Arriva la circolare del Mit: mossa per blindare le navi e i porti dai cyberattacchi

Le sfide imposte dalle tecnologie emergenti richiedono un aggiornamento continuo delle strategie di difesa; navi e porti non fanno eccezione. Di fronte all’aumento dei rischi di attacchi informatici nel settore marittimo, il Ministero delle Infrastrutture e dei Trasporti (Mit) ha emanato una circolare che entrerà in vigore il primo novembre per rafforzare le misure di sicurezza di navi nazionali, porti e impianti portuali.

Ministero delle Infrastrutture e dei Trasporti (Mit) afferma:

“La cybersicurezza deve essere considerata parte integrante della gestione complessiva della sicurezza marittima e non un elemento accessorio, richiedendo un approccio coordinato e coerente tra navi, società di gestione e impianti portuali, in linea con il quadro normativo internazionale, unionale e nazionale di riferimento.”

La circolare, intitolata “Aggiornamento delle misure di sicurezza per le navi nazionali, le società di gestione ISM (Company) e i gestori di impianti portuali (port facility)”, è stata diffusa attraverso il Comando generale del Corpo delle Capitanerie di Porto – Guardia Costiera e la Autorità NIS – Settore Trasporti. Il provvedimento segue l’episodio del tentato accesso non autorizzato al traghetto Fantastic, operato dalla compagnia Grandi navi veloci (Gnv), e intende rispondere alla crescente digitalizzazione dei sistemi di navigazione e delle infrastrutture portuali.

Comando generale del Corpo delle Capitanerie di Porto – Guardia Costiera ha osservato:

“Introduce un quadro avanzato, moderno e vincolante di misure di cybersicurezza destinate a rafforzare la resilienza del comparto marittimo-portuale, alla luce della crescente digitalizzazione dei sistemi di bordo, delle infrastrutture portuali e delle procedure operative.”

Crescente necessità di gestione del rischio informatico

Storicamente, la gestione del rischio nello shipping si è concentrata su operazioni tradizionali legate alla sicurezza fisica e alla navigazione. Tuttavia, la sempre maggiore dipendenza da sistemi digitali integrati, automazione e reti di trasmissione dati ha esposto nuove vulnerabilità. Queste debolezze possono derivare dall’interconnessione di apparecchiature, dall’accesso remoto ai sistemi di bordo e dall’integrazione con infrastrutture portuali digitalizzate.

Il documento sottolinea la necessità di adottare un approccio strutturato e sistematico alla gestione del rischio cyber, conforme ai riferimenti normativi internazionali e comunitari, come le indicazioni fornite dall’International Maritime Organization (IMO) e dai regolamenti nazionali. Una governance chiara, ruoli e responsabilità formalizzati e processi di coordinamento tra operatori e autorità costituiscono elementi essenziali per la resilienza del settore.

Destinatari, obblighi e misure richieste

La circolare definisce obblighi e raccomandazioni rivolte a compagnie di navigazione, comandanti di navi, gestori di impianti portuali e alle Autorità statali competenti. Tra le prescrizioni principali vi è l’adozione di un approccio strutturato alla gestione del rischio informatico e l’integrazione completa delle misure di cybersicurezza nei Safety management system e nei Piani di security delle navi nazionali.

Si richiede inoltre l’aggiornamento delle procedure interne, l’implementazione di misure tecniche e organizzative adeguate e proporzionate, e la formalizzazione di processi per la prevenzione, la rilevazione, la gestione e il recupero in caso di incidente informatico. Queste misure includono controlli d’accesso, segmentazione delle reti, backup sicuri, aggiornamenti regolari e piani di continuità operativa.

La politica della Company deve essere aggiornata per includere gli aspetti della cybersicurezza e le misure necessarie per tutelare la sicurezza della nave anche in relazione ai rischi informatici. La Company è tenuta a designare a terra il Cyber Company Officer, figura responsabile della gestione e protezione contro i rischi informatici in grado di supportare il Comandante. A bordo occorre nominare il Cyber Security Officer, che può coincidere con il Comandante o essere un altro membro dell’equipaggio con compiti direttivi.

Valutazione del rischio e aggiornamenti continui

Il risk assessment deve identificare minacce, vulnerabilità, contromisure e responsabilità operative. Il documento ribadisce che la valutazione del rischio non è un’attività una tantum: va ripetuta a intervalli regolari, con periodicità minima raccomandata annuale, salvo indicazioni diverse basate su fattori come complessità operativa, esposizione al rischio o mutamenti significativi dei sistemi.

Ogni qualvolta emergano nuove minacce o si verifichino attacchi, anche se senza impatti immediati, le valutazioni devono essere aggiornate. Le buone pratiche includono la mappatura degli asset digitali, la classificazione delle funzioni critiche, esercitazioni periodiche di incident response, la formazione dell’equipaggio e il coordinamento con le autorità portuali e nazionali.

Dal punto di vista operativo e politico, rafforzare la cybersicurezza marittima contribuisce a proteggere le catene di approvvigionamento, a tutelare l’economia nazionale e a garantire il rispetto degli obblighi internazionali. Per questo motivo è essenziale una governance integrata che coinvolga operatori privati, Autorità NIS, amministrazioni portuali e organismi internazionali come l’IMO e le istituzioni dell’Unione Europea.