Il 21 agosto 2026 una squadra della Guardia Costiera americana e dell’FBI è salita a bordo della VL Prosperity, una petroliera con bandiera liberiana diretta in Texas la cui rete informatica era stata compromessa da un attore straniero. Vi è rimasta quattro giorni. Una seconda petroliera è stata abbordata nelle stesse settimane. Il 28 maggio l’IMO aveva pubblicato la quarta revisione delle sue linee guida sulla gestione del rischio cyber marittimo. Il 19 ottobre la Guardia Costiera ha diffuso la circolare NVIC 02-26, che spiega come applicare la sua regola di cybersicurezza prima della scadenza del 16 luglio 2027.
Nulla di tutto questo riguarda uno yacht in particolare. Tutto questo lo riguarda. Un superyacht di oggi è una plancia integrata, una propulsione governata da automi, una rete ospiti, una rete equipaggio, uno o due collegamenti satellitari e una casella di posta del comandante da cui passano gli ordini di bonifico. La domanda non è se verrà attaccato. È cosa gli chiede la normativa, e chi viene a verificarlo.
La base: il rischio cyber dentro l’SMS
La regola di fondo sta in una risoluzione. Con la risoluzione MSC.428(98) del giugno 2017, l’IMO ha affermato che un sistema di gestione della sicurezza approvato deve tenere conto del rischio cyber in conformità al Codice ISM, e ha chiesto alle amministrazioni di assicurarsene entro la prima verifica annuale del Document of Compliance successiva al 1º gennaio 2021. Da quella data il rischio cyber è una voce di audit come le altre.
Il perimetro è quindi quello dell’ISM stesso. Uno yacht commerciale di almeno 500 GT in navigazione internazionale è vincolato dal capitolo IX della SOLAS: la sua compagnia detiene un DOC, la nave un SMC, e l’auditor della bandiera o dell’organismo riconosciuto verifica che l’SMS tratti il rischio cyber. Sotto i 500 GT, le bandiere del Red Ensign Group e le loro omologhe impongono un sistema di gestione semplificato e si aspettano che affronti il tema in proporzione ai sistemi di bordo. La guida ISM e ISPS per superyacht illustra queste soglie.
La risoluzione non dice come fare. È il ruolo delle linee guida MSC-FAL.1/Circ.3, riviste per la quarta volta dal Comitato di facilitazione nel marzo 2026 e dal Comitato per la sicurezza marittima a maggio, e datate 28 maggio 2026. Restano raccomandazioni, ma sono quelle che amministrazioni e auditor hanno sotto gli occhi. Sei elementi funzionali, da condurre in parallelo:
- Governare: designare una persona o un’entità responsabile della pianificazione, delle risorse e dell’esecuzione della cybersicurezza, con l’autorità e le competenze necessarie;
- Identificare: tenere un inventario dei sistemi digitali di bordo e delle loro connessioni, e valutare il rischio su quelli il cui guasto improvviso crea una situazione pericolosa;
- Proteggere: credenziali univoche, password predefinite cambiate, autenticazione a più fattori, reti OT separate dalle reti IT, controllo dei supporti rimovibili, backup, aggiornamenti, politica sulla catena di fornitura;
- Rilevare: sorvegliare i sistemi rispetto a un elenco di minacce tenuto aggiornato;
- Rispondere: segnalare gli incidenti nei termini fissati dall’amministrazione e tenerne un registro;
- Ripristinare: piano di ripristino dei sistemi critici, analisi delle cause.
Due punti di questa versione meritano l’attenzione di un comandante. La formazione: una formazione di base annuale per tutto il personale, una formazione specifica per gli utenti dei sistemi OT e una familiarizzazione cyber di ogni marittimo all’imbarco, messa alla prova di tanto in tanto con esercitazioni. E la menzione esplicita dei sistemi «passeggeri, equipaggio e personale di servizio in appalto esposti a reti pubbliche» tra i sistemi vulnerabili: il wifi degli ospiti è nel perimetro, come l’ECDIS.
