Kyberturvallisuus meriteollisuuden ohjelmisto- ja laitevalmistajille
Alukset toimivat nykyään kymmenien toimittajien ohjelmistoilla, ja luokitussäännöt ja EU-lainsäädäntö edellyttävät, että jokainen toimittaja tietää, mitä sen ohjelmistossa on, ja pitää sen turvallisena. CRACI ajaa GitHub Actions -buildisi ja tallentaa jokaisen komponentin, joka kuhunkin julkaisuun menee.
Mitkä säännöt koskevat mitäkin meriteollisuuden tuotteita
Meriteollisuuden toimittaja vastaa kolmelle sääntelyjärjestelmälle, jotka menevät osittain päällekkäin mutta eivät ole samat: EU:n tuotelainsäädäntö, uusien alusten luokitussäännöt ja IMO:n ohjeistus laivanvarustamoille. Selvitä, mikä niistä koskee kutakin tuotetta, ennen kuin suunnittelet näyttöä.
CRA ei koske laivavarustedirektiivin piiriin kuuluvia laitteita
EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, CRA), asetuksen (EU) 2024/2847, 2 artiklan 4 kohdassa todetaan: "Tätä asetusta ei sovelleta laitteisiin, jotka kuuluvat direktiivin 2014/90/EU soveltamisalaan." Tämä direktiivi, laivavarustedirektiivi (Marine Equipment Directive, MED), kattaa EU-alukselle asennettavat tai asennettaviksi tarkoitetut laitteet, joille IMO:n yleissopimukset edellyttävät lippuvaltion hallinnon hyväksyntää: ruorimerkityt (wheel mark) laitteet. Esimerkkejä ovat navigointilaitteet, kuten tutka, ECDIS, AIS ja matkatallentimet, radioviestintälaitteet, palontorjunta- ja hengenpelastusvälineet. Tarkista oman laitteesi kohdalta MED:n voimassa oleva täytäntöönpanoluettelo.
Mikä jää CRA:n soveltamisalaan
EU:n markkinoille saatettavat digitaalisia elementtejä sisältävät tuotteet, jotka eivät ole MED-laitteita: tuotteena myytävät, asennettavat tai ladattavat aluksen ja maan ohjelmistot; aluksen toimintojen, majoituksen, ravitsemuksen ja hotellitoimintojen hallintajärjestelmät; miehistön ja matkustajien palvelujärjestelmät; laivaston ja matkojen hallintaohjelmistot; aluksen IoT-anturit ja -yhdyskäytävät; valvonta- ja automaatiolaitteet, jotka eivät tarvitse lippuvaltion hyväksyntää. Pelkkä ohjelmisto palveluna on CRA:n ulkopuolella, ellei se ole tuotteen etätietojenkäsittelyä, mutta NIS2-direktiivi voi silti koskea sen tarjoajaa.
Jotkin tapaukset vaativat oikeudellisen arvion säännön sijaan: ruorimerkittyä tyyppiä olevat laitteet, joita myydään muun kuin EU-lipun alla purjehtiville aluksille, sekä tuotteet, joissa MED-laitteisiin yhdistyy MED:n ulkopuolisia ohjelmistomoduuleja.
IACS UR E26 ja E27
Kansainvälisen luokituslaitosten järjestön (IACS) yhtenäiset vaatimukset sovelletaan luokituksen kautta, eivät EU-lainsäädännön kautta. Kummankin Rev.1 koskee aluksia, joiden rakennussopimus on tehty 1.7.2024 tai sen jälkeen. Ne ovat pakollisia kansainvälisillä matkoilla liikennöiville matkustaja-aluksille ja suurnopeusaluksille, kansainvälisillä matkoilla liikennöiville vähintään 500 GT:n lastialuksille, liikkuville offshore-porausyksiköille ja tietyille itsekulkeville offshore-yksiköille, ja muille aluksille ne toimivat ohjeena. MED:n vuoksi CRA:n ulkopuolelle jäävä tuote voi silti kuulua E26:n ja E27:n soveltamisalaan, ja päinvastoin.
