海上运输中的网络攻击及法律责任

一、引言

在海运贸易中，数字化系统不再仅仅是行政流程中的辅助工具。如今，船舶调度、发动机系统监控、货物温度监控、港口入境手续、集装箱跟踪、运费支付以及运输单据的编制等工作，很大程度上都依赖于信息系统。.

在船舶上，电子海图显示和信息系统、全球定位系统、雷达、自动识别系统、发动机和操舵控制系统、压载管理系统、货物泵以及通信基础设施可以互联互通地协同工作。在港口，码头操作系统、起重机自动化系统、出入境记录系统、海关系统以及海事单一窗口应用程序均基于数字化基础设施。.

这种转变给传统的海上风险增添了一种新的风险类型。除了风暴、碰撞、火灾或搁浅等物理事件外，恶意软件、勒索软件、网络钓鱼、未经授权的系统访问、数据篡改和卫星欺骗也威胁着船舶安全和海上贸易的持续性。.

国际海事组织于2026年5月28日发布的最新指南将海上网络风险定义为由于计算机系统遭受威胁，导致信息或系统中断、丢失或被劫持，从而可能造成海上作业、安全或安保方面的故障。该指南要求对船舶信息技术系统和控制物理过程的运行技术系统进行联合评估。.

二、海上通信中的网络攻击类型

海事领域的网络攻击会根据攻击目标系统及其后果而呈现不同的形式。攻击可能针对船舶的控制网络，也可能直接针对导航、发动机或货物控制系统。.

勒索软件攻击会加密航运公司或港口的IT系统，使其无法访问，并要求支付赎金才能恢复访问权限。这些攻击会扰乱订舱、货物跟踪、报关、发票开具和港口运营。.

在针对卫星定位系统的“欺骗”攻击中，船舶会接收到不准确的位置信息。在被称为“干扰”的攻击中，卫星信号的接收会被阻止。这可能导致船舶偏离航线、进入危险水域，或与其他船舶发生碰撞。.

篡改自动识别系统数据会导致船舶名称、位置、航向或货物信息不准确。操纵电子海图会导致航海危险从海图中遗漏，或被显示为实际上并不存在的危险。.

针对船舶运行技术系统的攻击可能造成更严重的物理后果。远程干扰主机、舵、压载系统、燃油输送系统、货物泵或冷却装置，可能导​​致船舶失去推进能力、货物变质或造成环境污染。.

网络攻击不一定非得由外部人员发起。人员滥用职权、密码强度不足、将个人设备连接到船舶网络、打开虚假电子邮件以及未经授权的软件更新等行为也可能导致安全漏洞。.

三、国际法规和国际海事组织方法

国际海事组织（IMO）发布的《海上运输网络风险管理指南》是海上运输网络安全的重要国际支柱之一。该指南的第四版（2026年发布）设想对数字化、自动化、第三方供应商、嵌入式系统以及软硬件供应链等带来的风险进行联合管理。指南指出，不仅在船舶运营阶段，而且在船舶系统的设计、制造、集成、使用和维护等各个环节，都应确保网络韧性。.

在国际海事组织（IMO）的方法中，网络风险管理基于建立治理结构、识别和保护关键系统、检测攻击、响应事件以及恢复系统。建议高级管理层承担责任，指定授权人员，创建数字资产清单，识别关键系统之间的连接，并制定业务连续性计划。.

国际海事组织海事安全委员会第MSC.428(98)号决议要求，根据《国际安全管理规则》，航运公司必须将网络风险纳入其安全管理体系。主管机关须确保在2021年1月1日之后对航运公司合格证书进行首次年度核查时，其安全管理体系中已包含网络风险相关内容。.

船级社也制定了关于新船网络安全韧性的技术标准。国际船级社协会的UR E26和UR E27规则旨在提升船舶的整体网络安全韧性，并保障船上系统和设备的安全性。修订后的规则适用于2024年7月1日或之后签订建造合同的新船。.

即使这些法规并非在所有情况下都直接创设私法责任，但它们对于确定注意义务的范围至关重要。一家航运公司完全未能实施公认的网络安全标准，可能会导致该公司在损害的可预见性和责任评估方面面临不利后果。.

四、船舶网络安全和适航性

根据《土耳其商法典》第932条，适航性是指船舶在其基本部件（如船体、通用设备和机械）方面，能够承受航行中通常危险的能力。船舶的组织结构、装载状况、燃料、给养以及船员的配备情况也属于适航性的考虑范围。用于运输和保护货物的舱室是否适宜也是货物适宜性的条件之一。.

根据《土耳其商法典》第1141条，承运人有义务在所有类型的货运合同中保持船舶适航、适于航行和适于装载货物的状态。对于因船舶不适航造成的货物损失，承运人应承担责任，但承运人已尽到谨慎承运人应尽的注意义务，但仍无法在航程开始前发现的缺陷除外。.

法律并未明确将网络安全定义为一个独立概念。然而，如果船舶的导航、发动机控制或货物安全依赖于数字系统，那么严重的网络安全漏洞可能会影响船舶的适航性、航程或货物适装性。过时的电子海图、存在已知漏洞的软件、缺乏网络隔离、缺少备用控制系统或人员缺乏系统使用培训等因素，都可作为评估船舶适航性的考量因素。.

