Krzysztof Gawkowski ogłosił to we wtorek 10 listopada 2026 roku tuż przed godziną 21:00 we wpisie na X1. Baner na portalu, który CyberDefence24 opisywało już o 22:09, informował o niedostępnych skrzynkach ePUAP dla obywateli i urzędów1, a resort nie podał terminu przywrócenia, rodzaju ataku ani sprawcy i nie wypowiedział się o danych użytkowników ePUAP2. W postępowaniu administracyjnym i podatkowym nie należy z pismem, które ma termin, czekać na ePUAP, bo od 1 stycznia 2026 roku podstawowym kanałem są e-Doręczenia3, a termin zachowuje też nadanie pisma w placówce pocztowej operatora wyznaczonego1415.
ePUAP, czyli Elektroniczna Platforma Usług Administracji Publicznej, służy do wysyłania wniosków, podań i dokumentów do urzędów oraz do podpisywania pism profilem zaufanym2. W środę 11 listopada, w Narodowe Święto Niepodległości16, o godzinie 10:02 portal epuap.gov.pl nadal pokazywał baner o przerwie w dostępie do skrzynek.
Stan opisany w tekście pochodzi z 11 listopada 2026 roku, z godziny 10:05, poza pozycjami z własną godziną odczytu: baner o niedostępnych skrzynkach był wyświetlany na epuap.gov.pl, a resort nie podał terminu przywrócenia platformy.
Co ustalono o cyberataku na ePUAP
Wiedza o incydencie pochodzi z trzech komunikatów strony resortowej. Pierwszy to wpis ministra z 10 listopada 2026 roku z godziny 20:59, który w pełnym brzmieniu zacytował Polsat News4:
Wykryty i zatrzymany został cyberatak na państwowy system ePUAP. Zespoły odpowiadające za bezpieczeństwo sytemu [sic] podjęły natychmiastowe działania pozwalające zachować stabilność systemu i obecnie trwają prace techniczne związane z przywróceniem pełnej funkcjonalności. Infrastruktura Centralnego Ośrodka Informatyki jest bezpieczna, a w sprawę pełnego wyjaśnienia incydentu, zgodnie z procedurami włączona została Agencja Bezpieczeństwa Wewnętrznego. O wszystkich ustaleniach z postępowania będziemy informowali na bieżąco.
Wpis nie opisuje ataku, nie wskazuje sprawcy i nie podaje terminu. Druga wypowiedź padła po godzinie 23:00, kiedy Marek Gieorgica, dyrektor biura komunikacji Ministerstwa Cyfryzacji, powiedział Polskiej Agencji Prasowej2:
To nie jest tak, że przez ten atak system został jakoś naruszony czy jego działanie zostało zakłócone. Po prostu został przez nas odłączony prewencyjnie dla bezpieczeństwa, żeby była pewność, że jego dalsze funkcjonowanie będzie w pełni bezpieczne.
Dodał, że trudno powiedzieć, kiedy funkcjonalność ePUAP zostanie w pełni przywrócona, i że resort liczy na to, że stanie się to jak najszybciej2. Trzecia wypowiedź nie ma podpisu. To baner na portalu, który według CyberDefence24 informował o niedostępnych skrzynkach1, a w brzmieniu widocznym 11 listopada mówi o pracach serwisowych i nie wspomina o ataku.
Każdy z trzech opisów jest deklaracją strony, która go podaje. ABW, według ministra włączona w wyjaśnianie incydentu, nie opublikowała komunikatu (stan na godzinę 9:11 11 listopada), a żaden z komunikatów nie wyjaśnia, co dokładnie zatrzymano ani co odłączono.
Wpis ukazał się o 20:59, o 22:09 CyberDefence24 opisywało już komunikat o skrzynkach na portalu1, a po godzinie 23:00 odezwał się Gieorgica2. Tekst money.pl oparty na depeszy PAP, opublikowany o 6:56, nadal nie podawał terminu przywrócenia2.
