Cyber security per impianti portuali ISPS
Dal 1° novembre 2026 è in vigore la Circolare MIT “Sicurezza della Navigazione” SG n. 177/2025: il rischio cyber entra nel PFSA e nel PFSP. Aiutiamo gli impianti portuali a integrarlo senza rifare da capo quello che hanno già, soprattutto se sono soggetti NIS2 o inclusi nel Perimetro di Sicurezza Nazionale Cibernetica.
Un incidente, più obblighi
In un impianto portuale anche gli strumenti di chi fa security sono sistemi digitali in rete: controllo accessi, CCTV, antintrusione, radio. Un attacco riuscito può lasciare un varco aperto senza che nessuno se ne accorga.
Per un impianto soggetto NIS2 e incluso nel PSNC, lo stesso evento è insieme un incidente di security marittima e un incidente cyber, da notificare come PSNC se coinvolge un bene ICT del Perimetro o come NIS2 negli altri casi. La circolare considera il rispetto del D.Lgs. 138/2024 idoneo a soddisfare il Reg. (CE) 725/2004 e il Codice ISPS, ma chiede che PFSA e PFSP rinviino espressamente alla valutazione e alle misure NIS2.
- Sistemi IT: posta, ERP, portali dei fornitori, documenti del PFSP
- OT di processo: DCS, ESD/F&G, sistemi di carico e scarico e di collegamento nave-terra
- Sistemi di security: badge e tornelli, CCTV/VMS, antintrusione perimetrale, comunicazioni con navi, rimorchiatori e Capitaneria
Cosa facciamo
Lavoriamo con il PFSO e con il responsabile cyber dell’impianto. Partiamo dalla valutazione del rischio e dalle misure NIS2 già approvate e le riportiamo nei documenti ISPS, così che lo stesso controllo non venga descritto e verificato due volte.
La circolare introduce il CyPFSO, responsabile della protezione cyber dell’impianto: lavora con il PFSO e non lo sostituisce. Dal 26 novembre 2026 possiamo ricoprire direttamente il ruolo di CyPFSO per l’impianto, con la formazione richiesta dal §7 della circolare: qualifica di Lead Auditor ISO/IEC 27001 e corso Duties (IMO Model Course 3.24). In alternativa affianchiamo il CyPFSO interno nella nomina, nella formazione e nel lavoro.
- Annesso cyber al PFSA (§5.5): sistemi legati alle vulnerabilità fisiche, piano di mitigazione e ripristino, rinvio alla metodologia di rischio NIS2
- Procedure cyber nel PFSP: passaggio alle misure manuali, accesso ai locali IT/OT, tecnici dei fornitori, misure ai livelli di security 2 e 3
- CyPFSO affidato a noi dal 26 novembre 2026, oppure supporto al CyPFSO interno
- Formazione cyber del personale dell’impianto (§7)
- Drill o exercise cyber congiunta PFSO–CyPFSO (§8)
- Verifiche cyber dentro gli audit ISPS (§9)
- Flusso di segnalazione degli incidenti (§10)
Il modulo integrativo per il personale con compiti di security
Nei corsi ISPS per il personale addetto a specifici compiti di security (IMO Model Course 3.24) che abbiamo esaminato, la parte cyber descrive chi può attaccare e quali sono i bersagli a bordo, ma non tratta i sistemi OT di un impianto portuale, NIS2, PSNC e linee guida IMO, né come riconoscere un incidente cyber, a chi segnalarlo e in quanto tempo. Il nostro modulo copre questa parte.
Destinatari: addetti al controllo accessi, alla sorveglianza e alla sala controllo security individuati nel PFSP, PFSO e sostituti. Una versione da 1 ora può essere usata per la familiarizzazione cyber del resto del personale, che la circolare chiede specifica per l’impianto e da completare entro 7 giorni dall’assunzione dell’incarico.
| Blocco | Contenuti | Minuti |
|---|---|---|
| 1 | Perché la cyber riguarda la security ISPS: SG 177/2025, NIS2, PSNC; casi reali | 30 |
| 2 | Sistemi IT, OT e di security dell’impianto; ruoli di PFSO, CyPFSO e CISO | 30 |
| 3 | Scenari e segnali: phishing, tecnici non annunciati, dispositivi sconosciuti, CCTV anomale, interferenze GNSS/AIS, ransomware | 45 |
| 4 | Dieci regole operative per il turno e misure per livello di security | 30 |
| 5 | Segnalazione: cosa dire, a chi, in quanto tempo; passaggio alle procedure manuali | 30 |
| 6 | Tabletop: CCTV oscurata durante un accosto | 45 |
| 7 | Verifica dell’apprendimento e valutazione del corso | 30 |
Il modulo completo dura 4 ore e chiude con un test a scelta multipla su scenari e flusso di segnalazione. Foglio presenze, test, attestato e materiale didattico vengono consegnati per l’archiviazione con le registrazioni di formazione del PFSP.
La circolare prevede che la formazione cyber del personale sia erogata dal CyPFSO: quando il ruolo è affidato a noi la teniamo direttamente, altrimenti la progettiamo e la teniamo insieme al CyPFSO dell’impianto. Soglia del test, misure per i livelli 2 e 3 e durate dei blocchi sono una nostra proposta, da validare con l’impianto e con l’Autorità designata.
Una segnalazione interna, poi le notifiche esterne
All’addetto non si chiede di diagnosticare l’incidente, ma di riconoscerlo e segnalarlo subito al PFSO e al CISO o al servizio di risposta agli incidenti. Le notifiche esterne le gestiscono CISO e referente CSIRT, in raccordo con il PFSO.
Per gli incidenti cyber dell’impianto la circolare rinvia al D.Lgs. 138/2024 e chiede di segnalarli senza ritardo anche al MIT – Ufficio 3 Maritime Security e all’Autorità designata del porto.
- CSIRT Italia – PSNC: 6 ore o 1 ora per gli incidenti sui beni ICT del Perimetro, secondo la tabella del DPCM 81/2021; questa notifica vale anche come notifica NIS2 (art. 33 del D.Lgs. 138/2024)
- CSIRT Italia – NIS2: per gli incidenti significativi sugli altri sistemi, pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese
- MIT Maritime Security e Autorità designata del porto: senza ritardo
Come lavoriamo
Il servizio lo segue Giacomo Pesce, CISO e referente CSIRT in un soggetto essenziale NIS2 incluso nel Perimetro, Lead Auditor ISO/IEC 27001. Le esercitazioni si appoggiano al formato War Room, che può essere usato per l’esercitazione cyber del PFSP se lo scenario viene dalla valutazione del rischio dell’impianto, se vi partecipano PFSO e CyPFSO e se viene registrata come le altre; l’uso va confermato con l’Autorità designata.
- Ricognizione: PFSA, PFSP, valutazione e misure NIS2 già in essere
- Addendum: annesso cyber al PFSA e procedure cyber nel PFSP
- Formazione: modulo da 4 ore e familiarizzazione da 1 ora
- Esercitazione: una drill trimestrale dedicata a uno scenario cyber
- Riesame: dopo incidenti, esercitazioni e audit
PFSA e PFSP vanno aggiornati
Per gli impianti non soggetti a NIS2 gli addendum vanno predisposti e approvati entro il 31 dicembre 2026; per quelli soggetti valgono le scadenze NIS2, con il rinvio espresso alla valutazione e alle misure. Raccontaci a che punto siete: vi diciamo cosa manca e cosa si può riusare.