UR E26/27 Q&A
FAQ / Related Files
UR E26/27 Q&A・関連ファイル
UR E26/27への対応に関するQ&AをHTML形式で掲載しています。質問文・回答文をページ本文に掲載することで、 閲覧性・検索性を高めるとともに、Box内の関連ファイルへもアクセスしやすい構成にしています。
※HTML版FAQは上記更新日時点の掲載内容です。最新版・正本はBox上のExcelファイルをご確認ください。
FAQ更新日 2026/07/08
FAQの見方
- まずは「FAQを検索・絞り込み」から該当分野へ移動し、カテゴリ見出しを開いてください。
- 対象者ラベル（船主・統合者・供給者）で、自分に関係するQ&Aか判断できます。
- 最新内容が必要な場合は、必ずBox上の正本Excelをご確認ください。
FAQを検索・絞り込み
キーワード、カテゴリ、対象者で絞り込めます。必要に応じて、アコーディオンを一括で開閉できます。
全般 3件
Q4
鋼船規則X編4.2.1(15)，5.2.1(10)
X編4章及びX編5章で用いられる「統合されたシステム」という語は、X編3章で用いられる「システム・オブ・システムズ」という語とは異なるのか？
それぞれ次のように定義された異なる用語であり，「統合されたシステム」は「相互に作用する」ものに限定されています。
「統合されたシステム」とは，1又は複数の特定の目的を達成するために構成された，相互に作用する多数のサブシステム及び／又は機器を組み合わせたシステムをいう。
「システム・オブ・システムズ」とは，複数のシステムから構成されたシステムをいう。システム・オブ・システムズは，船舶の一部として造船所から供給されるすべての監視，制御及び安全システムを含む。
Q11
鋼船規則X編1.1.1
コンピュータを使用しないシステム及び機器について、鋼船規則X編4章の承認取得が必要か？
鋼船規則X編はコンピュータシステムが適用対象です。従って、コンピュータを使用しないシステム及び機器は鋼船規則X編4章及び5章の適用対象外であり、承認取得は不要です。
Q12 マイコンを使用するシステムは鋼船規則X編4章及び5章のコンピュータシステムに該当するか？
鋼船規則X編4章及び5章では、「コンピュータシステム」は「情報の収集，処理，保守，使用，共有，発信，処分等，1つ以上の定められた目的を達成するために組織化されたプログラム可能な電子デバイス又は相互運用できる複数のプログラム可能な電子デバイスをいう。」と定義されています。
以下のようなものを使用するシステムについても、鋼船規則X編4章及び5章で定義されるコンピュータシステム該当すると考えます。
・マイコン
・PLC
・組込み用PC
・etc.
X編4章（E27） 40件
Q5
鋼船規則X編4.4.1(4)(b)
セキュリティ機能試験要領書は「試験中に試験結果をアップデートし，所見を記録する手段を含むこと。」と規定されているが、この手段は、電子上での更新や記録を意味するものか？
更新や記録の手段については特段規定していないため，電子的なものであっても，紙に手書きすることであっても，手段が明示されていれば差し支えありません。
Q6
鋼船規則X編4.1.2-1.(2)
本項で掲げる船舶は「非強制のガイドラインとして使用できる」と規定されているが、本章を適用しない場合においては、搭載されるコンピュータシステムはX編4章に従った承認は不要との理解で差し支えないか？
ご理解の通りです。一方で、該当する船舶が本章を適用する場合においては、搭載されるコンピュータシステムはX編4章が適用になります。
Q7
鋼船規則X編表4.1中，項目2
人間のユーザーの定義はないが、乗組員だけでなく、供給者のエンジニアも含まれるとの理解で問題ないか？
ご理解の通りです。
Q16
鋼船規則X編4章
あるシステムについて、鋼船規則X編4章（IACS UR E27）の適用対象であるか否かを判断するのは誰（メーカー or 造船所）なのか？
供給者（一般的にメーカー）は、統合者（一般的に造船所）と協力して、コンピュータシステムに本章が必須であるかどうかを判断する必要があります。
（鋼船規則X編4.6.1-1）
Q18
鋼船規則X編4章
UR E27（X編4章）の承認を取得済の製品を調べる方法は？
下記URLにて本会が承認した製品を公表しています。
https://www.classnk.or.jp/appr_list/material_search.aspx?lang=ja
上記URLの詳細検索をONにした後、「承認番号／鑑定番号」欄に「CY」を入力のうえ、検索を行ってください。
Q20
鋼船規則X編4.4.2表X4.1番号14
監査用の記憶容量について、記憶容量に具体的な決まりはあるか？
具体的な決まりはありませんが、供給者が、
・通常航海時の記録頻度
・サイバー攻撃時の記録頻度
・記録の確認頻度
等を考慮して、インシデント発生時の解析に必要な容量として決定する必要があります。
Q21
鋼船規則X編4章
供給者だけが認知している隠しアカウントを設けることは認められるか？
パスワード等の詳細は資料に記載不要ですが、供給者専用のアカウントがあることは資料に記載する必要があります。
Q23
鋼船規則X編4章
UR E27（X編4章）の型式承認を申請する場合の提出手段は？
NK-PASSを利用して提出してください。NK-PASSでの利用申込及び提出方法についてはNKホームページのホーム>業務サービス>ウェブサービスポータル＞NK-PASSを参照ください
https://www.classnk.or.jp/hp/ja/activities/portal/nk-pass.html
NK-PASSの利用が難しい場合は、電子メール(機関部:mcd@classnk.or.jp)での申込も受け付けております。
Q32 各メーカがE27（X編4章）に関する型式承認を取ることになると思いますが、その進捗が気になります。
型式承認取得済みの製品については、NKホームページから確認可能です。
（承認番号／鑑定番号に「CY」と記入して検索）
https://www.classnk.or.jp/appr_list/material_search.aspx?lang=ja
Q33 スラスタ制御装置は適用対象のOTシステムか？
推進に使用する場合、または、2級もしくは3級DPS（自動船位保持装置）として使用する場合は適用対象のOTシステムとなります。
一方これらに当てはまらない、つまり推進に使用せず、DPSに使用しない場合は対象外となります。ただし、この場合もシステムや船舶のシステム構成やネットワーク構成次第で適用対象となる場合もあります。（Q10参照）
Q36 UR E27の承認取得のためには、UR E10またはE22の承認取得が条件となるか？
UR E10またはE22の承認取得はE27承認取得の条件ではありません。
E10またはE22の承認につきましては、それぞれの承認取得を要求する要件に基づいて承認取得をご検討ください。
Q38
・L3スイッチはUR E27（X編4章）の承認が必要か？
・L2スイッチはUR E27（X編4章）の承認が必要か？
・FirewallはUR E27（X編4章）の承認が必要か？
・L3スイッチが適用対象システムの通信を制御する場合は、E27の承認が必要です。
・L2スイッチが適用対象システムの通信を制御する場合は、E27の承認が必要です。ただし、アンマネージドスイッチである場合は承認不要です。※
（※規則上、実際に使用可能な個所は限定的と考えます。）
・Firewallが適用対象システムの通信を制御する場合は、E27の承認が必要です。
Q45
X編4章／船用材料・機器等の承認要領7編10章
供給者（メーカー）がE27の承認を取得する際に作成しNKに提出する資料を教えてください。
供給者が作成し提出する資料は以下の9つの資料です。
1.コンピュータシステム資産インベントリ
システムを構成するハードウェアおよびソフトウェアの情報を一覧化したリスト。
2.トポロジー図
システムの物理的および論理的なネットワーク構成を示す図。
3.セキュリティ機能仕様書
要求されるセキュリティ機能を、システムがどのように満たすかを説明する資料。
4.セキュリティ機能試験要領書
セキュリティ機能が要求事項に適合していることを、どのように試験し実証するかを示す資料。
5.セキュリティ構成指針
統合者及び船主が適切に設置・設定・運用できるように推奨設定などを示す資料。
6.セキュア開発ライフサイクル文書
製品の企画・要求分析、設計、実装、検証、リリース、保守及びサポート終了までの各段階において、セキュリティを考慮し、適切なセキュリティ対策を組み込む仕組みが供給者社内に整備されていることを説明する資料。
7.保守・検証手順書
セキュリティ機能の維持、確認、点検等に関する手順を記述したもの。
8.インシデント対応・復旧計画支援情報
船主がインシデント対応および復旧計画を作成・実行するために必要な手順及び情報を記述したもの。
9.変更管理手順書
システムの変更管理プロセスを記述した資料。
なお、供給者による試験報告書については、型式承認取得後、個船に引き当てる際に提出いただくものです。設計、構築、試験、設定およびハードニングが完了していることを示すための、供給者による社内試験のレポートです。
Q46
X編4章／船用材料・機器等の承認要領7編10章
サイバーレジリエンスに関する対策が講じられる機器等の型式承認（E27の型式承認）を取得すればその後は供給者は図面の提出及びNK検査員立会下での試験は不要か？
船ごとに以下の3+2つの資料をNK機関部にご提出いただく必要がございます。
・コンピュータシステム資産インベントリ（個船仕様に特定したもの※1）
・トポロジー図（個船仕様に特定したもの※1）
・供給者による試験報告書
・加えて、どの製品をどの船に引き当てるかという情報をご記載いただいた省略願い(※2)及び型式承認証書の写しをご提出いただく必要がございます。
一方で、NK検査員立会下での試験は不要です。
※1.例えば、型式承認時に範囲として記載されたバージョン情報の特定(例：1.x→1.1)や、承認範囲内の仕様・構成のうち当該船に適用されるものの特定等を意味します。
※2.省略願いの様式については、FAQ Q97をご参照ください。
Q49
X編4章／船用材料・機器等の承認要領7編10章
E27型式承認取得にかかる所要時間の目安は？
提出書類の完成度などにより変化しますが、書類審査～試験立会に4か月、試験立会後～証書発行に2か月、を最低限必要な時間(期間)の目安としてお伝えしております。
Q50
X編4章
E27(X編4章)の型式承認を取得していないコンピュータシステムであっても、以前に個船向けに承認を取得したコンピュータシステムと同仕様の場合は、NKへの資料提出及びNKの立会検査を省略可能か？
（E27の承認について同型省略のようなスキームはあるか？）
型式承認を取得していない場合の省略可否については以下のとおりです。
・図面提出：本会図面提出システム「NK-PASS」を利用した図面の「流用」が可能です。
・立会検査：承認の内容に関わらず省略することはできません。
(Q50_参考資料.pdf)
※当初、同一のシステムを同型船に搭載する場合には、図面提出と弊会検査員の立会検査が省略できるとの旨ご説明しておりました。また、「船上のシステム及び機器のサイバーレジリエンスに関するガイドライン(第1.0版)」においてもそのように説明しております。本会のご説明に誤りがあり、大変申し訳ございませんでした。