Czego jeszcze nie wiadomo
Resort odpowiada na część pytań wyłącznie deklaracją, a na część wcale.
| Pytanie | Co mówi resort | Status |
|---|---|---|
| Na czym polegał atak | Wpis mówi o cyberataku, bez opisu | Brak komunikatu |
| Kto za nim stoi | Brak wypowiedzi | Brak komunikatu |
| Co oznacza zdanie, że atak został zatrzymany | Brak wyjaśnienia | Deklaracja resortu |
| Czy dane użytkowników ePUAP są bezpieczne | Resort nie wypowiedział się o danych użytkowników ePUAP. Minister: infrastruktura COI jest bezpieczna. Biuro komunikacji: system nie został naruszony2 | Deklaracje o infrastrukturze i systemie, bez informacji o danych |
| Kiedy ePUAP wróci | Trudno powiedzieć, resort liczy na to, że jak najszybciej2 | Brak terminu |
| Czy incydent dotknął profil zaufany, login.gov.pl, mObywatela albo e-Doręczenia | Brak wypowiedzi. Strony e-Doręczeń i mObywatela nie pokazywały 11 listopada o 9:08 komunikatu o awarii | Nieustalone |
| Czy resort przedłuży terminy urzędowe | Brak komunikatu na gov.pl/cyfryzacja (stan na godzinę 10:05 11 listopada) | Brak komunikatu |
Polsat News powołał się 10 listopada o 21:13 na zgłoszenia w serwisie Downdetector, które wskazywały na możliwe problemy z domeną służącą do logowania do systemu, bez wskazania, o którą domenę chodzi4. Są to zgłoszenia użytkowników serwisu pomiarowego, bez komunikatu operatora, więc nie wiadomo, czy ten incydent dotyczył logowania do innych usług państwa.
Kogo awaria ePUAP dotyczy od 1 stycznia 2026 roku
Dla obywateli i firm ePUAP przestała być skutecznym kanałem pism z początkiem roku. Ustawa o doręczeniach elektronicznych uznawała doręczenie z konta w ePUAP do urzędu za równoważne z e-Doręczeniami do 31 grudnia 2025 roku17. Ministerstwo Cyfryzacji napisało w grudniu 2025 roku, że od 1 stycznia 2026 roku korespondencja przez ePUAP jest skuteczna tylko tam, gdzie wskazują na to przepisy szczególne, a w innych sytuacjach może zostać uznana za nieskuteczną3.
| Grupa | Co oznacza niedostępność skrzynek | Podstawa |
|---|---|---|
| Obywatel albo firma wysyłające pismo do urzędu | ePUAP jest skutecznym kanałem tylko w przypadkach z przepisów szczególnych | art. 147 ust. 2 ustawy o doręczeniach elektronicznych17, komunikat Ministerstwa Cyfryzacji3 |
| Składający informacje i deklaracje na podatki lokalne | ePUAP nadal jest dopuszczonym kanałem, a papierowe podanie nadane pocztą lub złożone w urzędzie jest nadal możliwe | komunikat Ministerstwa Finansów5 |
| Urzędy między sobą i sądy administracyjne | Skrzynki ePUAP są w użyciu, a doręczenie między podmiotami publicznymi przez ePUAP jest równoważne z e-Doręczeniami do 30 września 2029 roku | art. 147 ust. 1 ustawy o doręczeniach elektronicznych17, CyberDefence241 |
| Posiadacz konta albo skrzynki z zapisaną korespondencją | Zgromadzona korespondencja jest dostępna do 30 września 2029 roku, ale przy niedostępnych skrzynkach nie można jej dziś pobrać | art. 148 ustawy o doręczeniach elektronicznych17 |
Ministerstwo Finansów przypomina, że podanie wysłane przez ePUAP do organu podatkowego nie zostanie rozpatrzone, poza informacjami i deklaracjami na podatki lokalne5, co wynika z art. 169 § 1b i art. 168 § 1 Ordynacji podatkowej15. Kto trzyma w skrzynce ważne dokumenty, powinien zapisać je w innym miejscu, bo po 30 września 2029 roku minister właściwy do spraw informatyzacji usuwa konta i skrzynki wraz z zawartością17.