IMO
Päätöslauselma MSC.428(98) edellyttää laivanvarustamoilta kyberriskien käsittelyä turvallisuusjohtamisjärjestelmissään viimeistään yhtiön vaatimustenmukaisuusasiakirjan (Document of Compliance) ensimmäisessä vuositarkastuksessa 1.1.2021 jälkeen. IMO:n merenkulun kyberriskien hallintaa koskevat ohjeet ovat ei-sitovaa, yleisen tason ohjeistusta varustamoille. Niiden uusimman, toukokuun 2026 version mukaan kyberriskien hallinnassa olisi otettava huomioon kolmansien osapuolten toimittajat, sulautetut järjestelmät sekä ohjelmisto- ja laitteistotoimitusketjut, ja se pyytää varustamoja laatimaan kriittisille järjestelmille ohjelmisto- ja laitteistotoimitusketjun tietoturvaa koskevat toimintaperiaatteet. Siksi varustamot siirtävät kysymyksen toimittajilleen.
| Tuote-esimerkki | Ruorimerkitty (MED)? | Kyberkestävyyssäädös | IACS UR E26 ja E27 | Mitä toimittajan on osoitettava |
|---|---|---|---|---|
| ECDIS | Kyllä | Ulkopuolella (2 artiklan 4 kohta) | Kyllä, soveltamisalaan kuuluvilla uusilla aluksilla | MED-hyväksyntä; E27-dokumentaatio ja ohjelmistoinventaario |
| Uudisrakennuslastialuksen koneautomaatiojärjestelmä | Tarkista | Kyllä, ellei se ole MED-laite | Kyllä: propulsio on katettu järjestelmä | E27-dokumentaatio, inventaario ja turvallinen kehityksen elinkaari; CRA:n tekninen dokumentaatio ja SBOM |
| Hotelli- ja ravitsemustoiminnan hallintaohjelmisto | Ei | Kyllä, kun sitä myydään tuotteena | Tarkista: E26 kattaa sen verkkoliitännän katettuihin järjestelmiin | SBOM ja haavoittuvuuksien käsittely CRA:ta varten |
| Miehistön viihdeverkon laitteet | Ei | Kyllä | Tarkista: E26 kattaa sen liitännän katettuihin järjestelmiin | SBOM ja haavoittuvuuksien käsittely CRA:ta varten |
| Laivaston hallintaohjelmisto palveluna | Ei | Ulkopuolella, ellei se ole tuotteen etätietojenkäsittelyä | Ei: se toimii maissa | Vastaukset varustamojen toimittajakyselyihin; NIS2 voi koskea tarjoajaa |
| Aluksen kunnonvalvonta-anturit | Tarkista | Kyllä, elleivät ne ole MED-laitteita | Tarkista: soveltamisalassa, kun ne ovat osa katettua järjestelmää | CRA-SBOM; E27-dokumentaatio, kun ne ovat osa katettua järjestelmää |
Nyrkkisääntö: jos tuotteesi tarvitsee ruorimerkin, CRA ei koske sitä; jos se asennetaan alukselle, jonka rakennussopimus on tehty heinäkuusta 2024 alkaen, E27 todennäköisesti koskee; jos myyt ohjelmistoja tai verkkoon liitettyjä tuotteita EU:ssa, oleta, että CRA koskee.
Mitä E26 ja E27 edellyttävät toimittajilta
E27 on vaatimus, joka koskee laitetoimittajia suoraan. Kohdassa 3.1 luetellaan asiakirjat, jotka toimittaja toimittaa luokituslaitokselle tietokonepohjaisesta järjestelmästä, muun muassa:
- Laiteinventaario (3.1.1): laitteistokomponentit järjestelmäohjelmistonsa, kuten käyttöjärjestelmän ja laiteohjelmiston, nimen, version ja paikkaustason kera, sekä ohjelmistokomponentit, kukin sen laitteiston kera, johon se on asennettu, valmistajineen, malleineen tai tyyppeineen, käyttötarkoituksineen ja ohjelmistoversioineen.
- Kuvaus tietoturvaominaisuuksista (3.1.3) ja niiden testausmenettelystä, tietoturvakonfiguraation ohjeet sekä suunnitelmat ylläpidosta, poikkeamiin reagoinnista, palautumisesta ja muutoshallinnasta.
- Turvallisen kehityksen elinkaaren asiakirjat (3.1.6), joissa kuvataan myös, miten ohjelmistopäivityksiä ja paikkauksia hoidetaan.
