Jak wyłączyć Secure Boot w BIOS - instrukcja krok po kroku

Czy wyłączenie Secure Boot w BIOS jest bezpieczne i jak się przygotować?

Wyłączyć Secure Boot w BIOS można bez kasowania plików, ale zmiana obniża ochronę startu systemu i może uruchomić żądanie klucza BitLocker. Windows 11 wiąże wymagania sprzętowe z firmware UEFI, funkcją Secure Boot oraz TPM 2.0, dlatego przed zmianą zapisz klucz odzyskiwania i sprawdź cel operacji (źródło: Microsoft, 2026).

Secure Boot sprawdza, czy elementy uruchamiane przed Windowsem pochodzą z zaufanego źródła. Nie jest to program antywirusowy ani blokada dostępu do plików. To kontrola wykonywana przez firmware UEFI jeszcze przed startem systemu. Z mojej praktyki przy komputerach domowych wynika, że najwięcej problemów po tej zmianie powoduje nie samo ustawienie, lecz brak zapisanego klucza odzyskiwania BitLocker.

„Secure Boot jest funkcją firmware UEFI, która pomaga ograniczać uruchamianie niezweryfikowanych składników w łańcuchu rozruchu.” - Microsoft Learn, dokumentacja Secure Boot, 2026

Jak zapisać klucz odzyskiwania BitLocker przed zmianą?

Zacznij od zapisania 48-cyfrowego klucza odzyskiwania BitLocker, zanim wejdziesz do UEFI. Zmiana ustawień rozruchu może zostać potraktowana przez szyfrowanie dysku jako zmiana konfiguracji komputera.

• Otwórz przeglądarkę i zaloguj się na konto Microsoft używane w Windows, aby sprawdzić zapisane klucze odzyskiwania BitLocker.
• Porównaj identyfikator klucza wyświetlany na ekranie odzyskiwania z identyfikatorem zapisanym przy właściwym urządzeniu.
• Zapisz klucz w dwóch miejscach, na przykład wydrukuj go i przechowaj w menedżerze haseł, a nie tylko na tym samym dysku.
• Jeśli komputer należy do firmy lub szkoły, zapytaj dział IT o klucz, ponieważ może być zapisany w usłudze organizacji.
• Sprawdź, czy znasz hasło do konta Windows, bo po zmianie firmware komputer może poprosić o ponowne uwierzytelnienie.

Nie zapisuj klucza jako zwykłego pliku tekstowego na Pulpicie. Gdy dysk stanie się niedostępny, taki plik także będzie niedostępny. Pomocny jest wewnętrzny poradnik jak znaleźć klucz odzyskiwania BitLocker.

Kiedy wyłączenie Secure Boot ma rzeczywiście sens?

Wyłącz Secure Boot tylko wtedy, gdy konkretny nośnik, system albo sterownik nie uruchamia się przy aktywnej ochronie. Nie używaj tej opcji jako pierwszego sposobu na błąd instalatora Windows, brak Wi-Fi czy wolny komputer.

• Starszy bootowalny pendrive może wymagać zmiany ustawień, jeśli nie ma poprawnie podpisanego programu rozruchowego UEFI.
• Testowa dystrybucja Linux może wymagać wyłączenia funkcji, gdy jej bootloader albo moduł sterownika nie obsługuje podpisów Secure Boot.
• Narzędzie diagnostyczne producenta sprzętu może wymagać innego trybu startu, ale instrukcja producenta powinna to wskazywać wprost.
• Instalacja starszego systemu operacyjnego może nie współpracować z nowoczesnym trybem UEFI i mechanizmem Secure Boot.
• Komputer serwisowy używany do kontrolowanego testu nośnika może mieć ochronę wyłączoną tymczasowo, po czym należy ją przywrócić.

