Vad försvarsministeriet upptäckte

The Telegraphs försvarskorrespondent Richard Holmes rapporterade den 9 augusti 2026 att övervakningskameror monterade på Royal Navys K3 Scout-drönarbåtar, som används av Royal Marines och är nära kopplade till Special Boat Service-operationer från Poole, innehöll kinesisktillverkade komponenter som skickade "heartbeat-signaler" till en enhet i Kina. En talesperson för försvarsministeriet bekräftade kärnan i historien: överföringarna upptäcktes under en "rutinmässig cybersårbarhetsbedömning" av K3-flottan, och den utväxlade informationen bekräftade bara att kameran var online och fungerade - inte operativa data. Efter upptäckten kopplade MoD bort all internetanslutning från de berörda kamerorna.

MoD:s officiella hållning, upprepad till flera medier, är att en efterföljande utredning inte fann några bevis för att MoD:s data eller system hade nåtts, komprometterats eller skickats ut. Det är ett snävare påstående än att säga att komponenterna var säkra: det bekräftar avsaknad av känd dataexfiltrering, inte att hemringningsbeteendet var avsiktligt, redovisat eller någonsin avsett.

Den 12 miljoner pund stora flottan bakom Project Beehive

K3 Scout är ett 8,4 meter långt obemannat ytfartyg byggt av Kraken Technology Group, en brittisk försvarsleverantör med säte i Fareham, Hampshire. Royal Navy kontrakterade Kraken för att leverera 20 K3 Scout-fartyg och tillhörande markkontrollsystem inom Project Beehive, ett program för att integrera snabba obemannade fartyg i flottans operationer; fartygen kan bära sensor-, frakt- eller vapenlaster och har även testats i övningar som en luftavsläppning från ett A400M-flygplan från Royal Air Force. Den 12 miljoner pund dyra flottan har varit i tjänst hos Royal Marines sedan mars 2026, och vissa fartyg ska enligt uppgift vara avsedda för en insats i Persiska viken för att skydda sjöfarten i Hormuzsundet.

Kraken Technology Group uppgav för journalister att kamerorna var NDAA-kompatibla - det vill säga uppfyllde den amerikanska försvarsupphandlingsstandarden som utesluter vissa kinesiska leverantörer - men medgav att enheterna innehöll "ett litet antal komponenter från utanför Storbritannien", som bolaget sade hade köpts in från en tredjepartsleverantör som gett säkerhetsgarantier. Kraken vidhöll att ingen känslig information hade delats.

Var garantikedjan egentligen brast

Kedjan har här tre länkar: Kraken byggde och sålde K3 Scout till Royal Navy; Kraken köpte kameramodulen från en tredjepartsleverantör; den leverantören gav Kraken säkerhetsgarantier om komponenten. Ingen av dessa garantier fångade upp heartbeat-trafiken innan fartygen sattes i drift. Den kom fram i ljuset först ungefär fem månader efter att den operativa användningen inletts, när MoD genomförde en rutinmässig cybersårbarhetsbedömning - den typ av kontroll som sker periodiskt, inte den typ som är inbyggd i mottagandet av en ny leverantörs komponent.

Skuggäkerhetsministern Alicia Kearns sade att episoden visar hur sårbarheter i leveranskedjan kan undergräva suverän försvarsförmåga även när huvudleverantören är brittisk och en efterlevnadsstandard (NDAA) formellt har uppfyllts. Det är precis det som efterlevnadspapper inte fångar: en komponent kan klara en namngiven standard och en skriftlig garanti från en leverantör och ändå uppföra sig, i drift, på ett sätt som ingen längre upp i kedjan har testat eller redovisat.

Vad detta betyder för EU- och UK-företag bortom försvaret

Detta är inte bara ett problem för försvarsministeriet. Kinesisktillverkade kamera- och sensormoduler sitter i ett enormt utbud av kommersiell hårdvara som vanliga EU- och UK-företag köper: säkerhetskameror, passerkontrollsystem, sensorer för smarta byggnader, industriell övervakningsutrustning, till och med kundvända kiosker. K3 Scout-fallet visar att en dokumenterad garanti från en leverantör - "NDAA-kompatibel", "ingen känslig data delad", ett undertecknat säkerhetsformulär - inte är detsamma som påståendet "vi har testat vad den här enheten faktiskt gör på nätverket", och de två kan divergera utan att någon i kedjan märker det, förrän en oberoende revision råkar upptäcka det.

Enligt NIS2 bär väsentliga och viktiga enheter i hela EU (energi, hälso- och sjukvård, digital infrastruktur, tillverkare av kritiska produkter med mera) en uttrycklig skyldighet att hantera risker i leveranskedjan: artikel 21(2)(d) kräver bedömning av direkta leverantörers och tjänsteleverantörers säkerhetspraxis, inte bara deras pappersarbete. I Sverige omsätts denna skyldighet genom den svenska cybersäkerhetslagen som genomför NIS2, med Myndigheten för samhällsskydd och beredskap (MSB) som central myndighet för berörda verksamheter. Royal Navy-episoden är en konkret illustration av varför denna skyldighet bör översättas till ett tekniskt steg, inte bara ett avtalsmässigt. Ett inköpsteam som vill undvika att upptäcka sitt eget "heartbeat"-problem fem månader efter driftstart bör före utrullning kräva en oberoende insamling av nätverkstrafiken från varje tredjeparts kamera-, sensor- eller IoT-modul - och kontrollera vart den faktiskt ansluter, inte bara vad leverantören hävdar att den inte gör. Storbritannien faller utanför NIS2:s jurisdiktion men står inför samma praktiska exponering, vilket är varför landets eget NCSC har publicerat liknande vägledning om garantier i leveranskedjan av precis den anledningen.

Läs vidare: Rotera varje CI-nyckel du använde 4 augusti  |  Rättningen signerar nya filer, inte ert arkiv