Co zrobić z pismem, gdy ePUAP nie działa
Przepisy o zachowaniu terminu w postępowaniu administracyjnym i podatkowym nie wymieniają ePUAP. Kodeks postępowania administracyjnego uznaje termin za zachowany, jeżeli przed jego upływem pismo zostało wysłane na adres do doręczeń elektronicznych organu, a nadawca otrzymał dowód otrzymania, albo nadane w placówce pocztowej operatora wyznaczonego (art. 57 § 5 pkt 1 i 2)14. Ordynacja podatkowa ma tę samą konstrukcję w art. 12 § 6 pkt 1 i 215. Operatorem wyznaczonym jest Poczta Polska617, więc nadanie pisma w jej placówce przed upływem terminu zachowuje termin w obu ustawach.
Przepisy o zachowaniu i przywróceniu terminu w obu ustawach (art. 57 i 58 kodeksu, art. 12 i 162 Ordynacji) nie przewidują przedłużenia terminu z powodu awarii platformy, a komunikat resortu o niedostępności skrzynek nie zmienia terminu ustawowego1415. Zostaje prośba o przywrócenie terminu. Kodeks pozwala ją wnieść, jeżeli zainteresowany uprawdopodobni, że uchybienie nastąpiło bez jego winy, w ciągu siedmiu dni od dnia ustania przyczyny i z jednoczesnym dopełnieniem czynności, dla której wyznaczono termin (art. 58 § 1 i 2)14. Ordynacja podatkowa zawiera te same reguły w art. 162 § 1 i 2, a o przywróceniu terminu postanawia w niej właściwy organ podatkowy (art. 163 § 1)15. Kto po 1 stycznia 2026 roku wysłał pismo przez ePUAP poza przypadkami z przepisów szczególnych, wybrał kanał, który według Ministerstwa Cyfryzacji może zostać uznany za nieskuteczny3, więc uprawdopodobnienie braku winy może być trudniejsze.
Termin, który upływa w dniu ustawowo wolnym od pracy, upływa następnego dnia roboczego (art. 57 § 4 Kodeksu postępowania administracyjnego14, art. 12 § 5 Ordynacji podatkowej, o ile ustawa podatkowa nie stanowi inaczej15), a 11 listopada jest takim dniem16. Terminy sądowe i terminy z innych ustaw mają własne przepisy, więc przed wyborem kanału trzeba sprawdzić je w sprawie albo zapytać organ.
Dawid Ryłko, architekt IT i ekspert cyberbezpieczeństwa, radzi, jakie dowody zachować:
Należy zachować dowód otrzymania lub potwierdzenie nadania oraz zrzut komunikatu o niedostępności platformy z datą i godziną, ponieważ komunikat może zniknąć po przywróceniu platformy.
Czym zastąpić ePUAP: e-Doręczenia, poczta i konta w systemach urzędów
Zamiennik zależy od tego, do kogo idzie pismo. Dla zachowania terminu przepisy wymieniają przede wszystkim adres do doręczeń elektronicznych i nadanie na poczcie.