Osio 4 asettaa vaaditut tietoturvaominaisuudet, jotka perustuvat valikoituihin IEC 62443-3-3:n järjestelmävaatimuksiin, kuten tunnistautumiseen ja suojaukseen haitallista koodia vastaan. Nämä ovat tuotteen ominaisuuksia.
Osio 5 edellyttää turvallista kehityksen elinkaarta, joka kattaa vaatimukset, suunnittelun, toteutuksen, todentamisen, julkaisun, ylläpidon ja elinkaaren lopun, ja joka kirjataan luokituslaitoksen tarkastamaan asiakirjaan. Siihen on sisällyttävä IEC 62443-4-1:stä otetut kontrollit: koodin allekirjoitusavainten suojaus (SM-8), tietoturvapäivitysten dokumentointi käyttäjille (SUM-2), riippuvien komponenttien tai käyttöjärjestelmän tietoturvapäivitysten dokumentointi (SUM-3), päivitysten aito toimitus (SUM-4) sekä syvyyssuuntaisen puolustuksen ja koventamisen ohjeistus (SG-1–SG-3).
E26 sulkee kehän aluksen tasolla: aluksen laitteisto- ja ohjelmistoinventaario, jossa on kunkin toimittajan E27-inventaarion kentät, pidetään ajan tasalla koko aluksen elinkaaren ajan, ja siihen kirjataan ohjelmisto- ja laitteistomuutokset, jotka voivat tuoda uusia haavoittuvuuksia.
Mitä E27 ei sano: se ei mainitse SBOM:eja. Julkaisukohtainen SBOM on tarkin tapa tuottaa inventaarion ohjelmistoversiot ja SUM-3:n tiedot riippuvista komponenteista, mutta se tukee näitä vaatimuksia eikä ole itse yksi niistä.
| E26- tai E27-vaatimus | Mitä luokituslaitos tai telakka odottaa | Näyttö buildista | Mikä jää sinulle |
|---|---|---|---|
| E27-laiteinventaario (3.1.1) | Jokainen ohjelmistokomponentti käyttötarkoituksineen ja versioineen sekä kunkin laitteistokomponentin järjestelmäohjelmisto | Julkaisukohtainen SBOM, jossa on jokainen komponentti ja sen versio | Mihin laitteistoon kukin komponentti on asennettu, valmistaja- ja mallitiedot |
| SUM-2:n ja SUM-3:n päivitysdokumentaatio | Dokumentoidut tietoturvapäivitykset, myös riippuville komponenteille ja käyttöjärjestelmille | Haavoittuvuustiedot ja build-historia kunkin julkaisun komponenteista | Käyttäjille lähettämäsi päivitystiedot ja tietoturvatiedotteet |
| SM-8 ja SUM-4 | Suojatut koodin allekirjoitusavaimet ja päivitysten aito toimitus | Ei mitään: CRACI ei allekirjoita ohjelmistoja | Allekirjoitusprosessisi ja avainten säilytys |
| Osion 4 tietoturvaominaisuudet | Tunnistautuminen, suojaus haitallista koodia vastaan ja muut tuotteen ominaisuudet | Ei mitään: nämä ovat tuotteen ominaisuuksia | Tuotteen suunnittelu ja sen testaus |
| Osion 5 elinkaariasiakirja | Tarkastettu kuvaus siitä, miten tietoturvaa käsitellään kussakin vaiheessa | Tallenteet siitä, että julkaisuvaihe on hallittu: mitä kukin buildi sisälsi ja mihin se pääsi | Asiakirjan kirjoittaminen ja prosessin pyörittäminen |
| E26-aluksen laiteinventaario | Aluksen inventaario, joka pidetään ajan tasalla koko sen elinkaaren ajan | SBOM-vientisi, jotka luovutetaan integraattorille | Mikä versio on asennettu mihinkin alukseen ja luovutus telakalle tai integraattorille |
Miksi meriteollisuuden ohjelmistoja on vaikea pitää hallinnassa
Alukset elävät projekteja pidempään. Alus on käytössä vuosikymmeniä, ja aluksen ohjelmistojen tukitaakka kestää pidempään kuin sen toimittanut projekti, sen rakentanut tiimi ja usein toimittajan oma tuotelinja.
