Središnja obavještajna agencija (SOA) usred je žestokog rata u kojem nastoji ograničiti prodor kineske tehnologije i njen utjecaj na hrvatsku nacionalnu sigurnost, a u središtu njena interesa je kineska tvrtka Huawei. SOA to ne radi napamet ni samovoljno, nego u kontekstu europskih sigurnosnih direktiva, ali ipak i previše revno jer, pojednostavljeno govoreći, želi zatvoriti najveći dio hrvatskog tržišta čak i za neke proizvode Huaweija koji, prema nekim procjenama, ne predstavljaju nikakvu prijetnju za nacionalnu sigurnost.

Posebice se to odnosi na opremu koja se koristi na području telekomunikacija pa se, kako se sumnja, može koristiti i za prisluškivanje hrvatskih građana putem mrežne infrastrukture telekomunikacijskih kompanija koje posluju na hrvatskom tržištu.

Taj se rat u Hrvatskoj intenzivno vodi na dva naoko za širu javnost manje zanimljiva područja – u procesima izrade Pravilnika o procjeni sigurnosnog rizika proizvođača i dobavljača opreme za elektroničke komunikacijske mreže te u kontekstu procesa implementacije europske direktive NIS2 i nacrta novog zakona o kibernetičkoj sigurnosti, koji spomenutu direktivu treba prenijeti i implementirati u hrvatsko zakonodavstvo, a trenutno je u fazi javne rasprave.

Prilikom donošenja Zakona o kibernetičkoj sigurnosti, zapadni obavještajni partneri upozorili su SOA-u na kinesko institucionalno, ali i izvaninstitucionalno lobiranje kako bi se propisi o kibernetičkoj sigurnosti ublažili i otvorio prostor ulasku kineskih tvrtki i tehnologije.

Kinezi su, tvrdi se, izuzetno zainteresirani da se iz propisa europskih država izbace bilo kakvi sigurnosno-politički i obavještajni kriteriji koji bi mogli eliminirati kineske tvrtke iz tendera za javnu nabavu informatičke opreme u zapadnim državama.

S druge strane, Pravilnik o procjeni sigurnosnog rizika proizvođača i dobavljača opreme za elektroničke komunikacijske mreže u završnoj je fazi izrade, na njemu radi ekspertna skupina Ministarstva mora, prometa i infrastrukture, ali prije usvajanja njegove konačne verzije, svakako će zbog svoje osjetljive strateške geopolitičke naravi biti poslan i na uvid premijeru Andreju Plenkoviću.

Premijer Andrej Plenković i šef SOA-e Danijel Markić u procesu su usvajanja novog Zakona o kibernetičkoj sigurnosti na čiji su sadržaj pokušale utjecati i kineske tvrtke. FOTO: Davorin Visnjic/PIXSELL

Izrada tog Pravilnika propisana je lani izglasanim Zakonom o elektroničkim komunikacijama, a sukladno njemu, „u svrhu procjene sigurnosnog rizika proizvođača i dobavljača opreme za elektroničke komunikacijske mreže koje se upotrebljavaju ili namjeravaju upotrebljavati u Republici Hrvatskoj za pružanje javno dostupnih elektroničkih komunikacijskih usluga ili kao potpora sustavima kritičnih infrastruktura“, ministar Butković donosi Pravilnik kojim se „utvrđuju mjerila za procjenu sigurnosnog rizika te propisuju postupci, obveze i ograničenja za pravne i fizičke osobe koje imaju izgrađenu elektroničku komunikacijsku mrežu ili je namjeravaju izgraditi u svrhu pružanja javno dostupnih elektroničkih komunikacijskih usluga ili kao potporu sustavima kritičnih infrastruktura, kao i uvjeti i rokovi zamjene takve opreme koja je ugrađena u elektroničke komunikacijske mreže prije dana stupanja na snagu toga pravilnika“.

Prema istom zakonu, procjenu spomenutog sigurnosnog rizika „provodi nadležno tijelo određeno zakonom kojim se uređuje sigurnosno-obavještajni sustav Republike Hrvatske, a u procjeni sigurnosnog rizika, kojom se utvrđuje rizik za nacionalnu sigurnost, navest će se pravni temelj te oni podaci otkrivanje kojih ne bi moglo ugroziti interese nacionalne sigurnosti, dok su ostali podaci klasificirani odgovarajućim stupnjem tajnosti i mogu se dobiti na uvid u skladu sa zakonom kojim se uređuje tajnost podataka“.

