Advokat Charlotte Hafstad i Ræder Bing advokatfirma var invitert til OFV-arrangementet «Bilkvartalet» for å redegjøre for hvordan geopolitisk uro og handelskrig påvirker bilindustrien.

Hun brukte mye av foredraget sitt til å snakke om hvilken sikkerhetsrisiko dagens software-stinne biler, spesielt de kinesiske, utgjør.

Hafstad er en av Norges ledende juridiske eksperter innen geoøkonomi og har omfattende erfaring med sikkerhetsrelaterte spørsmål i skjæringspunktet mellom juss og geopolitikk.

Blant annet har Hafstad en mastergrad fra King's College i London med spesialisering i staters håndtering av internasjonale sikkerhetstrusler som terrorisme og spionasje.

Prosjekt «Lion cage»
Hafstad sier at dagens geopolitiske risiko er høy, blant annet med kriger, terrorisme og spenning mellom stater:

- Kommunistpartiet i Kina gikk i 2015 ut med en ny strategi, kalt «made in China». Den skulle føre Kina fra en lowtech til hitech nasjon, blant annet ved å kjøpe opp europeisk og amerikansk teknologi og industri, tilegne seg kunnskapen og utvikle den.  

- Vi har sett utstrakt kinesisk og russisk samarbeid, både militært og sivilt, sier Hafstad.

Dagens biler inneholder kameraer, sensorer, radar og høyhastighets datanettverk.  

- Det øker sårbarheten for cyberrelaterte angrep, sier Hafstad, som også har jobbet som seniorrådgiver i Forsvaret.

- Dette ser man i prosjekt «Lion cage», der det ble gjennomført en undersøkelse av en familiebil fra Nio, om hvilke data den sender til hvilke land. 

Hun sier at det kommer frem at Nio sendte data til USA, Canada, Kina, Russland og Australia. 

Eksperimentet ble utført av en som jobbet i Telenor og syv kompiser, forklarte Charlotte Hafstad fra scenen under OFV-arrangementet: - Da kartla de hvordan dataene ble sendt.

BilNytt.no har spurt Nio Norway-sjef An Ho om en kommentar til påstandene:

- Nio har sterkt fokus på personvern og datasikkerhet, svarer An Ho til BilNytt.no i dag.

Les hele svaret fra Nio-sjef An Ho nederst i artikkelen.

Grunn til bekymring
- Det gjelder taleopptak, video fra inni bilen og fra utenfor bilen. Er de produsert i Kina, så går de dataene rett til Kina. Det er ikke likegyldig lenger, hvor ting er blitt produsert. Det har sikkerhetsmessige implikasjoner, understreker hun.

- Hvilke land som har produsert bilene eller komponentene har en sikkerhetsmessig betydning. Det kommer man ikke unna, sier hun og slår fast:

- Det er stor grunn til bekymring. Det er fordi vi har ikke sikkerhetspolitisk samarbeid, hverken med Kina, Russland eller Gulf-statene. 

Lov i Kina pålegger datadeling
- I Kina er alle kommersielle og private aktører pålagt å rapportere inn etterretningsrelevant informasjon til etterretningstjenestene. Loven ble vedtatt i 2016, sier Hafstad blant annet. 

Ifølge Hafstad hjelper det ikke å si at man er en kommersiell aktør, og dermed ikke underlagt myndighetene:

- Det har fint lite å si, når du er pålagt etter lov å sende informasjon hvis de sier du skal sende den, sier hun.

- Risikoen for en autorisert dataoverføring til kinesiske etterretningsmyndigheter, for eksempel, er en sårbarhet. Det øker risikoen for cyberangrep.

På en slide viser Hafstad til at kinesiske myndigheter involverer kommersielle teknologiselskaper i landets militære modernisering. 

- Jeg tror det kommer mer regulering knyttet til dette, som vi allerede ser i EU og som vil bli relevant for Norge.

Kan stoppe biler
Hafstad forteller at USA for to år siden undersøkte hva som kunne skje hvis Kina velger å sabotere en del av bilene på veien i det amerikanske markedet:

- En såkalt «kill switch» er et sabotasjeangrep, altså at biler kan fjernstyres til å stoppe langs veien. Det kan ha store konsekvenser for et samfunn. 

Hafstad referer til at på bakgrunn av analysene besluttet USA at risikoen er for stor:

- Nå har de vedtatt to lover. Fra 2027 og 2030 skal en del av disse komponentene vekk.

- Det er rett og slett fordi man vet, at har du komponenter som kommer fra Kina, i hvert fall elektroniske komponenter, vil det i dagens trusselbilde fort bli sett på som en stor sårbarhet med tanke på overvåkning, utpressing og sabotasjeaksjoner.

