La circolare n. 177/2025 e l’evoluzione degli obblighi di cybersicurezza nel settore marittimo
Il Comando generale delle Capitanerie di porto ha di recente pubblicato la circolare n. 177/2025 in tema di “Maritime Cyber Risk. Aggiornamento delle misure di sicurezza per le navi nazionali, le società di gestione ISM (Company ISM) e i gestori di impianti portuali”, che introduce nuove misure per la gestione del rischio informatico nel settore marittimo. Il provvedimento si pone in linea con le indicazioni dell’IMO e integra il quadro normativo esistente, ovvero la direttiva NIS2 e il d. lgs. n. 138/2024 attuativo della direttiva medesima. L’obiettivo è proteggere navi, società di gestione e impianti portuali da attacchi informatici sempre più sofisticati, garantendo la sicurezza dei dati, delle infrastrutture critiche e dell’ambiente.
Nella stessa circolare, le cui disposizioni saranno operative dal 1° novembre 2026, si osserva che negli ultimi anni il settore marittimo ha vissuto una trasformazione digitale senza precedenti. L’adozione di tecnologie avanzate, come sistemi di navigazione elettronica (ECDIS), piattaforme di gestione portuale e sistemi automatizzati, ha migliorato l’efficienza operativa e la competitività ma, allo stesso tempo, ha ampliato la superficie di esposizione a minacce informatiche, rendendo l’intera filiera marittima più vulnerabile.
Tra i principali contenuti del provvedimento – che definisce un insieme di obblighi e raccomandazioni per le imprese di navigazione, i comandanti delle navi, i gestori portuali e le autorità coinvolte – si annovera l’introduzione di un approccio sistematico alla valutazione e mitigazione del rischio informatico, con integrazione delle misure nei sistemi di gestione della sicurezza. Infatti, le misure di cyber devono essere inserite nei Safety Management System (SMS) delle navi e nei piani di security delle navi nazionali. È inoltre richiesto l’aggiornamento delle procedure interne, l’adozione di misure tecniche e organizzative adeguate e proporzionate, nonché la formalizzazione di processi di prevenzione, rilevazione, risposta e recovery in caso di incidente.
In tale scenario, il capitale umano assume un ruolo determinante; in questo senso, viene espressamente introdotto l’obbligo di formazione del personale attraverso un percorso di qualificazione per equipaggi, Company Security Officer, Port Facility Security Officer e tecnici IT/OT, al fine di assicurare una preparazione aggiornata rispetto alle tecniche di attacco e ai requisiti di risposta.
La circolare rivolge inoltre specifiche attenzioni ai rischi cyber connessi alle tecnologie emergenti e ai sistemi nave-terra, inclusi quelli per le navi autonome, rafforzando al contempo le procedure di gestione e notifica degli incidenti informatici significativi, in coordinamento con il CSIRT Italia (Computer Security Incident Response Team) previsti dal d.lgs. 138/2024 e il quadro normativo NIS2.