Scanner cinesi senza tracciabilità

Le dogane estoni e l’aeroporto di Tallinn utilizzano da anni apparecchiature di controllo a raggi X prodotte da Nuctech, società cinese di proprietà statale (Postimees). Gli elementi pubblicamente disponibili indicano un vuoto di responsabilità, non un caso accertato di spionaggio. Restano fuori dalla vista i documenti di gara, le condizioni contrattuali, le valutazioni sui rischi per la sicurezza e le modalità con cui si gestiscono aggiornamenti software e manutenzione. La domanda di fondo è semplice: questo acquisto è mai stato trattato come la decisione sensibile per la sicurezza che evidentemente è?

La macchina non è quella che immaginiamo

Uno scanner per bagagli sembra un tunnel metallico passivo. In realtà assomiglia molto di più a un computer in rete al quale è stata applicata una sorgente a raggi X. Gli scanner aeroportuali moderni basati su tomografia computerizzata raccolgono immagini da più angolazioni, poi il software ricostruisce viste tridimensionali che gli operatori possono ruotare e sezionare per controllare il contenuto (NIST). La macchina registra ciò che scansiona, segnala gli oggetti sospetti e dipende da aggiornamenti software regolari perché il rilevamento resti accurato.

È questo strato software a rendere decisivo il rapporto con il fornitore. Di norma i produttori mantengono canali di accesso remoto per assicurare il funzionamento delle macchine: l’equivalente digitale di una chiave passe-partout dell’edificio. Può servire per le riparazioni, ma chi compra deve sapere chi la possieda, quando venga usata e che cosa consenta di aprire. Le linee guida dell’ENISA e del britannico NCSC avvertono che questi canali di manutenzione possono trasformarsi in vie di accesso non autorizzato o in strumenti per modifiche silenziose alla configurazione.

Nel caso degli scanner di frontiera, ciò significa che chi disponesse di un accesso profondo al sistema potrebbe, in teoria, vedere le immagini delle ispezioni o regolare le soglie di rilevamento in modo da rendere la macchina meno sensibile a determinati oggetti, senza che gli operatori se ne accorgano. Sono rischi strutturali, ben documentati nel settore. Non dimostrano che una specifica macchina Nuctech sia stata compromessa.

Bruxelles indaga sui soldi, non sullo spionaggio

L’azione della Commissione europea contro Nuctech è un’indagine sulla concorrenza, non una conclusione di sicurezza. Nell’aprile 2024 funzionari della Commissione hanno ispezionato sedi collegate a Nuctech in Polonia e nei Paesi Bassi in base al regolamento sulle sovvenzioni estere, che dal 2023 consente a Bruxelles di verificare se il sostegno finanziario di un governo non UE abbia aiutato un’azienda a praticare prezzi inferiori a quelli dei concorrenti nelle gare europee (European Commission). Nuctech ha contestato alcuni aspetti della gestione dei dati raccolti durante quelle ispezioni; nel luglio 2024 il Tribunale dell’UE ha respinto la richiesta cautelare. Non è stata pubblicata alcuna decisione finale.

La distinzione conta. Bruxelles sta cercando di capire se prezzi bassi sostenuti dallo Stato abbiano distorto la concorrenza. È una questione diversa da quella dell’affidabilità delle macchine, e il regolamento non può risolvere il versante della sicurezza.

Un acquisto nazionale, un rischio condiviso

Gli scanner alle frontiere esterne dell’UE vengono acquistati a livello nazionale, dalle singole agenzie doganali e dagli aeroporti. Ma una volta superata la dogana estone, le merci circolano liberamente nel mercato unico, lo spazio di 27 Paesi in cui i prodotti si muovono senza ulteriori controlli di frontiera. I passeggeri controllati a Tallinn proseguono poi verso altre destinazioni Schengen. L’integrità di ogni punto di controllo è una presunzione condivisa.

Altri Stati membri trattano questa presunzione in modo diverso. Nuctech gestisce un centro di produzione e assistenza vicino a Varsavia, perciò l’esposizione della Polonia è anche fisica: riparazioni e aggiornamenti passano attraverso una controllata locale della casa madre cinese. Il quadro lituano per la protezione delle infrastrutture di importanza strategica sottoporrebbe un acquisto del genere a verifiche su proprietà e rischi di accesso remoto. I Paesi Bassi leggono la tecnologia cinese alla luce degli espliciti allarmi sullo spionaggio lanciati dai servizi di intelligence. L’Estonia è il caso in cui l’uso di Nuctech risulta confermato, mentre la traccia di governance resta invisibile.

Norme UE come la direttiva NIS2 spingono gli operatori di servizi essenziali a gestire il rischio nella catena di fornitura. Il Belgio ha di recente bloccato l’acquisizione da parte di soggetti legati alla Cina di un operatore di elicotteri per ragioni di sicurezza nazionale. Ma la decisione d’acquisto, l’identità di chi ha valutato il fornitore e il tipo di accesso concesso restano questioni nazionali.

Bruxelles può rendere più difficile la concorrenza drogata da sovvenzioni. Non può controllare retroattivamente ogni scanner già in funzione a una frontiera. La responsabilità resta in capo agli acquirenti nazionali. Finché l’Estonia non renderà noto come abbia valutato questo acquisto, il dibattito rimarrà sospeso tra timori di spionaggio e silenzio sugli appalti, lasciando irrisolto il vero vuoto di governance.