IACS UR E26 och E27 fastställer kompletterande krav på cyberresiliens för vissa nya fartyg och deras system ombord. Denna guide förklarar deras tillämpningsområde, ansvar, dokumentation och förhållande till IMO:s vägledning, NIST CSF 2.0, IEC 62443 och NIS 2.
Vad som ändrades från och med 1 juli 2024
International Association of Classification Societies (IACS) tillämpar de reviderade versionerna av sina Unified Requirements UR E26 och UR E27 på fartyg vars byggkontrakt ingås den 1 juli 2024 eller senare. De ursprungliga versionerna drogs tillbaka innan de hann träda i kraft.
Detta är IACS Unified Requirements, inte EU-lagstiftning. De fastställer kompletterande klassificeringskrav:
- UR E26 behandlar cyberresiliens på fartygsnivå.
- UR E27 fastställer minimikrav på cyberresiliens för system och utrustning ombord som identifierats genom E26.
Det angivna obligatoriska tillämpningsområdet omfattar passagerarfartyg på internationella resor, lastfartyg och höghastighetsfartyg om 500 GT eller mer på internationella resor, mobila offshoreborrningsenheter om 500 GT eller mer samt angivna självgående mobila offshorebyggnadsenheter. Andra fartygskategorier som anges i kraven får använda dem som icke-obligatorisk vägledning. Det detaljerade tillämpningsområdet bör därför kontrolleras mot relevant UR och fartygets klassificeringsarrangemang.
Hur E26 och E27 samverkar
E26 behandlar fartyget som en samlad enhet. Det omfattar system för operativ teknik (OT-system) inom tillämpningsområdet och angivna gränssnitt, och beskriver cyberresiliens genom fem funktionella delar:
- Identify
- Protect
- Detect
- Respond
- Recover
E27 fungerar på nivån för de datorbaserade system och den utrustning som identifierats genom E26. Det behandlar dessa systems säkerhetsfunktioner, den leverantörsinformation som behövs för att bedöma dem och den dokumentation som används för att visa överensstämmelse.
I praktiken fastställer E26 sammanhanget på fartygsnivå: vilka tillgångar, system, anslutningar och cyberrisker som är relevanta för fartyget. E27 stöder sedan bedömningen av de enskilda systemen ombord inom detta sammanhang.
Ansvar genom hela projektet
Cyberresiliens är inte enbart en uppgift för redaren eller leverantören. E26 fördelar arbetet mellan flera parter, medan ansvaret för att uppfylla ett enskilt krav ligger hos den intressent som har avtal med klassificeringssällskapet.
| Part | Typiskt bidrag enligt kraven |
|---|---|
| Ägare eller företag | Tillhandahåller operativt sammanhang på fartygsnivå och medverkar i fartygets program för cybersäkerhet och resiliens. |
| Varv eller systemintegratör | Integrerar system, gränssnitt och underlag för cyberresiliensdesign på fartygsnivå. |
| Leverantör | Tillhandahåller systemdokumentation, underlag om säkerhetsfunktioner, konfigurationsinformation och underlag för säker utvecklingslivscykel som krävs enligt E27. |
| Klassificeringssällskap | Granskar och besiktigar tillämplig dokumentation och aktiviteter inom klassificeringsprocessen. |
En tydlig avtalsmässig ansvarsfördelning är viktig eftersom den nödvändiga dokumentationen skapas under konstruktion, byggnation, idrifttagning och drift. En checklista som fylls i vid en tidpunkt ersätter inte de livscykelaktiviteter som anges i kraven.
Vilken dokumentation E26 kräver
E26 kräver kontrollerad dokumentation på fartygsnivå som är lämplig för projektfasen. Detta omfattar:
- en tillgångsförteckning;
- information om zoner och conduits;
- en beskrivning av cybersäkerhetsdesignen;
- testförfaranden och tillhörande testunderlag; och
- ett program för fartygets cybersäkerhet och resiliens.
Zoner och conduits används för att beskriva segmentering och kommunikationsvägar mellan system. De bidrar till att synliggöra systemgränser, gränssnitt och kontroller på fartygsnivå.
Relevant besiktnings- och granskningsaktivitet beror på livscykelfasen och det detaljerade kravet. E26 bör inte tolkas som att det fastställer en enda universell revisions- eller utbildningscykel.
