Estlands kinesiske scannere mangler spor

Estisk toldvæsen og Tallinn Lufthavn har i årevis brugt røntgenudstyr fra Nuctech, et kinesisk statsejet selskab (Postimees). Det offentligt kendte materiale peger ikke på en dokumenteret spionsag, men på et hul i ansvarskæden. Udbudsmateriale, kontraktvilkår, sikkerhedsvurderinger og aftaler om softwareopdateringer og vedligeholdelse er ikke fremlagt. Spørgsmålet er derfor enkelt: Blev indkøbet overhovedet behandlet som den sikkerhedsfølsomme beslutning, det er?

Maskinen er ikke bare en metaltunnel

En bagagescanner ligner et passivt stykke lufthavnsudstyr. I praksis er den snarere en netværksforbundet computer med en røntgenkilde monteret på. Moderne CT-scannere i lufthavne tager billeder fra flere vinkler, hvorefter software samler dem til tredimensionelle visninger, som operatører kan dreje og skære igennem for at undersøge indholdet (NIST). Maskinen logger, hvad den scanner, markerer mistænkelige genstande og er afhængig af løbende softwareopdateringer for at holde træfsikkerheden oppe.

Det er softwarelaget, der gør leverandørforholdet vigtigt. Producenter har typisk fjernadgang for at kunne holde maskinerne kørende. Det svarer digitalt til en hovednøgle til bygningen. Den kan være nødvendig ved reparationer, men køberen skal vide, hvem der har den, hvornår den bruges, og hvad den giver adgang til. Sikkerhedsanbefalinger fra ENISA og britiske NCSC advarer om, at sådanne vedligeholdelseskanaler kan blive veje til uautoriseret adgang eller stille ændringer i opsætningen.

For grænsescannere betyder det, at en aktør med dyb systemadgang i teorien kan se kontrolbilleder eller justere følsomheden, så maskinen bliver dårligere til at opdage bestemte genstande, uden at operatørerne nødvendigvis opdager det. Det er kendte strukturelle risici i sektoren. Det er ikke bevis for, at en bestemt Nuctech-maskine er kompromitteret.

Bruxelles undersøger penge, ikke spionage

EU-Kommissionens sag mod Nuctech er en konkurrencesag, ikke en sikkerhedskonklusion. I april 2024 ransagede Kommissionens embedsmænd lokaler med forbindelse til Nuctech i Polen og Nederlandene efter EU’s forordning om udenlandske subsidier. Reglerne har siden 2023 givet Bruxelles mulighed for at undersøge, om økonomisk støtte fra en stat uden for EU har hjulpet en virksomhed med at underbyde konkurrenter i europæiske udbud (EU-Kommissionen). Nuctech anfægtede dele af datahåndteringen efter ransagningerne, men EU-Retten afviste selskabets foreløbige begæring i juli 2024. Der er endnu ikke offentliggjort en endelig afgørelse.

Skellet er afgørende. Bruxelles undersøger, om billig, statsstøttet prissætning har forvredet konkurrencen. Det er noget andet end spørgsmålet om, hvorvidt maskinerne er sikre nok til at stole på. Den del kan forordningen ikke besvare.

Et nationalt indkøb, en fælles risiko

Scannere ved EU’s ydre grænser købes nationalt af de enkelte toldmyndigheder og lufthavne. Men når varer først er godkendt af estisk told, kan de bevæge sig frit i det indre marked, hvor produkter cirkulerer mellem 27 lande uden nye grænsekontroller. Passagerer, der sikkerhedskontrolleres i Tallinn, kan flyve videre gennem Schengen. Hvert kontrolpunkts integritet er dermed en fælles forudsætning.

Andre medlemslande håndterer den forudsætning forskelligt. Nuctech driver et produktions- og servicecenter nær Warszawa, så Polens eksponering er fysisk: reparationer og opdateringer går gennem et lokalt datterselskab af den kinesiske ejer. Litauens regler for beskyttelse af strategisk vigtig infrastruktur ville screene et indkøb som dette for ejerskab og fjernadgang. Nederlandene vurderer kinesisk teknologi på baggrund af efterretningstjenestens eksplicitte advarsler om spionage. Estland er sagen, hvor brugen af Nuctech er bekræftet, mens beslutningssporet stadig ikke kan ses.

EU-regler som NIS2-direktivet presser operatører af samfundsvigtige tjenester til at styre risikoen i leverandørkæden. Belgien har for nylig blokeret en kinesisk-forbundet overtagelse af en helikopteroperatør af hensyn til national sikkerhed. Men selve indkøbsbeslutningen, vurderingen af leverandøren og adgangen til systemerne afgøres nationalt.

Bruxelles kan gøre statsstøttet underbud sværere. Det kan ikke bagefter gennemgå hver scanner, der allerede står ved en grænse. Ansvarsspørgsmålet ligger hos de nationale indkøbere. Indtil Estland fremlægger, hvordan købet blev vurderet, bliver debatten hængende mellem spionagefrygt og udbudstavshed, mens det egentlige styringshul består.