EU:s och USA:s cybersäkerhetsregler påverkar hamnar och terminaler

Nya cybersäkerhetsregler i Europeiska unionen och USA formar avsevärt den globala hamn- och terminalsektorn. EU:s Cyber Resilience Act (CRA) och den amerikanska kustbevakningens regelverk för cybersäkerhet i det maritima transportsystemet (Cybersecurity in the Marine Transportation System, MTS) inför omfattande nya krav på cybersäkerhet.

EU:s CRA-förordning, som trädde i kraft i december 2024 och vars huvudsakliga åtaganden börjar gälla i december 2027, kräver att tillverkare och försäljare av produkter med digitala komponenter säkerställer cybersäkerhet under hela produktens livscykel. Detta inkluderar krav på planering, design, utveckling och underhåll. Tidigare har det funnits många osäkert utformade produkter på marknaden med grundläggande sårbarheter, vilket har lett till behovet av reglering.

I USA gäller kustbevakningens MTS-regelverk, som trädde i kraft i juli 2025, för fartyg under amerikansk flagg samt många hamnar och maritima terminaler. Krav inkluderar utveckling och upprätthållande av en cybersäkerhetsplan och utnämning av en cybersäkerhetsansvarig. Alla rapporterbara cybersäkerhetsincidenter måste nu anmälas till kustbevakningens National Response Center.

I USA är även National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) en allmänt följd frivillig riktlinje. Den erbjuder en ram för riskhantering och bästa praxis, även om den inte kan certifieras till skillnad från exempelvis ISO 27001-standarden. CSF och ISO 27001 delar likheter vad gäller styrning, riskhantering och kontrollstrukturer.

Med dessa regler och riktlinjer måste företag ta ett ökat ansvar för sina produkters och systemens cybersäkerhet under hela deras livscykel, vilket är särskilt betydelsefullt för utrustning med lång livslängd, såsom Kalmars lösningar.