IACS UR E26 ve E27 yürürlükte: siber dayanıklılık artık yeni-inşa sözleşmesinin bir parçası

Denizcilikte siber güvenlik, tavsiyeden katı bir klas gereğine dönüştü. 1 Temmuz 2024’ten bu yana, Uluslararası Klas Kuruluşları Birliği’nin (IACS) Birleşik Kuralları E26 “Gemilerin Siber Dayanıklılığı” ve E27 “Gemi İçi Sistem ve Ekipmanların Siber Dayanıklılığı”, inşa sözleşmesi bu tarihte veya sonrasında imzalanan gemilere uygulanıyor. Yeni gemiler için siber dayanıklılık artık bir “iyi uygulama” önerisi değil; klas kuruluşunun teslimden önce doğruladığı bir koşul.

İki kural sorunu net biçimde bölüyor. E26 gemiyi tek bir kolektif bütün olarak ele alıyor ve asgari bir temeli beş işlev etrafında kuruyor: tanımlama, koruma, saldırı tespiti, yanıt ve kurtarma — NIST ve IEC 62443 çerçevelerinin de dayandığı yapı. Amaç, BT ve OT (operasyonel teknoloji) sistemlerinin, yeni-inşa aşamasından itibaren geminin tüm ömrü boyunca güvenli biçimde bütünleştirilmesi. E27 bir kademe aşağıda çalışıyor; üçüncü taraf tedarikçilerin sağladığı bilgisayar tabanlı sistem ve ekipmanları hedefliyor ve güvenliğin, ürünler gemiye kurulmadan önce tasarıma gömülmesini şart koşuyor.

Kapsam bilinçli olarak sınırlı. Kurallar, 1 Temmuz 2024’ten itibaren inşa sözleşmesi imzalanan 500 groston ve üzeri ticari ve açık-deniz gemilerine uygulanıyor; 12’den fazla yolcu taşıyan yolcu gemileri ve kendinden yürümeli seyyar açık-deniz üniteleri de dahil. Daha küçük ve konvansiyonel olmayan gemiler, bu kontrolleri her tekneye sonradan eklemenin zorluğu nedeniyle büyük ölçüde zorunlu çekirdeğin dışında tutuluyor.

Asıl değişim hesap verebilirlikte. Siber dayanıklılık artık tek bir tarafın sorunu değil: tersane sistemleri güvenli entegre etmek, ekipman tedarikçisi E27 kapsamında güçlendirilmiş ürünler sevk etmek, operatör ise bunları çalıştırıp bakımını yapmak zorunda. Her halka artık gayrıresmi bir beklenti yerine belgelenmiş, denetlenebilir bir yükümlülük taşıyor.

Hangi kuralın hangi geminize uygulandığını (ve IMO’nun emniyet yönetimi tarafının bundan nasıl ayrıldığını) ayrıntılı isteyenler için: Gemi siber güvenliği rehberi: hangi kural hangi geminize uygulanıyor?

Apeks görüşü — E26 ve E27’nin asıl önemi teknik kontrollerde değil; siber dayanıklılığın artık yeni-inşa sözleşmesine doğrulanabilir bir koşul olarak yazılmasında. Regülasyon, sektörün iyi bildiği bir örüntüyü tekrarlıyor: iyi bir uygulama önce beklentiye, sonra bir denetim kalemine dönüşüyor. En iyi ilerleyecek operatörler, sistemlerini zaten açıklanması ve kanıtlanması gereken bir şey olarak görenler olacak — çünkü belgeleyemediğiniz bir kontrol, denetçi gözünde var olmayan bir kontroldür.