Uvod
Pomorski promet prenosi više od osamdeset posto svjetske trgovine i s pravom se naziva okosnicom globalne ekonomije. Upravo zato posljednje desetljeće ubrzane digitalizacije – od daljinskog nadzora tereta do potpuno automatiziranih terminalskih operacija – donosi industriji jednako toliko rizika koliko i koristi. Annie McIntyre, glavna direktorica sigurnosti tvrtke EverLine, u svom tekstu “Ujedinite, pripremite i omogućite pomorsku kibernetičku spremnost” (2. lipnja 2026.) upozorava da digitalizacija putem međusobno povezanih IT/OT sustava proširuje površinu napada i otvara vrata sve sofisticiranijim protivnicima. Njezina analiza oslanja se na konkretne slučajeve iz prakse – napade na luke Seattle, Nagoya i Antwerpen – te na nedavno usvojeno regulatorno pravilo američke obalne straže (USCG).
Cilj je ovog eseja staviti McIntyreinu analizu u širi kontekst: usporediti njezine tvrdnje s onim što o istoj temi govore međunarodni regulatori, akademski i stručni izvori te dodatna dokumentirana događanja iz sektora. Esej najprije razmatra prirodu prijetnje i konkretne primjere napada, zatim uspoređuje regulatorne okvire (USCG naspram IMO-a), a potom analizira organizacijske prepreke provedbi kibernetičke sigurnosti o kojima govore i izvorni tekst i drugi stručnjaci u polju. Esej zaključuje sintezom preporuka koje proizlaze iz usporedbe izvora.
Što se piše: prijetnja koja raste s digitalizacijom
McIntyre opisuje jasnu uzročno-posljedičnu vezu: napredak tehnologije poboljšava učinkovitost operacija, ali istovremeno digitalizacija putem međusobno povezanih IT (informacijska tehnologija) i OT (operativna tehnologija) sustava širi površinu napada. Kao dokaz navodi tri slučaja. Godine 2024. luku Seattle pogodila je skupina ransomwarea Rhysida, što je uzrokovalo raširene prekide rada sustava za prijavu putnika, prtljagu i Wi-Fi. Godine 2023. luka Nagoya u Japanu bila je paralizirana ransomware napadom skupine LockBit dulje od dva dana, što je poremetilo trgovinu i pogodilo velike kompanije poput Toyote. Treći je primjer dugotrajniji: između 2011. i 2017. godine kriminalne mreže infiltrirale su se u sustav upravljanja kontejnerima luke Antwerpen kako bi pratile pošiljke droge, a luka je od tada, prema autorici, postala ulazna točka za ilegalne narkotike u Europu.
Ovi primjeri nisu izolirani slučajevi, nego dio šireg obrasca koji potvrđuju i drugi izvori. Analitički portal Help Net Security podsjeća da je upravo napad zloćudnog softvera NotPetya na kompaniju Maersk u lipnju 2017. godine, koji je zaustavio operacije u lukama diljem svijeta, poslužio kao prekretnica koja je pomorsku industriju “probudila” i ubrzala donošenje međunarodnih smjernica. Slično tome, stručna literatura o pomorskoj sigurnosti navodi napad na iranski terminal Shahid Rajaee u svibnju 2020. godine kao još jedan dokaz da napad na lučku infrastrukturu može biti izrazito štetan. Time se izvorni tekst McIntyre nadopunjuje širom slikom: incidenti opisani u njezinu članku dio su kontinuiranog niza napada koji traje već gotovo desetljeće, a ne rijetka odstupanja.
Zanimljivo je da drugi izvori dodaju dimenziju koju McIntyre spominje samo usput – razliku između napada usmjerenih na brodove i napada usmjerenih na lučke terminale. Naime, dok su međunarodne smjernice za brodove donesene još 2021. godine, stručnjaci upozoravaju da lučki terminali dulje vrijeme ostaju bez usporedivog jedinstvenog regulatornog okvira, unatoč tome što su, kako pokazuju upravo primjeri iz McIntyreina teksta (Seattle, Nagoya, Antwerpen), jednako, ako ne i više, izloženi riziku.
Regulatorni odgovor: USCG naspram IMO-a
Središnji dio McIntyreina teksta posvećen je novom pravilu američke obalne straže (USCG) objavljenom 17. siječnja 2025., koje od svih američkih brodovlasnika i operatera zahtijeva razvoj programa upravljanja kibernetičkim rizikom, planove odgovora na incidente i protokole za prijavu povreda. Autorica navodi da usklađenost mora biti u skladu s međunarodnim standardima IMO-a, da je siječanj 2026. rok za obuku osoblja s IT/OT pristupom, te da će se do srpnja 2027. zahtjevi proširiti na potpune procjene rizika i imenovanje posebnog službenika.
