Huawei w infrastrukturze krytycznej. Hiszpańska certyfikacja rodzi pytania

Centro Nacional de Inteligencia (CNI, hiszpańska służba wywiadu) wydała certyfikaty bezpieczeństwa dla ponad 70 produktów chińskiej firmy Huawei, z czego 19 otrzymało najwyższy poziom („ALTA”) - informuje hiszpański dziennik The Objective, powołując się na nieupublicznioną listę służb.

Certyfikacja przeprowadzona przez Centro Criptológico Nacional (CCN) w ramach katalogu CPSTIC oznacza, że produkty te przeszły najbardziej rygorystyczne testy bezpieczeństwa, które nie wykazały obecności luk ani tzw. „backdoorów”. W efekcie mogą więc być one dopuszczone do użytku w sektorach o znaczeniu krytycznym, takich jak: wojsko, energetyka, bankowość czy administracja publiczna.

W cytowanym przez The Objective dokumencie wskazano, że poziom „ALTA” oznacza produkt, który „przeszedł najbardziej rygorystyczne testy bezpieczeństwa, gwarantując ochronę systemów, w których incydent mógłby spowodować bardzo poważne szkody dla bezpieczeństwa narodowego, służb publicznych lub obywateli”

Wśród certyfikowanych produktów mają znajdować się m.in. routery przeznaczone do zarządzania ruchem w centrach danych, zapory sieciowe (firewalle), systemy pamięci masowej oraz macierze dyskowe.

Jak podaje portal, „CNI potwierdza, że mechanizmy szyfrowania danych w spoczynku (zapisanych na dysku - red.) i zarządzanie dostępem są solidne i nie zawierają luk, które mogłyby umożliwić wyciek informacji.” Informacja opublikowana 15 kwietnia zbiegła się w czasie z wizytą hiszpańskiego premiera Pedro Sáncheza w Chinach.

Więcej certyfikatów, więcej pytań o bezpieczeństwo

Liczba certyfikatów wydanych chińskim urządzeniom ma przewyższać ich liczbę przyznaną firmom hiszpańskim.

Według The Objective, wynika to z większego produkcyjnego potencjału Huawei’a, który pozwala firmie zgłaszać do certyfikacji znacznie więcej produktów niż jej europejscy konkurenci. Jak podaje dziennik, Telefónica (operator usług telekomunikacyjnych) otrzymała certyfikat dla 8 urządzeń, Indra (firma produkująca technologię informacyjną) 9, a Teldat (firma zajmująca się cyberbezpieczeństwem) miała mieć tych urządzeń 45. Przypomnijmy, że Huawei, miał ich aż ponad 70.

Specjalista ds. DevOps i DevSecOps Paweł Krawczyk wskazuje w poście na na platformie X, że nie można mówić o „ogólnym potwierdzeniu bezpieczeństwa Huawei”, ponieważ certyfikacja zawsze dotyczy konkretnego urządzenia, wersji oprogramowania i konfiguracji, ocenianych według określonych standardów (np. Common Criteria). Oznacza to, że brak wykrycia luk, takich jak backdoory, odnosi się wyłącznie do testowanej wersji, a każda aktualizacja lub zmiana sprzętu może unieważnić certyfikat.

Tego rodzaju ocena ma więc charakter techniczny, a nie polityczny. Jednak warto zaznaczyć, że w państwach autorytarnych granica między polityką a biznesem bywa mniej wyraźna. Wynika to chociażby z faktu, że chińskie przedsiębiorstwa są zobowiązane podobnymi przepisami prawnymi, jak amerykańskie firmy są związane Cloud Act. Chodzi o Ustawę o Krajowym Wywiadzie Chińskiej Republiki Ludowej, w której możemy przeczytać:

Organizacja lub obywatel ma obowiązek wspierać działania wywiadowcze państwa, pomagać w ich prowadzeniu i współpracować w tym zakresie zgodnie z prawem (...). Państwo zapewnia ochronę osobom lub organizacjom, które wspierały działania wywiadowcze państwa, pomagały w ich prowadzeniu lub współpracowały w tym zakresie.
Art. 7 Ustawy o Krajowym Wywiadzie Chińskiej Republiki Ludowej (2017)

Warto w tym miejscu zauważyć, że Chiny wielokrotnie były oskarżane o działalność szpiegowską, co przełożyło się między innymi na zakaz wjazdu Chińskich samochodów (oraz - niezależnie - Tesli) do polskich jednostkek wojskowych.

Obawy dotyczą również sieci 5G - dyskusja na temat ich ewentualnego blokowania w krytycznej infrastrukturze telekomunikacyjnej Unii Europejskiej była obecna już w 2019 roku. W styczniu tego roku pojawiały się również doniesienia o tym, że Komisja Europejska rozważa propozycje stopniowego wycofywania chińskiego sprzętu z infrastruktury krytycznej w Unii Europejskiej.

Hiszpania już wcześniej podejmowała podobne, kontrowersyjne decyzje. W lipcu 2025 roku opisywaliśmy na naszych łamach przyznanie Huawei kontraktu na zarządzanie serwerami zawierającymi dane sądowe.

Nieoficjalny charakter doniesień medialnych

Nie opublikowano w tej sprawie żadnego oficjalnego komunikatu rządowego. Informacje pochodzą z jednego źródła - portalu The Objective - określanego jako serwis o profilu skrajnie prawicowym, który w przeszłości był już krytykowany za problemy z wiarygodnością.

Katalog produktów i usług certyfikowanych przez CCN, CPSTIC, zawiera jedynie ograniczoną liczbę urządzeń firmy Huawei.

Artykuł będzie aktualizowany w przypadku pojawienia się nowych, oficjalnie potwierdzonych informacji.