Estonia no documenta sus escáneres chinos

Las aduanas estonias y el aeropuerto de Tallin llevan años utilizando equipos de inspección por rayos X fabricados por Nuctech, una empresa china de propiedad estatal (Postimees). Lo que muestran las pruebas públicas no es un caso demostrado de espionaje, sino un vacío de rendición de cuentas: no se han hecho públicos los expedientes de licitación, las condiciones contractuales, las evaluaciones de riesgo para la seguridad ni los acuerdos sobre actualizaciones de software y mantenimiento. La pregunta básica es si esta compra se trató alguna vez como lo que claramente era: una decisión con implicaciones de seguridad.

La máquina no es como se imagina

Un escáner de equipaje parece un túnel metálico pasivo. En la práctica, se parece más a un ordenador conectado a la red al que se ha acoplado una fuente de rayos X. Los escáneres aeroportuarios modernos basados en tomografía computarizada recogen imágenes desde varios ángulos y después el software construye vistas tridimensionales que los operadores pueden girar y cortar por capas para inspeccionar el contenido (NIST). La máquina registra lo que escanea, marca objetos sospechosos y depende de actualizaciones periódicas de software para mantener la precisión de la detección.

Esa capa de software explica por qué importa la relación con el proveedor. Los fabricantes suelen conservar acceso remoto para mantener los equipos operativos, el equivalente digital a una llave maestra del edificio. Puede ser necesario para las reparaciones, pero el comprador debe saber quién la tiene, cuándo se usa y qué puede abrir. Las guías de seguridad de ENISA y del NCSC británico advierten de que estos canales de mantenimiento pueden convertirse en vías de acceso no autorizado o de cambios discretos en la configuración.

En escáneres fronterizos, eso significa que alguien con acceso profundo al sistema podría, en teoría, ver imágenes de inspección o ajustar umbrales de detección para que la máquina sea menos sensible a determinados objetos sin que los operadores lo noten. Son riesgos estructurales, bien documentados en el sector. No prueban que ningún equipo concreto de Nuctech haya sido comprometido.

Bruselas pregunta por dinero, no por espionaje

La actuación de la Comisión Europea contra Nuctech es una investigación de competencia, no una conclusión de seguridad. En abril de 2024, funcionarios de la Comisión inspeccionaron sedes vinculadas a Nuctech en Polonia y Países Bajos al amparo del Reglamento sobre Subvenciones Extranjeras, que desde 2023 permite a Bruselas investigar si el apoyo financiero de un Gobierno no comunitario ayudó a una empresa a rebajar artificialmente sus ofertas en concursos europeos (Comisión Europea). Nuctech recurrió algunos aspectos del tratamiento de los datos obtenidos en esas inspecciones; el Tribunal General de la UE rechazó sus medidas provisionales en julio de 2024. No se ha publicado una decisión final.

La distinción importa. Bruselas examina si unos precios bajos respaldados por el Estado distorsionaron la competencia. Es una cuestión distinta de si las máquinas son fiables desde el punto de vista de la seguridad, y el reglamento no puede responder a esa parte.

Una compra nacional, un riesgo compartido

Los escáneres en las fronteras exteriores de la UE se compran a escala nacional, por agencias aduaneras y aeropuertos concretos. Pero, una vez que las mercancías pasan la aduana estonia, circulan libremente por el mercado único, el espacio de 27 países donde los productos se mueven sin nuevos controles fronterizos. Los pasajeros inspeccionados en Tallin vuelan después por Schengen. La integridad de cada puesto de control es una premisa compartida.

Otros Estados miembros gestionan esa premisa de forma distinta. Nuctech tiene un centro de producción y servicio cerca de Varsovia, de modo que la exposición de Polonia es física: las reparaciones y actualizaciones pasan por una filial local de la matriz china. El marco lituano de protección de infraestructuras estratégicas permitiría examinar una compra así por sus riesgos de propiedad y acceso remoto. Países Bajos encuadra la tecnología china a través de las advertencias explícitas de sus servicios de inteligencia sobre espionaje. Estonia es el caso en el que el uso de Nuctech está confirmado, pero el rastro de gobernanza sigue sin verse.

Normas europeas como la directiva NIS2 empujan a los operadores de servicios esenciales a gestionar el riesgo de la cadena de suministro. Bélgica bloqueó recientemente la adquisición de un operador de helicópteros vinculado a China por motivos de seguridad nacional. Pero la decisión de compra, quién evaluó al proveedor y qué acceso se concedió ocurren en el plano nacional.

Bruselas puede dificultar la competencia subvencionada. No puede auditar con efecto retroactivo cada escáner que ya funciona en una frontera. La responsabilidad recae en los compradores nacionales. Mientras Estonia no explique cómo se evaluó esta adquisición, el debate seguirá atrapado entre el miedo al espionaje y el silencio administrativo, con el verdadero vacío de gobernanza sin resolver.