To je legislativni kontekst koji bi, ovisno o tomu kakva će biti konačna verzija usvojenog Pravilnika, mogao imati i dramatične posljedice na hrvatskom telekomunikacijskom tržištu. Jedan od ključnih dijelova u kojem se prelamaju ogromni interesi, odnosi se na definiciju kojom se planira odrediti što predstavlja tzv. kritične mrežne komponente u mrežama koje za pružanje svojih usluga koriste telekomunikacijske tvrtke. U Hrvatskoj su na tom tržištu najistaknutiji Hrvatski Telekom, A1 i Telemach, koji je svojom pojavom i prisustvom počeo osiguravati prave elemente tržišnog natjecanja i razbijati ono što se u više navrata u javnosti iz potrošačke perspektive opisivalo kao postojeći duopol Hrvatskog Telekoma i A1.

Ključna točka prijepora prilikom izrade spomenutog Pravilnika ocrtava se u tomu hoće li se 5G radijska pristupna mreža u njemu označiti kao kritična, visoko ili umjereno visoko kritična infrastruktura.

Za Telemach je to od ogromne važnosti s obzirom na to da on koristi upravo radijsku 5G pristupnu mrežu Huaweija, jer se ona smatra naprednijom, a usput je i jeftinija od konkurencije, ponajprije Ericssona. Visoki poslovni izvor s telekomunikacijskog tržišta navodi da Hrvatski Telekom i A1 uglavnom u svojoj infrastrukturi koriste Ericssonovu tehnologiju, ali u nekim dijelovima i Huawei.

Kinezi su izuzetno zainteresirani da se iz propisa europskih država izbace sigurnosno-politički i obavještajni kriteriji koji bi mogli eliminirati kineske tvrtke iz tendera za nabavu informatičke opreme. FOTO: Thomas Peter/REUTERS/PIXSELL

Jedan izvor blizak Vladi navodi da se SOA intenzivno zalaže za to da se 5G radijska pristupna mreža proglasi kritičkom infrastrukturom, što je najviši stupanj osjetljivosti, iako ju je Europska agencija za kibernetičku sigurnost (ENISA) u jednom svom dokumentu niže rangirala i proglasila stupnjem visoke kritičnosti.

Izvor blizak Telemachu navodi kako bi u tom slučaju promjena te infrastrukture za Telemach, po grubim procjenama, proizvela trošak od najmanje 100 milijuna eura, i to bez procjene troška rada, demontaže zbrinjavanja, utjecaja na korisnike i slično.

Zato su tijekom procesa izrade nacrta spomenutog Pravilnika iz Telemacha upozorili ekspertnu skupinu kako je jasno da je donošenje Pravilnika nužno, ali da se ne smiju podcijeniti kompleksnost problematike koju taj Pravilnik nosi i potencijalni dugoročni utjecaj na telekomunikacijsko tržište, te da se u sve trebaju više uključiti i operatori, regulator te predstavnici tzv. stručne javnosti.

U ključnim opaskama koje su iz Telemacha poslali u službenom dopisu Ministarstvu mora, prometa i infrastrukture, tako se navodi i sljedeće:

„Pravilnik treba slijediti europski regulatorni okvir, primarno s obzirom na problematiku preporuke ENISA-e kao i najbolje prakse iz drugih europskih država, pa je tako uloga regulatora u procesu procjene utjecaja iznimno važna, dok u samom proces provjere, pa i kasnije eventualne zamjene opreme, treba ostaviti dovoljno vremena i prostora za eventualno otklanjanje nedostatka. Nije zanemariv operativni i financijski utjecaj koji posljedice ovog Pravilnika mogu imati za tržište. Zamjena opreme u tako kompleksnom okruženju mora biti apsolutno zadnje rješenje i rješenje koje se primjenjuje u jasnim rokovima i pod jasnim uvjetima. U protivnom bi svaki investitor, pa i dobavljač opreme koja bi bila predmet kritične infrastrukture, mogao potpuno izgubiti interes za bilo kakvo ulaganje u Hrvatsku.“