Q56
鋼船規則X編4章
UR E27（X編4章）の型式承認を申請中（審査中）の製品を調べる方法はあるか？
申し訳ございませんが、審査中の製品については公表しておりません。
Q59
X編4章/E27で要求される以下の4つの資料については、X編4.4.1において「要求に応じて本会に提出」と記載されているが、どのような場合にNKへの提出が必要か？
・セキュア開発ライフサイクル文書
・コンピュータシステムの保守・検証手順書
・船主のインシデント対応とリカバリープランをサポートする情報
・変更管理手順書
基本的に提出が必要とお考え下さい。
（なお、過去にX編3章/E22の承認のために弊会へ提出済の資料を流用する場合は、申請書に明記いただければ提出を省略することが可能です。）
Q62 E26適用船に搭載するシステムや機器について、E27の承認が不要となるケースについて教えて欲しい。
どのような場合にE27の承認が不要(適用範囲外)となるかについては、以下の3つのケースに整理できると考えます。※1
-Case 1. コンピュータシステムでない
-Case 2. コンピュータシステムだが適用対象のOTシステムでない※2
-Case 3. コンピュータシステムかつ適用対象のOTシステムだが、X編5.5(Chapter 6 of E26)の除外規定により適用除外可能。
※1:コンピュータシステムにはネットワーク機器も含む。
※2:適用のコンピュータシステムとIP通信する機能を有する場合を除く。
Q63 コンピュータシステムを構成するコンポーネント単位（例えば汎用のPLC単体）でE27の承認を取得できるか？
コンポーネント単体でE27の承認をご取得いただいたとしても、コンピュータシステムを構成した状態でシステム単位で改めてE27の承認を取得いただく必要がございます。
Q66
E27の型式承認を取得した製品について、個船に引き当てる際について教えて欲しい。
①立会検査は一部必要か？
②資料の提出は必要か？
③証書は発行されるのか？
④省略願いの書式に指定はあるか？
①立会検査は不要です。
②個船ごとに以下の3+2つの資料をNK機関部へご提出いただく必要がございます。
・コンピュータシステム資産インベントリ（個船仕様に特定したもの）
・トポロジー図（個船仕様に特定したもの）
・供給者による試験報告書（テストレポート）
・どの製品をどの船に引き当てるかという情報をご記載いただいた省略願い及び型式承認証書の写し
③証書は発行されません。(E27以外の要件で立会検査が行われる場合は、その要件及び検査に基づいた証書が発行される場合があります。)
④指定の様式はありません。省略願いの様式については、FAQ Q97をご参照ください。
Q72
UR E27の型式承認について、
・型式承認を取得したいが、どうしたらいいか？
・型式承認に関する詳細情報はどこで確認できるか？
・型式承認の申請にはどの申請書を使用すればよいか？
・型式承認の申請時にどのような書類が必要になるか？
・型式承認の書類の提出方法にはどのようなものがあるか？
・型式承認の費用についてはどこに問い合わせればよいか？
・型式承認の有効期間は？
まずは弊会が作成したガイドライン(解説書)や当FAQなどを掲載している専用ポータルをご参照ください。
https://www.classnk.or.jp/hp/ja/activities/cybersecurity/ur-e26e27.html
■申請書様式について
型式承認の申請をされる方は、申請書様式「Form 7-10」を提出してください。
■提出書類について
申請時に、申請書と下記の書類を合わせてご提出いただきます。
1. コンピュータシステム資産インベントリ
2. トポロジー図
3. セキュリティ機能仕様書
4. セキュリティ機能試験要領書
5. セキュリティ構成指針
6. セキュア開発ライフサイクル文書
7. 保守・検証手順書
8. インシデント対応・復旧計画支援情報
9. 変更管理手順書
■提出方法について
申請書および各書類の提出は、以下のいずれかの方法で行ってください。
a) NK-PASS（オンライン提出）
b) Eメール（mcd@classnk.or.jp宛）
c) 郵送（各書類を3部ずつご提出ください）
■承認取得までの所要期間
型式認証の取得には、全体で約6ヶ月を見込んでおり、内訳は図面審査に約4ヶ月、立会試験から証明書発行までに約2ヶ月です。
■費用について
費用に関するお問い合わせは、機関部（mcd@classnk.or.jp）まで、製品の概要やネットワーク構成等を添えてご相談ください。
■有効期間
発行から5年間有効です。
Q73
X編表X2.3 / E27 Appendix II
X編4.4.1(10) / E27 3.1.10
E27型式承認取得後も、個品ごと(個船ごと)に「供給者による試験報告書」の提出が求められているが、E27の型式承認取得時に実施するセキュリティ機能試験(X編2.2.2-3.)のレポートのことを言っているのか？
型式承認取得時に実施したセキュリティ機能試験のレポートではありません。
個船ごとにセキュリティ機能の設定及びハードニングが行われていることの証拠となる資料です。そして、該当の内容について供給者において実施いただく社内試験の結果となります。
なお、E27上ではやや不明瞭ですが、弊会としては、個船ごとに社内試験でのセキュリティ機能試験の実施を求めるものではないと考えております。
Q76
既存のE10やE22の型式承認証書とE27の型式承認証書を統合した一つの証書として発行することは可能か？
・ E10(耐環境性能)に関する型式承認
・ E22(コンピュータシステムの製造品質)に関する型式承認
・ E27(コンピュータシステムのサイバーレジリエンス)に関する型式承認
E11、E22、E27の各要件に関する型式承認を一つにまとめることは可能です。型式承認申請時にご意向をお知らせください。(申請書式Form 7-10上のチェックボックスで有無を選択してください。)
・E10:船用材料・機器等の承認要領7編1章 自動化機器及び装置
・E22:船用材料・機器等の承認要領7編8章 コンピュータシステム
・E27:船用材料・機器等の承認要領7編10章 サイバーレジリエンスに関する対策が講じられる機器
(Form 7-10記載例：Q76_参考資料.pdf)
ただし、以下の点を考慮いただく必要があります。
・既存の証書と統合する場合は、最短の期限に統一されます。(又は同時に更新を申請いただく)
・承認スコープに含めるコンポーネント。
・システムの使用用途。
Q82 E27(X編4章)についてメーカー(供給者)の提出資料のテンプレートやサンプルフォーマットはあるか？
下記資料について、記載イメージを掴んでいただくために、一部のセキュリティ機能について仮想的に記載例を作成しましたのでご参考にしてください。
・セキュリティ機能仕様書
(Example Description_セキュリティ機能仕様書.pdf)
・セキュリティ機能試験要領書
(Example Description_セキュリティ機能試験要領書.pdf)
Q87 E27型式承認資料について、英文版の作成は必ず必要ですか？
規則上、E27型式承認資料の英文版作成は必須要件とはされておりません。
しかしながら、ご提出いただいた承認資料は、規定に基づき、供給者（メーカー様）から造船所様へ、そして造船所様から最終的に船主様へ引き渡されることになります。そのため、製品が海外の船主様や船員様によって使用されることが予想される場合には、英文版の資料をご用意いただくことを強く推奨いたします。
X編 4.6.2-3. / E27 6.2、X編 2.2.3-2.(5) / E26 Ch.5
Q88
VPN接続そのものを、多要素認証の一つの「要素」として数えることはできますか？
X編4.4.3 表X4.2 / E27 4.2 Table 2 No.31
正確には、VPNという「通信路」そのものは認証要素ではありません。
しかし、VPN接続の認証プロセスに、「デバイス証明書」を組み込むことで、多要素認証を実現することは可能と考えます。
この場合、
第1要素(所持)：許可されたPCにのみインストールされた「デバイス証明書」
第2要素(知識)：利用者が入力する「パスワード」
という組み合わせにより、「正しい証明書を持つPC」から「正しいパスワードを知る本人」がアクセスしていることを確認できるため、多要素認証の要件を満たすものと考えます。
Q92
X編4.4.1(3)(e)iii) / E27, 3.1.3
補完的対策について、「本章の他の要求事項により要求されるセキュリティ管理策ではないこと。」とあるが、ポートブロッカーのように、一つの対策手段で複数の要求事項を満たすことは可能か？
可能です。重要なのは「要求事項の代替」と「対策手段の兼用」を区別することです。
許容されない例：要求事項の代替
ある要求事項（例：ユーザー認証）を、別の要求事項（例：アクセスログ）で補うことはできません。各要求事項は独立して満たされる必要があります 。
許容される例：対策手段の兼用
ポートブロッカーという一つの「対策手段」が、複数の要求事項を同時に満たすことは問題ありません。
結論として、「要求事項の代替」は認められませんが、「単一の対策手段で複数の要求事項を満たす」ことは許容されます。
Q95
X編4.4.3 表X4.2 No.31
多要素認証の一要素として、FirewallのIPアドレスホワイトリスト（特定のIPアドレスからの通信のみを許可する設定）は認められますか？
いいえ、IPアドレスホワイトリスト自体は、多要素認証の一要素としては認められないと考えます。
多要素認証は、一般的に知識情報・所持情報・生体情報の3つの要素のうち、2つ以上を組み合わせて本人確認を行うものです。
IPアドレスホワイトリストは、特定の「場所」からのアクセスを許可するものであり、上記のいずれの認証要素にも直接は該当しません。
Q96 E27(X編4章)の型式承認を取得した製品について、供給者の工場等で実施される個船ごとの、E27に関するNK検査員の立会試験を省略するためには、事業所承認の取得も必要ですか？
いいえ、事業所承認の取得は不要です。
E27(X編4章)に関する有効な型式承認を取得していれば、供給者の工場等で実施される個船ごとの、E27に関するNK検査員の立会試験は省略されます。ただし、個船ごとに「供給者による試験報告書」などの一部資料の提出は必要となりますのでご注意ください。
(なお、E22(X編3章)に関する試験省略の取り扱いについては当FAQのスコープ外です。詳細についてはNKテクニカルインフォメーションTEC-1348をご参照ください。)
Q97 E27の型式承認を取得した製品を個船に引き当てる際の「省略願い」について、決まった書式はありますか？
弊会にて申込書の様式を作成しています。
・（和文）Form_型式承認取得後の引当申込書.docx
・（英文）Form_Application for Omission for Type Approved Products.docx
なお、本様式の使用は任意です。任意の書式でご提出いただくことも可能です。
Q100
型式承認申請書Form 7-10について、以下の項目の書き方が分かりません。
・追加で要求されるセキュリティ機能の有無
・自動化機器及び装置の型式承認同時申込の有無
・コンピュータシステム型式承認同時申込の有無
各項目については、以下のようにご判断ください。
・追加で要求されるセキュリティ機能の有無