并非所有软件漏洞都会直接导致船舶不适宜航行。只有当缺陷严重到足以影响船舶安全完成特定航程的能力时，船舶才会被判定为不适宜航行。评估因素包括船舶类型、货物、航行区域、系统连接水平以及手动操作选项的可用性。.

五、船东和经营人的责任

船东是船舶商业和技术运营的主要责任方。根据《土耳其商法典》第1062条，船东应对船员和引航员在履行职责过程中因过失而对第三方造成的损害承担责任。关于承运人对船员过失造成的损害承担责任的特别规定适用于乘客和与货物相关的其他人员。.

如果海员打开伪造的电子邮件、将未经授权的USB设备连接到系统或违反安全程序而导致网络攻击，船东可能需要承担责任。但是，该事件不能完全归咎于单个员工的过错。还必须调查船东是否已建立必要的组织架构，包括培训、监督、访问权限、密码策略和系统安全等方面。.

供应商可能会试图通过声称攻击手段极其复杂且无法避免来推卸责任。然而，如果他们未能解决已知漏洞、执行系统更新、建立适当的备份或制定事件响应计划，那么即使攻击是由第三方实施的，也不能免除他们的责任。.

如果网络攻击导致两艘船舶相撞、港口设施受损或发生漏油事故，船东可能需要对第三方承担责任。如果损害是由攻击者的行为和公司安全漏洞共同造成的，则可能存在多种责任情形。.

六、承运人对货物损坏的责任

根据《土耳其商法典》第1178条，承运人有义务在货物的装载、堆放、运输、保护、监管和卸载过程中，尽到谨慎承运人应有的注意义务。如果货物在承运人控制期间发生灭失、损坏或延误交付，承运人一般应承担责任。.

网络攻击可能导致冷却系统故障，进而造成食品或药品变质。货物泵失控可能损坏液体货物，集装箱跟踪系统故障可能导致货物被卸载到错误的港口。港口和承运系统崩溃造成的交货延误也可能增加承运人的责任。.

为免除责任，承运人必须证明损害并非由其自身或其代理人的故意或过失造成。《土耳其商法典》第1179条规定，举证责任在于承运人。.

如果损害是由与船舶航行或技术管理相关的行为造成的，根据《土耳其商法典》第1180条，承运人仅对其自身过错承担责任。但是，未能建立网络安全政策、技术基础设施不足或未能解决已知的系统漏洞，均可被视为与承运人组织领域相关的直接过错。此外，为保护货物而必须采取的措施不属于技术管理例外情况的范畴。.

七、船长和船员的职责

在网络安全事件中，船长仍需承担船舶航行和管理、确保航行安全以及在紧急情况下采取必要预防措施的责任。如果电子系统提供的信息不准确，船长不应盲目依赖这些数据；可能需要采用雷达、目视导航、纸质海图或独立定位等替代方法。.

人员及时发现网络攻击并执行既定程序至关重要。这包括断开受感染系统与网络的连接、切换到人工控制、通知海岸管理部门和相关机构、保存记录以及确保证据不被删除。.

然而，在复杂的网络攻击中，将所有责任都归咎于船长或船员是不准确的。首先应该考虑的是公司组织方面的缺陷，例如未能提供充分的培训、未能更新过时的系统以及未能为员工提供适当的操作规程。.

第八章 港口和码头运营商的责任

港口是众多船舶、货主、海关、运输公司和服务提供商通过同一数字基础设施连接起来的枢纽。对港口自动化系统的攻击可能导致船舶靠泊排队中断、集装箱丢失、货物交付错误、起重机停机或危险品信息被篡改。.

港口运营商的责任可根据具体案件情况，在运营协议、码头服务条款、《土耳其债法典》和侵权法规定的框架内确定。运营商提供的系统必须具备合理的安全级别，访问权限必须受到限制，必须保存记录，并且必须具备备用运行能力。.

如果港口系统出现安全漏洞，导致船舶感染恶意软件，或船舶发起的攻击蔓延至港口网络，则双方可能存在共同过错。因此，合同中必须明确界定船舶与港口接口处的责任。.

九、软件和系统提供商的责任

在海事应用中，软件、硬件和远程维护服务通常由第三方提供。如果系统提供商未能达到合同中承诺的安全标准，或未能及时解决已知漏洞，导致损失，则可能构成违约，并需承担相应责任。.

如果软件缺陷导致船舶操纵系统故障或载荷控制装置产生错误数据，制造商和供应商应承担责任。但是，制造商的责任与船东的维护和更新责任应分开。尽管制造商发出警告，但未进行更新的运营商可能也对损害负有责任。.

国际海事组织目前的指导意见还要求评估来自第三方供应商、嵌入式系统、维护设备以及软件和硬件供应链的网络风险。.