Iz Telemacha su Butkovićevom ministarstvu poslali i komparativnu analizu nekih država članica EU-a. Ona utvrđuje da Njemačka u svom regulatornom okviru ne predviđa ograničenja za dobavljače i proizvođače iz trećih zemalja te će operatori samo određivati radi li se o kritičnim komponentama mreže, na temelju popisa koji je objavilo regulatorno tijelo. Neovisni blog dwire.eu objavio je 13. rujna da je Njemačka odlučila nastaviti suradnju s Kinom povezanu uz implementaciju 5G tehnologije, smatrajući da će od toga koristi imati obje zemlje u smislu performansi, troškova i inovacije. Njemačka vlada, kako navode, odlučila je nastaviti izdavati dozvole kineskim telekom tvrtkama, poput Huaweija i ZTE-ja, da instaliraju 5G opremu, nakon što dvogodišnja sigurnosna istraga nije pronašla dokaze da bi ta oprema mogla predstavljati rizik nacionalnoj sigurnosti i zaštititi podataka. Deutsche Telekom je pozdravio tu odluku navodeći da je uvijek uspijevao pronaći zajednički jezik s Huaweijem oko sigurnosnih pitanja.

U Austriji također ne postoji lista kritičnih komponenti, dok je u Litvi definirana lista mrežne opreme, ali nisu definirane kritične mrežne komponente, a u Finskoj je naglasak stavljen na najkritičnije funkcije, a ne na pojedine mrežne komponente, pri čemu 5G radijska pristupna mreža nije uključena u definiciju. Iz Telemacha su upozorili da nema tehnološkog opravdanja za klasificiranje 5G radijske pristupne opreme kao „kritične“, jer tvrde da se može dokazati kako njezina potencijalna sigurnosna ugroza tehnološki ne može biti kritična. Osim toga, napisali su da bi Hrvatska takvim reguliranjem išla bitno iznad standarda prihvaćenog na razini EU-a, a na štetu i svojih građana i tržišta.

Izvor blizak Telemachu za Nacional je izjavio i sljedeće:

„Telemach je zbog svoje američke vlasničke strukture već ionako dobio oštre interne direktive da, čak i suprotno svom poslovnom planu, promijeni svu svoju doista rizičnu infrastrukturu. Ali radijska mreža nije u toj kategoriji. Da jest, već bi im njihovi američki suvlasnici naredili da i to zamijene.“

Adrian Ježina predsjednik je Uprave Telemacha koji koristi upravo radijsku 5G pristupnu mrežu Huaweija, jer se ona smatra naprednijom, a usput je i jeftinija od konkurencije. FOTO: Saša Zinaja/NFOTO

Izvor blizak Vladi, izravno uključen u izradu nacrta Pravilnika, za Nacional je izjavio kako se vodi računa o tome da njegov sadržaj bude filigranski nijansiran. O tomu je rekao:

„Tu se prelamaju ogromni interesi, ali mislim da ni SOA neće imati ništa protiv toga da se na koncu, u najmanju ruku, ostavi primjereni rok da se sporna infrastruktura zamijeni. Naravno da je Ericssonu u interesu da kriteriji budu najstroži mogući, jer ako se potpuno zabrani Huawei, onda može nabijati maksimalne cijene i remetiti tržišnu utakmicu, a oprema im nije na njihovoj razini. Bar u nekim segmentima. Trenutno tražimo kompromisno rješenje kojim bismo zaštitili tržišnu utakmicu, ali i Telemach, koji je uložio ogroman novac, ali još uvijek nije realizirao kompletan potpisani ugovor. Telemach je upravo zbog tržišne utakmice državi jako važan. Kada su se pojavili na tržištu, neka su istraživanja pokazala da su domaćinstva i gospodarstvo u nekim segmentima uštedjeli milijune kuna dnevno zbog korekcije tržišnih cijena. HAKOM je sklon maksimalnoj liberalizaciji, SOA gura prema maksimalno tvrdom pristupu, ali mislim da smo našli primjeren kompromis jer ni SOA-i nije u interesu proizvesti bilo kakav problem Telemachu. U najmanju ruku, ostavit će im se dovoljno prostora i vremena da im investicija ostane zaštićena. Pravilnik je koncipiran tako da nitko unaprijed nije osuđen, nego će se u adekvatnom postupku ocijeniti koja je razina rizika u pojedinim segmentima infrastrukture.“
Postoji niz razloga zbog kojih SOA upozorava na sigurnosnu prijetnju koju u tom segmentu može predstavljati Huawei.

Ugledni Politico, partner Nacionala u okviru EIC mreže, u ožujku ove godine objavio je kako je belgijska obavještajna služba VSSE stavila kineski Huawei pod poseban nadzor zbog kineske špijunaže Europske unije i NATO-a.

