Viron kiinalaisskannereilta puuttuu jälki

Viron tulli ja Tallinnan lentoasema ovat käyttäneet vuosia Nuctechin valmistamia röntgentarkastuslaitteita. Nuctech on kiinalainen valtio-omisteinen yhtiö (Postimees). Julkinen näyttö ei osoita vakoilua. Se osoittaa hallinnollisen aukon: tarjousasiakirjoja, sopimusehtoja, turvallisuusarvioita sekä ohjelmistopäivitysten ja huollon järjestelyjä ei ole avattu. Keskeinen kysymys on, käsiteltiinkö hankintaa koskaan turvallisuuspäätöksenä.

Laite ei ole vain metallinen tunneli

Matkatavaraskanneri näyttää passiiviselta läpivalaisukoneelta. Käytännössä se on verkkoon kytketty tietokone, johon on liitetty röntgenlähde. Nykyaikaiset tietokonetomografiaan perustuvat lentoasemaskannerit keräävät kuvia useista suunnista. Ohjelmisto kokoaa niistä kolmiulotteisen näkymän, jota tarkastaja voi kääntää ja leikata sisällön tutkimiseksi (NIST). Laite kirjaa tarkastuksia, merkitsee epäilyttäviä kohteita ja tarvitsee säännöllisiä ohjelmistopäivityksiä, jotta tunnistus pysyy tarkkana.

Siksi toimittajasuhde on turvallisuuskysymys. Valmistajilla on yleensä etäyhteys laitteisiin huoltoa ja vianmääritystä varten. Se voi olla käytännössä välttämätöntä, mutta ostajan pitää tietää, kenellä pääsy on, milloin sitä käytetään ja mihin se oikeuttaa. ENISA:n ja Britannian NCSC:n toimitusketjuohjeet varoittavat, että huoltokanavista voi tulla reittejä luvattomaan pääsyyn tai huomaamattomiin asetusten muutoksiin.

Rajaskannereissa syvä järjestelmäpääsy voisi teoriassa mahdollistaa tarkastuskuvien katselun tai tunnistuskynnysten säätämisen niin, että laite reagoi heikommin tiettyihin esineisiin. Operaattori ei välttämättä huomaisi muutosta. Riskit ovat rakenteellisia ja alalla hyvin tunnettuja. Ne eivät todista, että yksikään Nuctechin laite olisi vaarantunut.

Bryssel tutkii rahaa, ei vakoilua

Euroopan komission Nuctechiin kohdistama menettely on kilpailututkinta, ei turvallisuusarvio. Huhtikuussa 2024 komission virkamiehet tekivät tarkastuksia Nuctechiin kytkeytyvissä tiloissa Puolassa ja Alankomaissa EU:n ulkomaisten tukien asetuksen nojalla. Vuodesta 2023 sovellettu asetus antaa Brysselille välineen tutkia, onko EU:n ulkopuolisen valtion rahoitustuki auttanut yritystä alittamaan kilpailijoiden hinnat eurooppalaisissa tarjouskilpailuissa (Euroopan komissio). Nuctech riitautti osia tarkastuksissa kerättyjen tietojen käsittelystä. EU:n yleinen tuomioistuin hylkäsi yhtiön väliaikaisvaatimuksen heinäkuussa 2024. Lopullista päätöstä ei ole julkaistu.

Ero on olennainen. Komissio selvittää, vääristääkö Kiinan valtion tukema hinnoittelu kilpailua. Se ei ratkaise, voiko laitteisiin luottaa turvallisuuskriittisessä käytössä.

Kansallinen hankinta, yhteinen riski

EU:n ulkorajojen skannerit ostavat kansalliset viranomaiset, kuten tullit ja lentoasemat. Kun tavara on läpäissyt Viron tullin, se liikkuu vapaasti sisämarkkinoilla eli 27 maan alueella ilman uusia rajatarkastuksia. Tallinnan lentoasemalla tarkastetut matkustajat jatkavat Schengen-alueelle. Jokaisen tarkastuspisteen luotettavuus on yhteinen oletus.

Jäsenvaltiot käsittelevät oletusta eri tavoin. Nuctechillä on tuotanto- ja palvelukeskus Varsovan lähellä, joten Puolan altistus on myös fyysinen: huolto ja päivitykset kulkevat kiinalaisen emoyhtiön paikallisen tytäryhtiön kautta. Liettuan kansallisen turvallisuuden kannalta tärkeän infrastruktuurin suojaamiseen tarkoitettu kehikko arvioisi tällaisessa hankinnassa omistusta ja etäpääsyä. Alankomaissa kiinalaista teknologiaa tarkastellaan tiedustelupalvelun nimenomaisten vakoiluvaroitusten kautta. Viro erottuu tapauksena, jossa Nuctechin käyttö on vahvistettu mutta päätöksenteon jälki ei näy.

EU-säännöt, kuten NIS2-direktiivi, velvoittavat keskeisten palvelujen toimijoita hallitsemaan toimitusketjuriskejä. Belgia esti hiljattain kiinalaiskytkentäisen yritysoston helikopteriyhtiössä kansallisen turvallisuuden perusteella. Varsinainen hankintapäätös, toimittajan arviointi ja etäpääsyn ehdot ratkaistaan silti kansallisesti.

Bryssel voi vaikeuttaa valtiontuilla tuettua alihinnoittelua. Se ei voi jälkikäteen tarkastaa jokaista rajalla jo käytössä olevaa skanneria. Vastuu päätöspolusta on kansallisilla ostajilla. Niin kauan kuin Viro ei kerro, miten hankinta arvioitiin, keskustelu jää vakoiluepäilyjen ja hankintahiljaisuuden väliin. Todellinen ongelma on yhä ratkaisematta: kuka kantoi vastuun turvallisuusriskistä, ja millä tiedolla.