IACS hat mit den Unified Requirements E26 und E27 erstmals verbindliche Mindestanforderungen für die Cyber-Resilienz von Neubauten festgelegt. UR E26 richtet sich an Schiffseigner und Werften und definiert Anforderungen auf Schiffsebene: Das Schiff als Gesamtsystem muss cyber-resilient konzipiert, gebaut und betrieben werden. Das umfasst eine dokumentierte Risikoanalyse, die Identifikation aller Computer-Based Systems (CBS), eine nachvollziehbare Netzwerkarchitektur und definierte Schutz-, Erkennungs- und Wiederherstellungsfähigkeiten.
UR E27 richtet sich ergänzend an die Lieferanten von Bordsystemen. Jeder OEM, der ein CBS liefert, muss nachweisen, dass sein Produkt über die gesamte Lebensdauer hinweg sicher gewartet, aktualisiert und konfiguriert werden kann. Das betrifft Härtungsmaßnahmen, Zugriffssteuerung, Logging-Fähigkeit und die Dokumentation bekannter Schwachstellen.
Beide URs gelten seit dem 1. Juli 2024 verbindlich für Neubauten, deren Vertrag nach diesem Datum geschlossen wurde. Die Umsetzung erfolgt über die Klassifikationsgesellschaften, die UR E26 und E27 in ihre jeweiligen Regelwerke übernommen haben. Damit ist Cyber-Resilienz keine optionale Empfehlung mehr, sondern eine klassifikationsrelevante Pflicht.
Entscheidend ist: IACS definiert kein spezifisches Produkt und kein bestimmtes Sicherheitsniveau im technologischen Sinne. Es geht um einen systematischen Ansatz — Risiken identifizieren, Maßnahmen ableiten, Wirksamkeit dokumentieren. Wer das als reine Compliance-Übung versteht, wird die Anforderungen formal erfüllen, aber operativ wenig gewinnen.
Betroffen sind sämtliche vernetzten Systeme, die unter den Begriff Computer-Based Systems fallen. In der Praxis bedeutet das: Navigation (ECDIS, Radar, AIS, GPS-Empfänger), Maschinenautomation (Alarm- und Monitoring-Systeme, Fernsteuerungen, Power Management), Kommunikation (GMDSS, VSAT, interne Netzwerke) und zunehmend auch Systeme für Ladungsmanagement, Ballastwasser und Emissionsüberwachung.
Die Herausforderung liegt in der Abgrenzung. Viele Systeme, die traditionell als eigenständig galten, sind heute über Ethernet, serielle Schnittstellen oder proprietäre Busse miteinander verbunden. Ein Alarm-Monitoring-System, das über das gleiche Netzwerk läuft wie der Crew-Internet-Zugang, ist ein CBS im Sinne der URs — auch wenn der Hersteller es nie als IT-System bezeichnet hat.
Besonders kritisch sind Systeme mit Fernzugriffsmöglichkeiten. OEM-Fernwartung über TeamViewer, VPN-Tunnel oder herstellereigene Plattformen schafft Angriffsflächen, die in vielen Bestandsflotten weder dokumentiert noch kontrolliert sind. UR E26 verlangt für Neubauten, dass jeder Fernzugriff in der Netzwerkarchitektur erfasst und risikobewertend behandelt wird.
Ein weiterer praktisch unterschätzter Bereich sind die sogenannten Safety Systems — Systeme, deren Ausfall unmittelbar sicherheitsrelevant ist. Dazu gehören Feuermeldeanlagen mit Netzwerkanbindung, automatische Löschsysteme mit digitaler Steuerung und Notabschaltsysteme. Hier verschärft die Cyber-Dimension die ohnehin bestehenden Anforderungen an Redundanz und Verfügbarkeit.
UR E27 verlagert einen substantiellen Teil der Verantwortung in die Lieferkette. Das ist ein Paradigmenwechsel. Bislang war Cyber-Sicherheit an Bord — wenn sie überhaupt adressiert wurde — Sache des Betreibers oder bestenfalls der Werft in der Endintegration. Jetzt muss jeder Systemlieferant nachweisen, dass sein CBS den Anforderungen entspricht.
