EU:n ja USA:n tietoturvasäädökset vaikuttavat satamien ja terminaalien toimintaan

Uudet Euroopan unionin ja Yhdysvaltain tietoturvasäädökset muovaavat merkittävästi globaalia satama- ja terminaalialaa. Euroopan unionin kyberresilienssiasetus (Cyber Resilience Act, CRA) ja Yhdysvaltain rannikkovartioston sääntely meriliikenteen tietoturvasta (Cybersecurity in the Marine Transportation System, MTS) asettavat uusia laajoja vaatimuksia kyberturvallisuudelle.

EU:n CRA-asetus, joka astui voimaan joulukuussa 2024 ja jonka päävelvoitteet tulevat sovellettaviksi joulukuussa 2027, edellyttää digitaalisia elementtejä sisältävien tuotteiden valmistajilta ja myyjiltä kyberturvallisuuden varmistamista koko tuotteen elinkaaren ajan. Tämä sisältää vaatimuksia suunnitteluun, kehitykseen ja ylläpitoon. Aikaisemmin markkinoilla on ollut lukuisia epävarmasti suunniteltuja tuotteita perustavanlaatuisilla haavoittuvuuksilla, mikä on johtanut sääntelyn tarpeeseen.

Yhdysvalloissa rannikkovartioston MTS-sääntely, joka tuli voimaan heinäkuussa 2025, koskee Yhdysvaltain lipun alla purjehtivia aluksia sekä monia satamia ja merentakaisemia terminaaleja. Vaatimuksiin sisältyy tietoturvasuunnitelman laatiminen ja ylläpito sekä tietoturvaupseerin nimeäminen. Kaikista raportoitavista tietoturvapoikkeamista on ilmoitettava rannikkovartioston National Response Centeriin.

Yhdysvalloissa myös National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) on laajalti seurattu vapaaehtoinen ohjeistus. Se tarjoaa raamit riskienhallintaan ja parhaisiin käytäntöihin, vaikka siihen ei voi sertifioitua toisin kuin esimerkiksi ISO 27001 -standardiin. CSF:llä on samankaltaisuuksia ISO 27001:n kanssa hallinnon, riskienhallinnan ja kontrollirakenteiden osalta.

Näiden säädösten ja ohjeistusten myötä yritysten on otettava entistä enemmän vastuuta tuotteidensa ja järjestelmiensä kyberturvallisuudesta koko niiden elinkaaren ajan, mikä on erityisen merkittävää pitkän käyttöiän omaavien laitteiden, kuten Kalmarin ratkaisujen, kohdalla.