Estonski kitajski skenerji brez sledi

Estonska carina in letališče v Talinu že več let uporabljata rentgensko opremo za pregledovanje prtljage in tovora, ki jo proizvaja Nuctech, kitajsko podjetje v državni lasti (Postimees). Javno dostopni podatki ne kažejo dokazanega primera vohunjenja, temveč vrzel v odgovornosti. Razpisna dokumentacija, pogodbeni pogoji, ocene varnostnega tveganja ter dogovori o posodobitvah programske opreme in vzdrževanju ostajajo nerazkriti. Ključno vprašanje je preprosto: ali so estonski organi ta nakup sploh obravnavali kot varnostno občutljivo odločitev, kar po svoji naravi je?

Naprava ni to, kar si običajno predstavljamo

Skener za prtljago je videti kot pasivni kovinski tunel. V resnici je bliže omrežno povezanemu računalniku, ki ima nanj pritrjen vir rentgenskih žarkov. Sodobni letališki skenerji na podlagi računalniške tomografije zajemajo slike iz več kotov, nato pa programska oprema iz njih sestavi tridimenzionalne prikaze, ki jih operaterji vrtijo in režejo po plasteh, da pregledajo vsebino (NIST). Naprava beleži, kaj pregleduje, označuje sumljive predmete in za natančno zaznavanje potrebuje redne posodobitve programske opreme.

Prav ta programska plast pojasni, zakaj je odnos z dobaviteljem varnostno pomemben. Proizvajalci pogosto ohranijo oddaljeni dostop, da lahko naprave vzdržujejo in popravljajo; v digitalnem smislu je to podobno glavnemu ključu za stavbo. Tak dostop je lahko nujen, vendar mora kupec vedeti, kdo ga ima, kdaj se uporablja in kaj omogoča. Varnostne smernice ENISA in britanskega NCSC opozarjajo, da se lahko ti vzdrževalni kanali spremenijo v pot za nepooblaščen dostop ali neopazne spremembe nastavitev.

Pri skenerjih na meji to pomeni, da bi lahko nekdo z globokim sistemskim dostopom teoretično videl slike pregledov ali prilagodil pragove zaznavanja, tako da bi naprava postala manj občutljiva za določene predmete, ne da bi operaterji to opazili. To so strukturna tveganja, dobro dokumentirana v celotnem sektorju. Niso pa dokaz, da je bila katera koli konkretna Nuctechova naprava kompromitirana.

Bruselj sprašuje po denarju, ne po vohunjenju

Postopek Evropske komisije proti Nuctechu je preiskava s področja konkurence, ne varnostna ugotovitev. Aprila 2024 so uradniki Komisije pregledali prostore, povezane z Nuctechom, na Poljskem in Nizozemskem na podlagi evropske uredbe o tujih subvencijah. Ta od leta 2023 Bruslju omogoča preiskavo, ali je finančna podpora vlade zunaj EU podjetju pomagala zniževati cene pod raven konkurentov v evropskih javnih naročilih (Evropska komisija). Nuctech je izpodbijal del ravnanja s podatki, pridobljenimi med pregledi; Splošno sodišče EU je julija 2024 zavrnilo njegov predlog za začasne ukrepe. Končne odločitve še ni.

Razlika je pomembna. Bruselj preverja, ali so nizke cene, podprte z državnimi sredstvi, izkrivile konkurenco. To ni isto vprašanje kot vprašanje, ali je napravam varno zaupati. Uredba na varnostni del ne more odgovoriti.

Nacionalni nakup, skupno tveganje

Skenerje na zunanjih mejah EU kupujejo posamezne države, običajno carinski organi in letališča. Toda ko blago prestane estonsko carino, se prosto giblje po enotnem trgu, območju 27 držav, kjer izdelki praviloma ne gredo več skozi mejne kontrole. Potniki, pregledani v Talinu, nadaljujejo pot po schengenskem prostoru. Zanesljivost vsake kontrolne točke je zato skupna predpostavka.

Države članice to predpostavko obravnavajo različno. Nuctech ima proizvodni in servisni center v bližini Varšave, zato je izpostavljenost Poljske tudi fizična: popravila in posodobitve tečejo prek lokalne hčerinske družbe kitajske matične družbe. Litovski okvir za zaščito strateško pomembne infrastrukture bi tak nakup preverjal z vidika lastništva in tveganj oddaljenega dostopa. Nizozemska kitajsko tehnologijo umešča v kontekst izrecnih opozoril svoje obveščevalne službe o vohunjenju. Estonija je primer, kjer je uporaba Nuctechove opreme potrjena, upravljavska sled pa ostaja nevidna.

Pravila EU, kot je direktiva NIS2, od upravljavcev bistvenih storitev zahtevajo obvladovanje tveganj v dobavni verigi. Belgija je pred kratkim iz razlogov nacionalne varnosti blokirala prevzem helikopterskega operaterja, povezanega s kitajskim kapitalom. Toda odločitev o javnem naročilu, presoja dobavitelja in obseg odobrenega dostopa ostajajo v pristojnosti države.

Bruselj lahko oteži konkurenco, ki temelji na subvencioniranih cenah. Ne more pa za nazaj pregledati vsakega skenerja, ki že deluje na meji. Vprašanje odgovornosti je pri nacionalnih kupcih. Dokler Estonija ne razkrije, kako je ta nakup presojala, bo razprava ujeta med strahom pred vohunjenjem in molkom javnega naročanja, dejanska vrzel v upravljanju pa bo ostala nerešena.