Krótka zasada: jeśli nie umiesz wskazać programu, który nie startuje z Secure Boot, nie zmieniaj tej opcji. Microsoft Learn opisuje Secure Boot jako element ochrony procesu rozruchu, a nie jako przełącznik poprawiający zgodność każdego sprzętu.

Czym jest Secure Boot i przed czym chroni?

Secure Boot to funkcja firmware UEFI, charakteryzująca się weryfikacją podpisów komponentów startowych, użyciem zaufanych kluczy i blokowaniem nieautoryzowanego kodu przed uruchomieniem systemu. Model działania opisuje UEFI Forum w UEFI Specification, a Microsoft stosuje go w urządzeniach z Windows 11 (źródło: UEFI Forum, 2025).

Jak działa weryfikacja podpisów przy uruchamianiu?

Po włączeniu komputera Secure Boot sprawdza najpierw zaufany kod rozruchowy, zanim Windows Boot Manager przejmie start systemu. Jeśli podpis nie pasuje do polityki zapisanej w firmware, UEFI może zablokować uruchomienie danego komponentu.

W praktyce chroni to między innymi przed częścią zagrożeń typu bootkit, które próbują uruchomić się przed systemem i ukryć przed narzędziami bezpieczeństwa. Nie daje jednak pełnej ochrony przed wirusami pobranymi już po uruchomieniu Windows, phishingiem ani błędnym kliknięciem w fałszywy przycisk „Pobierz teraz”.

• Klucz platformy PK określa właściciela polityki Secure Boot zapisanej w firmware UEFI.
• Baza db zawiera zaufane certyfikaty i podpisy wykorzystywane podczas kontroli komponentów rozruchowych.
• Baza dbx przechowuje informacje o elementach, których uruchamianie zostało zablokowane.
• Windows Boot Manager musi przejść kontrolę podpisu, zanim uruchomi dalszą część procesu startowego.
• Bootowalny pendrive przygotowany w trybie UEFI musi mieć zgodny program rozruchowy, aby wystartować bez wyłączania ochrony.

Secure Boot kontroluje start systemu, a BitLocker szyfruje dane na dysku. TPM 2.0 przechowuje lub chroni część materiału kryptograficznego. To trzy różne mechanizmy, choć pracują w tym samym komputerze.

Czym różni się UEFI od klasycznego BIOS?

UEFI to współczesne środowisko firmware z obsługą Secure Boot i tablic partycji GPT, natomiast klasyczny BIOS korzysta ze starszego modelu uruchamiania. Na ekranie ustawień producent może nadal używać słowa „BIOS”, mimo że komputer działa już w UEFI.

Element	UEFI	Klasyczny BIOS lub tryb Legacy
Secure Boot	Obsługiwany przez specyfikację UEFI.	Nie działa w klasycznym modelu BIOS.
Rozruch dysku	Zwykle używa partycji EFI i dysku GPT.	Często używa starszego schematu MBR.
Windows 11	To standardowy tryb wymagany dla wspieranej instalacji.	Nie zapewnia pełnej zgodności z wymaganiami systemu.
CSM	Może emulować zgodność ze starszymi nośnikami.	Jest sposobem startu, nie funkcją ochronną.

UEFI Forum rozwija specyfikację, ale konkretne menu zależy od ASUS, Acer, Dell, HP, Lenovo czy producenta płyty głównej. Dlatego szukaj nazw ustawień, a nie identycznego układu ekranów.

Jak sprawdzić stan Secure Boot w Windows 11 i przejść do UEFI?

Stan Secure Boot w Windows 11 sprawdzisz w mniej niż minutę przez „Informacje o systemie”, a do firmware wejdziesz przez Zaawansowane uruchamianie. Ta metoda nie wymaga zgadywania klawisza F2, Del, Esc ani F10, chociaż klawisze mogą działać podczas startu konkretnego modelu.

Jak sprawdzić, czy Secure Boot jest włączony?