「有」: 製品が「信頼できないネットワーク」と通信する機能(X編4.4.3 / UR E27 4.2追加で要求されるセキュリティ機能)を持つ場合に選択します。
「無」: 上記機能を持たない場合に選択します。
・自動化機器及び装置の型式承認同時申込の有無
「有」: 耐環境性能（UR E10相当）の承認を同時に申請する場合※1、または既存の承認と一つの証書に統合したい場合※2に選択します。
・コンピュータシステム型式承認同時申込の有無
「有」: コンピュータシステムの製造品質（UR E22相当）の承認を同時に申請する場合※1、または既存の承認と一つの証書に統合したい場合※2に選択します。
※1: 証書を分ける場合は「無」を選択し、別途Form 7-1または Form 7-8をご提出ください。
※2: 既存の証書との統合をご希望の場合は既存証書の情報(xxAxxx、xxCPxxx、TAxxxxxM)を備考欄へご記入ください。
Q104
鋼船規則X編 4.5.8(1) / E27 5.7a)
ここでいう「セキュリティコンテキスト」とは何ですか？
ここでいう「セキュリティコンテキスト」とは製品が実際に運用される環境全体のセキュリティ状況や設定を指す言葉です。製品単体の機能だけでなく、それが置かれる以下のような周辺環境までを含んだ意味を持ちます。
・接続される他のシステム、ネットワーク構成、ファイアウォールなどの技術的な環境。
・船主が定めるパスワードポリシーやアクセス管理ルールなどの運用方針などの組織的な環境。
・機器が設置される部屋の施錠管理などの物理的な環境。
Q105
鋼船規則X編 4.5.8(1) / E27 5.7a)
「製品（第三者のコンポーネントを含む）と，製品のセキュリティコンテキストとの統合」とは、何を要求していますか？
ここでは、製品の供給者(メーカー)に対して、自社製品を顧客の運用環境(セキュリティコンテキスト)へ安全に統合するための具体的な手順を記載した「セキュリティハードニング指針」を提供することを要求しています。
つまり、「この製品は安全です」とただ供給するだけでなく、
・「このシステムと接続する際は、このポート設定をしてください」
・「船主のポリシーに合わせて、パスワードの最低文字数を変更してください」
・「この機能は不要であれば無効化し、攻撃される可能性（攻撃対象領域）を減らしてください」
といった、運用環境に適合させるための具体的な指示を文書で示すことを求めています。
Q109 1級自動船位保持設備(DPS)や、任意搭載のDPS（船級承認を受けないもの）は、E26/E27の適用対象のOTシステムに該当するか？
それらのDPSについては、適用対象のOTシステムに該当しないと考えます。
ただし、E26/27の適用対象となる他のコンピュータシステム(適用対象のOTシステム)と同一のセキュリティゾーンに設置する場合はE27の承認が必要です。(E26 4.2.1.3 / X編5.4.3(1)(c)i))
Q112
鋼船規則X編 4.1.2-2.(1)(k)
航海設備及び無線通信システムについて、IEC 61162-460の認証を取得している場合、鋼船規則X編4章（UR E27）の承認取得、及びそれに伴う資料提出や試験は不要となりますか？
IEC 61162-460の認証を取得している場合であっても、鋼船規則X編4章（UR E27）の承認取得は必要であり、図面等の資料提出及び本会による審査が必要です。
提出資料（セキュリティ機能仕様書等）においては、X編4章（UR E27）の要件ごとに、適合性を整理して記載いただく必要があります。
ただし、IEC 61162-460の認証プロセスにおいて実施された試験の結果（テストレポート等）を提出いただいた場合、本会にて内容を審査の上、X編4章（UR E27）で要求される試験と同等であると判断される項目については、試験の実施を省略することが可能です。
Q127
鋼船規則X編4.4.1(10) / E27 3.1.10
E27の型式承認を取得した製品を個船に引き当てる際、供給者による試験報告書の提出が求められます。しかし、製品の仕様上（セキュリティ設定がハードコードされている等）、個船ごとのセキュリティ機能の設定やハードニング作業が発生しない場合、試験報告書には何を記載すればよいですか？
供給者による試験報告書には、製品の仕様上、個船ごとのセキュリティ設定やハードニング作業の対象となる項目がない旨（設定が設計上固定されていること等）を記載してください。
なお、個別の設定作業がない場合であっても、製品が承認された仕様どおりに構築されていることの確認結果、製品の動作確認結果、及びインストールされているソフトウェアバージョンの記載は必要です。
Q129 信頼できないネットワークとのゾーン境界に設置されるFirewall等の管理画面へのアクセスは、X編4.4.3（UR E27 4.2）の、追加で要求されるセキュリティ機能の適用対象になりますか？
はい。信頼できないネットワーク側からFirewall、ルータ等のゾーン境界デバイスの管理機能へアクセスできる場合、そのアクセスもX編4.4.3（UR E27 4.2）の追加セキュリティ機能の対象となります。
ゾーン境界デバイスの管理機能が不正に操作されると、通信制御やアクセス制御等のセキュリティ機能が変更又は無効化されるおそれがあります。
そのため、信頼できないネットワーク側からの管理アクセスは無効化し、セキュリティ機能仕様書にその旨を明示してください。やむを得ず有効化する場合は、MFA、暗号化通信、接続元制限、明示的な船上承認、ログ取得等の適切な保護手段を適用し、その内容をセキュリティ機能仕様書に記載してください。
Q130 X編表X4.1(E27 4.1 Table 1) No.13、No.14及びNo.23で要求される監査記録の保存又は確認の手段として、AMSのデータロガー等、OTシステムに従来から備わっている警報の記録機能を利用することはできますか？
利用可能です。X編表X4.1(E27 4.1 Table 1) No.13、No.14及びNo.23は、監査記録の生成、保存容量及び閲覧性に関する機能を要求していますが、監査記録のために専用の装置又はシステムを新たに設けることを一律に要求しているものではありません。したがって、AMSのデータロガー等、OTシステムに従来から備わっている警報の記録機能により、必要な監査対象事象を記録し、必要に応じて確認できる場合は、当該機能を監査記録の保存又は確認の手段として利用して差し支えありません。ただし、記録対象となる事象、記録内容、保存期間又は保存容量、確認方法等については、セキュリティ機能仕様書等の提出図書において明確に説明してください。
Q135 E27（鋼船規則X編4章）に関する「使用承認」と「型式承認」は、何が違いますか。名称は変更されましたか。
2026年7月1日以降に申込みのあった船用材料・機器等から、従来「使用承認」と呼称していた承認は、「型式承認」に名称変更されました。あわせて、関連要領の名称も「船用材料・機器等の承認及び認定要領」から「船用材料・機器等の承認要領」に変更されています。本改正は用語の整理・統一を目的としたものであり、要件の実質的な内容に変更はありません。したがって、新旧の名称はいずれも同一の承認スキームを指すものとご理解ください。
X編5章（E26） 62件
Q1
鋼船規則A編1.2.4-35.
2024年7月1日以降に建造契約が行われる船舶において、必ず提出しなければならない図面/資料と、船級符号に “CybR” を付記するために必要となる図面/資料の違いがあるか？
2024年7月1日以降に建造契約が行われる船舶には、鋼船規則X編4章及び5章（UR E27及びE26）の適用が強制される船舶と、そうでない船舶がございます。同規則の適用を受ける全ての船舶については、船級符号に “CybR” が付記されます。
"CybR" が付記される全ての船舶については、鋼船規則X編2.1.1(1)(b)及び(c)並びに(2)(b)に記載する全ての図面及び資料を提出いただく必要があります。
一方で、 "CybR" が付記されない船舶については、当該資料の提出は不要です。
Q2
鋼船規則X編2.2.3-5.(5)
船上のコンピュータシステムについて、供給者が倒産，撤退した場合は，即座にシステムを取り換える必要はあるか？
供給者が倒産又は撤退した場合，即座にシステムを取り替えていただく必要はありませんが，可能な限り早く必要な取り替えを行って，各コンピュータシステムを最新の状態にしていただく必要があります。供給者が倒産又は撤退した場合には，他の供給者にドキュメント等を引き継ぐことが一般的であって，即座にサポートが終了するケースは少ないと思われます。
Q3
鋼船規則X編2.2.3-5.(5)
船上のコンピュータシステムを「最新状態に維持しなければならない」とあるが、最新の状態であることを示す方法と船級がそれを確認する方法について具体例を教えてほしい。
鋼船規則Ｘ編5.4.2(1)(d)iii)3)に，ソフトウェアがアップデートされ続けていることの確認方法として，以下の2つを例示しております。
・脆弱性スキャン（システム上の悪用可能な弱点（更新が必要なソフトウェアを含む）を識別するサービス）
・コンピュータシステム起動時のソフトウェアのバージョン診断（ソフトウェアのバージョンが最新であることを，手動又はツールを用いて確認する）
そして，鋼船規則B編表B5.32中，検査項目1に示すとおり，本会は定期検査において，それらを立会検査で確認いたします。
Q8
鋼船規則X編5.4.3(4)(c)i)
物理的アクセス制御の要件として、「分類Ⅱ及び分類Ⅲのコンピュータシステムは，不正アクセスを防ぐために，通常施錠可能な部屋又は管理されたスペースに備えるか，又は，施錠可能な棚若しくはコンソールに備えなければならない。」と規定されている。例えば、以下のスペースは「管理されたスペース」に該当するか？
・機関部警報監視装置が装備される機関制御室
・主機機側制御装置が装備される機関室
・貨物制御用の監視装置が装備される貨物制御室
ご理解の通りです。
「管理されたスペース」というのは，例えば，船員による目視監視が行われる部屋（船員が常時いるような部屋），戸に封印シールを貼り入室管理が施されている部屋等が該当します。
Q9
鋼船規則X編5.4.5(4)
「ミニマルリスクコンディション」への「フォールバック」とは、具体的にはどのような状態を表すのか？
「ミニマルリスクコンディション」への「フォールバック」とは，鋼船規則X編5.4.5(4)(a)に示す通り，生じうる安全上の問題によるリスクを減じるための安定的な停止状態に至ることをいいます。
Q17 以前からある船級符号の付記"CybR-G"とは？
IACS UR E26 Rev.1及びE27 Rev.1を取り入れた鋼船規則X編4章及び5章の適用を受ける船舶については、Cyber Resilienceの略号である“CybR” が付記されます。
一方で、本会の非強制のガイドラインである「船舶におけるサイバーセキュリティデザインガイドライン」に適合した船舶については、Cyber Resilience-Guidelineの略号である"CybR-G"が付記されています。
Q19
鋼船規則X編5.5
適用除外しないコンピュータシステムの場合もリスク評価は必要か？
不要です。
Q22
鋼船規則X編5.4.2(1)
船舶資産インベントリには、適用範囲外のコンピュータシステムや、リスク評価で除外されたコンピュータシステムを記載する必要はあるか？
