Čínské skenery v Estonsku bez stop

Estonská celní správa a letiště v Tallinnu už roky používají rentgenové kontrolní zařízení od společnosti Nuctech, čínské firmy vlastněné státem (Postimees). Veřejně dostupné informace zatím neukazují na prokázanou špionáž. Ukazují spíše na mezeru v odpovědnosti: nejsou zveřejněny tendrové dokumenty, smluvní podmínky, bezpečnostní posouzení ani pravidla pro aktualizace softwaru a servis. Základní otázka proto zní, zda Estonsko tuto zakázku vůbec posuzovalo jako bezpečnostně citlivé rozhodnutí.

Stroj nevypadá tak, jak si ho představujeme

Zavazadlový skener může působit jako pasivní kovový tunel. Ve skutečnosti se podobá spíše počítači připojenému k síti, k němuž je připevněn rentgenový zdroj. Moderní letištní skenery založené na počítačové tomografii pořizují snímky z více úhlů a software z nich skládá trojrozměrný obraz, který může obsluha otáčet a procházet po vrstvách (NIST). Zařízení zároveň zaznamenává, co kontroluje, označuje podezřelé předměty a potřebuje pravidelné aktualizace, aby detekce zůstala přesná.

Právě softwarová vrstva vysvětluje, proč záleží na dodavateli. Výrobci si u podobných zařízení často ponechávají vzdálený přístup kvůli údržbě a opravám. Digitálně je to obdoba hlavního klíče od budovy. Může být prakticky nutný, ale kupující musí vědět, kdo jej drží, kdy jej používá a kam až se s ním dostane. Bezpečnostní doporučení agentury ENISA i britského NCSC upozorňují, že servisní kanály se mohou stát cestou k neoprávněnému přístupu nebo k tichým změnám konfigurace.

U skenerů na hranicích to znamená, že osoba s hlubokým systémovým přístupem by teoreticky mohla vidět kontrolní snímky nebo upravit prahy detekce tak, aby zařízení hůře reagovalo na určité předměty, aniž by si toho obsluha všimla. Jde o strukturální rizika, která jsou v oboru dobře popsaná. Nejsou však důkazem, že by byl konkrétní stroj Nuctech kompromitován.

Brusel se ptá na peníze, ne na špionáž

Postup Evropské komise proti Nuctechu je soutěžní vyšetřování, nikoli bezpečnostní verdikt. V dubnu 2024 provedli úředníci Komise kontroly v prostorách napojených na Nuctech v Polsku a Nizozemsku podle unijního nařízení o zahraničních subvencích. Od roku 2023 tento nástroj umožňuje Bruselu zjišťovat, zda finanční podpora vlády mimo EU nepomohla firmě podbízet konkurenci v evropských tendrech (Evropská komise). Nuctech napadl některé aspekty nakládání s daty získanými při těchto raziích; Tribunál EU jeho návrh na předběžné opatření v červenci 2024 zamítl. Konečné rozhodnutí zatím zveřejněno nebylo.

Rozdíl je podstatný. Brusel zkoumá, zda levné ceny podepřené státní podporou nenarušily hospodářskou soutěž. To je jiná otázka než důvěryhodnost samotných zařízení. Na bezpečnostní stránku toto nařízení odpovědět neumí.

Národní nákup, společné riziko

Skenery na vnějších hranicích EU nakupují jednotlivé státy, jejich celní správy a letiště. Jakmile ale zboží projde estonskou celní kontrolou, může se volně pohybovat po jednotném trhu, tedy prostoru 27 států bez dalších kontrol na vnitřních hranicích. Cestující odbavení v Tallinnu pokračují dál po schengenském prostoru. Integrita každého kontrolního bodu je proto předpoklad, na němž se spoléhají i ostatní.

Členské státy s tímto předpokladem pracují různě. Nuctech provozuje u Varšavy výrobní a servisní centrum, takže polská expozice je fyzická: opravy a aktualizace procházejí místní dceřinou společností čínské mateřské firmy. Litevský rámec pro ochranu strategicky významné infrastruktury by podobný nákup prověřoval z hlediska vlastnictví i rizik vzdáleného přístupu. Nizozemsko zasazuje čínské technologie do kontextu výslovných varování své zpravodajské služby před špionáží. Estonsko je případ, kde je používání zařízení Nuctech potvrzené, ale stopa po správě rizik zůstává neviditelná.

Unijní pravidla, například směrnice NIS2, tlačí provozovatele základních služeb k řízení rizik v dodavatelských řetězcích. Belgie nedávno z bezpečnostních důvodů zablokovala převzetí provozovatele vrtulníků subjektem napojeným na Čínu. Samotné rozhodnutí o nákupu, posouzení dodavatele i rozsah přístupu se však odehrávají na národní úrovni.

Brusel může ztížit soutěž založenou na dotovaných cenách. Nemůže zpětně prověřit každý skener, který už běží na hranici. Odpovědnost proto leží u národních kupujících. Dokud Estonsko nezveřejní, jak tuto zakázku posoudilo, debata zůstane uvězněná mezi obavami ze špionáže a mlčením kolem veřejné zakázky. Skutečná mezera ve správě rizik tím nezmizí.