UR E26 verlangt vom Schiffseigner, dass die Cyber-Resilienz des Gesamtschiffs bereits im Neubauprozess mitgedacht wird. Das beginnt mit der Identifikation aller Computer-Based Systems (CBS) und ihrer Verbindungen untereinander. Daraus muss eine Risikobewertung erstellt werden, die zeigt, welche Systeme bei einem Cyber-Vorfall die Sicherheit des Schiffes beeinträchtigen können.
Auf Basis dieser Risikobewertung sind Schutzmaßnahmen zu definieren — Netzwerksegmentierung, Zugriffskontrolle, Härtung. Aber UR E26 geht über Protection hinaus: Es verlangt auch Detektionsfähigkeiten (Erkennung von Anomalien), Response-Verfahren (Eindämmung eines Vorfalls) und Recovery-Pläne (Wiederherstellung kritischer Funktionen).
UR E27 richtet sich parallel dazu an die Lieferanten der Bordsysteme. Jeder OEM muss für sein CBS nachweisen: welche Sicherheitsfunktionen das Produkt bietet, wie es gehärtet wird, welche Schwachstellen bekannt sind, wie Updates eingespielt werden und über welchen Zeitraum Support garantiert ist. Das ist eine fundamentale Änderung gegenüber der bisherigen Praxis, in der viele OEMs ihre Systeme als Black Boxes lieferten, ohne detaillierte Sicherheitsdokumentation.
Zusammen bilden E26 und E27 ein zweistufiges System: E26 schafft den Rahmen auf Schiffsebene, E27 stellt sicher, dass die Bausteine — die einzelnen CBS — diesen Rahmen auch technisch tragen können. Für die Klasse bedeutet das: Sie prüft bei der Ablieferung sowohl die Gesamtarchitektur als auch die Konformität der einzelnen Systemlieferanten.
Die kritischsten Punkte im Neubauprozess konzentrieren sich auf drei Bereiche: Systemarchitektur, Netzsegmentierung und Lieferantenschnittstellen. Bei der Systemarchitektur geht es darum, frühzeitig zu definieren, wie die verschiedenen CBS-Domänen — Navigation, Automation, Kommunikation, Cargo — voneinander abgegrenzt werden. Das erfordert einen dedizierten Netzwerkplan, der nicht erst bei der Inbetriebnahme entsteht, sondern bereits Teil der Detailplanung ist.
Die Netzsegmentierung ist das operative Herzstück. IACS erwartet, dass Netzwerke in Zonen unterteilt werden, wobei jede Zone ein definiertes Schutzniveau hat. Die Kommunikation zwischen Zonen erfolgt über kontrollierte Übergangspunkte — sogenannte Conduits. Ein klassisches Problem: Der Automation-Lieferant bringt sein eigenes Netzwerk-Segment mit, der Navigations-Lieferant ebenso, und am Ende stehen drei separate Netzwerke, die über einen unkontrollierten Switch verbunden sind. Das ist genau die Situation, die UR E26 verhindern will.
Bei den Lieferantenschnittstellen wird es besonders komplex. Jeder OEM hat eigene Vorstellungen davon, wie sein System angebunden wird. Manche verlangen direkten Internetzugang für Fernwartung, andere setzen proprietäre Protokolle ein, wieder andere liefern Systeme mit eingebetteten Betriebssystemen, die seit Jahren nicht mehr gepatcht wurden. Die Werft muss hier als Integrator auftreten und sicherstellen, dass alle CBS in eine kohärente Netzwerktopologie eingebettet werden.
Ein vierter, oft übersehener Punkt sind die Factory Acceptance Tests (FAT) und Site Acceptance Tests (SAT). Bisher wurden diese primär für funktionale Tests genutzt — läuft das System, kommuniziert es korrekt? Jetzt müssen auch Cyber-Aspekte geprüft werden: Sind die Härtungsmaßnahmen umgesetzt? Sind Standardpasswörter geändert? Sind unnötige Dienste deaktiviert? Entspricht die tatsächliche Netzwerkanbindung der Dokumentation?
UR E27 macht unmissverständlich deutlich: Cyber ist nicht allein Sache der Werft oder des Betreibers. Jeder OEM, der ein Computer-Based System liefert, muss eine sogenannte System Integrator Documentation bereitstellen. Diese enthält unter anderem: eine Beschreibung der Systemarchitektur, eine Liste aller Netzwerk-Schnittstellen, Härtungsrichtlinien, bekannte Schwachstellen mit Mitigationsmaßnahmen und eine Erklärung zur Patch-Verfügbarkeit.
Für viele maritime OEMs ist das eine erhebliche Umstellung. Automation-Hersteller, die seit Jahrzehnten proprietäre Systeme mit 20-jährigen Lebenszyklen bauen, haben oft keine etablierten Prozesse für Security-Dokumentation. Die Frage "Welche CVEs betreffen Ihr System und wie werden sie mitigiert?" ist in anderen Industrien Standard, in der maritimen OEM-Landschaft aber noch Neuland.
