Estlands kinesiska skannrar saknar spår

Estnisk tull och Tallinns flygplats har i flera år använt röntgenutrustning från Nuctech, ett kinesiskt statsägt bolag (Postimees). Det som hittills är offentligt visar inte att utrustningen har använts för spionage. Det visar däremot en brist på ansvarskedja. Upphandlingsunderlag, avtalsvillkor, säkerhetsbedömningar och rutiner för programuppdateringar och service har inte redovisats. Den centrala frågan är om köpet över huvud taget behandlades som det säkerhetskänsliga beslut det är.

Maskinen är inte vad den ser ut att vara

En bagageskanner kan se ut som en passiv metalltunnel. I praktiken är den snarare en nätverksansluten dator med en röntgenkälla monterad på sig. Moderna CT-baserade flygplatsskannrar samlar in bilder från flera vinklar. Programvara bygger därefter tredimensionella vyer som operatörer kan vrida och skära igenom för att granska innehållet (NIST). Maskinen loggar vad som skannas, markerar misstänkta föremål och kräver regelbundna programuppdateringar för att träffsäkerheten ska bestå.

Det är därför leverantörsrelationen spelar roll. Tillverkare har ofta fjärråtkomst för att kunna underhålla utrustningen. Det kan vara nödvändigt för drift och reparationer, men köparen behöver veta vem som har åtkomsten, när den används och vad den ger tillgång till. Säkerhetsvägledningar från ENISA och brittiska NCSC pekar på att sådana servicekanaler kan bli vägar för obehörig åtkomst eller diskreta ändringar i systemets inställningar.

För gränsskannrar innebär det att en aktör med djup systemåtkomst i teorin skulle kunna se granskningsbilder eller justera känslighetsnivåer så att vissa föremål upptäcks mer sällan, utan att operatörerna märker det. Det är kända strukturella risker i sektorn. De är inte bevis för att en viss Nuctechmaskin har manipulerats.

Bryssel granskar pengar, inte spionage

EU-kommissionens ärende mot Nuctech är en konkurrensutredning, inte ett säkerhetsbesked. I april 2024 genomförde kommissionens tjänstemän inspektioner i lokaler med koppling till Nuctech i Polen och Nederländerna enligt EU:s förordning om utländska subventioner. Sedan 2023 ger den Bryssel möjlighet att granska om ekonomiskt stöd från ett land utanför EU har hjälpt ett företag att pressa priser i europeiska upphandlingar (EU-kommissionen). Nuctech invände mot delar av datahanteringen efter inspektionerna. EU:s tribunal avslog bolagets interimistiska begäran i juli 2024. Något slutligt beslut har inte publicerats.

Skillnaden är viktig. Bryssel undersöker om statligt stödd prissättning har snedvridit konkurrensen. Det är en annan fråga än om maskinerna är säkra att lita på. Den förordningen kan inte besvara säkerhetsfrågan.

Ett nationellt köp, en gemensam risk

Skannrar vid EU:s yttre gränser köps nationellt, av enskilda tullmyndigheter och flygplatser. Men när varor väl har klarerats av estnisk tull kan de röra sig fritt på den inre marknaden, den 27 länder stora zon där produkter passerar utan nya gränskontroller. Passagerare som säkerhetskontrolleras i Tallinn kan flyga vidare inom Schengen. Varje kontrollpunkts integritet blir därmed en gemensam förutsättning.

Medlemsländerna hanterar den förutsättningen olika. Nuctech driver ett produktions- och servicecenter nära Warszawa, vilket gör Polens exponering fysisk: reparationer och uppdateringar går via ett lokalt dotterbolag till den kinesiska ägaren. Litauens regelverk för skydd av strategiskt viktig infrastruktur skulle pröva ett sådant köp utifrån ägande och fjärråtkomst. Nederländerna placerar kinesisk teknik i ett sammanhang där underrättelsetjänsten uttryckligen varnar för spionagerisker. Estland är fallet där användningen av Nuctech är bekräftad, men beslutsunderlaget förblir osynligt.

EU-regler som NIS2-direktivet pressar operatörer av samhällsviktiga tjänster att hantera risker i leverantörskedjan. Belgien stoppade nyligen ett kinesiskt kopplat övertagande av en helikopteroperatör med hänvisning till nationell säkerhet. Men själva upphandlingsbeslutet, vem som granskade leverantören och vilken åtkomst som gavs, ligger på nationell nivå.

Bryssel kan göra det svårare att vinna upphandlingar med subventionerade priser. Det kan inte i efterhand granska varje skanner som redan används vid en gräns. Ansvarsfrågan ligger hos de nationella inköparna. Så länge Estland inte redovisar hur köpet bedömdes fastnar debatten mellan spionageoro och upphandlingstystnad, medan den konkreta styrningsbristen består.