El 21 de agosto de 2026, un equipo de la Guardia Costera de Estados Unidos y del FBI subió a bordo del VL Prosperity, un petrolero con pabellón liberiano rumbo a Texas cuya red informática había sido comprometida por un actor extranjero. Permanecieron cuatro días. Un segundo petrolero fue abordado en las mismas semanas. El 28 de mayo, la OMI había publicado la cuarta revisión de sus directrices sobre la gestión del riesgo cibernético marítimo. El 19 de octubre, la Guardia Costera difundió la circular NVIC 02-26, que explica cómo cumplir su regla de ciberseguridad antes del plazo del 16 de julio de 2027.
Nada de esto apunta a un yate en particular. Todo le concierne. Un superyate de hoy es un puente integrado, una propulsión gobernada por autómatas, una red de invitados, una red de tripulación, uno o dos enlaces por satélite y un correo de capitán por el que pasan las órdenes de transferencia. La cuestión no es si será atacado. Es qué le pide la normativa, y quién viene a comprobarlo.
La base: el riesgo cibernético dentro del SMS
La regla de fondo cabe en una resolución. Mediante la resolución MSC.428(98) de junio de 2017, la OMI afirmó que un sistema de gestión de la seguridad aprobado debe tener en cuenta el riesgo cibernético conforme al Código IGS, y pidió a las administraciones que lo garantizaran a más tardar en la primera verificación anual del Documento de cumplimiento posterior al 1 de enero de 2021. Desde esa fecha, el riesgo cibernético es un punto de auditoría como cualquier otro.
El ámbito es, por tanto, el del propio ISM. Un yate comercial de 500 GT o más en navegación internacional está obligado por el capítulo IX del SOLAS: su compañía posee un DOC, el buque un SMC, y el auditor del pabellón o de la organización reconocida comprueba que el SMS trata el riesgo cibernético. Por debajo de 500 GT, los pabellones del Red Ensign Group y sus homólogos imponen un sistema de gestión simplificado y esperan que aborde el tema en proporción a los sistemas a bordo. La guía ISM e ISPS para superyates detalla esos umbrales.
La resolución no dice cómo hacerlo. Ese es el papel de las directrices MSC-FAL.1/Circ.3, revisadas por cuarta vez por el Comité de Facilitación en marzo de 2026 y por el Comité de Seguridad Marítima en mayo, y fechadas el 28 de mayo de 2026. Siguen siendo recomendaciones, pero son las que las administraciones y los auditores tienen delante. Seis elementos funcionales, que se llevan a la vez:
- Gobernar: designar a una persona o entidad responsable de la planificación, los recursos y la ejecución de la ciberseguridad, con la autoridad y la competencia necesarias;
- Identificar: mantener un inventario de los sistemas digitales a bordo y de sus conexiones, y evaluar el riesgo en aquellos cuyo fallo repentino crea una situación peligrosa;
- Proteger: credenciales únicas, contraseñas por defecto cambiadas, autenticación multifactor, redes OT separadas de las redes IT, control de los soportes extraíbles, copias de seguridad, actualizaciones, política de cadena de suministro;
- Detectar: vigilar los sistemas frente a una lista de amenazas mantenida al día;
- Responder: notificar los incidentes en los plazos fijados por la administración y llevar un registro;
- Recuperar: plan de recuperación de los sistemas críticos, análisis de causas.
Dos puntos de esta versión merecen la atención de un capitán. La formación: una formación básica anual para todo el personal, una formación específica para los usuarios de sistemas OT y una familiarización cibernética de cada marino al embarcar, puesta a prueba de vez en cuando con ejercicios. Y la mención expresa de los sistemas «de pasajeros, tripulación y personal subcontratado frente a redes públicas» entre los sistemas vulnerables: el wifi de los invitados está en el perímetro, igual que el ECDIS.
