Estónsku chýbajú doklady k čínskym skenerom

Estónska colná správa a letisko v Tallinne už roky používajú röntgenové kontrolné zariadenia od spoločnosti Nuctech, čínskej štátnej firmy (Postimees). Z verejne dostupných informácií však nevyplýva preukázaný prípad špionáže, ale skôr problém zodpovednosti a kontroly. Nie sú zverejnené súťažné podklady, zmluvné podmienky, bezpečnostné posúdenia ani pravidlá pre aktualizácie softvéru a údržbu. Kľúčová otázka preto znie jednoducho: zaobchádzalo Estónsko s týmto nákupom ako s rozhodnutím citlivým pre bezpečnosť, ktorým zjavne je?

Stroj nevyzerá tak, ako si ho predstavujeme

Batožinový skener pôsobí ako pasívny kovový tunel. V skutočnosti sa viac podobá sieťovo pripojenému počítaču, ku ktorému je pripevnený röntgenový zdroj. Moderné letiskové skenery založené na CT technológii snímajú predmety z viacerých uhlov a softvér z týchto dát skladá trojrozmerný obraz, ktorý môže operátor otáčať a rozrezávať na vrstvy (NIST). Zariadenie zároveň ukladá záznamy o kontrolách, označuje podozrivé predmety a potrebuje pravidelné softvérové aktualizácie, aby si zachovalo presnosť detekcie.

Práve táto softvérová vrstva robí z dodávateľa bezpečnostne dôležitý vzťah. Výrobcovia si pri takýchto zariadeniach často ponechávajú vzdialený prístup, aby vedeli riešiť poruchy a servis. Digitálne je to podobné ako hlavný kľúč od budovy. Môže byť potrebný, ale kupujúci musí vedieť, kto ho drží, kedy ho používa a k čomu sa ním dá dostať. Bezpečnostné odporúčania ENISA aj britského NCSC upozorňujú, že servisné kanály sa môžu stať cestou k neoprávnenému prístupu alebo k tichým zmenám nastavení.

Pri hraničných skeneroch to znamená, že osoba s hlbokým systémovým prístupom by teoreticky mohla vidieť kontrolné snímky alebo upraviť detekčné prahy tak, aby bol stroj menej citlivý na určité predmety bez toho, aby si to operátori všimli. Ide o štrukturálne riziká, ktoré sú v sektore dobre opísané. Nie sú dôkazom, že bol konkrétny skener Nuctech kompromitovaný.

Brusel sa pýta na peniaze, nie na špionáž

Postup Európskej komisie voči Nuctechu je súťažné vyšetrovanie, nie bezpečnostný záver. V apríli 2024 kontrolovali úradníci Komisie priestory prepojené s Nuctechom v Poľsku a Holandsku podľa európskeho nariadenia o zahraničných subvenciách. Od roku 2023 umožňuje Bruselu skúmať, či finančná podpora vlády mimo EÚ nepomohla firme podliezť konkurenciu v európskych verejných obstarávaniach (Európska komisia). Nuctech napadol časť nakladania s dátami získanými pri raziách; Všeobecný súd EÚ v júli 2024 zamietol jeho návrh na predbežné opatrenie. Konečné rozhodnutie zatiaľ zverejnené nebolo.

Tento rozdiel je podstatný. Brusel skúma, či lacné ceny podporené štátom nenarušili hospodársku súťaž. To je iná otázka než to, či možno zariadeniam bezpečne dôverovať. Nariadenie o zahraničných subvenciách na bezpečnostnú časť odpoveď nedá.

Národný nákup, spoločné riziko

Skenery na vonkajších hraniciach EÚ nakupujú štáty, konkrétne colné správy a letiská. Keď však tovar prejde estónskou colnou kontrolou, môže sa voľne pohybovať po jednotnom trhu, teda v priestore 27 krajín bez ďalších hraničných kontrol tovaru. Cestujúci skontrolovaní v Tallinne pokračujú ďalej v schengenskom priestore. Integrita každého kontrolného bodu je preto predpokladom, na ktorom stoja aj ostatní.

Členské štáty k tomuto predpokladu pristupujú rozdielne. Nuctech má pri Varšave výrobné a servisné centrum, takže poľská expozícia je aj fyzická: opravy a aktualizácie idú cez miestnu dcéru čínskej materskej firmy. Litovský rámec ochrany strategicky dôležitej infraštruktúry by podobný nákup preveroval z hľadiska vlastníctva aj rizík vzdialeného prístupu. Holandsko zasadzuje čínske technológie do rámca výslovných varovaní svojej spravodajskej služby pred špionážou. Estónsko je prípad, v ktorom je používanie zariadení Nuctech potvrdené, no pravidlá a posúdenia zostávajú neviditeľné.

Pravidlá EÚ, napríklad smernica NIS2, tlačia prevádzkovateľov základných služieb k riadeniu rizík v dodávateľských reťazcoch. Belgicko nedávno zablokovalo čínsky prepojené prevzatie prevádzkovateľa vrtuľníkov z dôvodov národnej bezpečnosti. Samotné obstarávanie, posúdenie dodávateľa a rozhodnutie o tom, aký prístup dostane, však zostávajú na národnej úrovni.

Brusel môže sťažiť súťažné výhody vyplývajúce zo štátnych subvencií. Nemôže spätne preveriť každý skener, ktorý už beží na hranici. Zodpovednosť preto zostáva u národných kupujúcich. Kým Estónsko nezverejní, ako tento nákup posudzovalo, debata bude uviaznutá medzi obavami zo špionáže a mlčaním obstarávania, zatiaľ čo skutočná medzera v kontrole zostane otvorená.