Ver unidadesOficial de protección del buque: el plan de protección, la evaluación de riesgos y las inspecciones (STCW A-VI/5)
Gestión del riesgo cibernético en el SGS y el PPB
1La lección en palabras sencillas
El riesgo cibernético se gestiona en el sistema de gestión de la seguridad. El OPB asegura que los sistemas y redes de protección figuren en la evaluación y los ejercicios.
Riesgo cibernético en el SGS
La resolución MSC.428(98) afirma que un sistema de gestión de la seguridad (SGS) aprobado debería tener en cuenta el riesgo cibernético conforme al Código internacional de gestión de la seguridad (Código IGS). Alentó a las Administraciones de abanderamiento a asegurarlo a más tardar en la primera verificación anual del documento de cumplimiento (DC) de la compañía posterior al 1 de enero de 2021. Gestiona este riesgo mediante el SGS; la resolución apoya la aplicación del Código IGS, sin crear un código cibernético obligatorio aparte.
Las directrices
Las Directrices sobre la gestión de los riesgos cibernéticos marítimos de la OMI, MSC-FAL.1/Circ.3/Rev.3, del 4 de abril de 2025, sustituyen las versiones anteriores. Son orientaciones, no obligatorias. Piden a las compañías establecer políticas y responsabilidades y trabajar con elementos funcionales como identificar, proteger, detectar, responder y recuperar. Las orientaciones del sector aportan el detalle práctico.
Buques nuevos: IACS UR E26 y E27
IACS es la Asociación Internacional de Sociedades de Clasificación. Sus prescripciones unificadas son reglas técnicas aplicadas por sus miembros. E26 cubre la ciberresiliencia del buque: su capacidad para seguir funcionando o recuperarse tras un incidente cibernético. E27 cubre los sistemas y equipos a bordo. En los buques incluidos en su ámbito, las reglas revisadas se aplican a contratos de construcción desde el 1 de julio de 2024. Comprueba su aplicación en las reglas de clasificación de tu buque.
El OPB y los ciberriesgos
El control de acceso, CCTV, alarmas y SSAS pueden depender de redes. La parte B del Código PBIP incluye sistemas y redes informáticos entre los aspectos de la EPB. Asegura que el plan indique qué hacer si falla el acceso con tarjeta o el CCTV. Usa un incidente cibernético como escenario de ejercicio, regístralo y acuerda con el responsable informático de la compañía cómo notificar sucesos.
Trabajo en la OMI
En junio de 2025, el MSC 110 acordó elaborar un Código de ciberseguridad marítima no obligatorio, basado en objetivos, e invitó a presentar propuestas al MSC 111. Su elaboración no aplaza la gestión del riesgo cibernético mediante el SGS. Los hábitos de ciberseguridad de la tripulación están en Formación sobre protección.
2Datos clave
- Ciberriesgos en el SGS
- Objetivo de abanderamiento: primera verificación anual del DC tras el 1 ene 2021
- Directrices OMI
- MSC-FAL.1/Circ.3/Rev.3, 4 de abril de 2025 (no obligatorias)
- IACS UR E26 / E27
- Buques nuevos incluidos: contratos de construcción desde el 1 de julio de 2024
- Trabajo en la OMI
- MSC 110 (2025): código de ciberseguridad no obligatorio en elaboración
3Puntos clave
- 1
MSC.428(98) afirma que el riesgo cibernético forma parte del SGS conforme al Código IGS.
- 2
Las directrices vigentes de la OMI son MSC-FAL.1/Circ.3/Rev.3 (2025).
- 3
En los buques incluidos, UR E26/E27 se aplican a contratos de nueva construcción desde el 1 de julio de 2024.
- 4
Incluye sistemas y redes de protección en la EPB, el PPB y los ejercicios.
- 5
El código cibernético propuesto por la OMI es no obligatorio; siguen vigentes las obligaciones del SGS sobre ciberriesgos.
4Errores frecuentes
Error: La ciberseguridad es cosa de informática y no tiene relación con el SGS.
Correcto: El riesgo cibernético forma parte del SGS según el Código IGS; MSC.428(98) lo afirma. El OPB incluye los fallos de sistemas de protección en la EPB, el PPB y los ejercicios.
Error: IACS UR E26 y E27 se aplican a todo buque clasificado desde 2024.
Correcto: En los buques incluidos, E26/E27 se aplican a contratos de nueva construcción desde el 1 de julio de 2024. Comprueba su aplicación en las reglas de clasificación de tu buque.
5Caso práctico y claves de examen
Fondeado en el nivel de protección 1, falla el acceso con tarjeta de la habilitación y todas las puertas quedan desbloqueadas. El registro informático muestra un acceso extraño desde la wifi de la tripulación una hora antes. ¿Qué haces como OPB?
Ver la respuesta
Informa al capitán y al OCPM. Aplica los controles de acceso alternativos del PPB sin impedir la evacuación. Sigue el procedimiento del SGS para incidentes cibernéticos con el responsable informático; aísla sistemas afectados solo si está autorizado y es seguro. Conserva los registros informáticos y documenta el suceso. Revisa la EPB, modifica el PPB mediante el proceso de aprobación si hace falta y prueba las nuevas medidas en un ejercicio.
Claves de examen
- MSC.428(98) afirma la inclusión de ciberriesgos en el SGS; alienta a abanderamiento a asegurarlo a más tardar en la primera verificación anual del DC tras el 1 de enero de 2021.
- MSC-FAL.1/Circ.3/Rev.3 (2025): directrices vigentes de la OMI, no obligatorias.
- IACS UR E26/E27: buques incluidos en su ámbito; contratos de nueva construcción desde el 1 de julio de 2024.
- OPB: redes en la EPB y el PPB; escenarios cibernéticos en los ejercicios.
Termina esta unidad
Cuando la hayas leído, responde tres preguntas. Acierta las tres para terminar la unidad; solo abrir la página no cuenta.
Mis notas de esta unidad
Sin notas