Ono što McIntyre spominje samo posredno – “međunarodni standardi koje je postavio IMO” – drugi izvori razrađuju znatno detaljnije. Međunarodna pomorska organizacija (IMO) usvojila je još 2017. godine Rezoluciju MSC.428(98), kojom je odredila da upravljanje kibernetičkim rizikom mora biti dio postojećeg sustava upravljanja sigurnošću broda (SMS) prema ISM kodeksu, s rokom primjene od 1. siječnja 2021. godine – otuda i uvriježeni naziv “IMO 2021”. Popratne smjernice MSC-FAL.1/Circ.3 preporučuju peto stupanjski pristup upravljanju rizikom preuzet iz NIST okvira (National Institute of Standards and Technology): identifikaciju, zaštitu, otkrivanje, odgovor i oporavak. Vrijedno je uočiti da IMO-ove smjernice, za razliku od novog američkog pravila koje McIntyre opisuje, imaju preporučujući, a ne obvezujući karakter, i usmjerene su prvenstveno na brodove, dok terminali i lučka postrojenja ostaju u svojevrsnoj regulatornoj sivoj zoni na globalnoj razini.
Usporedba dvaju izvora otkriva komplementaran, ali ne i identičan pristup: dok IMO postavlja globalni, načelni okvir za brodove, USCG uvodi konkretnija i pravno obvezujuća pravila unutar američke jurisdikcije, uključujući, kako McIntyre ističe, i obalne subjekte regulirane zakonom MTSA. Ta razlika u strogosti i dosegu propisa objašnjava zašto autorica u svom tekstu naglašava upravo američki kontekst – on trenutačno predstavlja najkonkretniji i najskoriji zahtjev s kojim se operateri moraju suočiti.
Što drugi govore: tko je zapravo odgovoran?
Jedan od najuvjerljivijih dijelova McIntyreina teksta jest opis organizacijske zbrke oko odgovornosti za kibernetičku sigurnost. Prema novom pravilu, USCG zahtijeva da postoje dvije zasebne uloge: službenik za sigurnost objekta (FSO), koji tradicionalno upravlja fizičkom sigurnošću, i novi službenik za kibernetičku sigurnost (CySO), odgovoran za tehničku infrastrukturu. Budući da većina pomorskih organizacija dosad nije imala CySO poziciju, autorica opisuje začarani krug pretpostavki: FSO pretpostavlja da će kibernetičku sigurnost preuzeti kao dodatnu dužnost, dok istovremeno pretpostavlja da to već rješava korporativni IT odjel – s rezultatom da “u jedanaestom satu” često nitko stvarno ne upravlja inicijativom.
Ta se dijagnoza podudara s onim što neovisno primjećuju i stručnjaci izvan konteksta američke regulative. Dr. Gary Kessler, autor priznate stručne literature o pomorskoj kibernetičkoj sigurnosti, u razgovoru za portal Help Net Security ocjenjuje da je četiri godine nakon uvođenja IMO-ovih smjernica najveći preostali izazov u sektoru upravo “vodstvo” (leadership) – ne nedostatak propisa, nego nedostatak jasnog vlasništva nad problemom unutar organizacija i spremnost da se kibernetička sigurnost tretira kao prioritet prije nego što je regulator na to prisili. Ta se ocjena gotovo doslovno poklapa s McIntyreinim opažanjem da operateri mogu djelovati nemarno pretpostavljajući da se propisi na njih ne odnose ili da nisu potencijalna meta.
Podudarnost dvaju neovisnih izvora – jednog iz perspektive korporativne sigurnosne direktorice, a drugog iz perspektive akademskog stručnjaka i konzultanta – ojačava vjerodostojnost dijagnoze: problem pomorske kibernetičke sigurnosti nije prvenstveno tehnički ili čak regulatorni, nego organizacijski i kulturološki. McIntyre to zaključuje primjedbom da veće organizacije obično imaju više vremena i resursa za temeljitu procjenu rizika, dok se manje luke mogu brže prilagoditi, ali im nedostaju resursi za sveobuhvatne mjere – a oba tipa operatera, prema njezinim riječima, mogu doživjeti “organizacijski umor” od dugotrajnih sigurnosnih promjena. Ta zapažanja upućuju na to da pravno usklađivanje samo po sebi ne rješava temeljni problem raspodjele odgovornosti i održivosti napora tijekom vremena.
OT nije IT: zašto je pomorski kontekst poseban
McIntyre u zaključnim redcima svog teksta ističe rečenicu koja zaslužuje posebnu pozornost: “OT nije isti kao IT”, a osiguravanje sigurnih operacija zahtijeva stručnost specifičnu za pomorske sustave. Ta tvrdnja nije usputna napomena, nego suštinski uvid koji objašnjava zašto se generički pristupi kibernetičkoj sigurnosti, razvijeni prvenstveno za uredska računalna okruženja, ne mogu jednostavno preslikati na brodove i luke. Operativna tehnologija (OT) obuhvaća sustave koji upravljaju fizičkim procesima – motorima, navigacijskim uređajima, sustavima za rukovanje teretom, dizalicama na terminalima – i za razliku od klasičnih IT sustava, često rade na zastarjelim, teško nadogradivši platformama koje su desetljećima projektirane s pretpostavkom fizičke izolacije, a ne umrežavanja.
