ETD

• Cyber resilience
• Cyber security
• Cybersecurity
• FNCDP
• Port

The rapid digital transformation of the maritime sector has turned ports into true ‘systems of systems’, in which interconnected IT and OT systems increase the exposure of critical infrastructure to cyber threats. The EU has responded with the NIS 2 Directive, transposed in Italy by Legislative Decree 138/2024, mandating a shift from isolated technical protection to risk governance extending across the entire supply chain. This thesis examines the extent to which this transposition is transforming the cybersecurity posture of the Italian port ecosystem, moving from formal compliance towards genuine ecosystem resilience.
The National Framework for Cybersecurity and Data Protection (FNCDP), recognised by the ACN, was used as the methodological tool. Using a methodology tailored to the maritime sector and aligned with ENISA, IMO and ISO standards, a survey was conducted on ten organisations (three Port System Authorities and seven private operators), measuring the Degree of Coverage and Maturity Level of controls.
The results reveal an ecosystem in transition: NIS 2 acts as a financial lever, but structural weaknesses remain. Excellence is driven more by the global market than by regulatory obligations; a public-private dichotomy emerges, with Port Authorities hampered by staff shortages; the fragmentation of the supply chain and corporate isolationism hinder information sharing. The cyber resilience of the port ecosystem has not yet been fully achieved.

La rapida trasformazione digitale del settore marittimo ha reso i porti veri "sistemi di sistemi", in cui IT e OT interconnessi ampliano l'esposizione delle infrastrutture critiche alle minacce cyber. L'UE ha risposto con la Direttiva NIS 2, recepita in Italia con il D.Lgs. 138/2024, imponendo il passaggio da una protezione tecnica isolata a una governance del rischio estesa all'intera filiera. La tesi indaga quanto questo recepimento stia trasformando la postura di cybersecurity dell'ecosistema portuale italiano, dalla compliance formale a una reale resilienza di ecosistema.
Come strumento metodologico è stato usato il Framework Nazionale per la Cybersecurity e la Data Protection (FNCDP), riconosciuto dall'ACN. Con una metodologia contestualizzata al dominio marittimo e allineata a ENISA, IMO e standard ISO, è stata condotta un'indagine su dieci organizzazioni (tre Autorità di Sistema Portuale e sette operatori privati), misurando Grado di Copertura e Livello di Maturità dei controlli.
I risultati mostrano un ecosistema in transizione: la NIS 2 funge da leva di bilancio, ma restano criticità strutturali. L'eccellenza è trainata più dal mercato globale che dall'obbligo normativo; emerge una dicotomia pubblico-privato, con le Autorità Portuali penalizzate da carenze di personale; la frammentazione della filiera e l'isolazionismo aziendale ostacolano la condivisione delle informazioni. La resilienza cyber dell'ecosistema portuale non è ancora pienamente raggiunta.