必須ではありません。
Q24
船舶のサイバーレジリエンスに関するガイドライン 4-7
鋼船規則X編5.4.3(1)(d)iv)1)
ガイドライン4章 「4-7 船舶サイバーセキュリティ・レジリエンス計画書」のうち「X編 5.4.3(1) セキュリティゾーン及びネットワークセグメント」に関して、"4) 権限を与えられていないデバイスの接続の有無"というゾーン境界デバイスにおける監査記録に対する説明がある。これは、NAC（Network Access Control）の導入を要求するものか？
本ガイドラインの説明は、NACの導入を要求するものではありません。本説明ではネットワーク関係の事象を監査対象として想定しており、例えばIPアドレスによる監視やログ分析でも基本的な監査は可能であるため、ファイアウォールなどのゾーン境界デバイスにおいて設定が行えるものと考えております。
（参考）
なお、NACを導入する場合は、以下のような特徴に基づいてより詳細なデバイス管理を実施することができます。
- デバイスID (MACアドレス等)
- セキュリティポリシー (OSやウイルス対策ソフトのバージョン)
- アプリケーション層でのふるまい
これらは、いわゆるITシステムを想定して選ばれたものです。
Q26 「ゾーン及びコンジット図」について、E26範囲外のゾーンをどこまで記載すればよいか。
「船舶資産インベントリへの記載要否」及び「ゾーン及びコンジット図への記載要否」につきまして、フローチャートの形でまとめましたので、添付ファイルを参照ください。
(Q26_参考資料.pdf)
ゾーン及びコンジット図では、E26範囲内の機器と対象外の機器との通信を明示する必要があります。（X編5.4.3(d)i)2)）
そのため、対象機器と通信する対象外の機器とそれを含むゾーンまたはセグメント等は明示するようにお願いいたします。
Q27
船舶のサイバーレジリエンスに関するガイドライン 図2.5及び図4.2
図2.5では、VDR下流のRadarはE26範囲内と記されているが、図4.2のゾーン及びコンジット図のサンプル図ではVDR下流のOT ZONE内の機器はE26範囲外となっている。VDRとIP接続する下流の機器のE26適用有無をご教示願いたい。
Radarはガイドラインの2-2.1に示す通り、E26/E27の適用対象です。
また、ゾーン境界デバイスを介さずにVDR（E26/E27の適用対象）とIP接続する機器はE26/E27の適用対象となります。
一方で、機器がE26/E27の適用対象ではなく、また、IP接続されていない場合は適用外となります。
Q28
NK発行「船舶のサイバーレジリエンスに関するガイドライン」中、図4.2
ゾーン及びコンジット図のサンプル図ではFirewallが２箇所設置（いずれもE26範囲内）されている。上側のFirewall１箇所のみとして、各ZONEへ接続とするネットワーク構成は認められるか？
Firewall（等のゾーン境界デバイス）の設置台数について規定はないため、規則上は各ゾーンの分離を1台のFirewallで達成することも可能と考えます。ただし、Firewallルールの設定が煩雑になる可能性や、また、分離した場合と比べた際のセキュリティ脆弱性などのデメリットがある可能性にご留意ください。
Q29
鋼船規則X編5.4.4(1)(d)iii)1)
「異常に高いネットワークトラフィックが検出され，警報が発せられ，監査記録が作成されることの試験。」という要件について、設計次第ではネットワークトラフィックが警報閾値まで達しない可能性があるが、その場合は試験に合格可能なのか？
帯域制限(通信量の制限)などの対策が行われており警報のしきい値に達しない場合、その説明を「セキュリティ機能仕様書」や「セキュリティ機能試験要領書」、「船舶サイバーレジリエンス試験要領書」に明記することで受け入れ可能です。試験時には、対策が機能し、警報のしきい値に達しないことを確認します。
なお、各コンピュータシステムのX編4章（E27）に関する承認取得のための試験で実施されていれば、造船所様での試験は省略可能です。
Q30 NKに提出する資料への船主支給品情報などの記載事項に関して、船主支給品に関する情報が建造の早い段階で入手できずにTBD（未定事項）とした場合、いつまでに反映させればいいのか？
「TBD」の情報を更新し、図書を最終版としていただく期限は船の引き渡しとなります。ただし、図書に基づいて立会検査が実施されますので、それらが滞りなく行われるだけの余裕をもって承認取得いただく必要があります。
そのために、造船所様は、船主様と密接に連携いただく必要があります。
Q31 船主支給品については、資料に記載が必要な情報が未入手の場合はひとまずTBD（未定事項）等を記載してNKに早期に提出するように説明を受けたが、船主支給品以外においても必要な情報が揃わない場合は、それと同様に一旦TBDとして提出することで問題ないか。
ご理解のとおりです。
Q34
鋼船規則X編5.4.3(1)(a)i)
「エアギャップ」とは、他のシステムからの接続がないと言う意味か？部屋を分けるなどの対応は必要ないという理解でよいか？
エアギャップとは、あるシステムが物理的にも論理的にも他のネットワークから隔離された状態を意味します。部屋を分けないと達成できないものではありません。
Q39
鋼船規則X編5.4.4
検知で求められる警報について、警報先（例えばAMSへの出力）や、警報表示方法、可聴警報の有無に決まりはあるか？
警報先や、警報表示方法、可聴警報の有無に関する具体的な規定はありません。そのため、警報監視装置（AMS）への信号出力や、可聴警報の装備は必須ではありません。
ただし、サイバーインシデントを早期に検知し、対応手順や復旧計画を実行するための要素であり、それらを計画するために船主様が作成する船舶サイバーセキュリティ・レジリエンス計画書の内容に影響しますので、それを踏まえてご設計ください。
Q40 NKの資料中でファイアウォールを2台設置する構成が例示されているが、NKはファイアウォールを2台以上設置することを求めているか？
ファイアウォールの設置台数に指定はなく、あくまで例です。1台設置でも規則上差し支えございません。
セキュリティ性やメンテナンス性などを考慮して構成をご検討ください。
Q42
規則X編5.5.4-2.(3)
「船舶のサイバーレジリエンスに関するガイドライン」4-4.2では、物理的なアクセスが制御されているエリアとして常時船員により監視できる区画が挙げられ、その例として船橋や機関制御室が示されている。M0船においては定期的に無人になるが、その場合も「物理的なアクセスが制御されているエリア」とみなすことができるか。
また、荷役中等の船橋も無人になるタイミングもあるが、それもアクセスが制御されているエリアとして扱って問題ないか。
それらの区画は、施錠可能な仕様になっていれば、「物理的なアクセスが制御されているエリア」とみなすことができます。
なお、施錠の管理については、船主様が作成する船舶サイバーセキュリティ・レジリエンス計画書に記載し、それに従って運用する必要があります。
Q43
X編5.4.6(1)(c)iii) / E26 4.5.1.3
目標復旧時間（RTO／Recovery Time Objective）目標復旧時点（RPO／Recovery Point Objective）の具体的な期間などの決まりはあるか？
RTO/RPOは船主様が作成する復旧計画書に規定する必要がありますが、具体的な期間については規定されていません。
達成可能なRTO/RPOは、船舶やシステムの設計にも依存するため、船主様、造船所様、関係する供給者様で検討することを推奨します。
一般的に、システムの重要度、船舶への影響、復旧にかかる時間、データの更新頻度などを考慮して決定するものです。
Q44
X編5.4.3(2)(d)iii)1)
試運転段階の「ゾーン境界保護デバイスを標的とするサービス拒否（DoS）攻撃の試験（該当する場合）」については、どの位置からどこへのデータフローを想定して負荷をかければいいか？
ITゾーン側（適用範囲の外側／適用対象外のシステム側）から負荷をかけていただく必要がございます。添付資料をご参考ください。なお、添付資料内の下側にあるFirewallについては設置／試験は任意となります。ただし、設置する場合はE27の承認を取得する必要があります。
(Q44_参考資料.pdf)
Q47
X編5章
統合者（造船所）がE27の承認を取得する際に作成しNKに提出する資料を教えてください。
統合者（造船所）が作成し提出する資料は以下の6つの資料があります。
1.ゾーン及びコンジット図：船舶のセキュリティゾーンの構成を視覚的に示す資料です。
2.サイバーセキュリティデザインの説明：船舶のサイバーセキュリティの技術的対策を記述した資料です。
3.船舶資産インベントリ：船舶に搭載されるコンピュータシステム、ネットワーク機器、ソフトウェア等のリストです。
4.コンピュータシステムを適用除外とするためのリスク評価：適用除外を希望するコンピュータシステムについて、除外が妥当であることを示すための資料です。
5.補完的対策の説明：X編4章 (UR E27) に規定するセキュリティ要件を満たすために採用する補完的対策をまとめた資料です。
6.船舶サイバーレジリエンス試験要領書：船舶のネットワーク及び各コンピュータシステムのセキュリティ機能を検証するための試験方案です。
Q48
X編5章
船主（または船舶管理会社）が作成しNKに提出する資料を教えてください。
船主が作成し提出する資料は船舶サイバーセキュリティ・レジリエンス計画書です。
船舶のサイバーセキュリティリスクへの対応ポリシー、手順、体制などを具体的に示す計画書です。
Q51
ITゾーン（E26適用範囲外）とOTゾーン（E26適用範囲内）を区切るFirewall（参考資料p.1において青枠で囲っているもの）については、船主支給品である。これらの情報は、船舶管理会社が決まらないと造船所へ共有できないが、どうすればよいか？
(Q51_参考資料.pdf-p.1)
以下のような対応をご検討ください。
1.船舶管理会社様によらず、採用が予想されるFirewall（UR E27承認品）で仮決めとしていただき、造船所様へ連絡いただく。（どうしても決まらない部分はTBDとしていただき、決まった部分から順次造船所様へ連絡いただく）
2.船舶管理会社様と契約する際に、FirewallはE27承認品を選定するよう協議いただく。
3.FirewallについてE27承認品を選定いただけない場合、ITゾーンの機器はE26適用範囲内の機器（船内OTシステム）とは接続できないことを船舶管理会社様にご説明いただく。（Q51_参考資料.pdf-p.2）
Q52
X編5章5.4
試運転段階での実証が求められているが、海上試運転時に実証をする必要があるということか？また、試運転で完了する必要があるということか？
試運転において実証することを求めているわけではございません。また、試運転後の船舶の引渡までのスケジュールに余裕がある場合は、試運転後に実証いただいて差し支えございません。
Q53 船舶サイバーセキュリティ・レジリエンス計画書はSMSマニュアルと関連付ける必要があるのか。
船舶サイバーセキュリティ・レジリエンス計画書とSMSマニュアルの関連付けは必須ではありません。
もし関連付けを行う場合は、SMSマニュアルに該当する部分についてISMコードに則った審査が必要ですので、該当部分をNK船舶管理システム部(SMD)※に別途ご提出いただく必要がございます。