Huawei je zbog sigurnosnih razloga još od 2019. pod sankcijama SAD-a. Belgijska obavještajna služba posebno je fokusirana na lobiste koje je Huawei plaćao u srcu europske administracije u Bruxellesu. Od ranije se znalo da Kinezi koriste ne-državne aktere, uključujući i lobiste, kako bi promicali interese kineske države u Europi, a prošle godine belgijska služba objavila je obavještajno izvješće o svojim saznanjima o djelovanju kineskih lobista u glavnom gradu EU-a. U njemu navode da kineska država djeluje „u sivoj zoni između lobiranja, miješanja, političkog utjecaja, špijunaže, ekonomskih ucjena i dezinformacijskih kampanja”.

Akcija belgijske službe na tragu je upozorenja koje zapadne obavještajne službe godinama odašilju o opasnostima utjecaja koje kineske tehnološke kompanije imaju na Zapadu i mogućnostima špijunaže preko kineskih aplikacija i tehnologija. To je ujedno i razlog što su brojne europske države zabranile kinesku aplikaciju TikTok na službenim uređajima, a slično se odnosi i na korištenje Huaweijeve opreme.

Zapadne sigurnosne službe posebno upozoravaju na to da Huawei kao tvrtka sa sjedištem u Kini podliježe kineskom Zakonu o nacionalnoj obavještajnoj službi iz 2017., koji od tvrtki zahtijeva da “podržavaju, pomažu i surađuju s naporima nacionalnih obavještajnih službi”, kao i da “zaštite tajne aktivnosti nacionalnih obavještajnih službi s kojima su upoznati”. Huawei je te navode javno komentirao tvrdeći da nikada nisu primili zahtjev kineske vlade za predaju podataka te da bi ga odbili i da jesu. Međutim, rijetko koja zapadna služba im vjeruje.

Uz to, europske službe bilježe sve veći broj dokaza o rastućem stranom utjecaju na proces donošenja odluka u EU-u, kao što je nedavni skandal Katargate kada su države Arapskog zaljeva podmićivale dužnosnike EU-a. Stoga je belgijska služba posebno fokusirana na nadzor aktivnosti koje stranci provode oko institucija EU-a.

Srž tih zabrinutosti oko Huaweija jest da bi kineska vlada mogla instrumentalizirati tu tvrtku ili infiltrirati u nju svoje agente kako bi dobila pristup kritičnim podacima u zapadnim zemljama.

Politico navodi da su Huaweijevi uredi za lobiranje u EU-u – jedan se nalazi između zgrada Europskog parlamenta i Europske komisije i Vijeća, a drugi je “centar za transparentnost kibernetičke sigurnosti” u blizini veleposlanstva SAD-a – značajno utjecali na kreiranje politike EU-a tijekom proteklog desetljeća. Huawei u Bruxellesu troši velike iznose na lobiranje, javno su naveli da dosežu 2,25 milijuna eura godišnje. Tijekom 2018., u vrijeme Huaweijevog uspona, bili su među 10 najvećih potrošača na lobiranje u Bruxellesu.

Istovremeno u Europi sve više raste zabrinutost zbog kineskog obavještajnog djelovanja, špijunaže i krađe političkih i gospodarskih podataka u kibernetičkom prostoru.

Europska agencija za kibernetičku sigurnost (ENISA) i EU–CERT u veljači ove godine upozorili su na brojne kineske hakerske napade na poslovne subjekte i vladine organizacije u EU-u. ENISA je upozorila na niz kineskih hakerskih skupina kojima je fokus na krađi informacija s mrežnih infrastruktura strateški važnih organizacija.

Upravo je zabrinutost oko kineskih hakerskih napada i ogromnih kineskih sposobnosti u kibernetičkom prostoru bila ključni razlog za donošenje nove Direktive (NIS2) EU-a o mjerama za visoku zajedničku razinu cyber sigurnosti, koja je stupila na snagu u siječnju 2023.

S ciljem usklađenog jačanja ukupne kibernetičke sigurnosti EU-a i svih njezinih članica, Direktiva donosi set mjera koje su države članice dužne implementirati u svoja zakonodavstva. Direktiva određuje i obveze da, neovisno o vlasništvu, tvrtke koje su operatori ključnih usluga moraju poduzeti odgovarajuće sigurnosne mjere i obavijestiti relevantna nacionalna tijela o ozbiljnim incidentima.

