Estland mist dossier bij Chinese scanners

De Estse douane en de luchthaven van Tallinn gebruiken al jaren röntgenscanners van Nuctech, een Chinees staatsbedrijf (Postimees). Wat publiek bekend is, wijst niet op bewezen spionage, maar wel op een verantwoordingsgat. Aanbestedingsstukken, contractvoorwaarden, veiligheidsbeoordelingen en afspraken over software-updates en onderhoud zijn niet openbaar. De kernvraag is daardoor eenvoudig: is deze aankoop ooit behandeld als de veiligheidsgevoelige beslissing die zij duidelijk is?

De machine is niet wat zij lijkt

Een bagagescanner oogt als een passieve metalen tunnel. In werkelijkheid lijkt hij meer op een netwerkcomputer waaraan een röntgenbron is vastgeschroefd. Moderne CT-scanners op luchthavens maken beelden vanuit meerdere hoeken, waarna software daar driedimensionale weergaven van maakt die operators kunnen draaien en doorsnijden om de inhoud te controleren (NIST). De machine registreert wat zij scant, markeert verdachte voorwerpen en heeft regelmatige software-updates nodig om accuraat te blijven.

Juist die softwarelaag maakt de leveranciersrelatie gevoelig. Leveranciers houden doorgaans toegang op afstand om machines draaiende te houden: digitaal gezien een soort hoofdsleutel van het gebouw. Voor reparaties kan dat nodig zijn, maar de koper moet dan wel weten wie die sleutel heeft, wanneer hij wordt gebruikt en welke deuren ermee opengaan. Veiligheidsrichtlijnen van ENISA en het Britse NCSC waarschuwen dat zulke onderhoudskanalen routes kunnen worden voor ongeoorloofde toegang of stille configuratiewijzigingen.

Bij grensscanners betekent dit dat iemand met diepgaande systeemtoegang in theorie inspectiebeelden kan bekijken of detectiedrempels kan aanpassen, zodat de machine minder gevoelig wordt voor bepaalde objecten zonder dat operators dat merken. Dat zijn structurele risico's, goed gedocumenteerd in de sector. Ze bewijzen overigens niet dat een specifieke Nuctech-machine is gecompromitteerd.

Brussel kijkt naar geld, niet naar spionage

De actie van de Europese Commissie tegen Nuctech is een mededingingsonderzoek, geen veiligheidsconclusie. In april 2024 doorzochten Commissieambtenaren aan Nuctech gelieerde locaties in Polen en Nederland op basis van de Europese verordening buitenlandse subsidies. Die geeft Brussel sinds 2023 de mogelijkheid te onderzoeken of financiële steun van een niet-EU-regering een bedrijf heeft geholpen concurrenten te onderbieden bij Europese aanbestedingen (Europese Commissie). Nuctech vocht onderdelen van de gegevensverwerking na die invallen aan; het Gerecht van de EU wees het voorlopige verzoek in juli 2024 af. Een definitief besluit is niet gepubliceerd.

Dat onderscheid doet ertoe. Brussel onderzoekt of goedkope, door de staat gesteunde prijzen de concurrentie hebben verstoord. Dat is iets anders dan de vraag of de machines veilig genoeg zijn om te vertrouwen. Die veiligheidsvraag kan deze verordening niet beantwoorden.

Een nationale aankoop, een gedeeld risico

Scanners aan de buitengrenzen van de EU worden nationaal gekocht, door afzonderlijke douanediensten en luchthavens. Maar zodra goederen door de Estse douane zijn gekomen, kunnen zij vrij door de interne markt bewegen, de zone van 27 landen waar producten zonder verdere grenscontroles circuleren. Passagiers die in Tallinn zijn gecontroleerd, vliegen daarna verder door Schengen. De integriteit van elk controlepunt is dus een gedeelde aanname.

Andere lidstaten gaan verschillend met die aanname om. Nuctech heeft een productie- en servicecentrum bij Warschau, waardoor de Poolse blootstelling fysiek is: reparaties en updates lopen via een lokale dochter van het Chinese moederbedrijf. Het Litouwse kader voor de bescherming van strategisch belangrijke infrastructuur zou een aankoop als deze toetsen op eigendom en risico's rond toegang op afstand. Nederland plaatst Chinese technologie nadrukkelijk in het kader van de spionagewaarschuwingen van de inlichtingendienst. Estland is het geval waarin het gebruik van Nuctech vaststaat, maar het bestuurlijke spoor onzichtbaar blijft.

EU-regels zoals de NIS2-richtlijn dwingen aanbieders van essentiële diensten om risico's in de toeleveringsketen te beheren. België blokkeerde onlangs op nationaleveiligheidsgronden een aan China gelieerde overname van een helikopterbedrijf. Maar de aanbestedingsbeslissing, wie de leverancier beoordeelde en welke toegang werd toegestaan, blijft nationaal.

Brussel kan gesubsidieerde concurrentie moeilijker maken. Het kan niet achteraf elke scanner doorlichten die al aan een grens draait. De verantwoordingsvraag ligt bij de nationale kopers. Zolang Estland niet openbaar maakt hoe deze aankoop is beoordeeld, blijft het debat hangen tussen spionagevrees en aanbestedingsstilte, terwijl het echte bestuurlijke gat open blijft.