Las nuevas construcciones: las exigencias de clase E26 y E27
Para las nuevas construcciones, la Asociación Internacional de Sociedades de Clasificación ha convertido estos principios en reglas. Las prescripciones unificadas UR E26, ciberresiliencia del buque, y UR E27, ciberresiliencia de los sistemas y equipos de a bordo, se aplican a los buques cuyo contrato de construcción se firma a partir del 1 de julio de 2024. Imponen desde el diseño una segmentación en zonas, un inventario de sistemas, accesos remotos controlados, un modo de gobierno manual o local, un plan de respuesta y un plan de recuperación, todo verificado mediante pruebas antes de la entrega y en las visitas de clase.
Su ámbito obligatorio es el del SOLAS: buques de pasaje en navegación internacional, buques de carga, naves de gran velocidad y unidades de perforación de 500 GT o más. Los «yates de pasaje de no más de doce pasajeros» y los «yates de recreo no dedicados al comercio» figuran en la lista de buques para los que la UR puede servir de guía no obligatoria. En claro, un yate nuevo solo queda sujeto si su sociedad de clasificación lo ha incorporado a sus propias reglas para yates, si el pabellón lo pide o si el armador encarga una notación cibernética. En la práctica, los astilleros que entregan por encima de 500 GT ven llegar equipos certificados E27 a través de sus proveedores, y varias sociedades ofrecen una notación alineada con E26, obligatoria para los mercantes nuevos y opcional para los yates. A un armador que firme un contrato de construcción en 2026 le conviene plantear la cuestión en la especificación, antes de que la plantee el integrador en su lugar.
Estados Unidos: una regla para sus buques, un control para los demás
La regla de la Guardia Costera publicada el 17 de enero de 2025, codificada en el 33 CFR Parte 101, subparte F, entró en vigor el 16 de julio de 2025. Se aplica a los buques con pabellón estadounidense sujetos a la Maritime Transportation Security Act, a las instalaciones portuarias y a las plataformas de la plataforma continental. Su calendario: formación de todo el personal con acceso a sistemas IT u OT antes del 12 de enero de 2026, después designación de un Cybersecurity Officer, evaluación y plan de ciberseguridad presentados a aprobación antes del 16 de julio de 2027, ejercicios dos veces al año, prueba de intrusión exigida a partir de la primera renovación. La circular NVIC 02-26 del 19 de octubre de 2026 no añade ninguna obligación; detalla lo que los inspectores esperan de cada apartado del plan y recuerda que subcontratar la informática no transfiere la responsabilidad reglamentaria.
Pocos yates llevan pabellón estadounidense bajo la MTSA. Un yate de Caimán, Malta o Islas Marshall se encuentra con esta regla de otro modo: por el control del Estado rector del puerto. Desde 2021 la Guardia Costera comprueba en sus inspecciones que el SMS trata el riesgo cibernético, y el Captain of the Port conserva la facultad de detener, condicionar o rechazar un buque cuya gestión del riesgo se considere insuficiente. Los abordajes del verano de 2026 mostraron en qué se convierte esa facultad cuando una red de a bordo está realmente comprometida: un equipo cibernético a bordo durante cuatro días, investigadores preocupados ante todo por los enlaces entre la red de oficina y los mandos de propulsión y navegación. Para un yate en temporada en el Caribe o en Florida, un SMS mudo sobre el riesgo cibernético es una deficiencia a la espera de ser anotada.
Europa: NIS2 apunta a la compañía, no al buque
La directiva europea NIS2 sitúa el transporte por agua entre los sectores de alta criticidad, pero se dirige a las entidades, no a los buques: compañías de transporte de pasajeros o de mercancías, gestores de puertos, servicios de tráfico marítimo, a partir de un tamaño mediano, es decir, cincuenta empleados o diez millones de euros de facturación. Una empresa de gestión de yates, un family office o una sociedad propietaria de una sola unidad rara vez entran en ese perímetro. Francia, además, sigue sin transponer la directiva: la Comisión la llevó ante el Tribunal de Justicia el 8 de julio de 2026, y el proyecto de ley sobre la resiliencia de las infraestructuras críticas todavía espera su paso por la Asamblea Nacional.
