Italien utreder stulna NATO-filer

Ett säkert arkiv behöver inte brytas upp för att fallera. I praktiken kan ett lösenord, en kopierad fil eller en betrodd person räcka. Den italienska utredningen om misstänkt stulna identiteter, känsliga dokument och material kopplat till Nato-projekt är därför mer än ett nationellt rättsfall. Den kommer samtidigt som Europa försöker bygga upp gemensam försvarsförmåga i högre takt, medan mycket av dokumentationen fortfarande ligger hos nationella departement, myndigheter och försvarsleverantörer.

Det offentliga underlaget visar inte att Nato som organisation har utsatts för ett intrång. n-tv:s rapportering handlar om en gripen tidigare italiensk underrättelseperson och misstänkt obehörig åtkomst till hemlig information med militär koppling. Det räcker för en snävare men viktig slutsats: gemensamma försvarsprojekt är bara så säkra som varje medlemslands och varje säkerhetsklassad leverantörs hantering av handlingarna.

Var filerna faktiskt finns

Uttrycket "material från Nato-projekt" låter mer entydigt än det är. Det kan betyda Nato-klassificerad information, italienskt hemligt material med koppling till ett alliansprogram, företagsdokument med upphandlingsvärde eller handlingar där Nato bara nämns. Det är olika typer av skada, med olika rättslig betydelse.

Kärnfrågan är vårdkedjan: vem hade filen, vem kunde öppna den, vem flyttade den och vem upptäckte det. Italienska åklagare avgör vad som kan åtalas. Nationella säkerhetsmyndigheter måste pröva om säkerhetsprövningar eller hanteringsregler brast. Försvarsbolag behöver visa om åtkomsten till känsligt material verkligen var kontrollerad. Om information med ursprung i Nato berördes bygger Natos säkerhetsregler på att medlemsländerna skyddar den genom sina egna nationella system.

Den ordningen är begriplig mellan suveräna stater. Den skapar också svaga punkter. En regel i Bryssel granskar inte automatiskt en åtkomstlogg i Rom. En upphandlingsklausul hindrar inte i sig en betrodd insider från att kopiera en fil. EU:s direktiv om försvarsupphandling gör det möjligt för inköpare att kräva skyddsåtgärder i känsliga försvarskontrakt, men det verkliga provet sker hos departement, huvudleverantörer och underleverantörer.

Snabbare inköp, samma säkerhetsluckor

EU ökar volymen i just detta system. Kommissionens försvarsagenda driver på för större industriell kapacitet och fler gemensamma inköp. EDIRPA-förordningen och förslaget om EDIP går åt samma håll: mer gränsöverskridande försvarsupphandling och produktion.

De skapar däremot ingen central EU-tjänst för kontraspionage. Det är avgörande, eftersom högre tempo också ökar exponeringen. Fler gemensamma projekt betyder fler personer med åtkomst, fler företag som hanterar känsliga krav och fler partner som blir beroende av varandras säkerhetsrutiner.

Kostnaden för ett misslyckande är konkret. Leverantörer kan förlora tillgång till program. Regeringar kan drabbas av förseningar medan utredare går igenom vad som exponerats. Partnerländer kan bli mer försiktiga med att dela tekniska krav, personuppgifter eller leverantörsinformation. På en försvarsmarknad som bygger på förtroende kan en läcka bromsa arbetet redan innan någon har bevisat operativ skada.

Rheinmetalls och Leonardos samriskbolag visar vilken typ av industriell exponering det handlar om, utan att det därmed finns någon belagd koppling till det italienska fallet. Rheinmetall och Leonardo beskriver sitt samarbete om stridsfordon som ett europeiskt industriprojekt. Om skyddat italienskt material skulle ha röjt leverantörer, kravspecifikationer eller antaganden om interoperabilitet hade partner haft skäl att reagera. Det offentliga underlaget visar inte att detta har skett.

Tysklands aktuella hotbild förklarar varför fallet läses även utanför Italien. Tyska myndigheter betraktar redan ryskt spionage och datastöld som ett hot mot strategiska sektorer. Nordrhein-Westfalens inrikesminister Herbert Reul varnade i Zeit för risker inom energi, försvar och logistik, medan Kölner Stadt-Anzeiger rapporterade om oro kring försvarsföretag, transportrutter och företagsledare. Den bakgrunden gör det italienska fallet begripligt i Berlin, även om inget visar att tyska företag har drabbats.

Belgien är relevant som alliansmiljö, inte som utredare. Natos arkiv placerar högkvarteret i Bryssel, och Belgiens nationella säkerhetsmyndighet hanterar säkerhetsklassad information och säkerhetsprövningar inom sitt eget system, enligt utrikesdepartementet. Om alliansinformation har lämnat den skyddade kretsen blir den centrala europeiska frågan hur snabbt berörda partner informerades.

Fallet bevisar inte att Nato har komprometterats. Det visar däremot att Europas försvarsuppbyggnad vilar på vårdsystem som fortfarande är nationella, ojämna och delvis osynliga för partnerländerna. Italienska myndigheter behöver ge den tydligaste rättsligt möjliga bilden av vilka filer det gällde och vart de tog vägen. Nato och berörda regeringar behöver kunna visa att skadan kontrollerades om skyddad alliansinformation fanns med.