Et rederi har to slags IT, der hænger sammen, men ikke kan testes på samme måde: kontorets systemer på land og systemerne om bord på skibene. Spørgsmålet for køberen er, hvad der kan komme med i en penetrationstest, hvem der skal godkende det, og hvordan regler og klassekrav påvirker afgrænsningen. Svaret hviler på en kortlægning af, hvem der ejer og driver hvert system, og på en klar grænse for, hvad der aldrig må påvirkes, mens skibet er i drift.
Kontoret kan testes som i andre virksomheder. Det er forbindelserne til skibene og systemerne om bord, der kræver særlige aftaler, og det er dem, der gør planlægningen længere.
Kontoret på land og systemerne om bord
På land findes de velkendte systemer: mail, ERP-systemet, økonomi, bemanding og de portaler, kunder og agenter bruger. Om bord findes både almindelig IT, som administrative pc’er og net til besætningen, og systemer, der styrer eller understøtter navigation, maskineri og last. Mellem de to ligger forbindelserne: satellitkommunikation, fjernadgang for rederiets egne folk og for leverandører samt udveksling af data mellem skib og land.
For testen er det nyttigt at dele landskabet i tre: kontoret, forbindelserne mellem land og skib og systemerne om bord. De tre har forskellige ejere, forskellige risici og forskellige krav til tilladelse. Systemer, der styrer fysiske processer, har mere til fælles med produktionsanlæg end med kontor-IT. → Produktionsanlæg og OT
Hvem ejer og godkender
Det er ikke altid rederiet selv, der driver skibet teknisk. En teknisk manager kan stå for drift og vedligehold, og udstyrsleverandører kan have fjernadgang til deres egne systemer om bord. Et skib kan også være chartret, så den kommercielle bruger og den tekniske ansvarlige er forskellige parter.
Tilladelsen til en test skal komme fra den, der råder over systemet. Kortlæg derfor for hvert system i scope, hvem der ejer det, hvem der driver det, og hvem der har adgang. En test, der berører leverandørens fjernadgang eller udstyr om bord, kræver leverandørens accept. → Leverandørers adgang og penetrationstesten
Inddrag også skibets ledelse. Skibsføreren og maskinchefen kender driften om bord og skal vide, hvad der sker, og hvem der kan stoppe testen. → Er en penetrationstest lovlig?
Sikkerhedsstyringen og den danske bekendtgørelse
Rederier for skibe, der er omfattet af ISM-koden, skal efter bekendtgørelse nr. 655 af 11. juni 2025 styre risici for cybersikkerheden som en del af deres sikkerhedsstyringssystem. Bekendtgørelsens § 1 henviser til ISM-forordningen og til IMO’s vejledning om styring af maritime cyberrisici. § 3 kræver, at cybersikkerhedshændelser med væsentlige konsekvenser for skibes sikkerhed og sejlads indberettes til Søfartsstyrelsen og CSIRT’en uden ugrundet ophold.
IMO har i resolution MSC.428(98) opfordret til, at cyberrisici indgår i sikkerhedsstyringssystemet senest ved den første årlige verifikation af rederiets Document of Compliance efter 1. januar 2021. IMO’s vejledning er siden revideret flere gange.
For køberen betyder det, at en penetrationstest kan være input til rederiets risikovurdering i sikkerhedsstyringssystemet. Aftal også, hvordan en uventet hændelse under testen håndteres, så den kan vurderes i forhold til indberetningspligten. NIS2 kan desuden gælde for rederiet; leverandørens side af det er beskrevet på nis2-pentest.dk. → Hændelse opdaget under testen
Klassekrav til nye skibe
Den internationale sammenslutning af klasseselskaber, IACS, har to fælles krav om cyberrobusthed: E26 om skibet som helhed og E27 om de enkelte systemer og udstyr om bord. IACS oplyser, at de reviderede krav gælder nye skibe, hvor kontrakten om bygning er indgået 1. juli 2024 eller senere.