Le nuove costruzioni: i requisiti di classe E26 ed E27
Per le nuove costruzioni, l’Associazione internazionale delle società di classificazione ha trasformato questi principi in regole. I requisiti unificati UR E26, cyber-resilienza della nave, e UR E27, cyber-resilienza dei sistemi e delle apparecchiature di bordo, si applicano alle navi il cui contratto di costruzione è firmato dal 1º luglio 2024. Impongono fin dalla progettazione una segmentazione in zone, un inventario dei sistemi, accessi remoti controllati, una modalità di condotta manuale o locale, un piano di risposta e un piano di ripristino, il tutto verificato con prove prima della consegna e durante le visite di classe.
Il loro campo obbligatorio è quello della SOLAS: navi passeggeri in navigazione internazionale, navi da carico, unità veloci e unità di perforazione di almeno 500 GT. Gli «yacht passeggeri con non più di dodici passeggeri» e gli «yacht da diporto non adibiti al commercio» figurano nell’elenco delle navi per le quali l’UR può servire da guida non obbligatoria. In chiaro, uno yacht nuovo vi è soggetto solo se la sua società di classificazione l’ha inserito nelle proprie regole per gli yacht, se la bandiera lo richiede o se l’armatore ordina una notazione cyber. Nei fatti, i cantieri che consegnano sopra i 500 GT vedono arrivare apparecchiature certificate E27 attraverso i loro fornitori, e diverse società propongono una notazione allineata alla E26, obbligatoria per le navi mercantili nuove e facoltativa per gli yacht. A un armatore che firma un contratto di costruzione nel 2026 conviene porre la questione nella specifica, prima che la ponga l’integratore al posto suo.
Stati Uniti: una regola per le proprie navi, un controllo per le altre
La regola della Guardia Costiera pubblicata il 17 gennaio 2025, codificata nel 33 CFR Parte 101, sottoparte F, è entrata in vigore il 16 luglio 2025. Riguarda le navi con bandiera americana soggette al Maritime Transportation Security Act, gli impianti portuali e le piattaforme della piattaforma continentale. Il suo calendario: formazione di tutto il personale con accesso ai sistemi IT o OT entro il 12 gennaio 2026, poi designazione di un Cybersecurity Officer, valutazione e piano di cybersicurezza presentati per approvazione entro il 16 luglio 2027, esercitazioni due volte l’anno, test di intrusione richiesto dal primo rinnovo. La circolare NVIC 02-26 del 19 ottobre 2026 non aggiunge alcun obbligo; dettaglia cosa gli ispettori si aspettano da ogni voce del piano e ricorda che esternalizzare l’informatica non trasferisce la responsabilità regolamentare.
Pochi yacht battono bandiera americana sotto la MTSA. Uno yacht delle Cayman, di Malta o delle Isole Marshall incontra questa regola in altro modo: attraverso il controllo dello Stato di approdo. Dal 2021 la Guardia Costiera verifica nelle sue ispezioni che l’SMS tratti il rischio cyber, e il Captain of the Port conserva il potere di fermare, condizionare o respingere una nave la cui gestione del rischio sia giudicata insufficiente. Gli abbordaggi dell’estate 2026 hanno mostrato cosa diventa quel potere quando una rete di bordo è davvero compromessa: una squadra cyber a bordo per quattro giorni, investigatori preoccupati prima di tutto dai collegamenti tra la rete d’ufficio e i comandi di propulsione e navigazione. Per uno yacht in stagione ai Caraibi o in Florida, un SMS muto sul rischio cyber è una deficienza in attesa di essere verbalizzata.
Europa: la NIS2 punta alla compagnia, non alla nave
La direttiva europea NIS2 colloca il trasporto per vie d’acqua tra i settori ad alta criticità, ma si rivolge alle entità, non alle navi: compagnie di trasporto passeggeri o merci, gestori di porti, servizi di traffico marittimo, a partire da una dimensione media, cioè cinquanta dipendenti o dieci milioni di euro di fatturato. Una società di gestione di yacht, un family office o una società proprietaria di una sola unità rientrano raramente in quel perimetro. La Francia, peraltro, non ha ancora recepito la direttiva: la Commissione l’ha deferita alla Corte di giustizia l’8 luglio 2026, e il disegno di legge sulla resilienza delle infrastrutture critiche attende ancora il passaggio all’Assemblea nazionale.
