Hvad forsvarsministeriet fandt
The Telegraphs forsvarskorrespondent Richard Holmes rapporterede den 9. august 2026, at overvågningskameraer monteret på Royal Navys K3 Scout-dronebåde, som bruges af Royal Marines og er tæt knyttet til Special Boat Service-operationer fra Poole, indeholdt kinesisk-fremstillede komponenter, der sendte "heartbeat-signaler" til en enhed i Kina. En talsmand for forsvarsministeriet bekræftede kernen i historien: transmissionerne blev opdaget under en "rutinemæssig cybersårbarhedsvurdering" af K3-flåden, og de udvekslede oplysninger bekræftede kun, at kameraet var online og fungerede - ikke operative data. Efter opdagelsen fjernede forsvarsministeriet al internetforbindelse fra de berørte kameraer.
Forsvarsministeriets officielle holdning, gentaget over for flere medier, er, at en efterfølgende undersøgelse ikke fandt beviser for, at forsvarsministeriets data eller systemer var blevet tilgået, kompromitteret eller sendt ud. Det er en snævrere påstand end at sige, at komponenterne var sikre: den bekræfter fravær af kendt dataudtræk, ikke at hjemringnings-adfærden var tilsigtet, oplyst eller nogensinde tilsigtet.
Den 12 millioner pund store flåde bag Project Beehive
K3 Scout er et 8,4 meter langt ubemandet overfladefartøj bygget af Kraken Technology Group, en britisk forsvarsleverandør med hjemsted i Fareham, Hampshire. Royal Navy kontraherede Kraken til at levere 20 K3 Scout-fartøjer og tilhørende jordkontrolsystemer under Project Beehive, et program til at integrere hurtige ubemandede fartøjer i flådens operationer; fartøjerne kan medbringe sensor-, fragt- eller våbenlaster og er også blevet testet i forsøg som et luftdrop fra et A400M-fly fra Royal Air Force. Den 12 millioner pund dyre flåde har været i tjeneste hos Royal Marines siden marts 2026, hvor nogle fartøjer ifølge rapporter er øremærket til en indsættelse i Golfen for at beskytte skibsfarten i Hormuzstrædet.
Kraken Technology Group oplyste over for journalister, at kameraerne var NDAA-kompatible - altså opfyldte den amerikanske forsvarsindkøbsstandard, der udelukker visse kinesiske leverandører - men indrømmede, at enhederne indeholdt "et lille antal komponenter fra uden for Storbritannien", som selskabet sagde blev hentet fra en tredjepartsleverandør, der havde givet sikkerhedsgarantier. Kraken fastholdt, at der ikke var blevet delt følsomme oplysninger.
Hvor garantikæden faktisk brast
Kæden har her tre led: Kraken byggede og solgte K3 Scout til Royal Navy; Kraken købte kameramodulet af en tredjepartsleverandør; den leverandør gav Kraken sikkerhedsgarantier om komponenten. Ingen af disse garantier opfangede heartbeat-trafikken, før fartøjerne blev sat i drift. Den kom først frem i lyset omkring fem måneder efter, at operativ brug var begyndt, da forsvarsministeriet foretog en rutinemæssig cybersårbarhedsvurdering - den slags tjek, der finder sted periodisk, ikke den slags, der er indbygget i modtagelsen af en ny leverandørs komponent.
Skyggesikkerhedsminister Alicia Kearns sagde, at episoden viser, hvordan sårbarheder i forsyningskæden kan underminere suveræn forsvarskapacitet, selv når hovedleverandøren er britisk, og en compliance-standard (NDAA) formelt er opfyldt. Det er netop det, som compliance-papirarbejde ikke fanger: en komponent kan bestå en navngiven standard og en skriftlig garanti fra en leverandør og alligevel opføre sig, i drift, på en måde, som ingen længere oppe i kæden har testet eller oplyst om.
Hvad det betyder for EU- og UK-virksomheder ud over forsvar
Dette er ikke kun et problem for forsvarsministeriet. Kinesisk-fremstillede kamera- og sensormoduler sidder i et enormt udvalg af kommerciel hardware, som almindelige EU- og UK-virksomheder køber: sikkerhedskameraer, adgangskontrolsystemer, sensorer til intelligente bygninger, industrielt overvågningsudstyr, endda kundevendte kiosker. K3 Scout-sagen viser, at en dokumenteret garanti fra en leverandør - "NDAA-kompatibel", "ingen følsomme data delt", et underskrevet sikkerhedsspørgeskema - ikke er det samme som påstanden "vi har testet, hvad denne enhed faktisk gør på netværket", og de to kan divergere, uden at nogen i kæden bemærker det, før en uafhængig revision tilfældigt opdager det.
Under NIS2 bærer væsentlige og vigtige enheder i hele EU (energi, sundhed, digital infrastruktur, producenter af kritiske produkter og mere) en eksplicit pligt til risikostyring af forsyningskæden: artikel 21(2)(d) kræver vurdering af direkte leverandørers og tjenesteudbyderes sikkerhedspraksis, ikke kun deres papirarbejde. I Danmark omsættes denne pligt gennem den danske implementering af NIS2, med Center for Cybersikkerhed (CFCS) som central myndighed for berørte enheder. Royal Navy-episoden er en konkret illustration af, hvorfor denne pligt bør oversættes til et teknisk skridt, ikke kun et kontraktligt. Et indkøbsteam, der vil undgå at opdage sit eget "heartbeat"-problem fem måneder efter idriftsættelse, bør før udrulning kræve en uafhængig registrering af netværkstrafikken fra ethvert tredjeparts kamera-, sensor- eller IoT-modul - og tjekke, hvor det rent faktisk forbinder til, ikke kun hvad leverandøren hævder, det ikke gør. Storbritannien falder uden for NIS2's jurisdiktion, men står over for den samme praktiske eksponering, hvilket er grunden til, at landets eget NCSC har udgivet lignende vejledning om garantier i forsyningskæden af netop denne årsag.
Læs videre: Rotér hver CI-nøgle du brugte den 4. august | Rettelsen signerer nye filer, ikke jeres arkiv
