Avinor bytter ut overvåkningskameraer fra Hikvision

Det kinesiske selskapet Hikvision anklages for medvirkning til menneskerettighetsbrudd og mulig skjult videreformidling av data til kinesiske myndigheter, har Digi nylig fortalt. Selskapet lager kameraer og annet utstyr til overvåkning, og de benekter alle anklager.

Likevel har flere selskaper nå sluttet med å tilby produkter fra Hikvision, og Oljefondet er blant dem som har solgt seg ut av selskapet.

Avinor vil bytte

På spørsmål fra Digi svarer Avinor at Hikvision-kameraer er i bruk på én av Avinors flyplasser, men oppgir ikke hvilken det dreier seg om.

– Kameraene er levert av vår norske leverandør, som Avinor har rammeavtale med. Det kan være aktuelt å bytte ut kameraene, vi gjør en vurdering av det nå.

Noen dager senere melder Avinor at de har besluttet å bytte ut Hikvision-kameraene.

På telefon opplyser Avinors markeds- og kommunikasjonssjef Cathrine F. Framholt at det er Caverion som har levert utstyret.

Som svar på vår henvendelse skriver Knut Erik Melstrøm, Caverions direktør for teknologifag, i en e-post til Digi at de på grunn av konfidensialitetsavtaler for leveranser av slikt utstyr ikke kan oppgi detaljer verken om kunder eller systemene de har levert innen dette området. Hikvision har tidligere vært blant disse, men kun ved noen få leveranser, skriver han.

Han forteller imidlertid at også Caverion slutter å forhandle Hikvision-utstyr:

– Vi tok en beslutning tidlig i 2021 om at Hikvision ikke lenger ville være blant våre leverandører, men vi har et ensifret antall kunder hvor vi fremdeles har drifts- og vedlikeholdsavtaler på utstyr derfra. Vi har hatt en åpen dialog med kundene om Hikvision. Ut over dette kan vi ikke kommentere enkeltvise kundeforhold og leveranser innen denne sensitive sektoren.

Også i bruk hos Tolletaten

Også Tolletaten svarer at de har overvåkningsutstyr fra Hikvision i bruk ved sine lokasjoner, men skriver at de heller ikke er kjent med at Tolletaten ikke kan eller ikke bør ha utstyr fra denne leverandøren i sine lokasjoner.

Tolletaten oppplyser overfor Digi at det er Caverion og OneCo som har levert utstyret.

– Der vi har særskilte sikkerhetskrav, kunngjøres dette i markedet og blir gjenstand for saklig utvelgelse i anskaffelsen. Vurdering av hvorvidt det er leverandører som av sikkerhetsmessige eller etiske hensyn ikke får lov til å tilby produkter i markedet, gjøres av andre norske myndigheter.

Tolletaten forteller at de gjennomfører løpende rutinemessige sikkerhets- og risikovurderinger av teknisk utstyr som er i bruk i etaten, men at de gjennom lov og forskrift for offentlige anskaffelser som offentlig etat plikter å behandle alle lovlige leverandører saklig opp mot kunngjorte behov.

Politiet vet ikke sikkert

På spørsmål fra Digi kunne ikke Kripos finne Hikvision-utstyr i bruk i sine lokaler, men det utelukker ikke at slikt utstyr kan være i bruk i andre avdelinger og enheter av politiet.

Politiets fellestjenester opplyser til Digi at det i 2020 ble inngått en nasjonal rammeavtale for elektronisk sikring av bygg og anlegg i politiet. Leverandøren benytter ikke kamera fra produsenten Hikvision til politiets lokasjoner.

På spørsmål om utstyr fra perioden før 2020 ennå kan være i bruk, får vi dette svaret:

– Før nasjonal rammeavtale ble inngått i 2020, lå ansvaret for å inngå leverandøravtaler hos de enkelte enhetene i politiet, og Politiets fellestjenester har ikke oversikt over hva slags sikkerhetsutstyr som ble benyttet i distrikt og særorgan da.

NSM er kjent med problemet

Nasjonal sikkerhetsmyndighet (NSM) kjenner til Hikvision og saken Digi omtalte og bekrefter at de har mottatt henvendelser om rådgivning rundt bruk av selskapets løsninger.

– Generelt er det viktig å være klar over at kinesiske virksomheter i stor grad kan pålegges å utlevere informasjon til kinesisk etterretning, skriver NSM i en e-post til Digi. Man må derfor regne med at informasjon og observasjoner tilgjengelig for det kinesiske firmaet kan tilkomme kinesisk etterretning.

De presiserer at virksomheter som ønsker å ta i bruk løsninger fra leverandører som eksempelvis Hikvision, må vurdere om denne da kan få tilgang til informasjon, for eksempel gjennom observasjon av skjermingsverdige objekter eller annet.

Datatilsynet viser til tidligere sak

På spørsmål om hvordan de vurderer alvorlighetsgraden dersom det viser seg at disse kameraene faktisk videresender informasjon til Kina, viser Datatilsynet til denne saken fra 2021, der bompengeselskapet Ferde AS ble ilagt et overtredelsesgebyr på fem millioner kroner for blant annet ulovlig å ha overført personopplysninger om norske bilister til Kina.

– Personvernforordningen krever at virksomheter som er behandlingsansvarlige, kan dokumentere at de har iverksatt nødvendige tiltak for å sikre at personopplysninger blir behandlet på en tilstrekkelig god måte, skriver Atle Årnes, fagdirektør for teknologi, i en e-post til Digi. Virksomheten skal gjennomføre en risikovurdering før personopplysninger behandles og før man tar i bruk et informasjonssystem, påpeker han.

Kan ikke forby det

Nasjonal kommunikasjonsmyndighet (Nkom) svarer at de ikke selv har noe utstyr fra Hikvision, men presiserer også at at de per i dag ikke har hjemmel til å hindre salg eller import av Hikvision-utstyr:

– Vareregelverket i EU/EØS sier at et EU/EØS-land ikke kan stanse import og salg av utstyr som tilfredsstiller kravene til å plasseres på det europeiske markedet. Det betyr at så fremt utstyr fra Hikvision tilfredsstiller relevante krav, vil det lovlig kunne importeres og selges. Dette forutsatt at det ikke er annet regelverk som stanser det. Innenfor Nkoms markedstilsynsansvar vil det i dag ikke være grunnlag for å stanse import og salg av dette utstyret.

Videre utdyper Nkom at det i dagens regelverk ikke ligger inne direkte krav rundt cybersikkerhet. EU-kommisjonen jobber imidlertid med å implementere krav angående cybersikkerhet for radioutstyr som er koblet til Internett. Dette regelverket vil først gjelde fra 1. august 2024.