Estońskie skanery Nuctech bez dokumentów

Estońska służba celna i lotnisko w Tallinnie od lat korzystają ze skanerów rentgenowskich produkowanych przez Nuctech, chińską spółkę państwową (Postimees). Z dostępnych publicznie informacji nie wynika, że doszło do szpiegostwa. Wynika z nich coś innego: luka w odpowiedzialności. Nie ujawniono dokumentacji przetargowej, warunków umów, ocen ryzyka bezpieczeństwa ani zasad aktualizacji oprogramowania i serwisowania urządzeń. Podstawowe pytanie brzmi więc nie, czy znaleziono dowód nadużycia, lecz czy zakup potraktowano jako decyzję wrażliwą z punktu widzenia bezpieczeństwa.

To nie jest zwykła maszyna, jaką wyobrażamy sobie na lotnisku

Skaner bagażu wygląda jak metalowy tunel, przez który przejeżdża walizka. W praktyce coraz częściej jest to komputer podłączony do sieci, wyposażony w źródło promieniowania rentgenowskiego. Nowoczesne lotniskowe skanery CT zbierają obrazy pod wieloma kątami, a oprogramowanie składa z nich trójwymiarowy obraz, który operator może obracać i przecinać warstwami, by sprawdzić zawartość bagażu (NIST). Urządzenie zapisuje dane o skanowaniu, oznacza podejrzane przedmioty i wymaga regularnych aktualizacji, by system wykrywania działał poprawnie.

Właśnie dlatego znaczenie ma nie tylko cena urządzenia, ale także relacja z dostawcą. Producenci zwykle utrzymują zdalny dostęp serwisowy, potrzebny do napraw, aktualizacji i diagnostyki. Dla kupującego oznacza to cyfrowy odpowiednik klucza głównego: trzeba wiedzieć, kto go ma, kiedy go używa i do czego daje dostęp. Wytyczne ENISA oraz brytyjskiego NCSC ostrzegają, że takie kanały serwisowe mogą stać się drogą nieuprawnionego dostępu albo cichych zmian konfiguracji.

W przypadku skanerów granicznych ryzyko ma bardzo konkretny wymiar. Osoba z głębokim dostępem systemowym mogłaby teoretycznie oglądać obrazy kontroli albo zmienić progi wykrywania tak, by urządzenie słabiej reagowało na określone przedmioty, bez wiedzy operatorów. To ryzyka strukturalne, dobrze opisane w sektorze. Nie są dowodem, że którykolwiek skaner Nuctech został przejęty lub wykorzystany w ten sposób.

Bruksela pyta o pieniądze, nie o szpiegostwo

Działania Komisji Europejskiej wobec Nuctech dotyczą konkurencji, a nie ustaleń kontrwywiadowczych. W kwietniu 2024 r. urzędnicy KE przeprowadzili kontrole w podmiotach powiązanych z Nuctech w Polsce i Holandii na podstawie unijnego rozporządzenia o subsydiach zagranicznych. Od 2023 r. daje ono Brukseli narzędzie do sprawdzania, czy wsparcie finansowe ze strony państwa spoza UE pozwoliło firmie zaniżać ceny w europejskich przetargach (Komisja Europejska). Nuctech zakwestionował część działań związanych z przekazywaniem danych po kontrolach, ale Sąd UE w lipcu 2024 r. odrzucił wniosek o zastosowanie środków tymczasowych. Ostatecznej decyzji dotąd nie opublikowano.

To rozróżnienie jest istotne. Komisja bada, czy tania oferta wspierana przez państwo zakłóciła konkurencję. To inne pytanie niż to, czy urządzeniom można ufać w infrastrukturze granicznej. Rozporządzenie o subsydiach zagranicznych nie rozstrzyga problemu bezpieczeństwa.

Zakup krajowy, ryzyko wspólne

Skanery na zewnętrznych granicach UE kupują krajowe służby celne i lotniska. Skutek ich pracy nie zatrzymuje się jednak na granicy państwa. Towary odprawione przez estońską administrację celną mogą potem krążyć po jednolitym rynku, czyli obszarze 27 państw, w którym produkty przemieszczają się bez kolejnych kontroli granicznych. Pasażerowie sprawdzeni w Tallinnie lecą dalej w strefie Schengen. Integralność każdego punktu kontroli jest więc założeniem, na którym opiera się cały system.

Państwa członkowskie różnie podchodzą do tego założenia. Nuctech ma centrum produkcyjno-serwisowe pod Warszawą, więc polska ekspozycja ma także wymiar fizyczny: naprawy i aktualizacje przechodzą przez lokalną spółkę zależną chińskiego właściciela. Litewski system ochrony infrastruktury istotnej strategicznie obejmowałby przy takim zakupie ocenę właścicielską i ryzyka zdalnego dostępu. Holandia wpisuje chińskie technologie w szersze ostrzeżenia swojej służby wywiadowczej przed szpiegostwem. Estonia jest przypadkiem, w którym użycie urządzeń Nuctech potwierdzono, ale ścieżka nadzoru pozostaje niewidoczna.

Unijne przepisy, takie jak dyrektywa NIS2, zobowiązują operatorów usług kluczowych do zarządzania ryzykiem w łańcuchu dostaw. Belgia niedawno zablokowała przejęcie operatora śmigłowców powiązane z Chinami, powołując się na bezpieczeństwo narodowe. Sama decyzja zakupowa, ocena dostawcy i zakres przyznanego dostępu pozostają jednak w gestii państw.

Bruksela może utrudniać konkurencję opartą na subsydiach. Nie może po fakcie prześwietlić każdego skanera, który już działa na granicy. Odpowiedzialność spoczywa na krajowych nabywcach. Dopóki Estonia nie pokaże, jak oceniono ten zakup, spór będzie krążył między obawami przed szpiegostwem a milczeniem administracji, bez odpowiedzi na najważniejsze pytanie: kto właściwie sprawdził ryzyko i według jakich zasad.