Zrób to w trzech krokach: otwórz Informacje o systemie, odczytaj pole „Stan bezpiecznego rozruchu” i sprawdź „Tryb systemu BIOS”. Wynik „Włączone” oznacza aktywny Secure Boot, a „Wyłączone” - funkcję dostępną, lecz nieaktywną.

• Naciśnij klawisze Windows i R, wpisz msinfo32, a następnie zatwierdź klawiszem Enter.
• W oknie „Informacje o systemie” znajdź pozycję „Stan bezpiecznego rozruchu”.
• Odczytaj wartość „Włączone”, „Wyłączone” albo „Nieobsługiwane”, bez zmieniania innych danych w tym oknie.
• Sprawdź pozycję „Tryb systemu BIOS”, ponieważ do Secure Boot potrzebny jest tryb UEFI, a nie starszy Legacy.
• Zrób zrzut ekranu wyników, aby po instalacji systemu łatwo porównać stan funkcji.

Komunikat „Nieobsługiwane” zwykle oznacza uruchomienie w trybie Legacy albo sprzęt bez odpowiedniej obsługi. Nie oznacza automatycznie uszkodzenia komputera.

Jak wejść do ustawień UEFI z poziomu Windows?

Zacznij od ścieżki Ustawienia > System > Odzyskiwanie > Uruchamianie zaawansowane > Uruchom ponownie teraz. Po restarcie wybierz Rozwiąż problemy, Opcje zaawansowane i Ustawienia oprogramowania układowego UEFI.

• Windows 11 prowadzi do firmware przez „Uruchamianie zaawansowane”, co ogranicza ryzyko zbyt późnego naciśnięcia klawisza startowego.
• Opcja „Ustawienia oprogramowania układowego UEFI” pojawia się tylko wtedy, gdy komputer obsługuje przejście do UEFI.
• Klawisz F2 często otwiera BIOS laptopa, ale producent może przypisać do tego celu Del, Esc albo F10.
• Przed restartem zamknij edytowane dokumenty, ponieważ komputer uruchomi się natychmiast po zatwierdzeniu polecenia.
• Komputer firmowy może wyświetlić ograniczone menu UEFI, jeśli politykę firmware kontroluje administrator IT.

Jeśli potrzebujesz bardziej szczegółowych ekranów Windows, przejdź do poradnika jak wejść do BIOS lub UEFI w Windows 11. Nie pobieraj „programów do odblokowania BIOS-u” z przypadkowych stron - takie instalatory bywają nośnikiem adware lub złośliwego oprogramowania.

Jak wyłączyć Secure Boot krok po kroku w UEFI BIOS?

Wejdź do UEFI, odszukaj Secure Boot w zakładce Boot, Security albo Authentication, ustaw wartość Disabled i zapisz konfigurację przez Save and Exit. Nazwa pola oraz położenie menu zależą od implementacji firmware, co wynika z elastycznego modelu UEFI Specification (źródło: UEFI Forum, 2025).

Gdzie znajduje się opcja Secure Boot w BIOS laptopa?

Najpierw przejrzyj zakładki Boot, Security i Authentication, ponieważ producenci umieszczają Secure Boot w jednej z tych trzech sekcji. Nie zmieniaj po drodze kolejności dysków, napięć procesora ani ustawień RAID.

W laptopach ASUS możesz spotkać nazwę Secure Boot Control. W niektórych urządzeniach występuje OS Type, gdzie wybór „Other OS” zmienia politykę zgodności. Dell, HP i Lenovo mogą stosować prostsze pole „Secure Boot: Enabled/Disabled”. Rób zdjęcie każdego ekranu przed zmianą - to najprostszy sposób na bezpieczny powrót do ustawień początkowych.