Die Konsequenzen sind real: Wenn ein Lieferant die UR E27-Anforderungen nicht erfüllen kann, wird sein System bei der Klassifikation zum Problem. Die Klasse prüft nicht nur die Schiffstopologie (E26), sondern auch die Konformität der einzelnen Systemlieferanten (E27). Ein nicht-konformes CBS kann die Ablieferung blockieren.
Für Betreiber bedeutet das: Die Auswahl von Lieferanten muss künftig auch deren Cyber-Reife berücksichtigen. Ein Lieferant, der technisch exzellente Systeme baut, aber keine Security-Dokumentation liefern kann, wird zum Projektrisiko. Das sollte bereits in der Spezifikationsphase adressiert werden — nicht erst, wenn die Systeme an Bord installiert sind.
Betreiber sollten Cyber-Themen von Anfang an in den Neubauprozess einbetten. Konkret heißt das: Cyber-Anforderungen in die Bauvorschrift aufnehmen, UR E27-Konformität als Vertragsklausel mit jedem CBS-Lieferanten vereinbaren, und einen dedizierten Cyber-Verantwortlichen im Neubauprojekt benennen.
Bei den FAT sollten Cyber-Tests als fester Bestandteil etabliert werden: Überprüfung der Härtung, Test der Zugriffskontrolle, Verifizierung der Netzwerkanbindung gegen die Spezifikation. Bei SAT an Bord kommt die Überprüfung der tatsächlichen Netzwerktopologie hinzu — stimmt die reale Installation mit dem Plan überein?
Die Dokumentation ist ein weiterer kritischer Punkt. UR E26 verlangt eine aktuelle und vollständige Dokumentation der Netzwerkarchitektur, der CBS-Inventarisierung und der Risikobewertung. Diese Dokumente müssen nicht nur bei der Ablieferung vorliegen, sondern auch während der gesamten Betriebsphase aktuell gehalten werden. Ein System, das nach Ablieferung geändert wird — sei es durch ein Software-Update, eine neue VSAT-Installation oder den Austausch eines Steuerungssystems — muss in der Dokumentation nachgezogen werden.
Die Bauvorschrift (Building Specification) ist das zentrale Vertragsdokument zwischen Betreiber und Werft. Hier müssen Cyber-Anforderungen als eigenständiger Abschnitt aufgenommen werden, nicht als Fußnote in der IT-Sektion. Folgende Elemente sollten enthalten sein:
Erstens: Eine Anforderung an die Netzwerktopologie. Die Werft muss einen vollständigen Netzwerkplan liefern, der alle CBS, ihre Verbindungen, Zonengrenzen und Conduits zeigt. Dieser Plan muss mit der Klasse abgestimmt sein, bevor die Detailplanung beginnt.
Zweitens: UR E27-Konformität als Lieferanforderung für alle CBS-Lieferanten. Jeder OEM muss seine System Integrator Documentation vor FAT liefern. Die Werft ist verantwortlich für die Integration dieser Dokumentation in das Gesamtpaket.
Drittens: Cyber-Tests bei FAT und SAT. Die Spezifikation sollte konkrete Testfälle definieren — Härtungsverifizierung, Zugriffskontrolltest, Netzwerksegmentierungstest, Recovery-Test für kritische Systeme.
Viertens: Eine Übergabe-Dokumentation, die alle für den Betrieb relevanten Cyber-Informationen enthält — CBS-Inventar, Netzwerkplan, Risikobewertung, Härtungsrichtlinien, Patch-Strategie, Recovery-Verfahren.
Wer diese Anforderungen nicht in die Bauvorschrift aufnimmt, wird sie später nur schwer vertraglich durchsetzen können. Nachträgliche Forderungen an OEMs sind teuer und zeitaufwändig — und sie kommen genau dann, wenn das Projekt unter Zeitdruck steht.
Die ersten Schiffe, die unter voller UR E26/E27-Geltung gebaut werden, werden voraussichtlich 2026/2027 abgeliefert. Aus den laufenden Projekten lassen sich bereits Muster erkennen: Die größten Schwierigkeiten treten dort auf, wo Cyber-Anforderungen nicht von Beginn an in die Projektstruktur integriert wurden.
Werften in Ostasien, die den Großteil der globalen Tonnage bauen, reagieren unterschiedlich. Einige große Werften haben dedizierte Cyber-Teams aufgebaut. Kleinere Werften verlassen sich auf externe Berater oder erwarten, dass der Betreiber die Anforderungen im Detail spezifiziert. Das führt zu einer Asymmetrie: Erfahrene Betreiber bekommen bessere Ergebnisse, weil sie die richtigen Fragen stellen.
Auf Seiten der Klassifikationsgesellschaften variiert der Detailgrad der Prüfung. Alle IACS-Mitglieder haben die URs in ihre Regelwerke übernommen, aber die Interpretation und die Prüftiefe unterscheiden sich. Betreiber, die mit mehreren Klassen arbeiten, sollten frühzeitig klären, welche konkreten Erwartungen ihre jeweilige Gesellschaft hat.
Unverbindliches Erstgespräch – wir analysieren Ihre Situation und finden den besten Weg.
Beratung anfragen