El efecto sobre un yate es indirecto pero real. Los proveedores de conectividad, los puertos, los astilleros y los prestadores informáticos que caen bajo NIS2 trasladan sus obligaciones a sus contratos, y un armador verá aparecer cláusulas de seguridad, de auditoría y de notificación de incidentes donde antes solo había una suscripción.
Pabellones, clase y aseguradores: lo que un yate ve en la práctica
Para un yate comercial con pabellón británico o del Red Ensign Group, la referencia práctica es el Code of Practice: Cyber Security for Ships del ministerio de Transportes británico, en su edición de julio de 2023, que traduce las directrices de la OMI en un método de evaluación y en medidas. Los demás grandes pabellones de yates no han publicado un texto propio: aplican la MSC.428(98) en sus auditorías ISM y esperan del SMS que responda a las directrices de la OMI y, en los buques clasificados, a las reglas de la sociedad.
El asegurador, por su parte, lee la póliza. La mayoría de las pólizas de casco y máquina recogen una exclusión de las pérdidas causadas por un ataque informático, y las coberturas cibernéticas específicas exigen medidas básicas documentadas antes de responder. Un siniestro de navegación o de propulsión cuyo origen sea una red mal segmentada puede quedar entre dos pólizas.
Lo que un yate hace ahora
Los seis elementos de la OMI se traducen en una lista corta, que el DPA puede llevar con el capitán y el ETO:
- Un responsable nombrado. Una persona, en tierra o a bordo, designada por escrito en el SMS para la ciberseguridad, con los medios correspondientes.
- Un inventario. Los sistemas a bordo, sus conexiones, los accesos remotos de los proveedores, los enlaces por satélite y lo que une la red de invitados con el resto.
- Una evaluación de riesgos de los sistemas cuyo fallo crea un peligro: puente, propulsión, alarmas, estabilizadores, detección de incendios.
- La separación de redes. Invitados, tripulación, administración y OT en segmentos distintos; puente y comunicaciones en su propia zona.
- Accesos limpios. Cuentas individuales, contraseñas por defecto sustituidas, autenticación de dos factores en el correo y en los accesos remotos, cuentas desactivadas al desembarcar.
- Soportes extraíbles y actualizaciones bajo control, copias de seguridad probadas.
- Formación y familiarización. Una sesión anual para todos, una familiarización cibernética en cada embarque, un ejercicio al año, todo registrado.
- Un plan de incidentes. Quién aísla qué, quién llama al pabellón y al DPA, cómo se navega en modo degradado, y un registro de incidentes.
Nada de esta lista va más allá de los procedimientos de a bordo que un SMS bien llevado ya contiene. La diferencia, en 2026, es que el auditor, el inspector del puerto y el asegurador la piden con la misma precisión que un cuadro orgánico de emergencia. Una auditoría ISM e ISPS antes de la temporada permite comprobarla antes que ellos.
Fuentes
- OMI — MSC-FAL.1/Circ.3/Rev.4, Guidelines on maritime cyber risk management, 28 de mayo de 2026
- OMI — Resolución MSC.428(98), Maritime cyber risk management in safety management systems, 16 de junio de 2017
- IACS — UR E26 Rev.1, Cyber resilience of ships, noviembre de 2023
- US Coast Guard — NVIC 02-26, Cybersecurity in the Marine Transportation System, 19 de octubre de 2026
- Federal Register — Cybersecurity in the Marine Transportation System, regla final, 17 de enero de 2025
- CBS News — Coast Guard, FBI boarded 2 energy tankers due to cyberattacks, 16 de septiembre de 2026
- Holland & Knight — Recent Cyber Incidents Underscore the Need for Maritime Cybersecurity Compliance, 1 de octubre de 2026
- Department for Transport (Reino Unido) — Code of Practice: Cyber Security for Ships, julio de 2023
- Directiva (UE) 2022/2555 (NIS2), anexo I, sector del transporte por agua