Vad E27 kräver av system och leverantörer
E27 gäller datorbaserade system som identifierats genom E26. Det kräver dokumentation som kan omfatta:
- leverantörsdokumentation;
- säkerhetsfunktioner;
- testning eller analytisk utvärdering;
- konfigurationsunderlag; och
- underlag för säker utvecklingslivscykel.
Dess säkerhetsfunktioner omfattar områden som identifiering och autentisering, användningskontroll, systemintegritet, konfidentialitet för data, begränsat dataflöde, skyndsam hantering av händelser och tillgänglighet av resurser.
E27 innebär inte att varje enskild del behöver ett separat certifikat. Systemcertifiering är fartygsspecifik, medan typgodkännande kan användas frivilligt för standardiserade system som tillverkas rutinmässigt.
Det exakta förhållandet till IEC 62443
E27 bygger på utvalda krav från IEC 62443, men är inte ett generellt införande av hela standardserien.
Avsnittet om säkerhetsfunktioner bygger på utvalda krav från IEC 62443-3-3. Avsnittet om säker utveckling hänvisar till utvalda krav från IEC 62443-4-1:2018, den för närvarande gällande utgåvan för krav på säker produktutvecklingslivscykel. Utgåva 2.0 är fortfarande under utveckling.
IEC 62443-4-2:2019, inklusive dess rättelse från 2022, är fortfarande en giltig standard för tekniska säkerhetskrav för komponenter. E27 bör dock inte beskrivas som ett IEC 62443-4-2-certifikat eller som dokumentation som styrker certifiering enligt IEC 62443.
Det begränsade förhållandet till IMO:s vägledning och NIST CSF 2.0
IMO:s Guidelines on maritime cyber risk management, utfärdade i april 2025, använder sex funktionella delar: Govern, Identify, Protect, Detect, Respond och Recover. De listar IACS E26, E27 och NIST CSF 2.0 bland icke uttömmande ytterligare referenser, vars användning fortfarande avgörs av användaren.
NIST Cybersecurity Framework 2.0 använder också dessa sex funktioner. E26 revision 1 använder fem: Identify, Protect, Detect, Respond och Recover. Liknande språk underlättar jämförelse, men det skapar inte likvärdighet punkt för punkt och införlivar inte varje resultat i NIST CSF 2.0 i E26.
IMO:s tidigare Resolution MSC.428(98) angav att godkända säkerhetsledningssystem bör beakta cyberrisk enligt ISM Code och uppmanade administrationer att säkerställa detta senast vid den första årliga verifieringen av ett företags Document of Compliance efter den 1 januari 2021. Den historiska milstolpen för ledningssystem är separat från tillämpningsdatumet för E26 och E27.
NIS 2 som organisatoriskt sammanhang
NIS 2 är separat från IACS klassificeringskrav. Enligt Directive (EU) 2022/2555 omfattar bilaga I angivna företag för passagerar- och godstransporter på inre vattenvägar, till sjöss och längs kusten samt hamnorgan. Den relevanta posten för vattentransporter undantar de enskilda fartyg som drivs av dessa företag.
Om en organisation omfattas av NIS 2 beror på dess enhetstyp, storleksregler, undantag och nationella genomförande. Överensstämmelse med E26 eller E27 innebär inte i sig att NIS 2 efterlevs.
Ett praktiskt sätt att förbereda sig
Börja med att bekräfta om fartyget och avtalet omfattas av IACS tillämpningsområde. Fastställ sedan E26-sammanhanget på fartygsnivå innan E27 behandlas som en övning i leverantörsdokumentation.
En användbar ordning är:
- identifiera tillgångar, system och gränssnitt inom tillämpningsområdet;
- definiera zoner, conduits och cyberresiliensdesignen på fartygsnivå;
- fördela ansvar mellan ägaren eller företaget, varvet eller integratören, leverantörer och klassificeringssällskapet;
- samla in och bedöma systemdokumentation enligt E27 tillsammans med integrations- och testunderlag; och
- upprätthålla programmet och dokumentationen genom relevanta skeden för konstruktion, byggnation, idrifttagning och drift.
Detta angreppssätt håller distinktionen tydlig: E26 behandlar fartygets cyberresiliens som en integrerad helhet, medan E27 behandlar de system och den utrustning ombord som stöder den.