| Kanał | Do czego służy | Uwaga |
|---|---|---|
| e-Doręczenia, także w aplikacji mObywatel7 | Podstawowy kanał pism elektronicznych do urzędów od 1 stycznia 2026 roku3. Wysłanie na adres do doręczeń organu z dowodem otrzymania zachowuje termin1415 | Wymaga aktywnego adresu do e-Doręczeń3. Obowiązki firm opisuje artykuł o e-Doręczeniach dla jednoosobowych działalności |
| Placówka pocztowa operatora wyznaczonego, czyli Poczty Polskiej | Nadanie przed upływem terminu zachowuje termin w kodeksie postępowania administracyjnego i w Ordynacji podatkowej1415 | Potwierdzenie nadania jest dowodem w sprawie |
| e-Urząd Skarbowy i PUESC | Podania do organów podatkowych i organów Krajowej Administracji Skarbowej przez konta w systemach organu5 | Dotyczy spraw podatkowych i celnych |
| Pismo na papierze, telefaks i ustne podanie do protokołu | Podania wnosi się na piśmie, za pomocą telefaksu lub ustnie do protokołu, a podania w postaci elektronicznej na adres do doręczeń elektronicznych albo przez konto w systemie organu (art. 63 § 1 Kodeksu postępowania administracyjnego)14. W podatkach papier jest nadal dopuszczony5 | Wyjątki wynikają z przepisów szczególnych, na przykład wiążące informacje stawkowe tylko przez konto w e-Urzędzie Skarbowym5 |
Profil zaufany, logowanie i hasła
Według komunikatu Ministerstwa Cyfryzacji z 9 września 2016 roku profil zaufany miał zostać wydzielony z systemu ePUAP do niezależnej infrastruktury i oprogramowania podczas przerwy serwisowej od 9 do 11 września8. Żaden komunikat resortu o obecnym incydencie nie wymienia profilu zaufanego ani aplikacji mObywatel. Przy majowej awarii profilu zaufanego i podpisu zaufanego, 11 maja 2026 roku, resort zalecał inne formy uwierzytelnienia, w tym aplikację mObywatel, a około godziny 12:00 napisał, że profil i usługi z nim powiązane działają prawidłowo9.
Według stanu z godziny 10:05 11 listopada resort nie wezwał do zmiany haseł do profilu zaufanego i nie podał, że dane z ePUAP wyciekły. Niezależnie od incydentu hasło używane w kilku serwisach warto zmienić, w usługach z taką opcją włączyć uwierzytelnianie wieloskładnikowe, a numer PESEL, jeśli nie jest zastrzeżony, zastrzec przez narzędzie do zastrzeżenia numeru PESEL.
Phishing: jak rozpoznać fałszywą wiadomość o ePUAP
W październiku 2024 roku, według Telepolis, CERT Polska ostrzegał przed phishingiem w postaci wiadomości z rzekomą notyfikacją Krajowej Administracji Skarbowej, z linkiem do strony łudząco podobnej do logowania do Elektronicznej Skrzynki Podawczej na ePUAP, a celem było wyłudzenie hasła do poczty ofiary10. Podszywanie się pod e-Doręczenia po terminach obowiązku dla kolejnych grup opisujemy w artykule o e-Doręczeniach dla jednoosobowych działalności.
- Portale takie jak epuap.gov.pl, pz.gov.pl i login.gov.pl działają w domenie gov.pl, a część instytucji, na przykład ZUS, ma własne domeny, więc najbezpieczniej wpisać adres samodzielnie w przeglądarce.
- Wiadomość, która grozi blokadą konta, utratą dokumentów albo upływem terminu i prosi o hasło, kod SMS albo dane karty, jest próbą wyłudzenia.
- Domenę z podejrzanej wiadomości można sprawdzić na liście ostrzeżeń CSIRT NASK.
Kto wpisał hasło na podejrzanej stronie, powinien zmienić je wszędzie, gdzie go używał, i zgłosić stronę do CERT Polska.
Poprzednie awarie i ataki na ePUAP
Niedostępność ePUAP nie jest nowa. Minister cyfryzacji Janusz Cieszyński pisał 13 czerwca 2023 roku o kolejnym ataku DDoS na ePUAP, a usługi pozostały dostępne, choć z utrudnieniami11. Wtedy resort nazwał technikę ataku, a tym razem rodzaju ataku nie podał. Według money.pl 15 sierpnia 2021 roku nie dało się zalogować do profilu zaufanego ani przez gov.pl, ani przez ePUAP12.
W 2026 roku profil zaufany miał awarię 11 maja, gdy nie można było się zalogować ani używać podpisu zaufanego9, a 13 października Centralny Ośrodek Informatyki informował o utrudnieniach w wybranych funkcjach, między innymi w przedłużaniu ważności, unieważnianiu i potwierdzaniu profilu w wideorozmowie i punktach potwierdzających13.