※NKがISMコードの審査を行う船舶である場合。
（Q53_参考資料.pdf）
Q54 E26適用対象船舶において、就航後に新たな衛星通信システムを導入する場合は、NKへの申請が必要か。
新たな衛星通信システムを導入する際に限らず、新造時に提出が要求される図面（例：船舶資産インベントリ、ゾーン及びコンジット図等）に変更が生じる場合※、改造図面をNK機関部へご提出いただき、臨時検査にて承認された試験要領書に基づき試験を実施する必要があります。
※改造図面の提出を要求する基準は船舶資産インベントリのコンポーネント(適用対象)を入れ替える場合、接続の変更によりゾーン及びコンジット図が変わる場合です。
Q57 E26(X編５章)の提出資料のテンプレートやサンプルフォーマットはあるか？
下記資料のサンプルを作成し公開しております。ご使用にあたっては、各Informationシートの内容をご理解ください。
・船舶資産インベントリ(sample_Vessel Asset Inventory.xlsx)
・コンピュータシステムを適用除外とするためのリスク評価(sample_Risk Assessment for Exclusion of CBS.xlsx)
Q58
一つのL2スイッチ上の複数のVLANを、論理的なセグメント化に使用できるか？/物理的なセグメント化に使用できるか？
(VLANを使ってセキュリティゾーンを区切り、VLAN間をゾーン境界デバイスを介して接続する構成は認められるか？)
VLANを使用することで、一つのL2スイッチ上に仮想的なLANを複数作成し、それらのVLAN間をゾーン境界デバイスで区切ることで、ネットワークを論理的にセグメント化できます。
ただし、下記2つのケースについてはX編5.4.3(1)(c)において物理的なセグメント化が要求されますので、一つのL2スイッチ上に構築するVLANによるセグメント化(論理的なセグメント化)では認められません。
iii)要求される安全機能を提供するシステムを分離する場合。
vi)適用対象となる機器を含むネットワーク(セキュリティゾーン)を信頼できないネットワークから分離する場合。
(Q58_参考資料.pdf)
Q65 造船所のUR E26に関連する対応作業やスケジュール感について教えて欲しい。
造船所様がE26適合のために必要となる対応や代表的なスケジュールを添付にまとめておりますのでご参考にしてください。
(Q65_参考資料.pdf)
なお、参考資料中ページ2に記載するとおり、建造プロジェクトを円滑に進めるためには、引き合い段階までに、各メーカー様(供給者)にE27承認取得の要否についてご理解いただく必要があります。
また、承認取得が必要な製品については、E27型式承認を取得済み、又は、承認取得の見込みであることが重要です。
造船所様からは、起用可能性のあるメーカー様に本件対応の要請が前広になされていくものと考えますが、メーカー様のご理解に疑義が生じたり、ご対応に不安があった場合には、NK機関部にお知らせいただければ直接指導するなどご支援させていただきます。
Q67 船舶資産インベントリの説明資料やサンプルではIPアドレスが記載されているが、IPアドレスが変更された場合は、船舶資産インベントリ上の記載を都度更新する必要があるか？
船舶資産インベントリにIPアドレスを記載いただいている場合は、都度更新いただく必要がございます。
ただし、IPアドレスの船舶資産インベントリへの記載は強制ではないため、記載しないことも可能です。造船所様と船主様で予めご協議いただくことを推奨します。
Q68 通常時はECDIS用のサーバーを使用してチャートの更新を行うが、故障などで通信できなくなった際にはUSBメモリを使用して更新を行う。USBメモリを使用することになった際には、船舶サイバーセキュリティ・レジリエンス計画書を変更する必要があるか。
チャートの更新にUSBメモリを使用する運用についてもあらかじめお含めいただくことで、船舶サイバーセキュリティ・レジリエンス計画書の変更は不要になると考えております。
Q69
規則X編5.5.4-2.(2)
物理的インターフェースのポートの物理的な無効化方法として、USB等の物理的インターフェースポートへのポートブロッカーの設置を検討しているが、防塵キャップでもいいのか？
防塵キャップでは使用目的に合致しないと考えます。専用の鍵やツールを使用しないと抜けないブロッカーの選定が必要と考えます。
Q71 インターネットに一切接続しない船ではUR E26への対応が不要か？
対応が必要です。
インターネットに接続しない船舶でも、USBメモリ等によるマルウェア感染や内部不正のリスクがあり、サイバーセキュリティ上の脅威は存在します。UR E26では、これらの脅威への対策を含む包括的なサイバーセキュリティ要件を定めており、インターネット接続の有無に関わらず適用されます。
Q75
X編5.4.5(1)(c)ii) / E26 4.4.1.3
E26・インシデント対応計画書(船舶サイバーセキュリティ・レジリエンス計画書に含まれる)において、適切な官庁への報告が求められていますが、具体的な報告先はどこですか。
「インシデント対応計画書は，ネットワーク上において検知されたサイバーインシデントについて，適切な官庁に通知し，インシデントに関する必要な証拠を報告し・・・」
E26は、船舶のサイバーレジリエンスのための枠組みを提供しますが、サイバーインシデントが発生した場合に通知すべき主管庁を特定していません。
なお、当該要件については、E26以外の要件（主管庁の要件、など）で報告義務が定められている場合などに、その手順を組み込みこんでいただくことを意図していると思料いたします。
Q80 E26において、訓練（training）は要求されているか？
はい。
・船主に対し、船舶内の職員及び陸上の他の関係職員が船上のコンピュータシステムやネットワークに習熟し、要求事項を満たすための措置を適切に管理できるよう、定期的な訓練を提供し、演習を実施することを要求しています。(E26 5.3 / X編2.2.3-5.(4))
・管理者権限を持つ担当者は適切な訓練が要求されています。(E26 4.2.4.3.5 / X編5.4.3(4)(c)v)3))
・侵入検知システム(IDS)の使用者は、訓練された適格な人員であるべきとされています(E26 4.3.1.3 / X編5.4.4(1)(c))。
・一方で、具体的な訓練内容に関する規定はありません。
Q81 船舶サイバーセキュリティ・レジリエンス計画書に訓練（training）に関する内容を含める必要があるか？
船舶サイバーセキュリティ・レジリエンス計画書はE26で要求されるサイバーセキュリティおよびサイバーレジリエンスの管理に関するプロセスや活動を文書化するものです（E26 5.3.1 / X編2.2.3-5.）。またE26 5.3 / X編2.2.3-5.(4)では船主に定期的な訓練の提供が要求されています。このため、この船舶サイバーセキュリティ・レジリエンス計画書には、訓練の実施に関する方針、手順、計画、またはその他の関連情報を含める必要があります。
Q83 船舶サイバーセキュリティ・レジリエンス計画書をNKに提出してから承認・返却に要する期間は？
受領後、通常1か月程度を審査・返却の標準期間としております。ただし、特に各船主様から初めてご提出いただく計画書につきましては、内容の確認や質疑応答に時間を要し、修正をお願いする箇所が多くなる可能性があります。そのため、十分な余裕をもってご提出いただけますようお願いいたします。
Q84
初回の年次検査までに「船舶サイバーセキュリティ・レジリエンス計画書」の承認が必要とのことだが、この検査で提示が求められる運用の記録について、記録期間の定めはあるか？
(運用を記録するためには、初回の年次検査より前に計画書の承認を得ておく必要があるのでは？)
規則上、記録期間に関する具体的な規定はありません。しかしながら、初回の年次検査では、承認された「船舶サイバーセキュリティ・レジリエンス計画書」に従って運用が行われていることを示す記録をご提示いただく必要がございます。そのため、計画書の承認後の運用、そして記録の作成のための余裕をもって承認をご取得いただきたくよろしくお願いします。
Q91 船舶サイバーセキュリティ・レジリエンス計画書を構成するインシデント対応計画書と復旧計画書は紙での保管が必要ですか？
はい、必要です。規則では、以下のように定められています。
インシデント対応計画書：アクセスするための電子デバイスを完全に喪失する場合に備えて，紙で備えなければならない。
(X編 5.4.5(1)(c)iii) / E26 4.4.1.3)
復旧計画書：サイバーセキュリティに責任を有する人員及びサイバーインシデントに際して手助けすることを課された人員が，船上及び陸上において紙で利用可能なものでなければならない。
(X編 5.4.6(1)(c)vi) / E26 4.5.1.3)
これは、システムダウン時でも確実に対応・復旧作業を行えるようにするための要件です。
Q94
X編5.4.6(1)(c)iii) / E26 4.5.1.3
目標復旧時間（RTO）及び目標復旧時点（RPO）は、全てのコンピュータシステムについて個別に定めなければなりませんか？
いいえ、必ずしも全てのコンピュータシステムについて個別に定める必要はありません。
RTO及びRPOは、船主が作成する復旧計画書(船舶サイバーセキュリティ・レジリエンス計画書)の中で定める事項です。システムの重要度、船舶への影響、復旧にかかる現実的な時間、データの更新頻度などを考慮して、合理的かつ達成可能な目標を設定することが求められます。
従って、重要なシステムについては個別の目標を設定することが望ましいですが、目的とする機能などに応じて複数システムをグループ化して目標を設定することも可能です。
Q98 造船所が船上試験(試運転段階)で使用する試験ツールに指定はありますか？また、そのツールは事前にNKの承認を受ける必要がありますか？
いいえ。使用する試験ツールに関して、特定の製品やモデルの指定はなく、また、それらのツールに対する事前の承認も要求されていません。
ただし、船舶サイバーレジリエンス試験要領書には、使用する試験装置を明記する必要があります。[X編 2.2.3-4.(2) / E26 5.2.1]
Q99 物理的なセグメント化が要求されるケースにおいて、それぞれのセキュリティゾーンに対して独立したファイアウォールを設置する必要があるか？
必ずしも独立したファイアウォールを設置する必要はありません。
1台のファイアウォールが持つ機能・設定により、物理的な分離が確保されていれば、規則の要求を満たすことが可能です。
【解説】
鋼船規則X編では、以下の2つのケースで物理的なセグメント化が要求されます。
-安全機能を提供するシステムを分離する場合 (X編5.4.3(1)(c)iii))
-信頼できないネットワークから分離する場合 (X編5.4.3(1)(c)vi))
ここでいう「物理的なセグメント化」とは、ネットワークを構成する物理的なコンポーネントを他のネットワークセグメントと共有しないことを意味します (X編5.2.1(15))。
多くのファイアウォールは、物理ポートごとに独立したネットワークセグメントとして扱う機能を備えており、ポート間で物理的コンポーネントを共有していないと見なすことができます。したがって、そのようなファイアウォールでは、例えば1台のファイアウォールの異なる物理ポートに、それぞれ「安全機能を提供するゾーン」と「他のゾーン」を接続するような構成は、物理的なセグメント化として認められます。