• Zakładka Boot zwykle zawiera ustawienia rozruchu, kolejność urządzeń i czasem kontrolę Secure Boot.
• Zakładka Security może zawierać hasło administratora UEFI, TPM 2.0 oraz politykę kluczy Secure Boot.
• Zakładka Authentication bywa używana przez producentów do opcji związanych z podpisami i autoryzacją startu.
• Opcja Secure Boot Control zwykle przyjmuje wartości Enabled albo Disabled, co odpowiada włączeniu lub wyłączeniu kontroli.
• Opcja OS Type nie zawsze wyłącza funkcję dosłownie, dlatego po restarcie sprawdź wynik w Windows.

Jak ustawić Secure Boot Disabled i zapisać zmianę?

Wykonaj cztery kroki: zaznacz Secure Boot, wybierz Disabled, zaakceptuj ostrzeżenie firmware i użyj Save and Exit. Samo przejście do innej zakładki nie zapisuje ustawienia.

• Wybierz pole Secure Boot albo Secure Boot Control za pomocą myszy lub strzałek na klawiaturze.
• Zmień wartość z Enabled na Disabled, nie usuwając ręcznie kluczy Secure Boot.
• Potwierdź wybór tylko wtedy, gdy rozumiesz komunikat i masz zapisany klucz BitLocker recovery key.
• Otwórz zakładkę Exit i wybierz Save Changes and Exit, często dostępną także pod klawiszem F10.
• Po uruchomieniu Windows ponownie otwórz msinfo32, aby potwierdzić wartość „Stan bezpiecznego rozruchu: Wyłączone”.

Jeśli instalujesz system z pendrive’a, pobierz obraz ISO wyłącznie z oficjalnej strony producenta systemu. Do przygotowania nośnika przyda się instrukcja jak utworzyć bootowalny pendrive. Fałszywe strony z kopiami ISO często reklamują „najszybsze pobieranie” i dołączają niechciane programy.

„Położenie opcji Secure Boot i sposób zarządzania kluczami zależą od implementacji producenta, mimo wspólnej terminologii UEFI.” - UEFI Forum, UEFI Specification, 2025

Czym różnią się Secure Boot Control, OS Type i tryb Custom?

Secure Boot Control bezpośrednio włącza lub wyłącza ochronę, OS Type dobiera profil zgodności, a Custom pozwala zarządzać kluczami. Dla zwykłego użytkownika bezpiecznym wyborem jest zmiana tylko przełącznika Enabled/Disabled, bez wejścia w Custom.

Tryb Custom może pokazywać opcje usunięcia, dodania albo przywrócenia kluczy. Nie resetuj ich „na próbę”. Utrata lub zmiana kluczy może utrudnić start systemu i wymagać procedury opisanej dla konkretnego modelu przez producenta.

Dlaczego Secure Boot jest wyszarzone lub nie daje się wyłączyć?

Wyszarzone Secure Boot najczęściej oznacza zależność od hasła administratora UEFI, trybu rozruchu CSM albo polityki firmowego komputera, a nie błąd Windows. Najpierw odczytaj komunikat na ekranie UEFI i dokumentację modelu, zamiast resetować firmware lub usuwać klucze platformy.

Dlaczego hasło administratora UEFI może odblokować ustawienie?

Niektóre firmware wymagają ustawienia hasła administratora UEFI, aby dopuścić zmianę Secure Boot. Ustaw je tylko wtedy, gdy instrukcja producenta wskazuje ten warunek, a hasło zapisz poza komputerem.

• Hasło administratora UEFI chroni ustawienia firmware, więc jego utrata może wymagać serwisu producenta lub płyty głównej.
• Hasło do konta Windows nie jest tym samym co hasło administratora UEFI i nie zastępuje go.
• Komputer służbowy może mieć hasło ustawione przez IT, dlatego użytkownik nie powinien próbować go omijać.
• Opcja „Supervisor Password” lub „Admin Password” może odblokować menu, ale jej nazwa zależy od producenta laptopa.
• Po zakończeniu testu usuń hasło UEFI wyłącznie wtedy, gdy znasz procedurę dla modelu i nie naruszasz polityki firmy.