Hafstad tror vi kommer til å se nye lover fremover.

- USA leder an med lover og reguleringer, men EU følger tett på, sier hun.

- Vi kan komme til å se at det kan bli vedtatt lover der man ikke tillater kinesisk- eller russiskproduserte komponenter, det være seg software, hardware eller bilbatterier, på grunn av sikkerhetsrisiko, sier Charlotte Hafstad.

Utpressing
Hafstad mener at høyteknologiske elbiler utgjør en risiko for utpressing.

- Det er både kamera og taleopptak i bilene. Får utenlandske etterretningsmyndigheter tak i det, så er det et utrolig fint pressmiddel å kunne bruke mot noen, for å få tak i viktigere ting, sa hun blant annet.

- I dagens trusselbilde blir elektroniske komponenter fra Kina sett på som en stor sårbarhet. Dette er knyttet til overvåkning, risiko for utpressing og sabotasjeaksjoner.

Hafstad sier at dersom data går fra bilene og rett til Kina, er det grunn til bekymring: 

- Vi har ingen sikkerhetssamarbeid med Kina. Jeg tror det vil komme mer regulering knyttet til dette.

- Har vi vært naive?
OFV-direktør Øyvind Solberg Thorsen var vertskap for dagens arrangement der Hafstad holdt sitt innlegg.

Etter foredraget hadde han et spørsmål til Charlotte Hafstad:

- Hvor bekymret bør jeg være for å kjøre kinesisk elbil, jeg som snart er pensjonist og skal på med tøflene. Har vi vært naive?

- Dersom jeg jobbet i forsvaret eller regjeringen ville jeg tenkt meg godt om før jeg kjøpte en kinesisk elbil, men det er trolig ingen stor risiko for folk med en vanlig sivil jobb, svarer Hafstad blant annet.

Fra salen spør Jon Winding-Sørensen fra BilNytt.no om vi ikke bør være bekymret for all dataoverføring fra alle biler, og ikke bare fra kinesiske. 

- Uautorisert dataoverføring er ikke greit uansett land, svarer Hafstad og fortsetter:

- Men Kina og Russland utgjør en direkte etterretningstrussel mot Norge i dag. Går data derimot til Sverige, må vi gå ut fra at de ikke blir brukt mot oss. 

- Går dataene til USA…trusselbildet er dynamisk. Vi må se dataoverføring i lys av trusselbildet, legger hun blant annet til.

- Dersom for eksempel Oslo kommune kun har elektriske busser, er det en sårbarhet. Man bør ha tenkt klart gjennom hvilke kriser som kan oppstå, mener Charlotte Hafstad.

Nio: - Lagrer opplysninger i Europa
BilNytt.no har spurt Nio Norway, som er spesifikt nevnt i Hafstads innlegg, om en kommentar til uttalelsene:

• Hva vil dere si i dag for å berolige eventuelle bekymrede kunder og potensielle kunder?

• I hvor stor grad frykter dere at det vil komme regulering fra norske myndigheter som kan gå så langt som til å forby salg av biler fra Kina?

 - Nio har sterkt fokus på personvern og datasikkerhet, svarer An Ho.

Han er general manager i Nio Norway.

- Teknisk kjøretøysdata prosesseres, pseudonymiseres og krypteres utelukkende i kjøretøyet og deles ikke med Nios skytjeneste med mindre brukeren selv har samtykket til dette, sier An Ho.

Ho viser til at Nio derfor er sertifisert i henhold til FN-forskrift nr. 155 – Cybersecurity Management System Certification – og FN-forskrift nr. 156 – Software Update Management System.

- Ellers har ikke Nio tilgang til disse dataene. Dataoverføring for analyse og videreutvikling er deaktivert som standard, sier An Ho.

Den norske Nio-sjefen sier at alle personopplysninger bilprodusenten behandler fra sine europeiske brukere lagres i datasentre innenfor EU/EØS, i tråd med GDPR-regelverket.

- Vi bruker et sikkert datasenter i Frankfurt, Tyskland, sier An Ho og henviser for øvrig til Nios personvernerklæring.

Se hele innlegget fra Charlotte Hafstad som begynner 31 minutter ute i denne OFV-sendingen:

Tips BilNytt.no:
Atle Falch Tuverud | Knut Moberg | Knut Moberg d.e | Hanne Hattrem Petter K. Bjørkelo | Jacob Moer Aanonsen | Jon Winding-Sørensen

 Følg BilJobb.no på LinkedIn