ただし、VLANのように単一の物理ポートを共有して論理的にネットワークを分割する方法は、物理的なセグメント化とは見なされませんのでご注意ください。
Q101 造船所での試験においてペネトレーションテストの実施は要求されていますか？
いいえ、ペネトレーションテスト（侵入テスト）を明確に要求する規定はありません。
規則が試運転段階で要求しているのは、主にセキュリティ機能の検証試験です。これは、設計・実装されたセキュリティ機能（例：アクセス制御、ファイアウォールルール、ネットワーク監視機能など）が、承認された仕様書通りに正しく動作することを確認するための試験です。
これは、攻撃者の視点からシステムへの侵入を試み、未知の脆弱性を探索・実証するペネトレーションテストとは目的が異なります。
Q102 DoS攻撃試験も要求されますが、これはペネトレーションテストとは違うのですか？
目的や範囲が異なります。
DoS攻撃試験: 鋼船規則X編5.4.3(2)(d)iii)では、サービス拒否（DoS）攻撃に対する耐性を確認する試験が要求されています。これはペネトレーションテストの一部と見なされることもありますが、規則が要求しているのは、この特定の攻撃シナリオに対するシステムの応答を確認することに限定されます。
ペネトレーションテストは、DoS攻撃を含む、より広範で多様な攻撃手法を用いて、システムの未知の脆弱性を能動的に探し出し、侵入を試みる包括的なテストです。
Q110
鋼船規則X編5.5.4-2.(4)
IAS（統合自動化システム）から接点信号（Contact signals）で制御される機器（例：LOポンプの制御装置）は、IASと接続されていることを理由に「統合された制御システム」とみなされますか？ （規則X編5.5.4-2.(4)の「コンピュータシステムは，本章の適用範囲内にある船舶の機能のうち複数のものを提供する，統合された制御システムであってはならない。」という除外基準を満たすことはできないのでしょうか？）
いいえ、「統合された制御システム」とはみなされません。当該機器が単一の機能のみを提供している場合、この基準を満たします（除外可能です）。
規則X編5.5.4-2.(4)は、除外対象としようとするコンピュータシステム自体が、複数の機能（例：推進と操舵の両方など）を担う統合システムであってはならないことを規定しています。 ご質問のLOポンプ制御装置等が、単一の機能（例：主機の潤滑）のみを提供するものであれば、IASから接点信号を受けていたとしても、当該機器自体は「統合された制御システム」には該当しません。
なお、接点信号（ハードワイヤード接続など）による接続は、IPネットワーク接続ではないため、同5.5.4-2.(1)に規定される「隔離されている（IPネットワーク接続がない）」という要件にも抵触しません。したがって、他の除外基準も満たしていれば、当該機器を適用の対象外とすることが可能です。
Q111 EtherCAT通信は、X編5.5.4-2.(1)に規定する「IPネットワーク接続」に該当しますか？
EtherCAT通信が「IPネットワーク接続」に該当するかは、その通信方式によります。
標準的なEtherCAT通信（OSI参照モデルのレイヤー2で動作し、IPプロトコルを使用しない方式）は、「IPネットワーク接続」には該当しません。
ただし、EtherCAT over Ethernet (EoE) のように、EtherCATプロトコルをUDP/IPパケットでカプセル化して通信する場合、それはIPネットワークを利用しているため「IPネットワーク接続」に該当するとみなされます。
Q113
鋼船規則X編5.5 / IACS UR E26 Section 6
鋼船規則X編5.5（E26 Section 6）に基づくリスク評価によりX編5章（E26）の適用除外となったコンピュータシステムは、X編3章（IACS UR E22）についても適用除外となりますか？
いいえ、適用除外とはなりません。 X編5.5に基づく適用除外は、あくまでX編5章（E26）の要件に関するものです。X編3章（E22）の適用については、X編3章の規定（3.1.1及び3.3）に従って別途判断する必要があります。
Q114
鋼船規則X編5.5 / IACS UR E26 Section 6
鋼船規則X編5.5（E26 Section 6）に基づくリスク評価により適用除外となったコンピュータシステムについては、X編4章（E27）の承認取得は不要と考えてよいですか？
ご理解のとおりです。 X編5.5の規定によりX編5章の適用対象から除外されたコンピュータシステムについては、X編4章（E27）の承認取得は不要です。
Q115
鋼船規則X編5.5 / IACS UR E26 Section 6
コンピュータシステムを要件の適用対象から除外するためのリスク評価は誰が実施し、誰が確認しますか？
統合者（一般的に造船所様）が実施し、その結果（コンピュータシステムを適用除外とするためのリスク評価）を本会に提出してください。本会がその内容を確認し承認します。 （鋼船規則X編5.5.3-1.及び表X2.4参照）
なお、自社製品の適用除外を希望する供給者（メーカー様）におかれましては、統合者が実施する当該リスク評価に自社製品が含まれ、適切に評価されるよう、統合者と十分にご相談いただくことを強く推奨します。
Q116
鋼船規則X編5.5 / IACS UR E26 Section 6
船主は、船舶の運用期間中に「コンピュータシステムを適用除外とするためのリスク評価」を見直す必要がありますか？
規則上は船舶の運用期間にわたってリスク評価をアップデートすることが求められます（鋼船規則X編5.5.3-2.参照）。
ただし、適用除外の要件（ネットワークからの隔離や物理ポートの無効化等）が維持されている限り、当該リスク評価の見直しが必要となるケースは稀であると考えられます。 システム構成の変更等によりリスクレベルが許容値を超える可能性がある場合に限り、本会へ通知し、アップデートされたリスク評価をご提出ください。
Q117
鋼船規則X編5.5 / IACS UR E26 Section 6
運用期間中、船主が「コンピュータシステムを適用除外とするためのリスク評価」の見直しを行う必要があるのは、具体的にどのようなケースですか？
基本的には、当該システムの「隔離状態」や「物理的な管理状況」に変更が生じた場合に見直しが必要となります。 具体的には、以下のようなケースが想定されます。
1. システム構成の変更（接続性の変更）
-これまでスタンドアローンであったシステムを、ネットワークに接続した場合。
-無効化されていたUSBポート等を、使用可能な状態に変更した場合。
2. 運用環境の変更（物理的アクセスの変化）
-施錠管理されていた設置場所が、常時開放されるようになった場合。
-入室権限のない者がアクセスできるエリアへシステムを移設した場合。
3. 新たな脆弱性の発覚（稀なケース）
-当該システムに重大な脆弱性が発見され、かつ、現状の物理的な防御策（施錠や隔離）だけではリスクを許容レベルに抑えられないと判断された場合。
なお、上記のような変更を行わず、承認時の状態（隔離・施錠等）が維持されている限り、定期的な見直し作業は実質的に不要となるケースが大半と考えられます。
Q118
鋼船規則X編5.4.3(2)(d)iii)1)
「ゾーン境界保護デバイスを標的とするサービス拒否（DoS）攻撃の試験」について、具体的にどのような内容や強度の試験が求められますか？
本試験の目的は、ファイアウォール等のゾーン境界保護デバイスが、DoS攻撃（通信負荷等）を受けた際に、承認された設計図書どおりに正しく「応答」することを確認することです。
具体的には、以下の点を確認できるレベルの試験を実施してください。
・防御機能の動作: 意図的な通信負荷（SYNフラッド攻撃等）を与えた際、デバイスが当該通信を遮断する、あるいは帯域制限をかける等の防御機能が正常に動作すること。
・検知と記録: 攻撃を受けた際に、警報の発出やログ（監査記録）の生成が適切に行われること。（X編5.4.4参照）
・セキュリティ状態の維持: 通信負荷がかかっている状態においても、セキュリティ機能が維持されていること。（負荷により機能が麻痺し、本来遮断すべき通信を通過させてしまう等の状態にならないこと。）
Q119
鋼船規則X編 5.4.3(2)(d)iii)2)
船舶サイバーレジリエンス試験要領書において、試運転段階で要求されるDoS攻撃試験（ネットワークのフラッディング及びアプリケーション層への攻撃）は、具体的にどのような内容・負荷レベルで実施すべきですか？
本会としては、対象システムの「実運用における合理的な高負荷状態」を再現し、その挙動を確認することを推奨します。 具体的には、規則の定義に基づき以下の観点を含む試験内容としてください。
1. ネットワークのフラッディング（帯域容量の消費）
・手法: 実際の通信帯域を圧迫するレベルのトラフィック（例：設定された帯域制限値や警報しきい値を超える負荷）を生成してください。
・確認事項: ネットワーク警報（X編 5.4.4(1)(c)i)5)）が正しく発報すること、および、高負荷時においても重要な制御通信が維持されること（QoS等の有効性）を確認してください。
2. アプリケーション層への攻撃（処理能力の消費）
・手法: 対象機器が使用する正規のプロトコル（Modbus/TCP, HTTP等）を用い、短時間に大量のリクエストを送信してエンドポイントのCPUやメモリリソースを消費させる負荷をかけてください。
・確認事項: 機器がフリーズや暴走をせず、適切にリクエストを処理（または制限）することを確認してください。機能不全に陥った場合でも、安全な状態（ミニマルリスクコンディション）へ移行すること（X編 5.4.5(4)）が確認できれば差し支えありません。
なお、供給者（メーカー）によるX編4章（UR E27）の承認取得時に同等の試験が正常に実施されている場合は、本船上での試験を省略して差し支えありません。
Q122 従来の電路系統図（Wiring Diagram）を、X編5章で要求される「ゾーン及びコンジット図」として提出してもよいか？
原則として、従来の電路系統図をそのまま「ゾーン及びコンジット図」として使用することは認められません。理由は主に以下の2点です。
1.記載すべき情報の相違
「ゾーン及びコンジット図」は、セキュリティゾーンの構成、ゾーン間の通信（コンジット）、及び信頼できないネットワークとの接続を視覚的に明示する必要があります（X編5.4.3(1)(d)i)2)参照）。 従来の電路系統図は主に物理的な結線や電力供給を示すものであり、サイバーセキュリティ対策の評価に必要な「論理的なグループ分け（ゾーン）」や「データの流れ（コンジット）」といった情報が不足している、または情報過多により判読が困難である場合が多いためです。
2.他図書との整合性
「ゾーン及びコンジット図」に記載されるシステムや機器の名称は、「船舶資産インベントリ」等の他の提出図書と整合している必要があります。従来の電路系統図上の名称や記号はこれらと一致しないことが多く、照合が困難となるためです。
Q123 IDS（侵入検知システム／Intrusion Detection System）の装備は必須か？
いいえ、必須ではありません。
