Het Belgische leger zal vanaf september geen in China gebouwde dienstauto’s meer aanschaffen voor zijn hoogste officieren, vanwege toenemende bezorgdheid over spionage en cyberveiligheid. Dit besluit houdt in dat de DS 9, een luxe sedan van het Franse merk die uitsluitend in China wordt gebouwd, niet langer zal worden aangeschaft voor de generale staf.

Deze zaak illustreert hoe snel het veiligheidsdebat rond connected cars in Europa aan het verschuiven is. België is niet het eerste land dat maatregelen neemt. Polen heeft Chinese voertuigen al de toegang tot beveiligde militaire installaties ontzegd. Tegelijkertijd legt het Britse ministerie van Defensie beperkingen op voor gevoelige locaties en waarschuwt het personeel om geen vertrouwelijke zaken te bespreken in connected cars.

Luitenant-generaal Frédéric Goetynck heeft tegenover VTM Nieuws bevestigd dat de Belgische defensie de dreiging nu anders inschat dan ten tijde van de bestelling van de huidige vloot.

De DS 9 blijft technisch betrouwbaar, zei hij, maar gezien de huidige veiligheidssituatie zijn de herkomst en de digitale architectuur van het voertuig belangrijker geworden.

De Belgische militaire inlichtingendienst ADIV heeft een deel van de vloot al onderzocht en interne veiligheidsrichtlijnen opgesteld. Er wordt nu gewerkt aan een nieuw aanbestedingscontract waarin veiligheidsrisico’s aanzienlijk zwaarder zullen wegen.

Het lastige punt is dat de DS 9 geen auto van een Chinees merk is. DS Automobiles, een merk van Stellantis, heeft zijn hoofdkantoor in Frankrijk, maar zijn vlaggenschip, de sedan, wordt in China geproduceerd. Dat maakt het Belgische besluit ingewikkelder dan een simpel verbod op merken als BYD, MG of NIO.

De auto is een sensorplatform geworden

De grootste zorg betreft niet de accu en zelfs niet de GPS-ontvanger zelf. Moderne, verbonden auto’s verzamelen en verwerken voortdurend informatie via camera’s, microfoons, navigatiesystemen, mobiele netwerkverbindingen, smartphone-integratie en draadloze software-updates.

Voor een hoge militaire officier kan alleen al de locatiegeschiedenis potentieel gevoelige patronen aan het licht brengen: bezoeken aan bases, vergaderingen, woningen en operationele locaties.

Microfoons in de cabine en gekoppelde smartphones vormen een extra potentieel aanvalsvlak, terwijl camera’s en sensoren aan de buitenkant in theorie informatie zouden kunnen verzamelen over locaties met toegangsbeperkingen.

Toegang tot software op afstand is een nog fundamentelere kwestie. Aangesloten voertuigen communiceren met de servers van de fabrikant voor diagnostiek, updates en app-functies. Dit creëert legitieme digitale toegangswegen tot de auto, maar deze moeten ook worden beschermd tegen misbruik, gecompromitteerde leveranciers of staatsinmenging.

Er is geen openbaar bewijs dat de Belgische DS 9’s daadwerkelijk voor spionage zijn gebruikt, en het ministerie van Defensie heeft evenmin verklaard dat ADIV een Chinese achterdeur heeft ontdekt. Het besluit lijkt dan ook eerder uit voorzorg te zijn genomen dan als reactie op een bevestigd spionage-incident.

Polen is al verder gegaan

België staat niet alleen. Eerder dit jaar heeft de Poolse generale staf de toegang van in China geproduceerde voertuigen tot beveiligde militaire faciliteiten verboden. Het is Poolse militairen bovendien verboden om officiële telefoons aan te sluiten op de infotainmentsystemen van dergelijke auto’s.

Groot-Brittannië hanteert een bredere, op risico’s gebaseerde aanpak. Het ministerie van Defensie heeft op sommige gevoelige locaties beperkingen ingesteld en gewaarschuwd dat het probleem niet alleen Chinese voertuigen betreft. Het veiligheidsbeleid richt zich steeds meer op wat een voertuig kan opnemen, verzenden en ontvangen.

Noorwegen heeft een van de duidelijkste voorbeelden in Europa geleverd van het onderliggende technologische risico. Ruter, de openbaarvervoersmaatschappij van Oslo, heeft een Chinese elektrische bus van het merk Yutong getest en ontdekte dat de fabrikant via het mobiele netwerk op afstand toegang had voor software-updates en diagnostiek.

In theorie, zo concludeerde Ruter, zou deze toegang kunnen worden gebruikt om de bus tot stilstand te brengen of onbruikbaar te maken. Tegelijkertijd bleek uit de tests dat er geen aanwijzingen waren dat de camera’s in de bus beelden doorstuurden.

Dat onderscheid is van belang. De connectiviteit zelf vormt de kwetsbaarheid. De nationaliteit bepaalt hoe regeringen het daarmee samenhangende geopolitieke risico inschatten.

Ook de EU slaat alarm

De kwestie is nu op EU-niveau aan de orde gekomen. In februari hebben de Europese Commissie en de NIS-samenwerkingsgroep gewaarschuwd dat verbonden en geautomatiseerde voertuigen nieuwe cyberbeveiligingsrisico’s met zich meebrengen, omdat ze grote hoeveelheden gevoelige gegevens verwerken en mogelijk als wapen kunnen worden ingezet.

Brussel wil dat de lidstaten hun afhankelijkheid van risicovolle leveranciers op het gebied van kritieke voertuigsystemen verminderen, met name op het gebied van connectiviteit, software, gegevensverwerking en het op afstand besturen van voertuigen.

Voor het Belgische leger zal het echter vrijwel onmogelijk zijn om alle Chinese onderdelen te verwijderen. Goetynck gaf dit ook toe en zei dat er waarschijnlijk geen enkele moderne auto bestaat zonder ook maar één Chinees onderdeel.

Dat zou uiteindelijk wel eens de grootste uitdaging kunnen zijn. Een in Europa geassembleerde auto kan onderdelen uit China bevatten, waaronder accu’s, chips, camera’s en communicatieapparatuur. Daarentegen kan een auto van een Frans merk die in China wordt gebouwd, nog steeds gebruikmaken van software en clouddiensten die vanuit Europa worden aangestuurd.

Bij defensieaankopen gaat het dus steeds minder om de vraag waar het merk of zelfs de fabriek vandaan komt, en steeds meer om de vraag wie de gegevens, de software en de toegang op afstand van de auto beheert. In de hedendaagse, verbonden auto kan dat wel eens veel belangrijker blijken te zijn dan de vraag waar de carrosserie is gelast.