Estoniji nedostaje trag za kineske skenere

Estonska carina i zračna luka u Tallinnu godinama koriste rendgensku opremu za pregled prtljage koju proizvodi Nuctech, kineska tvrtka u državnom vlasništvu (Postimees). Dostupni podaci ne pokazuju da je riječ o dokazanom slučaju špijunaže. Pokazuju nešto drugo: prazninu u odgovornosti. Natječajna dokumentacija, ugovorni uvjeti, sigurnosne procjene te pravila za održavanje i ažuriranje programske opreme nisu javno dostupni. Ključno je pitanje je li se ta nabava uopće tretirala kao sigurnosno osjetljiva odluka, što po svojoj naravi jest.

Stroj nije ono što se na prvi pogled čini

Skener za prtljagu izgleda kao pasivni metalni tunel. U stvarnosti je mnogo bliži umreženom računalu kojemu je dodan izvor rendgenskog zračenja. Suvremeni aerodromski skeneri temeljeni na računalnoj tomografiji snimaju predmet iz više kutova, a zatim programska oprema od tih snimaka sastavlja trodimenzionalni prikaz koji operateri mogu okretati i presijecati kako bi pregledali sadržaj (NIST). Uređaj bilježi što je skenirao, označava sumnjive predmete i ovisi o redovitim ažuriranjima kako bi prepoznavanje ostalo pouzdano.

Zbog toga odnos s dobavljačem nije tehnički detalj, nego dio sigurnosne arhitekture. Proizvođači često zadržavaju mogućnost udaljenog pristupa kako bi održavali sustave, što je digitalni ekvivalent glavnog ključa zgrade. Takav pristup može biti nužan za popravke, ali kupac mora znati tko ga ima, kada se koristi i što se njime može promijeniti. Smjernice ENISA-e i britanskog NCSC-a upozoravaju da upravo kanali za održavanje mogu postati put za neovlašten pristup ili tihe promjene konfiguracije.

Kod graničnih skenera to znači da bi osoba s dubokim pristupom sustavu, barem teoretski, mogla vidjeti slike pregleda ili promijeniti pragove detekcije tako da uređaj postane manje osjetljiv na određene predmete, a da operateri to ne primijete. To su strukturni rizici, dobro poznati u sektoru. Oni nisu dokaz da je ijedan konkretan Nuctechov uređaj kompromitiran.

Bruxelles istražuje novac, a ne špijunažu

Postupak Europske komisije protiv Nuctecha nije sigurnosni nalaz, nego istraga iz područja tržišnog natjecanja. U travnju 2024. službenici Komisije pregledali su prostore povezane s Nuctechom u Poljskoj i Nizozemskoj na temelju europske Uredbe o stranim subvencijama, koja od 2023. Bruxellesu omogućuje da ispita je li financijska potpora vlade izvan EU-a pomogla nekoj tvrtki da potkopa konkurente na europskim natječajima (Europska komisija). Nuctech je osporio dijelove postupanja s podacima prikupljenima u tim pretragama, ali je Opći sud EU-a u srpnju 2024. odbio njegov privremeni zahtjev. Konačna odluka još nije objavljena.

Ta je razlika važna. Bruxelles ispituje je li jeftina cijena, potpomognuta državnim novcem, narušila tržišno natjecanje. To nije isto pitanje kao ono mogu li se uređaji smatrati sigurnima, niti ova uredba može dati odgovor na sigurnosni dio problema.

Nacionalna nabava, zajednički rizik

Skeneri na vanjskim granicama EU-a kupuju se nacionalno, preko pojedinih carinskih uprava i zračnih luka. No nakon što roba prođe estonsku carinu, slobodno se kreće jedinstvenim tržištem, prostorom od 27 država u kojemu proizvodi putuju bez dodatnih graničnih provjera. Putnici pregledani u Tallinnu nastavljaju letjeti unutar Schengena. Integritet svake kontrolne točke zato je pretpostavka na koju se oslanjaju i drugi.

Države članice tu pretpostavku ne tretiraju jednako. Nuctech ima proizvodni i servisni centar kraj Varšave, pa je poljska izloženost i fizička: popravci i ažuriranja prolaze kroz lokalnu podružnicu kineske matične tvrtke. Litavski okvir za zaštitu strateški važne infrastrukture takvu bi nabavu provjeravao kroz rizike vlasništva i udaljenog pristupa. Nizozemska kinesku tehnologiju promatra i kroz izričita upozorenja obavještajne službe o špijunaži. Estonija je slučaj u kojem je uporaba Nuctechove opreme potvrđena, ali trag upravljanja rizikom ostaje nevidljiv.

Europska pravila poput direktive NIS2 traže od operatora ključnih usluga da upravljaju rizicima u opskrbnom lancu. Belgija je nedavno, pozivajući se na nacionalnu sigurnost, blokirala preuzimanje helikopterskog operatora povezano s kineskim kapitalom. Ipak, sama odluka o nabavi, procjena dobavljača i opseg odobrenog pristupa ostaju u rukama nacionalnih vlasti.

Bruxelles može otežati tržišno natjecanje temeljeno na subvencioniranim cijenama. Ne može naknadno provjeriti svaki skener koji već radi na granici. Pitanje odgovornosti zato ostaje kod nacionalnih kupaca. Dok Estonija ne objasni kako je procijenila ovu nabavu, rasprava će ostati zaglavljena između straha od špijunaže i šutnje o javnoj nabavi, bez odgovora na stvarni problem: tko je procijenio rizik i po kojim pravilima.