Źródła
- CyberDefence24, "Cyberatak na system ePUAP. Infrastruktura jest bezpieczna", Paweł Makowiec, 10.11.2026 - godzina wpisu ministra, komunikat o skrzynkach na portalu, rola skrzynek ePUAP dla urzędów (odczyt 11.11.2026)
- Money.pl (PAP), "Cyberatak na ePUAP. System prewencyjnie odłączono", Piotr Bera, 11.11.2026 - wypowiedź dyrektora biura komunikacji Ministerstwa Cyfryzacji dla PAP, brak terminu przywrócenia (odczyt 11.11.2026)
- Ministerstwo Cyfryzacji, "Od nowego roku e-Doręczenia podstawowym kanałem komunikacji z urzędami. Co to oznacza dla Obywateli?", 10.12.2025 - skuteczność ePUAP od 1 stycznia 2026 roku, aktywny adres do e-Doręczeń (odczyt 11.11.2026)
- Polsat News, "Cyberatak na system ePUAP. Do akcji wkraczają służby specjalne", Wiktor Kazanecki, 10.11.2026 - pełny tekst wpisu ministra, zgłoszenia w serwisie Downdetector (odczyt 11.11.2026)
- Ministerstwo Finansów, "Zmiany w zasadach składania podań utrwalonych w postaci elektronicznej do organów podatkowych i organów KAS", 19.12.2025 - wyjątek dla podatków lokalnych, podania przez ePUAP, papier i konta w systemach organów (odczyt 11.11.2026)
- e-Doręczenia (gov.pl), "Pojemność skrzynki do e-Doręczeń oraz archiwizacja korespondencji", 19.12.2025 - Poczta Polska SA jako operator wyznaczony (odczyt 11.11.2026)
- e-Doręczenia (gov.pl), "e-Doręczenia" - e-Doręczenia w aplikacji mObywatel, odbieranie i wysyłanie pism urzędowych w telefonie (odczyt 11.11.2026)
- Ministerstwo Cyfryzacji, "ePUAP niedostępny. Za niedogodności przepraszamy!", 09.09.2016 - wydzielenie profilu zaufanego z ePUAP do niezależnej infrastruktury (odczyt 11.11.2026)
- Interia, "Awaria Profilu Zaufanego. Nowy komunikat resortu cyfryzacji", 11.05.2026 - awaria profilu i podpisu zaufanego, komunikaty Ministerstwa Cyfryzacji (odczyt 11.11.2026)
- Telepolis, "Polacy dostają dziwne powiadomienia. Tylko jedna reakcja jest OK", Marian Szutiak, 03.10.2024 - ostrzeżenie CERT Polska przed fałszywymi wiadomościami o logowaniu do skrzynki podawczej (odczyt 11.11.2026)
- Telepolis, "Atak na ePUAP. Wykorzystano metodę DDoS", Marian Szutiak, 13.06.2023 - atak na ePUAP, wpis ministra Cieszyńskiego (odczyt 11.11.2026)
- Money.pl, "Profil Zaufany nie działa. Awarii uległ też system ePuap", 15.08.2021 - niedziałające logowanie do profilu zaufanego i ePUAP (odczyt 11.11.2026)
- Interia, "Awaria Profilu Zaufanego. Oficjalny komunikat, lista problemów", 13.10.2026 - utrudnienia profilu zaufanego według komunikatu Centralnego Ośrodka Informatyki (odczyt 11.11.2026)
- Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity: Dz.U. 2025 poz. 1691), art. 57 § 4 i 5, art. 58 § 1 i 2, art. 63 § 1 (odczyt 11.11.2026)
- Ustawa z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa (tekst jednolity: Dz.U. 2026 poz. 622), art. 12, 162, 163, 168 i 169 (odczyt 11.11.2026)
- Ustawa z dnia 18 stycznia 1951 r. o dniach wolnych od pracy (tekst jednolity: Dz.U. 2025 poz. 296), art. 1 pkt 1 lit. k (odczyt 11.11.2026)
- Ustawa z dnia 18 listopada 2020 r. o doręczeniach elektronicznych (tekst jednolity: Dz.U. 2026 poz. 3), art. 2 pkt 4, art. 147, art. 148 (odczyt 11.11.2026)