ただし、X編4章/5章の適用範囲内にあるコンピュータシステムにIDSを実装する場合には、規則（X編5.4.4(1)(c)ii)）に基づき、以下の要件を満たす必要があります。
・それぞれのコンピュータシステムの供給者により適当と認められていること。
・受動的であって、コンピュータシステムの性能（意図された動作）に影響しうる防御機能を作動させないものであること。
・使用者は、訓練を受けた適格な人員であるべきであること。
また、実装されるIDSは本会による検証を受けなければなりません（X編5.4.4(1)(d)iii)2)）。具体的には以下の対応が要求されます。
・関連書類の提出： IDS専用の特殊な書類は不要ですが、「サイバーセキュリティデザインの説明（CSDD）」等の書類にIDSに関する情報（上記情報を含む）を含める必要があります。
・船上での検査／試験： 当該IDSが受動的であること等のIDSそのものの技術的な試験は、X編4章の承認試験において実証済みであれば省略可能です（X編5.4.4(1)(d)iii)1)）。しかし、IDSが設計通りに正しく実装され、適切にネットワークへ接続されているかどうかの最終的な確認（設置状況や設定確認等）に係る船上での検査は省略できません。
Q124
X編5.4.4
NMS（Network Monitoring System：ネットワーク監視システム）の装備は必須か？
必須ではありません。
NMSとは、一般に、船内ネットワークや接続機器の状態、通信状況、警報等を継続的に監視するためのシステムをいいますが、X編5章では、NMSという特定の機器又はシステムの搭載までは要求していません。
一方で、X編5章の適用範囲内にあるネットワークを監視し、故障又は機能低下が発生した場合に警報を発することは要求されています。したがって、これらの機能を満たす手段は必要ですが、その実現方法はNMSに限られません。
Q125
X編5.4.3(6)(d)iii)
試運転段階で要求される「遠隔アクセスの制御及び信頼できないネットワークとの通信」に関する船上試験について、本船の衛星通信システムが契約・開通するまで試験を実施できないのでしょうか？
衛星通信システムが契約・開通していなくても、承認された試験手順に基づき要求事項への適合を実証できる場合には、試験を実施することは可能です。
実際の衛星通信回線の代わりに、ダミーの回線（例えば、一時的な陸上ネットワークやモバイル通信ルーター等）を接続して「信頼できないネットワーク」を模擬し、外部との通信環境を構築して試験を実施することができます。
ただし、ダミー回線を使用する場合であっても、船上に設置されたゾーン境界デバイス（ファイアウォール等）のルールやネットワークの設定は、実際に衛星通信を使用する際の本番環境（承認された「サイバーセキュリティデザインの説明」等に基づく設定）を合理的に代表するものである必要があります。また、規則で求められる要件（遠隔ユーザーの多要素認証や明示的なアクセス承認など）を満たすことを実証していただく必要があります。
Q126 「ネットワークセグメント」と「セキュリティゾーン」の違いは何ですか。
セキュリティゾーンは、同一のセキュリティ要求及びアクセス制御方針を適用する対象のまとまりです。
一方、ネットワークセグメントは、ネットワーク構成上の通信区分です。
したがって、ゾーンはセキュリティの観点による区分であり、セグメントは通信設計の観点による区分です。
両者は一致する場合もありますが、常に一致するものではありません。
例えば、1つのセキュリティゾーンの中に複数のネットワークセグメントを含む場合があります。
逆に、ネットワークを分割していても、それだけで直ちに別のセキュリティゾーンになるとは限りません。
実務上は、次のように整理すると分かりやすくなります。
・ゾーン：どのシステム群に、どのセキュリティ要求・アクセス制御を適用するかを示す区分
・セグメント：その区分を実際のネットワークでどのように構成・分離するかを示す区分
Q131 2024年7月1日より前に建造契約が締結された既存船など、UR E26/E27の適用対象ではない船舶について、船主又は船舶管理会社が変更となった場合、その変更を契機としてUR E26/E27への対応が必要になりますか？
いいえ、船主又は船舶管理会社の変更のみを理由として、UR E26/E27（鋼船規則X編5章/4章）への対応は不要です。UR E26/E27は、原則として2024年7月1日以降に建造契約が締結された適用対象船舶に適用される要件であり、既存船又は非適用船舶に対して、船主又は船舶管理会社の変更を契機として適用されるものではありません。
Q133 船舶管理会社が新たに管理する船舶について、本来E26/E27の適用対象であるにもかかわらず対応していない場合はどうすればよいですか？
E26/E27(鋼船規則X編4章及び5章)の適用が強制される船舶については、必要な図面審査及び検査が行われ、船級符号に“CybR”が付記されます。そのため、管理開始時点で未対応であることは通常想定していません。管理を引き受ける際は、まず当該船舶がE26/E27の適用対象であるか、また船級符号に“CybR”が付記されているかをご確認ください。適用対象と思われるにもかかわらず“CybR”の付記又は対応状況が確認できない場合は、船主を通じて本会にご相談ください。
Q134 E26/E27適用船で、船舶管理会社が変更される場合、船舶サイバーセキュリティ・レジリエンス計画書は新たな作成・承認が必要ですか？いつまでに本会の承認を得る必要がありますか？
原則として、変更後の管理会社は、船舶サイバーセキュリティ・レジリエンス計画書を新たに作成し、本会の承認を得る必要があります。
ただし、前管理会社から本会承認済みの同計画書を引き継ぎ、変更後の管理会社が引き続き当該計画書に基づき管理を実施する場合は、新たな作成及び承認は不要です。
変更後の管理会社が本会承認済みの同計画書を有していない場合は、次回の定期的検査（年次検査、中間検査又は定期検査）までに本会へ提出し、承認を得る必要があります。なお、検査では、承認済みの同計画書に基づき管理が実施されていることを示す記録を確認します。
X編4章（E26及びE27） 15件
Q10
鋼船規則X編4.1.2-2.
例えば下記（例）のシステムはX編4章及び5章の適用対象外と考えてよいか？
（例）
・パッケージエアコン
・糧食冷凍装置
・乗用エレベータ
・EGCS
・SCR
・EGR
・BWTS
・廃油焼却炉
・油排出監視制御装置(15ppmビルジアラーム)
・油水分離装置(ビルジセパレータ)
・油清浄機
・汚水処理装置
・造水装置(主ボイラ船除く)
・風向風速計(DPS船除く)
・プロビジョンクレーン
・エンジンルームクレーン
これらのシステムは鋼船規則X編4.1.2-2.のOTシステムに該当しないと考えられるシステムであり、適用外となります。ただし、システムや船舶のシステム構成やネットワーク構成次第で適用対象となる場合もあります。
詳細は添付ファイルを参照ください。
(Q10_参考資料.pdf)
Q13
鋼船規則X編4.1.2-1.
内航船へのX編4章及びX編5章の適用は強制か？
内航船への適用は非強制です。
Q14
鋼船規則X編4.1.2-1.(1)(e)
CTVは「建設に従事する自航式海洋構造物」に該当するか？
「建設に従事する自航式海洋構造物」には該当しないものと考えております。
Q15
鋼船規則X編4.1.2-1.
CTVへのX編4章及びX編5章の適用は強制か？
国際航海に従事する総トン数500トン以上のCTVについては、適用が強制になると考えています。
Q64 X編4.1.2(2)において、「それ以外のシステム」の一つとして「その他すべてのシステムであって、恒久的又は（例えば保守作業中に）一時的にOTシステムに接続されるもの」と記載されているが、OTシステムメーカー(供給者)のサービスエンジニアが自社が供給したOTシステムをメンテナンスする際に持ち込んで接続する作業用PCも該当するのか？また、当該OTシステムは、それを理由に信頼できないネットワークとの接続があるとみなされるのか？
OTシステムメーカー(供給者)のサービスエンジニアが自社が供給したOTシステムをメンテナンスする際に持ち込んで接続する作業用PCについては、X編4.1.2(2)の「それ以外のシステム」に該当しないものと考えます。
・当該作業用PCは、E27の承認取得は不要です。（ただし、メーカー様の責任において適切なセキュリティ管理が必要です。）
・当該OTシステムは、当該作業用PCを接続することを理由に信頼できないネットワークとの接続があるとみなされることはありません。
Q77 PMS Software（機関計画保全検査の管理ソフトウェア）にE27の承認は必要ですか？
PMS SoftwareやPMS SoftwareをインストールするPC等についてはE27の承認取得は不要です。
ただし、承認対象のコンピュータシステム(適用対象のOTシステム)と同一のセキュリティゾーンに設置する場合はE27の承認が必要です。(E26 4.2.1.3 / X編5.4.3(1)(c)i))
Q78 ロジックICを使用するシステムはコンピュータシステムと見なされますか？
単にロジックICを使用しているという事実だけでは、UR E26・E27で定義される「コンピュータシステム」とは見なされません。
Q85
・E26(X編5章)・E27(X編4章)は自動運航船を対象とした規則ですか？
・E26(X編5章)・E27(X編4章)は自動運航船を見据えた規則ですか？
E26およびE27（いずれもRevision 1時点）は、自動運航船（自律運航船や無人運航船などを含む）に特化した要件を定めたものではありません。これらの規則は、特定の先進技術を使用する船舶のみを対象とするものではなく、船舶における一般的なサイバーレジリエンスに関する最低限の要件を定めたものと理解しています。
Q86
鋼船規則X編4.1.2-1.
IPコード適用船にE26/E27は適用されるか？
IP Code = International Code of Safety for Ships Carrying Industrial Personnel
IPコードの適用そのものが、E26/X編5章・E27/X編4章の適用の直接的な条件となるわけではありません。しかしながら、当該IPコード適用船が以下の条件すべてに該当する場合には、適用が必要です。
・2024年7月1日以降に建造契約が締結された船舶であること
・国際航海に従事する船舶であること
・総トン数が500トン以上であること
Q90 CCTVは、E26/27の適用対象のOTシステムに該当しますか？
CCTVが適用対象となるかは、その設置目的によって異なると考えます。
Case 1. 一般的な監視目的の場合
船内の保安や作業監視など、一般的な目的で設置されるCCTVは適用対象のOTシステムに該当しないと考えます。（ただし、適用対象のコンピュータシステム(適用対象のOTシステム)と同一のセキュリティゾーンに設置する場合はE26/27(X編5章/4章)の要件への対応が必要となります。）
Case 2. 船橋視界の代替手段として設置される場合
SOLAS条約で要求される船橋からの視界を確保するための必須の代替設備として設置されるCCTVは、適用対象のOTシステムに該当すると考えます。(ただし、X編5.5/E26 Section 6の除外規定を満足する場合は適用除外可能です。)
火災の検知に使用する場合についてはQ108をご参照ください。
Q93
鋼船規則X編4.1.2-1.
