Scanerele chinezești fără dosar

Vama estoniană și Aeroportul Tallinn folosesc de ani de zile echipamente de scanare cu raze X produse de Nuctech, companie chineză de stat (Postimees). Din informațiile disponibile public nu rezultă un caz dovedit de spionaj, ci o problemă de responsabilitate instituțională. Documentele de achiziție, clauzele contractuale, evaluările de risc de securitate și regulile privind actualizările software și mentenanța nu au fost făcute publice. Întrebarea simplă este dacă această achiziție a fost tratată vreodată drept ceea ce este: o decizie cu miză de securitate.

Aparatul nu este ceea ce pare

Un scanner de bagaje arată ca un tunel metalic pasiv. În realitate, seamănă mai mult cu un calculator conectat la rețea, căruia i-a fost atașată o sursă de raze X. Scanerele moderne de aeroport, bazate pe tomografie computerizată, colectează imagini din mai multe unghiuri, iar software-ul reconstruiește apoi imagini tridimensionale pe care operatorii le pot roti și secționa pentru a verifica interiorul bagajelor (NIST). Aparatul înregistrează ce scanează, semnalează obiecte suspecte și depinde de actualizări software regulate pentru ca detecția să rămână precisă.

Tocmai acest strat software face ca relația cu furnizorul să conteze. Producătorii păstrează adesea acces la distanță pentru mentenanță, echivalentul digital al unei chei principale pentru clădire. Poate fi necesar pentru reparații, dar cumpărătorul trebuie să știe cine deține accesul, când este folosit și ce poate deschide. Ghidurile de securitate ale ENISA și ale centrului britanic NCSC avertizează că aceste canale de mentenanță pot deveni căi pentru acces neautorizat sau pentru modificări discrete de configurare.

În cazul scanerelor de frontieră, asta înseamnă că o persoană cu acces profund la sistem ar putea, teoretic, să vadă imaginile inspectate sau să ajusteze pragurile de detecție astfel încât aparatul să devină mai puțin sensibil la anumite obiecte, fără ca operatorii să observe. Sunt riscuri structurale, documentate în sector. Nu sunt însă dovada că vreun echipament Nuctech anume a fost compromis.

Bruxelles-ul verifică banii, nu spionajul

Acțiunea Comisiei Europene împotriva Nuctech este o investigație de concurență, nu o concluzie de securitate. În aprilie 2024, oficiali ai Comisiei au inspectat sedii legate de Nuctech în Polonia și Țările de Jos, în baza Regulamentului UE privind subvențiile străine, care permite din 2023 Bruxelles-ului să verifice dacă sprijinul financiar acordat de un guvern din afara UE a ajutat o companie să ofere prețuri mai mici decât concurenții în licitații europene (Comisia Europeană). Nuctech a contestat aspecte privind gestionarea datelor obținute în urma acelor percheziții; Tribunalul Uniunii Europene a respins cererea provizorie în iulie 2024. Nu a fost publicată încă o decizie finală.

Distincția este importantă. Bruxelles-ul verifică dacă prețurile reduse, susținute de stat, au distorsionat concurența. Aceasta este o întrebare diferită de cea privind încrederea în echipamente, iar regulamentul nu poate răspunde părții de securitate.

O achiziție națională, un risc comun

Scanerele de la frontierele externe ale UE sunt cumpărate la nivel național, de agenții vamale și aeroporturi. Dar odată ce mărfurile trec de vama estoniană, circulă liber pe piața unică, spațiul celor 27 de state în care produsele se mișcă fără alte controale la frontieră. Pasagerii verificați la Tallinn pot zbura mai departe în Schengen. Integritatea fiecărui punct de control devine astfel o presupunere comună.

Statele membre gestionează diferit această presupunere. Nuctech are un centru de producție și service lângă Varșovia, ceea ce face expunerea Poloniei una fizică: reparațiile și actualizările trec printr-o subsidiară locală a companiei-mamă chineze. Cadrul Lituaniei pentru protejarea infrastructurii de importanță strategică ar examina o astfel de achiziție prin prisma acționariatului și a riscurilor de acces la distanță. Țările de Jos privesc tehnologia chineză prin avertismentele explicite de spionaj ale serviciului de informații. Estonia este cazul în care folosirea Nuctech este confirmată, dar traseul decizional rămâne invizibil.

Reguli europene precum directiva NIS2 împing operatorii de servicii esențiale să gestioneze riscurile din lanțul de aprovizionare. Belgia a blocat recent preluarea unui operator de elicoptere cu legături chineze, invocând securitatea națională. Dar decizia de achiziție, evaluarea furnizorului și accesul acordat se stabilesc la nivel național.

Bruxelles-ul poate face mai dificilă concurența bazată pe subvenții. Nu poate audita retroactiv fiecare scanner care funcționează deja la o frontieră. Întrebarea privind responsabilitatea rămâne la cumpărătorii naționali. Până când Estonia va arăta cum a fost evaluată această achiziție, dezbaterea va rămâne prinsă între temeri de spionaj și tăcere administrativă, iar golul real de guvernanță va rămâne nerezolvat.