I drugi izvori potvrđuju ovu razliku, iako je razrađuju detaljnije nego McIntyre. IMO-ove smjernice MSC-FAL.1/Circ.3 eksplicitno nabrajaju kategorije ranjivih sustava na brodovima – navigacijske sustave, komunikacijske sustave te sustave za integraciju broda i obale, uključujući sustave daljinskog upravljanja i autonomna plovila – i naglašavaju da rizik proizlazi upravo iz sve veće međusobne povezanosti tih, tradicionalno odvojenih, sustava. Stručna literatura koju spominje Bureau Veritas dodatno primjećuje da je NIST okvir, na kojem se IMO-ove preporuke temelje, izvorno generički predložak koji nije specifično prilagođen pomorstvu, zbog čega brodovlasnici i operateri često trebaju dodatne, sektorski prilagođene smjernice kako bi ga učinkovito primijenili u praksi. Time se potvrđuje McIntyreino upozorenje: puko preuzimanje općih sigurnosnih okvira, bez prilagodbe specifičnostima pomorskih OT sustava, ostavlja značajne praznine u zaštiti.
Ova tehnološka dimenzija izravno se nadovezuje na organizacijski problem opisan u prethodnom poglavlju. Ako korporativni IT odjel doista preuzme odgovornost za kibernetičku sigurnost broda, kako McIntyre upozorava da se često pogrešno pretpostavlja, postoji stvarna opasnost da se primijene mjere osmišljene za uredska računala, koje ne odgovaraju stvarnim rizicima OT okruženja. Drugim riječima, manjak jasnog vlasništva nad problemom (organizacijsko pitanje) i manjak specijalizirane stručnosti (tehnološko pitanje) hrane se međusobno – bez CySO uloge posvećene isključivo tehničkoj infrastrukturi, teško je očekivati da će itko unutar organizacije posjedovati potrebno razumijevanje razlike između IT i OT rizika.
Zaključak
Usporedba McIntyreina teksta s drugim izvorima pokazuje da njezina analiza vjerno odražava širi konsenzus struke, ali ga i nadopunjuje konkretnim, nedavnim primjerima. Tri je zaključka moguće izvući iz sinteze. Prvo, prijetnja nije hipotetska: niz dokumentiranih napada, od Maerska 2017. do Seattlea 2024., pokazuje kontinuirani i rastući obrazac usmjeren na pomorsku IT/OT infrastrukturu. Drugo, regulatorni odgovor postoji, ali je fragmentiran – IMO-ove smjernice postavljaju globalni, prvenstveno savjetodavni okvir usmjeren na brodove, dok tek noviji propisi poput američkog USCG pravila uvode konkretnije i obvezujuće zahtjeve, ostavljajući lučke terminale u međuprostoru manje ujednačene regulacije. Treće, i možda najvažnije, i izvorni tekst i neovisni stručnjaci slažu se da je najveća prepreka provedbi organizacijska: nejasna podjela odgovornosti između fizičke i kibernetičke sigurnosti te nedostatak jasnog vlasništva nad problemom unutar tvrtki.
Iz toga proizlazi da samo usklađivanje sa slovom propisa – bilo IMO-ovih smjernica ili USCG pravila – neće samo po sebi riješiti temeljni problem. Kako i McIntyre i Kessler sugeriraju, potreban je kulturološki pomak: jasno definirano vodstvo, dosljedna primjena provjerenih okvira poput NIST-a te prihvaćanje da operativna tehnologija (OT) zahtijeva drugačiju stručnost od klasične informacijske tehnologije. Tek kombinacijom regulatornog pritiska, organizacijske jasnoće i kontinuirane obuke pomorska industrija može ostvariti ono što naslov izvornog teksta i sugerira: da se ujedini, pripremi i doista omogući istinska kibernetička spremnost.
Milo Miklaušić, kap.
Navigirajte glavom, srcem i zvijezdama — ne samo ekranom.
Dragim pomorcima — sretni vam putovi, povoljni vjetrovi i siguran povratak kući!
Popis izvora
McIntyre, A. (2. lipnja 2026.). Ujedinite, pripremite i omogućite pomorsku kibernetičku spremnost. EverLine – Energy’s Technical Stack.
International Maritime Organization. Rezolucija MSC.428(98) – Maritime Cyber Risk Management in Safety Management Systems (2017.) i smjernice MSC-FAL.1/Circ.3.
Help Net Security (2021.). Navigating the waters of maritime cybersecurity. Dostupno na: helpnetsecurity.com.
Center for International Maritime Security / Maritime Executive. The IMO’s 2021 Cyber Guidelines and the Work that Remains to Secure Ports.
United States Coast Guard (17. siječnja 2025.). Konačno pravilo o zahtjevima kibernetičke sigurnosti za brodove i pomorske objekte.