タグボートは鋼船規則X編4章/5章(UR E27/E26)の適用対象船舶か？
以下の条件すべてに該当するタグボートについては、適用が必要と考えます。
・2024年7月1日以降に建造契約が締結された船舶であること
・国際航海に従事する船舶であること
・総トン数が500トン以上であること
Q103 「風力を利用した船舶補助推進装置に関するガイドライン（第2.2版）」が適用される風力補助推進装置の制御システムは、サイバーレジリエンス（鋼船規則X編4章・5章）の適用対象となりますか？
「風力を利用した船舶補助推進装置に関するガイドライン（第2.2版）」に基づき設置される風力補助推進装置の制御システムは、原則として、鋼船規則X編4章（UR E27）及び5章（UR E26）の適用対象外です。
ただし、適用対象のコンピュータシステム(適用対象のOTシステム)と同一のセキュリティゾーンに設置する場合はE26/27(X編5章/4章)の要件への対応が必要となります。
Q107 ユーザー（船員等）が使用するメンテナンス用PCは、X編4章（UR E27）の承認取得が必要ですか？また、このPCをOTシステムに接続すると、そのOTシステムは「信頼できないネットワークと接続している」と見なされますか？
一定の条件下では、当該PCのX編4章(E27)承認取得は不要であり、また「信頼できないネットワークとの接続」とはみなされません。
【条件】
・目的の限定： 接続が、ソフトウェアのアップデートやログ取得など、システムの維持・保守作業に限定されていること。
・PCの管理： 当該PCが船主の管理下にあり、マルウェア対策等の適切なセキュリティポリシーの下で運用されていること。
・OTシステム側の対策： 接続先のOTシステムが、X編表X4.1No.10「可搬式及び携帯用デバイスの使用の管理」の要件を満たしており、許可されたデバイスとしてのみ当該PCの接続を許可する機能を有していること。
※本件は、あくまで一時的な維持・保守目的での接続を対象としています。恒久的な接続や保守以外の目的での使用は対象外となります。
Q108 火災の早期検知に使用するCCTVは、適用対象のOTシステムに該当しますか？
一般的には、Q90のCase 1（一般的な監視目的）の範疇で設置・使用されるケースが殆どと考えます。
ただし、火災探知システムの代替設計として旗国の承認を得て、SOLAS条約等で要求される火災探知システムの代替としてCCTVが設置されている場合は、実質的に火災探知システム(X編4.1.2-2.(1)(e) / E26 1.3.2 a))として機能するため、適用対象のOTシステムに該当すると考えます。(ただし、X編5.5/E26 Section 6の除外規定を満足する場合は適用除外可能です。)
Q132 鋼船規則X編4章及び5章（UR E26/E27）の適用要否を判断する際の「建造契約日」とは、どの契約の日付ですか？
「建造契約日」とは、原則として、当該船舶を建造するために予定船主等と造船所との間で建造契約が署名された日をいいます。船舶管理契約、用船契約、機器の購入契約又は船舶の引渡日を指すものではありません。本会では、入級申請者から申告され、入級申請書等に記載された建造契約日を基礎として、規則の適用要否を確認します。船舶管理会社等において建造契約日が不明な場合は、船主又は造船所に対し、入級申請書等に記載された建造契約日を確認してください。なお、シリーズ船、オプション船、追加船又は船型変更等における建造契約日の取扱いについては、ClassNKテクニカルインフォメーションTEC-0704もご参照ください。
(Q132_参考資料(TEC-0704).pdf)
Q136 電子傾斜計はE27(X編4章)の承認取得が必要か？
電子傾斜計は、SOLAS第V章19.2.12規則(決議MSC.532(107)により改正)により、
2026年1月1日以降に建造開始段階にある総トン数3,000トン以上のコンテナ船及びばら積貨物船への搭載が要求される航海設備です。
この要求に従って設置される電子傾斜計は、X編4章及び5章(UR E27及びE26)の適用対象となるOTシステムに該当するため、コンピュータを搭載している場合はE27(X編4章)の承認取得が必要です。
(ただし、X編5.5/E26 Section6の除外規定を満足する場合は適用除外となり、E27(X編4章)の承認取得も不要です。)
X編4章（E27）／X編5章（E26） 16件
Q25 IACS UR E27の型式承認を取得していない機器を船舶に搭載する場合、統合者(造船所)はどのように対応すればよいか？
まずは、ネットワーク隔離等を実施し、適用範囲外としていただくためのリスク評価による適用除外を検討していただきます。（X編5.5）
適用除外できない場合、個品での承認を取得いただき、メーカー殿からE27で要求される資料を提出いただき、メーカー殿による出荷前の立会検査も必要となります。
Q35 適用対象システムは、UR E22（X編3章）とUR E26/E27（X編4章/5章）で共通か？
UR E22とUR E26/E27の両方が適用となるシステムもありますが、基本的にはUR E22とUR E26/E27で異なります。
なお、UR E22 rev.3においては、適用対象システムは統合者が決定することとなります。詳細はNKテクニカルインフォメーションTEC-1348を参照ください。
Q37 E27（X編4章）ではネットワークの帯域幅がしきい値を超えた際の警報機能は要求されないとの理解でよいか？
E27（X編4章）の要件以外に以下の規定があるため、設計上考慮が必要と考えます。
・X編5.4.4(1)(c)i)に以下の規定があります。
本章の適用範囲内にあるネットワークを監視する手段は，次に掲げる機能を有するものでなければならない。
5)ネットワーク帯域幅の使用率が，供給者が定める異常の閾値を超えた場合における，警報の作動（X編3.7.2-1.）
・分類IIまたはIIIのシステムの場合については、X編3.7.2-1.にて以下の規定があります。
データリンクは，次の(1)から(5)によらなければならない。また，データリンクの喪失は，リスク評価（FMEA）において特に検討されなければならない。
(3) データリンクは，過度の通信速度について防止又は対処する手段を有するものであること。
(5) 故障が検出された際に警報を発するものであること。
Q41
X編5章では船舶サイバーセキュリティ・レジリエンス計画書の作成が求められているが、同計画書は船舶の完工時点では作成されていないと理解している。(就航後～初回の年次検査までに船主が作成しNKの承認を取得すると理解している。)
その場合であっても、完工時点で船級符号にCybRが付記されるとの理解でよいか？
ご理解のとおりです。X編5章では、船舶サイバーセキュリティ・レジリエンス計画書の作成は、初回の年次検査までに船主様が作成し、弊会の承認を得ることが求められています。完工時には、同計画書がない場合であっても船級符号にCybRが付記されます。
Q55 既存船（2024年7月1日よりも前に建造契約された船舶）はE26/E27への対応は必要か。
ご対応不要です。
Q60
以下の製品についてはE27(X編４章)の承認取得が必要か？
・回頭角速度計(Rate-of-turn indicator)
・エンジンテレグラフ
適用対象のOTシステムに該当するため、コンピュータを搭載している場合はE27(X編４章)の承認取得が必要です。
(ただし、X編5.5/E26 Section6の除外規定を満足する場合は適用除外となり、E27(X編４章)の承認取得も不要です。)
Q61
・E26/E27(X編4章/5章)への適合のためには有資格者による対応が必要か。
・E26/E27(X編4章/5章)で求められる試験の実施にあたり、資格等は必要か？
・E26/E27(X編4章/5章)で求められる試験の実施にあたり、認定試験所等による試験や評価を依頼する必要があるか？
規則上、有資格者や認定試験機関等の利用は要求されておりません。
Q70 適用対象のOTシステムがE27の承認を取得しないシステムとP2P通信する場合であっても、通信経路上にFirewallを設置することで、当該OTシステムは信頼できないネットワークとの通信は無いものとして扱ってよいか？
適用対象のOTシステムが、E27の承認を取得しないシステム（信頼できないネットワークにあるコンピュータシステム）とP2P（Peer to Peer）通信する場合は、通信経路上にE27の承認を取得したFirewallがある場合であっても、当該OTシステムは信頼できないネットワークとの通信があるものと見なすべきと考えます。
従って、当該OTシステムが信頼できないネットワークとの接続に対応したE27の承認を取得するか、または、通信先はE27の承認を取得する必要があります。
(Q70_参考資料.pdf)
Q74 既存船（2024年7月1日よりも前に建造契約が締結された船舶）において、UR E26/E27において適用対象とされているOTシステムを載せ替えまたは新規搭載する場合、UR E26/E27への対応は必要ですか？
対応は不要です。
Q79 添付(Q79_参考資料.pdf)のようなネットワーク構成において、OTシステムは、リモートPCからどのような操作が可能である場合に信頼できないネットワークとの接続があるとみなされるのか？
リモートPCからOTシステムに対して何らかの操作が可能であるということは、リモートPCからOTシステムに対してアクセスがあるものと考えられ、OTシステムは信頼できないネットワークとの接続があるものと考えます。
Q89 UR E26、E27と鋼船規則の対応関係を教えてください。
IACS(国際船級協会連合)が定める統一規則(UR)であるUR E26、UR E27は、日本海事協会の鋼船規則X編にそれぞれ取り入れています。
E27: 鋼船規則X編4章「船上のシステム及び機器のサイバーレジリエンス」
に対応します 。
E26: 鋼船規則X編5章「船舶のサイバーレジリエンス」に対応します 。
(Q89_参考資料.pdf)
Q106 UR E26およびE27に基づく要件(NKではX編5章及び4章)は、IACS加盟の各船級間で異なりますか？
基本的に、IACS加盟船級間で、各URに基づく最低限の要件は統一されています。
UR E26およびE27は、IACS（国際船級協会連合）が定める統一規則（Unified Requirements）であり、加盟する全ての船級協会はこれを各自の規則に取り入れることが求められます。
ただし、各船級協会が独自の追加要件を上乗せしたり、規則の細部の解釈や運用が異なったりする場合があります。特定の船級の要件に関する詳細については、当該船級協会へ直接お問い合わせください。
なお、本会（日本海事協会）では、UR E27を鋼船規則X編4章に、UR E26を鋼船規則X編5章にそれぞれ取り入れています。規則の構成や表現に細かな違いはありますが、技術的な要求事項は各URに準拠しています。
Q120 X編3章（UR E22）において分類I又は適用対象外とされるシステムは、X編4章及び5章（UR E27及びE26）への対応は不要か。また、その場合、適用除外のためのリスク評価も不要か。
X編3章（UR E22）の分類と、X編4章及び5章（UR E27及びE26）の適用範囲は異なる基準で決定されるため、対応が必要となる場合があります。
X編4章及び5章は、X編4.1.2-2.に規定されるOTシステム等に適用されます。 たとえX編3章において分類I又は適用対象外とされるシステムであっても、X編4.1.2-2.の要件に該当する場合は、X編4章及び5章の適用対象となります。
また、X編4.1.2-2.により適用対象となるシステムを、当該規則の要件から除外したい場合には、分類に拠らずX編5.5（UR E26 Section 6）の適用除外基準を満たす必要がございます。その場合、造船所（統合者）が作成する「コンピュータシステムを適用除外とするためのリスク評価」に当該システムを含める必要があります。
Q121
表X4.1 / X編5.5.4-2.(2)
使用していないインターフェースに対し、本来の通信設定とは異なるIPアドレス（使用しないIPアドレスやデタラメなIPアドレス等）を設定することで、以下の扱いは認められますか？
1. 規則X編5.5.4-2.(2)で要求される論理的無効化とみなすこと。
2. 当該インターフェースに対するセキュリティ機能要件（表X4.1等）を非適用とすること。
いいえ、いずれの場合も認められません。
IPアドレスを変更しただけでは、当該インターフェース自体は電気的・論理的に有効なままであり、ツール等によるスキャンで発見され、悪用されるリスクが残るためです。規則が要求する「論理的無効化」とは、OSやファームウェアの設定により、当該インターフェースの機能そのものを停止させることを指します。
なお、誤接続の防止等の観点から、多層防御（Defense-in-depth）の一環としてIPアドレスを変更すること自体を妨げるものではありません。
Q128 E26/E27（X編第5章／第4章）の要件には、GPSスプーフィング又はジャミングへの対策が含まれますか。
いいえ。E26/E27は、GPSスプーフィング又はジャミングへの対策そのものを直接要求するものではありません。
これらの要件は、主として船内のコンピュータシステム・機器及びそのインターフェースに関するサイバーリスクに対し、ネットワーク保護、アクセス制御、対応及び復旧等を求めるものです。
GPSスプーフィング及びジャミングは、船外から受信する衛星測位信号の真正性又は利用可能性に関する事象であり、本規則の直接の要求対象ではありません。