法规不是孤立的条文，而是一条演进脉络
IACS UR E26/E27 并非孤立的规则。IMO 的网络风险管理导则被纳入 BIMCO 指南，进而在 IACS 统一要求中得到具体化，E26/E27 正处于这一演进脉络之上。随着欧盟 NIS2 指令增加了处罚条款，海事网络安全正在从建议走向强制。贯穿这一脉络的，是 NIST 网络安全框架（CSF）。
主要法规的演变
IMO MSC-FAL.1/Circ.3 — 海上网络风险管理导则
- 原版 — 2017年6月由第98届海上安全委员会（MSC 98）通过。要求将网络风险管理纳入船舶安全管理体系（SMS）
- Rev.1 — 2021年5月经 MSC 103 修订，2021年6月发布
- Rev.2 — 2021年10月经 MSC 104 修订，2022年6月发布
- Rev.3 — 2024年5月经 MSC 108 修订，2025年4月发布
BIMCO — 船舶网络安全指南
- Version 1 — 2016年1月发布
- Version 2 — 2018年12月发布
- Version 3 — 2020年12月发布。明确提及 IACS UR E26/E27 要求
- Version 4 — 2024年11月发布。纳入 IACS UR E26/E27 标准及最佳实践
IACS UR E26/E27 — 船舶网络韧性统一要求
- 原版 — 2022年4月发布
- Rev.1 — 2023年12月发布
EU NIS2 Directive (2022/2555)
- 2022年12月发布。与 NIST CSF、ISA/IEC 62443、ISO/IEC 27001 等网络安全框架相衔接
- 欧盟成员国须对违反网络安全风险管理措施或报告义务的基本实体处以罚款
- 罚款上限为至少1,000万欧元或上一财年全球年营业额的2%，以较高者为准
未来预计的修订方向
- 网络安全治理要求
- 强化船舶营运视角
- 对不合规及违规行为的处罚
IMO 导则 Rev.2 → Rev.3：有哪些变化
| 变化领域 | Rev.2 (2022) | Rev.3 (2025) | 对网络安全的影响 |
|---|---|---|---|
| 风险管理功能要素 | 5项（Identify · Protect · Detect · Respond · Recover） | 6项（原有5项 + Govern） | 网络安全不仅是技术部门的工作，更是管理层的责任 |
| 适用系统 | 8类（船上7类 + 通信1类） | 9类（通信细分为港口、岸基各自的接口） | 从技术性资产管理迈向政策层面的演进 |
| 运营管理项目 | 仅为建议 | 11项议题（访问控制、事件响应、备份等） | 包括风险评估在内的网络应对体系和可验证的程序不再是可选项 |
| 培训要求 | 简要提及 | 2类（年度基础培训、OT 专项培训） | 按岗位开展网络安全培训成为强制要求 |
| 必备文件 | 仅为建议 | 11类（网络安全方针、资产清单等） | 设计、建造、营运全过程须进行系统化文件管理 |
| 参考标准 | 3项（ISO/IEC 27001、BIMCO、IACS Rec 166） | 5项（原有3项 + IACS UR E26/E27、NIST CSF 2.0） | 与国际标准接轨不再是自主选择，而是合规义务 |
核心在于，Rev.3 将 Govern（治理） 新增为功能要素。网络安全已正式从 IT 人员的工作，转变为由管理层承担责任的领域。
E26/E27 在 IACS 统一要求中的定位
E26/E27 属于 IACS 关于船舶电气电子设备的统一要求系列。各项要求的侧重点各不相同。
| 要求 | 侧重点 | 核心要求 |
|---|---|---|
| UR E10 | 设备环境试验 | 海上环境（温度、湿度、振动）下的硬件可靠性。电气、电子及可编程设备的标准试验程序 |
| UR E22 | 计算机系统（CBS） | 用于船舶关键功能的 CBS 的设计、调试与维护。软件安全性、冗余与容错。按重要程度对 CBS 进行分类 |
| UR E26 | 船舶网络韧性 | 覆盖全部 OT 系统的最低网络韧性要求。适用于航行、推进、安全等关键系统。在设计、营运直至拆解的全生命周期内识别并缓解风险 |
| UR E27 | 船上系统和设备的网络韧性 | IT/OT 系统及所连接设备的安全措施。为安全开发生命周期（SDLC）与 IEC 62443 相衔接。明确船厂、供应商及系统集成商的责任 |
如果说 E10 关注硬件的物理可靠性，E22 关注基于软件的系统的安全性，那么 E26 和 E27 则在此基础上叠加了网络韧性这一层。因此，E26/E27 的应对工作必须与 E22 所定义的 CBS 分类协同推进。
当下应该做什么
现行的 IACS UR E26/E27 侧重于最低限度的韧性，但今后将朝着要求更强的网络威胁应对能力和更完善的信息共享的方向演进。
- 船东 — 新造船适用 E26/E27，营运船队适用 IMO Rev.3 及 NIS2（如适用）。应将两套体系纳入统一的网络安全计划进行管理。
- 船厂 — 在交船前备齐 E26 交付文件，同时提前纳入船东在营运阶段的要求（Rev.3 的11项运营管理项目），可减少交船后的返工。
- 供应商 — 应对 E27 不只是取得证书，而是要同时具备产品的安全能力以及持续保障这种能力的工程体系。
光明海事立足于这一整体演进脉络，而非单一规则，协同推进设计与营运两方面的准备。