Paljon pieniä toimittajia ja integraattoreita. Yhdellä aluksella on ohjelmistoja kymmeniltä toimittajilta integraattorin kokoamana, ja jokainen luovutus on tilaisuus kadottaa tieto siitä, mitä kussakin julkaisussa on.
Aluksen järjestelmiä ei voi päivittää milloin tahansa. Päivitykset odottavat satamakäyntejä, luokituslaitoksen hyväksyntää tai huoltoikkunaa, joten vanhat versiot pysyvät käytössä kauan korjauksen julkaisun jälkeen. Sinun on tiedettävä, mitkä alukset ajavat edelleen mitäkin versiota.
Etäiset kohteet, rajalliset yhteydet. Merellä olevia aluksia ja etäisiä asennuksia on vaikea tavoittaa, joten tallenteen asennetusta ohjelmistosta on oltava maissa, buildista peräisin, ei aluksen skannauksesta.
Taulukot tietojen ensisijaisena lähteenä. Meriteollisuuden ohjelmistovalmistajat kertovat meille, että SBOM:t ja niihin liittyvät tiedot ovat lukuisissa käsin ylläpidetyissä taulukoissa. Ne vanhenevat jokaisen julkaisun myötä.
Näin valmistaudut, vaihe vaiheelta
Tietoturvaominaisuudet, kuten tunnistautuminen, kuuluvat tuotteen suunnitteluun. Alla olevat vaiheet koskevat näyttöä tuotteeseen menevistä ohjelmistoista.
- Kohdista jokainen tuote sääntelyjärjestelmäänsä. Päätä jokaisen tuotteen kohdalla, onko se MED-laite, CRA-tuote, E26:n ja E27:n soveltamisalassa vai useampaa näistä. Näyttösuunnitelma seuraa tästä kartasta.
- Tuota SBOM jokaisesta julkaisusta. Tallenna, mitä jokaisen rakentamasi tuotteen jokaiseen julkaisuun menee, transitiiviset riippuvuudet mukaan lukien, jotta ohjelmistoinventaario tulee buildista eikä muistista.
- Pidä inventaariota asennuskohtaisesti. Seuraa, mikä versio on asennettu mihinkin alukseen ja milloin se muuttui. Tämä syöttää tietoa E27-laiteinventaarioon ja integraattorin E26-aluksen laiteinventaarioon, johon muutokset kirjataan koko aluksen elinkaaren ajan.
- Valvo haavoittuvuuksia ja raportoi. Tarkista toimitetut julkaisut uudelleen, kun uusia haavoittuvuuksia julkaistaan. CRA:n soveltamisalaan kuuluvien tuotteiden osalta aktiivisesti hyödynnettyjen haavoittuvuuksien ja vakavien poikkeamien raportointia on sovellettu 11.9.2026 alkaen.
- Estä tunnetusti haavoittuvien pakettien pääsy buildeihin. Estä buildi, joka toimittaisi tunnetun haavoittuvuuden, jotta se ei palaa riippuvuuspäivityksen mukana.
- Dokumentoi tietoturvapäivitykset asiakkaille ja integraattoreille. Kerro asiakkaille ja integraattoreille, mitä kukin tietoturvapäivitys korjaa, mukaan lukien riippuvien komponenttien ja käyttöjärjestelmän korjaukset, kuten SUM-2 ja SUM-3 edellyttävät.
Mihin CRACI sopii
CRACI ajaa GitHub Actions -buildisi omilla runnereillaan ja tallentaa, mitä kuhunkin julkaisuun menee. Tämä tallenne on yhteinen näyttö CRA:ta, E27-dokumentaatiotasi ja asiakkaidesi kysymyksiä varten.
Jokainen julkaisu tallennettuna
Buildisi ajetaan CRACI:n GitHub Actions -runnereilla asetuksella runs-on: craci, ja ajot näkyvät edelleen GitHubissa. Jokaisen buildin aikana CRACI tallentaa jokaisen paketin, jonka buildi hakee, npm ja PyPI mukaan lukien, myös piilossa olevat riippuvuudet, joita mikään lukitustiedosto ei luettele, ja kattavuustilan jokaiselle jobille. SBOM:t viedään CycloneDX- tai SPDX-muodossa transitiivisine riippuvuuksineen, ilmoitettuine lisensseineen ja niiden komponenteista löytyneine haavoittuvuuksineen: raaka-aine E27-laiteinventaarion ohjelmisto-osaan. Lisää buildin aikaisista SBOM:eista.
