Észtország kínai szkennerei nyom nélkül

Az észt vámhatóság és a tallinni repülőtér évek óta a Nuctech kínai állami vállalat röntgenes ellenőrző berendezéseit használja (Postimees). A nyilvánosan elérhető információk alapján nem bizonyított kémkedési ügyről van szó, hanem elszámoltathatósági hiányról. Nem ismertek a közbeszerzési iratok, a szerződéses feltételek, a biztonsági kockázatelemzések, ahogy az sem, hogyan zajlanak a szoftverfrissítések és a karbantartások. Az alapkérdés ezért az: kezelték-e valaha ezt a beszerzést annak, ami, vagyis biztonsági szempontból érzékeny döntésnek?

A gép nem az, aminek látszik

Egy poggyászszkenner kívülről passzív fémalagútnak tűnik. Működésében inkább hálózatra kötött számítógép, amelyhez röntgenforrást szereltek. A modern, CT-alapú repülőtéri szkennerek több szögből készítenek felvételeket, majd a szoftver ezekből háromdimenziós képet állít össze, amelyet az operátor forgathat és szeletekre bonthat a csomag tartalmának ellenőrzéséhez (NIST). A berendezés naplózza, mit vizsgál át, gyanús tárgyakat jelöl meg, és rendszeres szoftverfrissítésektől függ, hogy a felismerés pontos maradjon.

Ezért számít, milyen viszonyban áll a vevő a beszállítóval. Az ilyen rendszerek üzemeltetéséhez a gyártók gyakran távoli hozzáférést tartanak fenn: ez digitális értelemben főkulcs az épülethez. Javításokhoz szükség lehet rá, de a vevőnek tudnia kell, kinél van ez a hozzáférés, mikor használják, és pontosan mihez nyit utat. Az ENISA és a brit NCSC ellátásilánc-biztonsági iránymutatásai is arra figyelmeztetnek, hogy a karbantartási csatornák jogosulatlan hozzáférés vagy észrevétlen konfigurációmódosítás útvonalává válhatnak.

Határszkennereknél ez azt jelenti, hogy mély rendszerszintű hozzáféréssel elvben meg lehet nézni az ellenőrzési képeket, vagy úgy lehet módosítani az érzékelési küszöböket, hogy a gép bizonyos tárgyakra kevésbé legyen érzékeny, anélkül hogy ezt az operátorok észrevennék. Ezek a szektorban jól dokumentált szerkezeti kockázatok. Nem bizonyítják, hogy bármely konkrét Nuctech-berendezést kompromittáltak volna.

Brüsszel a pénzt vizsgálja, nem a kémkedést

Az Európai Bizottság Nuctech elleni eljárása versenyjogi vizsgálat, nem biztonsági megállapítás. A Bizottság tisztviselői 2024 áprilisában a Nuctechhez köthető lengyelországi és hollandiai helyszíneken tartottak vizsgálatot az EU külföldi támogatásokról szóló rendelete alapján. A 2023 óta alkalmazott szabályozás azt teszi lehetővé Brüsszelnek, hogy megvizsgálja: egy EU-n kívüli kormány pénzügyi támogatása segített-e egy vállalatnak az európai közbeszerzéseken a versenytársak alá ígérni (Európai Bizottság). A Nuctech megtámadta a rajtaütések során megszerzett adatok kezelésének egyes elemeit, de az Európai Unió Törvényszéke 2024 júliusában elutasította az ideiglenes intézkedés iránti kérelmét. Végleges döntést még nem tettek közzé.

A különbség lényeges. Brüsszel azt vizsgálja, torzította-e a versenyt az olcsó, állami háttérrel megtámogatott árazás. Ez nem ugyanaz a kérdés, mint hogy biztonságosan megbízhatók-e a berendezések, és erre a rendelet nem is tud választ adni.

Nemzeti beszerzés, közös kockázat

Az EU külső határain működő szkennereket nemzeti szinten, az egyes vámhatóságok és repülőterek szerzik be. Csakhogy ha egy áru átjut az észt vámellenőrzésen, szabadon mozoghat az egységes piacon, vagyis abban a 27 országot lefedő térben, ahol a termékeket nem ellenőrzik újra a belső határokon. A Tallinnban átvizsgált utasok pedig tovább repülhetnek a schengeni térségben. Minden ellenőrzőpont épsége közös feltételezésre épül.

Más tagállamok ezt a feltételezést eltérően kezelik. A Nuctech Varsó közelében gyártó- és szolgáltatóközpontot működtet, ezért Lengyelország kitettsége fizikai is: a javítások és frissítések a kínai anyavállalat helyi leánycégén keresztül futnak. Litvánia stratégiai jelentőségű infrastruktúrák védelmére vonatkozó rendszere egy ilyen beszerzésnél a tulajdonosi hátteret és a távoli hozzáférési kockázatokat is vizsgálná. Hollandiában a kínai technológiát a hírszerzés kifejezett kémkedési figyelmeztetéseinek keretében értelmezik. Észtország az az eset, ahol a Nuctech használata megerősített tény, de a döntés irányítási nyoma láthatatlan marad.

Az olyan uniós szabályok, mint a NIS2 irányelv, arra kötelezik az alapvető szolgáltatások üzemeltetőit, hogy kezeljék az ellátási láncból eredő kockázatokat. Belgium nemrég nemzetbiztonsági okokra hivatkozva megakadályozta egy kínai kötődésű felvásárlást egy helikopter-üzemeltetőnél. A beszerzési döntés azonban, vagyis hogy ki vizsgálta a beszállítót és milyen hozzáférést engedélyeztek neki, továbbra is nemzeti szinten születik.

Brüsszel megnehezítheti az államilag támogatott árversenyt. A határokon már működő összes szkennert azonban nem tudja utólag átvilágítani. Az elszámoltathatósági kérdés a nemzeti beszerzőknél marad. Amíg Észtország nem hozza nyilvánosságra, hogyan értékelte ezt a beszerzést, a vita a kémkedéstől való félelem és a közbeszerzési hallgatás között ragad, miközben a tényleges irányítási hiány változatlanul nyitva marad.