Konkret verlangt UR E27 von OEMs: eine Beschreibung der Sicherheitsarchitektur ihres Produkts, eine Liste bekannter Schwachstellen und deren Mitigationsmaßnahmen, Härtungsrichtlinien für die Installation, Zugriffssteuerungskonzepte und eine Erklärung zur Patch-Fähigkeit über die erwartete Betriebsdauer. Das klingt nach Standard-IT, ist aber für viele maritime OEMs Neuland. Gerade bei Automation- und Navigationslieferanten, die seit Jahrzehnten proprietäre Systeme mit langen Lebenszyklen bauen, erfordert das einen grundlegenden Wandel in der Produktdokumentation.
Für Werften bedeutet das: Sie müssen die CBS-Zulieferungen nicht nur mechanisch und elektrisch integrieren, sondern auch die Netzwerkintegration cyber-sicher gestalten. Die Gesamtverantwortung für die Schiffstopologie liegt bei der Werft. Wenn drei verschiedene OEMs ihre Systeme in dasselbe Netzwerksegment integrieren wollen, muss die Werft das architektonisch lösen — nicht nachträglich, sondern im Design.
In der Praxis zeigt sich bereits, dass die Kommunikation zwischen Werften und Zulieferern hier oft noch nicht eingespielt ist. Viele OEMs liefern technische Dokumentation, die für den eigenen Servicebereich geschrieben wurde, aber nicht die Informationen enthält, die ein Integrator für die Netzwerktopologie braucht. Das führt zu Zeitverlust und Nachbesserungsbedarf kurz vor Ablieferung.
Für Neubauten ist eine frühzeitige Cyber-Matrix ratsam — idealerweise bereits im Spezifikationsstadium, nicht erst bei der Detailplanung. Betreiber sollten Cyber-Anforderungen in die Ausschreibungsunterlagen aufnehmen und UR E27-Konformität als Vertragsbestandteil mit jedem CBS-Lieferanten vereinbaren.
Der Prozess beginnt mit der Identifikation aller CBS an Bord und ihrer Netzwerkverbindungen. Daraus entsteht eine Risikobewertung, die als Grundlage für die Netzwerkzonierung dient. Welche Systeme dürfen miteinander kommunizieren? Welche Übergänge zwischen Zonen sind erlaubt? Wo sind Firewalls, Dioden oder Air Gaps erforderlich?
Parallel dazu sollten Betreiber ihre internen Strukturen prüfen. Wer ist für Cyber-Themen zuständig — der Superintendent, die IT-Abteilung, der DPA? In vielen Reedereien ist diese Frage nicht klar beantwortet. UR E26 erzwingt eine Klärung, denn die Klassifikationsgesellschaft wird bei der Ablieferung prüfen, ob ein funktionierendes Cyber Risk Management existiert.
Die Netzwerksegmentierung ist das technische Rückgrat der UR E26-Compliance. Das Konzept ist in der Industrie-IT seit Jahren etabliert (IEC 62443 lässt grüßen), aber im maritimen Kontext stellen sich spezifische Herausforderungen. An Bord existieren typischerweise mehrere Netzwerkbereiche: das OT-Netz für Automation und Maschinensteuerung, das Navigationsnetz, das administrative IT-Netz und das Crew-Welfare-Netz. In der Theorie sind diese getrennt. In der Praxis teilen sie sich oft physische Infrastruktur, und die Grenzen sind durchlässiger als dokumentiert.
Ein robustes Zonenkonzept definiert für jede Zone ein Schutzniveau und regelt die Kommunikation zwischen Zonen über sogenannte Conduits — kontrollierte Übergangspunkte. Das kann eine Firewall sein, ein Data Diode für unidirektionalen Datenfluss oder ein Application Gateway. Entscheidend ist nicht die Technologie, sondern die Konsistenz: Jeder Datenfluss zwischen Zonen muss bewusst entschieden, dokumentiert und überwachbar sein.
In der Praxis scheitern viele Konzepte an der Integration von Drittanbietersystemen. Ein Ballastwasser-Treatment-System eines Herstellers, das über einen eigenen Switch ans Schiffsnetzwerk angebunden wird, kann die gesamte Zonierung unterlaufen, wenn die Anbindung nicht in der Topologie vorgesehen war. Gleiches gilt für nachträgliche VSAT-Installationen, die plötzlich OT-Netze mit dem Internet verbinden.