Pidä haavoittuvat paketit poissa
Käytäntöportit voivat estää buildin, joka sisältää tietyn CVE:n, ja lisenssikäytäntöjen säännöt voivat estää buildin lisenssin perusteella. Tunnettu ongelma havaitaan CI:ssä, ennen kuin julkaisu päätyy alukselle.
Tiedä, mihin julkaisuihin haavoittuvuus vaikuttaa
CRACI arvioi valvottuja SBOM:eja jatkuvasti uudelleen, kun uusia haavoittuvuuksia julkaistaan, ja build-historia näyttää pakettisi säilytysajan puitteissa, mitkä buildit sisälsivät haavoittuvan riippuvuuden, ja inventaarionäkymä näyttää, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa. Tietoturvatiimit luokittelevat ja priorisoivat (triage) jokaisen löydöksen ja ohjaavat sen korjauksesta vastaavalle tiimille. CRA:n soveltamisalaan kuuluvien tuotteiden osalta CRACI valmistelee CRA-ilmoitusten sisällön, ja yrityksesi henkilö lähettää ne keskitetyn raportointialustan kautta.
Buildi, joka ei voi vuotaa salaisuuksiasi
Jokainen jobi ajetaan omassa eristetyssä virtuaalikoneessaan egress-käytännön alaisena, jonka voit asettaa oletuksena estäväksi, ja joka validoidaan ennen jobin käynnistymistä ja noudattaa fail closed -periaatetta. Oletuksena estävällä käytännöllä yhteys palvelimeen, jota buildi ei tarvitse, estetään ja siitä lähtee hälytys.
Kun CRACI ei ole oikea ratkaisu
CRACI on tiimeille, jotka rakentavat ohjelmistoja. Se ei sovi näihin tapauksiin:
- Ei laivanvarustamoille ja laivanomistajille, jotka etsivät aluksen verkon valvontaa, tunkeutumisen havaitsemista, E26-vaatimustenmukaisuutta aluksen tasolla tai dokumentaatiota turvallisuusjohtamisjärjestelmäänsä. CRACI on niille, jotka rakentavat ohjelmistot, ei laivastolle, joka niitä käyttää.
- Ei CRA-ohjelma MED-laitteiden valmistajille: ruorimerkityt laitteet ovat CRA:n ulkopuolella. CRACI voi silti tallentaa niiden taustalla olevien ohjelmistojen buildit E27:ää ja asiakkaiden pyyntöjä varten, jos ne ajetaan GitHub Actionsilla.
- Ei toimittajille, jotka eivät buildaa GitHub Actionsilla, jotka tarvitsevat Windows- tai macOS-build-koneita tai jotka tarvitsevat runnerit omalle pilvitililleen. CRACI ajaa nyt hallinnoituja Linux-runnereita eurooppalaisella infrastruktuurilla; muut CI-järjestelmät, Windows- ja macOS-runnerit sekä asiakkaan ylläpitämät runnerit ovat tiekartalla.
- Ei laitteistojen materiaaliluetteloille. CRACI tallentaa ohjelmistoja; se ei hallinnoi laitteistojen BOM:eja.
- Ei E27:n tietoturvaominaisuuksia eikä luokitushyväksyntää. CRACI ei toteuta tunnistautumista, haittaohjelmasuojausta tai muita tuotteen ominaisuuksia, ei allekirjoita ohjelmistoja, ei kirjoita turvallisen kehityksen elinkaariasiakirjaasi eikä asioi luokituslaitoksen kanssa puolestasi.
- Ei korjausmittarityökalu: CRACI ei raportoi korjausten keskimääräistä kestoa tai korjausten määräaikoja.
Merenkulun kyberturvallisuus selitettynä
Yleisiä kysymyksiä CRA:sta, IACS UR E26:sta ja E27:stä sekä IMO:n ohjeista meriteollisuuden toimittajille
Koskeeko kyberkestävyyssäädös laivavarusteita?