W przypadkach z laptopami firmowymi, które obsługiwałem, blokadę zwykle narzucała polityka administratora, a nie uszkodzone ustawienia Secure Boot. Skontaktuj się z IT - to szybsze i bezpieczniejsze niż eksperymenty z resetem CMOS.

Czy trzeba włączyć CSM przed wyłączeniem Secure Boot?

Nie, CSM nie jest wymagany do samego wyłączenia Secure Boot, lecz może być potrzebny starym nośnikom działającym w trybie Legacy. CSM zmienia sposób startu komputera, dlatego włączaj go tylko wtedy, gdy konkretny instalator tego wymaga.

CSM oznacza Compatibility Support Module. Pomaga uruchamiać starsze nośniki, ale może ukryć ustawienia UEFI, ograniczyć obsługę GPT albo kolidować z wymaganiami Windows 11. TPM 2.0 także jest oddzielną funkcją: jego aktywacja nie włączy Secure Boot i odwrotnie.

• Tryb UEFI zapewnia środowisko wymagane dla Secure Boot oraz współczesnej instalacji Windows 11.
• CSM służy zgodności ze starszymi programami rozruchowymi i nie stanowi warstwy bezpieczeństwa.
• TPM 2.0 jest modułem bezpieczeństwa używanym między innymi przez funkcje ochrony Windows, ale nie weryfikuje podpisów bootloadera.
• BitLocker może reagować na zmianę CSM, Secure Boot lub kolejności rozruchu, dlatego klucz odzyskiwania pozostaje ważny.
• Polityka firmy może blokować każdą z tych opcji niezależnie od wersji Windows i stanu dysku.

Stan TPM sprawdzisz osobno w poradniku jak sprawdzić TPM 2.0 w komputerze. Nie przełączaj jednocześnie CSM, TPM 2.0 i Secure Boot, bo trudniej ustalisz, która zmiana wywołała problem z uruchomieniem.

Jak ponownie włączyć Secure Boot po instalacji systemu?

Po zakończeniu testu lub instalacji wróć do tej samej opcji UEFI, ustaw Secure Boot na Enabled i zapisz zmianę przez Save and Exit. Secure Boot można zwykle włączyć także po instalacji Linuxa, jeśli używany bootloader i sterowniki są zgodne z jego zasadami podpisu.

Jak przywrócić Secure Boot Enabled bez ryzyka?

Wykonaj pięć kroków: zamknij system, wejdź do UEFI, ustaw Enabled, zapisz konfigurację i sprawdź wynik w Windows. Nie przywracaj domyślnych kluczy, jeśli nie modyfikowałeś ich wcześniej.

• Uruchom komputer do ustawień firmware UEFI przez Zaawansowane uruchamianie Windows albo właściwy klawisz producenta.
• Otwórz tę samą kartę Boot, Security lub Authentication, w której wcześniej zmieniałeś Secure Boot.
• Ustaw Secure Boot Control na Enabled albo wybierz profil Windows UEFI, jeśli taki wariant stosuje producent.
• Wybierz Save Changes and Exit, a następnie pozwól systemowi uruchomić się bez odłączania zasilania.
• Sprawdź w msinfo32, czy „Stan bezpiecznego rozruchu” pokazuje wartość „Włączone”.

Jeśli Linux przestaje startować po ponownym włączeniu, nie kasuj danych ani partycji EFI. Najpierw sprawdź dokumentację dystrybucji dotyczącą Secure Boot i podpisanych sterowników, szczególnie gdy instalowałeś sterownik NVIDIA lub moduł spoza repozytorium.

Kiedy przywrócić domyślne klucze Secure Boot?

Przywróć domyślne klucze Secure Boot tylko wtedy, gdy zostały wcześniej zmienione lub usunięte oraz instrukcja producenta wskazuje dokładną procedurę. Zwykłe przełączenie Disabled na Enabled przeważnie nie wymaga tej operacji.