Mobilna bežična mreža dio je telekomunikacijske infrastrukture koja po procjenama više EU zemalja nije kritičnog stupnja sigurnosti, pa su u tom segmentu čak i američki suvlasnici Telemacha dopustili investiciju u Huawei tehnologiju. Izvjesno je da se ona u Hrvatskoj neće preko noći morati mijenjati

U Hrvatskoj je proces implementacije Direktive NIS2 započeo nacrtom novog zakona o kibernetičkoj sigurnosti i već je privukao pozornost javnosti. Trenutno je u fazi javne rasprave.

Tim zakonom je predviđeno da bi središnju ulogu u hrvatskom sustavu kibernetičke sigurnosti trebala imati SOA, koja planira svoj Centar za kibernetičku sigurnost transformirati u Nacionalni centar (NCSC).

Njihov centar opisuje se kao najrazvijeniji i najkompletniji nacionalni resurs kibernetičke sigurnosti u zemlji, kojeg se prijedlogom zakona o kibernetičkoj sigurnosti planira nadograditi i transformirati u Nacionalni centar za kibernetičku sigurnost. I neke druge europske države, poput Danske, Španjolske, Grčke, Francuske i Velike Britanije, koriste svoje sigurnosno-obavještajne  sustave za stvaranje nacionalnih centara.

Vodstvo SOA-e i u nekim svojim javnim istupima istaknulo je da je kibernetička sigurnost posebno ugrožena djelovanjem državno sponzoriranih hakerskih skupina koje su usmjerene na krađu tajnih političkih, vojnih i gospodarskih podataka.

Američke obavještajne službe godinama iznose podatke o hakerskom djelovanju skupina povezanih s ruskim i kineskim obavještajnim službama. Pa su se brojne europske države opredijelile upravo za obavještajne službe kao mjesto gdje će graditi vlastite nacionalne centre za kibernetičku sigurnost. Tako zapadne obavještajne službe lakše razmjenjuju podatke o najsloženijim kibernetičkim napadima, koji ciljaju upravo kritičnu infrastrukturu i strateške podatke zapadnih država.

Neki zapadni obavještajni partneri upozorili su SOA-u da bi poseban cilj kineskih deklariranih, ali i ne-deklariranih lobista mogao biti izbacivanje obavještajnih agencija iz sustava nacionalne kibernetičke sigurnosti. Kinezima je to osobito važno jer su upravo obavještajne službe u zapadnim državama inicijatori zabrane kineskim tvrtkama da ugrađuju svoju informatičku opremu u zapadnu državnu i strateški važnu infrastrukturu.

Izvor blizak Vladi otkrio je Nacionalu da su neki zapadni obavještajni partneri informirali SOA-u da su neki kineski lobisti u Hrvatskoj počeli ciljati na to da se SOA-u izbaci iz prijedloga zakona, a posebno da se spriječi da postane središnje tijelo za kibernetičku sigurnost.

Znakovito je da su kapaciteti SOA-e u tom pogledu i međunarodno prepoznati. Primjerice, prošle godine je BBC objavio vijest o zajedničkoj kibernetičkoj operaciji američkog vojnog zapovjedništva za kibernetičku sigurnost USCYBERCOM i SOA-e, a Amerikanci su i javno pohvalili sposobnosti SOA-e i plan da se hrvatski nacionalni centar NCSC izgradi u SOA-i.

Taj izvor čak tvrdi kako su u Hrvatsku stigla upozorenja da je upravo Huawei angažirao jednog poznatog i utjecajnog hrvatskog stručnjaka da svojim djelovanjem potakne izmjene zakona, ponajviše u smjeru osiguravanja da Zakon ima što manji obuhvat i što blaže kriterije kako bi kineske tvrtke mogle i dalje ugrađivati svoju opremu u što više hrvatskih komunikacijsko-informacijskih sustava i tvrtki. To je kontekst u kojem SOA prilikom izrade spomenutog pravilnika i legislative za implementaciju europske Direktive NIS2 i Zakona o kibernetičkoj sigurnosti, zagovara tvrđi pristup prema korištenju Huaweijeve tehnologije.

Pravilnik o procjeni sigurnosnog rizika radi ekspertna skupina Ministarstva mora, prometa i infrastrukture na čijem je čelu potpredsjednik Vlade Oleg Butković. FOTO: Armin Durgut/PIXSELL