Ei laitteita, jotka kuuluvat laivavarustedirektiivin 2014/90/EU soveltamisalaan. CRA:n 2 artiklan 4 kohta sulkee ne suoraan pois. Tämä kattaa ruorimerkityt laitteet, jotka tarvitsevat lippuvaltion hyväksynnän IMO:n yleissopimusten nojalla. Muut aluksille myytävät verkkoon liitetyt tuotteet ja ohjelmistot, kuten hotellijärjestelmät, miehistön verkot, anturit ja alukselle asennettavat laivaston hallintaohjelmistot, voivat silti kuulua CRA:n piiriin.
Mitkä meriteollisuuden tuotteet on suljettu CRA:n ulkopuolelle?
Laivavarustedirektiivin soveltamisalaan kuuluvat laitteet: EU-aluksille asennettavat laitteet, joille IMO:n yleissopimukset edellyttävät lippuvaltion hyväksyntää, kuten tutka, ECDIS, AIS, matkatallentimet, radioviestintä-, palontorjunta- ja hengenpelastuslaitteet. Tarkista laitteesi kohdalta MED:n voimassa oleva täytäntöönpanoluettelo ja pyydä oikeudellinen arvio yhdistelmätuotteista tai muun lipun alla purjehtivista aluksista.
Mikä on IACS UR E27, ja keiden on noudatettava sitä?
UR E27 on Kansainvälisen luokituslaitosten järjestön yhtenäinen vaatimus aluksen järjestelmien ja laitteiden kyberkestävyydestä. Rev.1 koskee aluksia, joiden rakennussopimus on tehty 1.7.2024 tai sen jälkeen, ja on pakollinen kansainvälisillä matkoilla liikennöiville matkustaja-aluksille, suurnopeusaluksille ja vähintään 500 GT:n lastialuksille sekä tietyille offshore-yksiköille. Katettujen järjestelmien toimittajat noudattavat sitä luokituslaitoksen kautta.
Mitä E26 ja E27 edellyttävät laitetoimittajilta?
E27 edellyttää toimittajilta dokumentaatiota, kuten laiteinventaarion, joka luettelee jokaisen ohjelmistokomponentin versioineen, IEC 62443-3-3:een perustuvat tietoturvaominaisuudet ja turvallisen kehityksen elinkaaren IEC 62443-4-1:n kontrolleineen, kuten tietoturvapäivitysten dokumentoinnin. E26 on aluksen tason vaatimus: aluksen laiteinventaario käyttää samoja kenttiä ja pidetään ajan tasalla koko aluksen elinkaaren ajan.
Vaatiiko UR E27 SBOM:n?
Ei. E27 ei mainitse SBOM:eja. Se edellyttää laiteinventaariota, joka luettelee jokaisen ohjelmistokomponentin versioineen, sekä riippuvien komponenttien ja käyttöjärjestelmän tietoturvapäivitysten dokumentointia. Julkaisukohtainen SBOM on tarkin tapa tuottaa nämä tiedot, mutta se ei ole E27:n vaatimus.
Ovatko IMO:n kyberriskien hallinnan ohjeet pakollisia?
Eivät. IMO:n merenkulun kyberriskien hallintaa koskevat ohjeet ovat ei-sitovaa ohjeistusta laivanvarustamoille, ja niitä on päivitetty toukokuussa 2026. Varustamoilta odotettava tulee päätöslauselmasta MSC.428(98), joka edellyttää niitä käsittelemään kyberriskit turvallisuusjohtamisjärjestelmissään, ja ohjeet pyytävät nyt varustamoja laatimaan ohjelmisto- ja laitteistotoimitusketjun tietoturvaa koskevat toimintaperiaatteet.
Koskeeko CRA varustamoille myytäviä ohjelmistoja?
Yleensä, jos niitä myydään EU:n markkinoilla digitaalisia elementtejä sisältävänä tuotteena, asennettavana tai ladattavana, eivätkä ne ole MED-laitteita. Pelkästään palveluna tarjottava ohjelmisto on CRA:n ulkopuolella, ellei se ole tuotteen etätietojenkäsittelyä, mutta NIS2 voi koskea sen tarjoajaa. Tarkista kunkin tuotteen luokitus.
Näe, mitä julkaisuihisi menee
Varaa demo, niin näytämme jokaisen komponentin, jonka buildisi hakevat, ja mihin julkaisuihisi uusi haavoittuvuus vaikuttaa.
Varaa demo