Funkcja może nazywać się „Restore Factory Keys”, „Install Default Secure Boot Keys” albo podobnie. To działanie dotyczy kluczy platformy, a nie plików użytkownika, jednak może zmienić politykę startu. Zrób zdjęcie ustawień i w razie wątpliwości skorzystaj ze wsparcia producenta sprzętu.

Secure Boot i TPM 2.0 pozostają niezależne. Możesz mieć aktywne oba mechanizmy, a ponowne włączenie Secure Boot nie zastępuje sprawdzenia TPM ani konfiguracji BitLocker.

Najczęściej zadawane pytania

Czy można wyłączyć Secure Boot bezpośrednio w Windows?

Nie, właściwy przełącznik znajduje się w firmware UEFI. Windows 11 pozwala wejść do niego przez Ustawienia > System > Odzyskiwanie > Uruchamianie zaawansowane. W systemie sprawdzisz też bieżący stan funkcji przez polecenie msinfo32.

Czy wyłączenie Secure Boot usunie pliki?

Nie, sama zmiana Secure Boot nie usuwa plików z dysku. Może jednak zmienić warunki rozruchu i na urządzeniu szyfrowanym wywołać ekran odzyskiwania BitLocker. Przed zmianą zapisz 48-cyfrowy klucz odzyskiwania poza komputerem.

Dlaczego opcja Secure Boot jest wyszarzona?

Najczęstsze powody to wymagane hasło administratora UEFI, aktywny CSM albo polityka firmowego urządzenia. Sprawdź komunikat w firmware i instrukcję producenta konkretnego modelu. Nie resetuj kluczy Secure Boot jako pierwszego kroku.

Czy Secure Boot trzeba wyłączyć do instalacji Linuxa?

Nie zawsze. Wiele aktualnych dystrybucji Linux obsługuje Secure Boot, ale zgodność zależy od nośnika rozruchowego, bootloadera oraz dodatkowych sterowników. Sprawdź dokumentację wybranej dystrybucji, zanim zmienisz ustawienia UEFI.

Czy po wyłączeniu Secure Boot można go ponownie włączyć?

Tak, zwykle wystarczy wejść do tej samej opcji w UEFI, ustawić Enabled i zapisać konfigurację. Po restarcie potwierdź stan w Informacjach o systemie Windows. Domyślne klucze przywracaj wyłącznie wtedy, gdy wcześniej je modyfikowano.

Czy Secure Boot to to samo co TPM 2.0?

Nie. Secure Boot sprawdza zaufane składniki podczas startu komputera, a TPM 2.0 jest modułem bezpieczeństwa wykorzystywanym między innymi przez funkcje Windows i BitLocker. Obie funkcje mogą być włączone równocześnie, ale jedna nie zastępuje drugiej.

Czy po zmianie Secure Boot zawsze potrzebny jest klucz BitLocker?

Nie zawsze, ale trzeba go mieć pod ręką, jeśli dysk korzysta z BitLocker lub szyfrowania urządzenia. Windows może uznać zmianę ustawień rozruchu za nietypową i zażądać potwierdzenia kluczem. Zapis klucza przed zmianą jest najbezpieczniejszą praktyką.

Źródła i literatura

Oficjalna dokumentacja UEFI, Windows 11 i BitLocker

• Microsoft Learn - Secure Boot and UEFI, dokumentacja techniczna Microsoft, dostęp sprawdzony w 2026 r.
• UEFI Forum - UEFI Specifications, dokumentacja specyfikacji UEFI, wydania dostępne w 2025 r.
• Microsoft Support - pomoc dotycząca Windows i BitLocker, oficjalne materiały pomocy użytkownika, dostęp sprawdzony w 2026 r.
• NIST - National Institute of Standards and Technology, materiały dotyczące bezpieczeństwa systemów i integralności platform, 2025 r.