十、网络安全法与土耳其法律新体制

《网络安全法》（第7545号）于2025年3月19日生效。该法适用范围广泛，涵盖在网络空间运营、开展活动或提供服务的公共机构、个人、法人实体和非法人组织。网络安全被定义为旨在保护系统免受攻击、确保数据的机密性、完整性和可访问性、检测安全事件以及将系统恢复到事件发生前状态的一系列活动的总和。.

该法律赋予网络安全局广泛的职责和权力，包括识别关键基础设施、资产清点和风险分析、组建网络事件响应团队、测试和认证流程以及审计和执法机制。如果港口、交通和物流基础设施被归类为关键基础设施，则相关企业可能需要承担更具体的义务。.

该法律规定了对实施网络攻击、散布通过此类攻击获得的数据、违反某些义务以及未能向监管机构提供必要信息或系统等行为的刑事和行政处罚。.

十一、个人数据保护

船舶和港口系统可以处理大量与船员、乘客、货主、代理商员工和访客相关的个人数据。护照信息、健康记录、联系方式、监控录像、位置记录和人事文件都可能因网络攻击而泄露。.

根据第6698号法律第12条，数据控制者有义务防止个人数据被非法处理和访问，确保数据的保存，并采取必要的技术和管理措施，以达到适当的安全级别。如果数据是通过非法手段获取的，则必须尽快将违规行为报告给数据主体和个人数据保护委员会。如果数据处理活动委托给服务提供商，则数据控制者和数据处理者可以共同承担安全措施的责任。.

因此，航运公司需要建立一个综合网络安全系统，不仅要保障船舶安全，还要保障其处理的个人数据安全。.

十二、在合同中分担网络风险

租船协议、船舶管理合同、码头合同和软件服务合同必须明确界定网络安全事件的责任。这些协议应具体说明各方必须遵守的安全标准、事件报告时限、系统更新责任方、分包商的责任以及损害赔偿的限制。.

BIMCO 网络安全条款 2019 是一项标准条款，旨在规范海事合同中各方之间的网络安全措施、违规通知、损害赔偿减轻和责任分配。.

然而，仅仅在合同中加入标准条款可能不足以满足所有项目的需求。必须根据船舶的技术规格、所载货物的特殊性、所使用的港口系统以及第三方连接等因素做出特殊安排。.

十三、海上保险中的网络风险

网络攻击可能导致船舶物理损坏、货物受损、业务中断、第三方责任或数据泄露。这些损失是否在船体和机械险、货物险、保护和赔偿险、责任险或专门的网络保险的承保范围内，将根据保单条款确定。.

传统的船舶保险单可能包含排除网络攻击或仅承保特定物理后果的条款。因此，投保人应仔细审查保单是否明确承保网络攻击，是否排除战争或国家支持的攻击，以及是否考虑赎金、业务中断损失和数据恢复成本。这种在保险行业被称为“隐性网络风险”的问题，源于保单未明确包含或排除网络风险而导致的承保范围差异。.

根据土耳其商法典第 1473 条规定，在责任保险中，保险人承担被保险人因保单承保的事件而对受害方承担的责任，但赔偿金额不得超过合同规定的限额。.

十四、证明与因果关系问题

网络攻击纠纷中最棘手的问题之一是确定攻击是如何发生的以及是哪个漏洞造成了损害。攻击者可能隐藏身份、使用位于不同国家的系统，或者在攻击后删除记录。.

因此，必须保存电子记录、服务器日志、访问信息、软件更新日期、用户活动、船舶数据记录器数据、电子海图记录、雷达图像和人员往来信函。事故发生后立即进行未经控制的系统重装或覆盖记录，可能导致关键证据丢失。.

法院将通过专家鉴定来评估此次攻击是纯粹的外部且不可避免的事件，还是由于公司安全漏洞而导致的。如果涉及多方过错，则损害赔偿可根据攻击者、船东、承运人、港口运营商和服务提供商各自的过错程度和因果关系进行分配。.

十五、结论

在海事领域，网络安全已经从技术专家的 IT 问题演变为直接影响适航性、承运人注意义务、船东责任、港口安全、个人数据保护和保险关系的海事法律问题。.

网络攻击是由第三方实施的，但这并不意味着所有者或运营商就能自动免除责任。应该调查该企业是否已考虑到已知威胁、建立了系统清单、保持软件更新、隔离了网络、培训了员工，以及制定了有效的事件响应计划。.

网络漏洞若严重影响船舶的导航、机械或货物系统，可能导致船舶不适航、不适于航行或不适于装载货物，具体情况视实际情况而定。若货物因网络攻击而丢失、损坏或延误，承运人将根据《土耳其商法典》承担责任。此外，若船舶对其他船舶或港口设施造成损害，船东可能需对第三方承担责任。.

有效管理网络风险需要技术措施和法律措施相结合。将网络风险评估纳入安全管理体系、识别关键系统、定期进行测试和更新、维护手动备份、提供人员培训、制定事件响应计划以及在合同中加入明确的责任条款，这些都至关重要。.

总之，网络安全并非海事企业可有可无的IT支出，而是确保船舶安全运营和履行运输义务的必要保障。随着对数字化系统的依赖日益加深，网络韧性将成为船舶适航性传统概念中不可或缺的一部分。.