In breve
La Circolare MIT “Sicurezza della Navigazione” Serie Generale n. 177/2025 del 16 dicembre 2025 è in vigore dal 1° novembre 2026 e abroga la SG 155/2019. Riguarda navi, compagnie e impianti portuali. Per gli impianti chiede di aggiungere al PFSA un annesso sulla valutazione del rischio cyber e di inserire nel PFSP le procedure conseguenti.
Il Codice ISPS considerava già i sistemi di comunicazione e informatici tra le vulnerabilità da valutare nel PFSA (parte B, 15.3.5). La novità è che ora la circolare dice come farlo, chi se ne occupa e come lo si verifica.
Cosa chiede agli impianti portuali
| Paragrafo | Requisito |
|---|---|
| §5.5 | Annesso cyber al PFSA: sistemi e reti legati alle vulnerabilità fisiche, piano di mitigazione e ripristino per ogni vulnerabilità, collegamenti con il PFSP, miglioramento continuo |
| §5.4 | Nomina del CyPFSO, responsabile della protezione cyber dell’impianto |
| §7 | Formazione cyber di base per chi usa i sistemi critici, formazione specifica per gli utenti OT |
| §8 | Verifica delle conoscenze cyber in almeno una delle drill o exercise programmate, coordinata da PFSO e CyPFSO |
| §9 | Aspetti cyber dentro gli audit ISPS |
| §10 | Segnalazione degli incidenti cyber dell’impianto |
Se l’impianto è già soggetto NIS2
Per un impianto soggetto al D.Lgs. 138/2024 la circolare considera il rispetto della normativa NIS2 idoneo a soddisfare anche il Reg. (CE) 725/2004 e il Codice ISPS. Non serve quindi una seconda valutazione del rischio: PFSA e PFSP devono però rinviare espressamente alla valutazione e alle misure NIS2, e il contenuto si consolida alla successiva revisione quinquennale.
Il termine del 31 dicembre 2026 per gli addendum ai piani vigenti compare nel testo dopo le regole per gli impianti non soggetti a NIS2; per quelli soggetti valgono le scadenze NIS2. Per i soggetti inseriti nell’elenco nel 2025 il termine delle misure di base è di 18 mesi dalla comunicazione di inserimento (Det. ACN 379907/2025, confermata dalla Det. 127434/2026), quindi in molti casi è già trascorso. Per questo il consiglio prudente è completare il rinvio entro il 31 dicembre 2026 e confermare l’interpretazione con l’Autorità designata.
La nuova figura: il CyPFSO
Il CyPFSO contribuisce, insieme al PFSO, all’annesso cyber al PFSA e alle procedure cyber del PFSP, ed eroga e aggiorna la formazione cyber del personale. Lavora con il PFSO, che resta il titolare del PFSP; il PFSA lo approva l’Autorità designata. Anche un impianto soggetto NIS2 deve nominarlo, e può farlo coincidere con una figura NIS2 già nominata. Il CyPFSO deve avere una delle formazioni indicate al §7, punto 3, della circolare (per esempio ISO/IEC 27001 Lead Auditor o Lead Implementer, IEC 62443, GICSP, CISA); se non è il PFSO, deve completare anche il corso “Duties” (IMO Model Course 3.24).
La segnalazione degli incidenti
Per gli incidenti cyber dell’impianto, dal 1° gennaio 2026 la circolare non applica più la precedente circolare security n. 45: si segue il D.Lgs. 138/2024 e si informano senza ritardo anche il MIT – Ufficio 3 Maritime Security e l’Autorità designata del porto.
Per un impianto incluso anche nel Perimetro conta quale sistema è coinvolto. Se l’incidente riguarda un bene ICT del Perimetro si notifica secondo il DPCM 81/2021, e questa notifica assolve anche l’obbligo NIS2 (art. 33 del D.Lgs. 138/2024). Per gli altri sistemi vale la notifica NIS2.
| Destinatario | Quando | Termine | Fonte |
|---|---|---|---|
| CSIRT Italia – PSNC | Incidente su un bene ICT del Perimetro | 6 ore o 1 ora, secondo la tabella | DPCM 81/2021, art. 3 |
| CSIRT Italia – NIS2 | Incidente significativo sugli altri sistemi | pre-notifica 24 ore, notifica 72 ore, relazione finale entro un mese | D.Lgs. 138/2024, art. 25 |
| MIT Maritime Security e Autorità designata del porto | Incidente cyber dell’impianto | senza ritardo | SG 177/2025, §10 |
In pratica conviene una sola segnalazione interna: l’addetto avvisa subito PFSO e CISO, e saranno CISO e referente CSIRT a decidere quali notifiche esterne servono e a rispettarne i tempi.
Non è teoria: tre casi
- 2017, NotPetya. Diciassette terminal di APM Terminals, società del gruppo Maersk, tra cui Rotterdam e Los Angeles, ebbero chiusure o forti rallentamenti perché i sistemi informatici del gruppo erano fuori uso.
- 2022, Oiltanking e Mabanaft. Un attacco mise fuori uso i sistemi IT di Oiltanking Deutschland, i cui 11 terminali di carburante in Germania lavorarono a capacità ridotta.
- 2023, porto di Nagoya. Un ransomware attribuito a LockBit 3.0 fermò il terminal container dal martedì mattina fino alla ripresa prevista per il giovedì.
Da dove cominciare
- Nominare il CyPFSO e indicarlo nel PFSA.
- Individuare i sistemi legati alle vulnerabilità fisiche: controllo accessi, CCTV, antintrusione, comunicazioni, OT di processo.
- Scrivere l’annesso cyber al PFSA con rinvio alla valutazione NIS2 e le procedure cyber del PFSP.
- Formare il personale con compiti di security prima che assuma l’incarico.
- Dedicare a uno scenario cyber una delle drill trimestrali e registrarla come le altre.
Come possiamo aiutarvi
Seguiamo gli impianti portuali nell’annesso cyber al PFSA, nelle procedure del PFSP, nella formazione del personale con compiti di security e nelle esercitazioni cyber congiunte. Dal 26 novembre 2026 possiamo ricoprire direttamente il ruolo di CyPFSO.
Il servizio per gli impianti portuali →Fonti
Circolare MIT “Sicurezza della Navigazione” SG n. 177/2025 del 16/12/2025 (testo integrale); D.Lgs. 138/2024, artt. 23, 24 e 25; DPCM 14 aprile 2021, n. 81, art. 3 (testo vigente); Determinazioni ACN n. 379907 del 19/12/2025 e n. 127434 del 13/04/2026; IMO MSC-FAL.1/Circ.3/Rev.3; Codice ISPS, parte B; per i casi: Maritime Executive (Maersk, 2017), CyberScoop (Oiltanking, 2022), Dark Reading (Nagoya, 2023). D.Lgs. 138/2024, art. 33. Testi verificati il 3 novembre 2026. Questo articolo è informativo e non sostituisce la lettura della circolare né il confronto con l’Autorità designata.