海賊対策の次はサイバーセキュリティ！

2020年10月27日、アメリカ合衆国においてVessel Cyber Risk Management Work Instruction (CVC-WI-027(1))が発行されました。

このWIによれば、アメリカ籍船及び米国の港に寄港するアメリカ籍船以外の旗国の船舶について、Cyber Risk ManagementがSMSにおいて適切に取り扱われていることが求められ、PSC Inspection等において本件に関する検査を実施するとされています。
また、アメリカ籍船以外の船舶に対するPSC Inspectionにおいて、2021年1月1日以降最初のDOC年次審査までにCyber Risk ManagementがSMSで取り扱われていない場合はAction Code 30 （いわゆる拘留）、当該Cyber Risk Managementの実施不具合の客観的証拠が発見された場合はその重大性によりAction Code 17 (出港前是正)あるいはAction Code 30 (拘留)となります。

発行されたWorking instruction(WI)の一部引用

4. Deficiencies. If objective evidence is identified indicating that the vessel failed to implement its
SMS with respect to cyber risk management, the MI/PSCO should direct the vessel to take the
following actions:

b. For Foreign vessels:
1) If cyber risk management has not been incorporated into the vessel’s SMS by the company’s
first annual verification of the DOC after January 1, 2021, a deficiency should be issued
with action code 30– Ship Detained, with the requirement of an external audit within 3months or prior to returning to a U.S. port after sailing foreign.

2) When objective evidence indicates that the vessel failed to implement its SMS with respect to cyber risk management, then the PSCO should issue a deficiency for both the operational deficiency and an ISM deficiency with an action code 17 – Rectify Prior to Departure andrequire the vessel to conduct an internal audit, focused on the vessel’s cyber risk management, within 3 months or, prior to returning to a U.S. port after sailing foreign.

3) When objective evidence indicates there is a serious failure to implement the SMS with
respect to cyber risk management that directly resulted in a cybersecurity incident impacting ship operations (e.g. diminished vessel safety/security, or posed increased risk to the environment), after gaining concurrence from the OCMI, the PSCO should issue a
deficiency for both the operational deficiency and an ISM deficiency with action code 30 – Ship Detained with the requirement of an external audit within 3 months or prior to returning to a U.S. port after sailing foreign.

　一方で、2017年6月16日に採択されたIMOのMSC決議428(98) Maritime Cyber Risk Management in Safety Management Systemsには、Cyber Riskに関する要求事項が記載されています。この決議が非強制であることから、その適用の要否は各旗国の要求によるところとなっています。（日本籍船に関しては現時点では要求されていない）しかし、アメリカ合衆国の港に寄港する船舶はその旗国によらず本要件が適用となりますので、十分に注意してください。

アメリカ合衆国以外で強制を表明している旗国

オーストラリア、バハマ、ケイマン諸島、キプロス、リベリア、マーシャル諸島、ミャンマー、ノルウェー、シンガポール、イギリス、バヌアツ