L’effetto su uno yacht è indiretto ma reale. I fornitori di connettività, i porti, i cantieri e i prestatori informatici che ricadono nella NIS2 riversano i loro obblighi nei contratti, e un armatore vedrà comparire clausole di sicurezza, di audit e di notifica degli incidenti dove prima c’era solo un abbonamento.
Bandiere, classe e assicuratori: cosa vede concretamente uno yacht
Per uno yacht commerciale con bandiera britannica o del Red Ensign Group, il riferimento pratico è il Code of Practice: Cyber Security for Ships del ministero dei Trasporti britannico, nell’edizione del luglio 2023, che traduce le linee guida IMO in un metodo di valutazione e in misure. Le altre grandi bandiere degli yacht non hanno pubblicato un testo proprio: applicano la MSC.428(98) nei loro audit ISM e si aspettano che l’SMS risponda alle linee guida IMO e, per le navi classificate, alle regole della società.
L’assicuratore, dal canto suo, legge la polizza. La maggior parte delle polizze corpo e macchine riprende un’esclusione delle perdite causate da un attacco informatico, e le coperture cyber dedicate richiedono misure di base documentate prima di rispondere. Un sinistro di navigazione o di propulsione la cui origine è una rete mal segmentata può ritrovarsi tra due polizze.
Cosa fa uno yacht adesso
I sei elementi dell’IMO si traducono in una lista breve, che il DPA può tenere con il comandante e l’ETO:
- Un responsabile nominato. Una persona, a terra o a bordo, designata per iscritto nell’SMS per la cybersicurezza, con i mezzi corrispondenti.
- Un inventario. I sistemi di bordo, le loro connessioni, gli accessi remoti dei fornitori, i collegamenti satellitari e ciò che collega la rete ospiti al resto.
- Una valutazione del rischio sui sistemi il cui guasto crea un pericolo: plancia, propulsione, allarmi, stabilizzatori, rilevazione incendi.
- La separazione delle reti. Ospiti, equipaggio, amministrazione e OT su segmenti distinti; plancia e comunicazioni in una zona propria.
- Accessi puliti. Account individuali, password predefinite sostituite, autenticazione a due fattori sulla posta e sugli accessi remoti, account disattivati allo sbarco.
- Supporti rimovibili e aggiornamenti sotto controllo, backup collaudati.
- Formazione e familiarizzazione. Una sessione annuale per tutti, una familiarizzazione cyber a ogni imbarco, un’esercitazione all’anno, tutto registrato.
- Un piano per gli incidenti. Chi isola cosa, chi chiama la bandiera e il DPA, come si naviga in modalità degradata, e un registro degli incidenti.
Nulla di questa lista va oltre le procedure di bordo che un SMS ben tenuto contiene già. La differenza, nel 2026, è che l’auditor, l’ispettore del porto e l’assicuratore la chiedono con la stessa precisione di un ruolo d’appello. Un audit ISM e ISPS prima della stagione permette di verificarla prima di loro.
Fonti
- IMO — MSC-FAL.1/Circ.3/Rev.4, Guidelines on maritime cyber risk management, 28 maggio 2026
- IMO — Risoluzione MSC.428(98), Maritime cyber risk management in safety management systems, 16 giugno 2017
- IACS — UR E26 Rev.1, Cyber resilience of ships, novembre 2023
- US Coast Guard — NVIC 02-26, Cybersecurity in the Marine Transportation System, 19 ottobre 2026
- Federal Register — Cybersecurity in the Marine Transportation System, regola finale, 17 gennaio 2025
- CBS News — Coast Guard, FBI boarded 2 energy tankers due to cyberattacks, 16 settembre 2026
- Holland & Knight — Recent Cyber Incidents Underscore the Need for Maritime Cybersecurity Compliance, 1º ottobre 2026
- Department for Transport (Regno Unito) — Code of Practice: Cyber Security for Ships, luglio 2023
- Direttiva (UE) 2022/2555 (NIS2), allegato I, settore del trasporto per vie d’acqua
