規制は単独のルールではなく、一つの流れです
IACS UR E26/E27は孤立した規則ではありません。IMOのサイバーリスクマネジメントに関するガイドラインがBIMCOガイドラインに反映され、それがさらにIACS統一規則として具体化されるという流れの上にあります。ここにEUのNIS2指令が罰則規定を加えたことで、海事サイバーセキュリティは推奨から義務へと移行しつつあります。この流れ全体を貫いているのが、NISTサイバーセキュリティフレームワーク（CSF）です。
主要規制の変遷
IMO MSC-FAL.1/Circ.3 — 海上サイバーリスクマネジメントに関するガイドライン
- 原版 — 2017年6月、第98回海上安全委員会（MSC 98）で採択。船舶の安全管理システム（SMS）にサイバーリスクマネジメントを組み込むことを要求
- Rev.1 — 2021年5月のMSC 103で改正、2021年6月発行
- Rev.2 — 2021年10月のMSC 104で改正、2022年6月発行
- Rev.3 — 2024年5月のMSC 108で改正、2025年4月発行
BIMCO — 船上サイバーセキュリティに関するガイドライン
- Version 1 — 2016年1月発行
- Version 2 — 2018年12月発行
- Version 3 — 2020年12月発行。IACS UR E26/E27の要件に明示的に言及
- Version 4 — 2024年11月発行。IACS UR E26/E27の規格とベストプラクティスを反映
IACS UR E26/E27 — 船舶のサイバーレジリエンスに関する統一規則
- 原版 — 2022年4月発行
- Rev.1 — 2023年12月発行
EU NIS2 Directive (2022/2555)
- 2022年12月発行。NIST CSF、ISA/IEC 62443、ISO/IEC 27001などのサイバーセキュリティフレームワークと整合
- EU加盟国は、必須事業体がサイバーセキュリティリスク管理措置や報告義務に違反した場合、制裁金を科さなければなりません
- 制裁金の上限は、少なくとも1,000万ユーロまたは前会計年度の全世界年間売上高の2%のうち、いずれか高い方
今後予想される改正の方向性
- サイバーセキュリティのガバナンス要件
- 船舶運航の観点の強化
- 不遵守・違反に対する制裁
IMOガイドライン Rev.2 → Rev.3：何が変わったか
| 変化の領域 | Rev.2 (2022) | Rev.3 (2025) | サイバーセキュリティへの示唆 |
|---|---|---|---|
| リスクマネジメントの機能要素 | 5つ（Identify · Protect · Detect · Respond · Recover） | 6つ（従来の5つ + Govern） | サイバーセキュリティは技術部門だけでなく経営層の責任 |
| 対象システム | 8つ（船内7 + 通信1） | 9つ（通信を港湾・陸上それぞれのインターフェースに細分化） | 技術的な資産管理を超えたポリシーレベルへの進化 |
| 運用管理項目 | 推奨のみ | 11の議題（アクセス制御、インシデント対応、バックアップなど） | リスク評価を含むサイバー対応体制と検証可能な手順は、もはや任意ではない |
| 教育要件 | 簡単な言及 | 2種類（年次の基礎教育、OT特化教育） | 役割別のサイバーセキュリティ教育が義務化 |
| 必須文書 | 推奨のみ | 11種類（サイバーセキュリティポリシー、資産リストなど） | 設計・建造・運航の全段階で体系的な文書化が必須 |
| 参照規格 | 3つ（ISO/IEC 27001、BIMCO、IACS Rec 166） | 5つ（従来の3つ + IACS UR E26/E27、NIST CSF 2.0） | 国際規格との整合は裁量ではなく遵守義務 |
ポイントは、Rev.3で Govern（ガバナンス） が機能要素として追加されたことです。サイバーセキュリティは、IT担当者の業務から経営層が責任を負う領域へと正式に移りました。
IACS統一規則におけるE26/E27の位置付け
E26/E27は、船舶の電気・電子機器に関するIACS統一規則の系列に属します。各規則の焦点はそれぞれ異なります。
| 規則 | 焦点 | 主な要件 |
|---|---|---|
| UR E10 | 機器の環境試験 | 海上環境（温度・湿度・振動）におけるハードウェアの信頼性。電気・電子・プログラマブル機器の標準試験手順 |
| UR E22 | コンピュータベースシステム（CBS） | 船舶の重要機能に用いられるCBSの設計・試運転・保守。ソフトウェアの安全性・冗長性・フォールトトレランス。重要度に応じたCBSの分類 |
| UR E26 | 船舶のサイバーレジリエンス | OTシステム全般に対する最低限のサイバーレジリエンス要件。航海・推進・安全に関わる重要システムに適用。設計・運航・解撤までの全ライフサイクルにわたるリスクの特定と低減 |
| UR E27 | 船上システム・機器のサイバーレジリエンス | IT/OTシステムおよび接続機器のセキュリティ対策。セキュア開発ライフサイクル（SDLC）のためのIEC 62443との整合。造船所・サプライヤー・システムインテグレーターの責任を定義 |
E10がハードウェアの物理的な信頼性を、E22がソフトウェアベースのシステムの安全性を扱うのに対し、E26とE27はその上にサイバーレジリエンスという層を加えます。したがって、E26/E27への対応はE22で定義されたCBSの分類と連動して進める必要があります。
今、何をすべきか
現行のIACS UR E26/E27は最低限のレジリエンスに焦点を当てていますが、今後はサイバー脅威へのより強化された対応と情報共有の改善を求める方向へと進化していくでしょう。
- 船主 — 新造船はE26/E27、就航船はIMO Rev.3とNIS2（該当する場合）。両方の枠組みを一つのサイバーセキュリティプログラムとして管理する必要があります。
- 造船所 — 引渡しまでにE26の成果物を準備しつつ、船主の運航段階での要求（Rev.3の11の運用管理項目）を前もって反映しておけば、引渡し後の手戻りを減らせます。
- サプライヤー — E27への対応とは、証書を取得することではなく、製品のセキュリティ能力と、それを維持し続けるエンジニアリング体制をあわせて整えることです。
光明マリタイムは、個別の規則ではなくこの流れ全体を基準に、設計と運用の準備を一体で進めます。