For et skib, der er omfattet, har værftet, udstyrsleverandørerne og klasseselskabet dokumenteret, hvordan systemerne om bord er sikret. En test af systemer om bord bør derfor afstemmes med den dokumentation. Spørg klasseselskabet, om en test eller de ændringer, den kan føre til, har betydning for skibets klasse, før testen planlægges. For ældre skibe gælder kravene ikke på samme måde, men dokumentationen fra leverandørerne er stadig et godt udgangspunkt for afgrænsningen.
Afgrænsning og tidspunkt
Begynd med kontoret og forbindelserne mellem land og skib. Det er der, adgangen til skibene administreres, og en svaghed i fjernadgangen kan række ud til flere skibe på én gang. → Fjernadgang og VPN
Systemer om bord, der styrer navigation, maskineri eller last, bør kun indgå med særskilt godkendelse, efter aftale med leverandøren og med en plan for, hvornår skibet er i havn eller på anden måde ikke er afhængigt af systemet. Sikkerheden for besætning og skib går forud for testens resultat. Stopregler og kontaktveje skal kunne bruges, også når skibet har begrænset forbindelse til land.
Overvej, om en del af systemerne kan testes i et testmiljø eller på en kopi hos leverandøren i stedet for om bord. → Penetrationstest i produktion eller testmiljø
Tænk også på, hvem der skal se resultatet. Rapporten kan være relevant for den tekniske manager, for udstyrsleverandører og for befragtere eller kunder, der spørger til rederiets sikkerhed. Aftal på forhånd, hvem der får hvilke dele, så detaljer om svagheder om bord ikke sendes bredere ud end nødvendigt. → Deling af pentestrapporten
Det skal I lade være med
- At behandle skibet som et kontor · systemer om bord har andre ejere og andre risici.
- At glemme den tekniske manager og leverandørerne · rederiets ja dækker ikke deres systemer.
- At teste styrende systemer under sejlads · planlæg efter, hvornår skibet ikke er afhængigt af dem.
- At overse klassedokumentationen · afstem testen med klasseselskabet for nye skibe.
- At udelade forbindelserne · fjernadgang og satellitforbindelse binder land og skib sammen.
- At glemme indberetningspligten · aftal, hvordan en uventet hændelse under testen vurderes.
Hvad kan og ikke kan konkluderes
En test kan vise, hvordan kontoret, forbindelserne eller udvalgte systemer om bord holdt under de aftalte forhold på det tidspunkt, testen blev udført. Den kan bruges som input til risikovurderingen i sikkerhedsstyringssystemet.
En test af ét skib siger ikke nødvendigvis noget om søsterskibe med andet udstyr eller andre leverandører. Den viser heller ikke, at krav fra ISM, IMO, IACS eller NIS2 er opfyldt. Det skal vurderes ud fra de konkrete krav og rederiets øvrige dokumentation.
Tjekliste før testen
- ☐ Er landskabet delt i kontor, forbindelser og systemer om bord?
- ☐ Er det kortlagt, hvem der ejer, driver og har adgang til hvert system?
- ☐ Har teknisk manager og udstyrsleverandører givet tilladelse?
- ☐ Er skibsfører og maskinchef orienteret, og ved de, hvem der kan stoppe testen?
- ☐ Er det afklaret med klasseselskabet, om testen har betydning for nye skibe?
- ☐ Er styrende systemer enten udeladt eller planlagt til et tidspunkt uden afhængighed?
- ☐ Er det aftalt, hvordan uventede hændelser vurderes i forhold til indberetning?
Kilder
- Bekendtgørelse nr. 655 af 11. juni 2025 om cybersikkerhed på ISM-pligtige skibe og andre skibe: § 1 om sikkerhedsstyringssystemet og § 3 om indberetning.
- IMO: Maritime cyber risk: resolution MSC.428(98) og IMO’s retningslinjer for maritim cyberrisikostyring.
- IACS: UR E26 og E27: de reviderede krav og deres anvendelse på nye skibe kontraheret 1. juli 2024 eller senere.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Rules of engagement · Scope i en penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