Für die Klassifikationsgesellschaften ist die Netzwerktopologie ein zentrales Prüfdokument. Sie erwarten einen aktuellen, vollständigen Netzwerkplan, der alle CBS, ihre Verbindungen und die Zonengrenzen zeigt. Abweichungen zwischen Dokumentation und tatsächlicher Installation führen zu Findings — und im schlimmsten Fall zu Verzögerungen bei der Ablieferung.
Die Auswirkungen von UR E26/E27 enden nicht bei der Ablieferung. Betreiber müssen ein Cyber Risk Management aufrechterhalten, das die gesamte Betriebsphase abdeckt. Dazu gehören regelmäßige Überprüfungen der Netzwerktopologie, Kontrolle von Software-Versionen und Patch-Ständen, Verwaltung von Benutzerkonten und Zugriffsrechten sowie die Dokumentation jeder Änderung an CBS.
Für Superintendenten bedeutet das eine Erweiterung ihres Aufgabenfelds. Bisher war der Fokus auf mechanischer und elektrischer Integrität. Jetzt kommt die digitale Integrität hinzu. Ein Superintendent muss nicht zum IT-Spezialisten werden, aber er muss verstehen, welche Systeme vernetzt sind, wo die Risiken liegen und welche Maßnahmen greifen.
Besonders relevant ist das Management von Software-Updates. Viele OEMs liefern Updates über USB-Sticks oder Remote-Sessions. Beides sind potenzielle Einfallstore. UR E26 verlangt, dass es für solche Vorgänge dokumentierte Verfahren gibt — wer autorisiert den Zugriff, wie wird geprüft, was installiert wird, und wie wird die Änderung protokolliert.
Der ISM Code verlangt seit 2021 über MSC.428(98) bereits die Berücksichtigung von Cyber-Risiken im Safety Management System. UR E26/E27 konkretisieren das nun technisch. Betreiber, die bislang nur eine generische Cyber-Risikobewertung im SMS hatten, werden feststellen, dass die Klasse bei Neubauten jetzt deutlich mehr Substanz erwartet.
Ein typisches Szenario: Ein Betreiber bestellt eine Serie von Mehrzweckfrachtern. Der Vertrag wurde nach Juli 2024 geschlossen, UR E26/E27 gelten also vollständig. Die Werft hat Cyber-Anforderungen im Lastenheft erwähnt, aber nicht als eigenständigen Abschnitt mit konkreten Lieferanforderungen an die OEMs aufgenommen.
In der Detailplanung stellt sich heraus, dass der Automation-Lieferant keine UR E27-konforme Dokumentation liefern kann, weil seine Produktlinie das Thema bisher nicht systematisch adressiert hat. Der Navigationslieferant hat ein Härtungsdokument, aber keine Aussage zur Patch-Fähigkeit über 15 Jahre. Die Werft hat keinen dedizierten Netzwerkplan, weil die einzelnen Systeminseln bisher getrennt betrachtet wurden.
Das Ergebnis: Sechs Monate vor geplanter Ablieferung beginnt eine hektische Nachbesserungsphase. Netzwerkpläne werden erstellt, OEMs liefern nachträglich Dokumentation, die Klasse hält Findings offen. Der Zeitverlust hätte vermieden werden können, wenn Cyber-Anforderungen von Anfang an als fester Bestandteil der Spezifikation behandelt worden wären.
Die zentrale strategische Frage für Betreiber lautet: Erfüllen wir UR E26/E27 minimal — oder nutzen wir die Anforderungen als Hebel für echte operative Resilienz? Der Unterschied zeigt sich im Umgang mit der Risikoanalyse. Ein Minimal-Ansatz identifiziert CBS, erstellt eine Matrix und dokumentiert Maßnahmen. Ein operativer Ansatz geht weiter: Er testet Recovery-Verfahren, simuliert Ausfallszenarien und verankert Cyber-Routinen im Bordbetrieb.
Der Mehraufwand für den operativen Ansatz ist überschaubar, wenn er früh im Projekt integriert wird. Der Nutzen zeigt sich nicht nur bei Audits, sondern auch bei realen Störfällen. Ein Schiff, dessen Besatzung weiß, wie sie bei einem Ransomware-Befall die Navigation auf Backup-Systeme umschaltet, hat einen konkreten operativen Vorteil gegenüber einem Schiff, dessen Cyber-Plan nur im Ordner liegt.
Unverbindliches Erstgespräch – wir analysieren Ihre Situation und finden den besten Weg.
Beratung anfragen