Software ruského původu v projektech kamerového systému CCTV v EU (2026): Dodržování předpisů, sankce a přezkum zadávání veřejných zakázek

Proč je tato otázka důležitá při zadávání veřejných zakázek v EU v roce 2026

Od roku 2022 EU přijala několik po sobě jdoucích sankčních balíčků namířených proti Rusku, a to souběžně s vývojem pravidel pro veřejné zakázky v členských státech. Kumulativní dopad na zadávání veřejných zakázek na software byl značný: zadavatelé, kteří se dříve na původ softwaru neptali, nyní běžně zahrnují požadavky na zveřejnění původu ve fázi kvalifikace a nabídky, které nemohou prokázat neschválený původ, jsou před obchodním posouzením běžně filtrovány.

Software pro návrh CCTV systémů spadá do zvláštní kategorie rizik, protože artefakty, které vytváří – plány podlaží, umístění kamer, topologie sítě, BOM – jsou citlivé jak z bezpečnostního, tak z provozního hlediska. I v případech, kdy se sankční nástroj na první pohled nevztahuje na konkrétní nástroj pro plánování CCTV, veřejní zadavatelé mají tendenci uplatňovat preventivní přístup, zejména v oblasti obrany, veřejné správy, kritické infrastruktury a velkých projektů v oblasti zdravotnictví nebo dopravy.

Tento článek je vysvětlujícím materiálem, jaký jsme si přáli, když se nás klienti z řad integrátorů poprvé začali ptát na původ softwaru v odpovědích na nabídky. Je popisný, nikoli normativní – jeho účelem je srozumitelně vysvětlit rámec, aby návrhář CCTV mohl položit svému poradci pro zadávání zakázek správné otázky, a ne aby tuto konverzaci nahrazoval.

Současný sankční rámec EU – obecné shrnutí

Omezující opatření EU vůči Rusku jsou prováděna prostřednictvím nařízení Rady zveřejněných v Úředním věstníku Evropské unie a aktualizována prostřednictvím následných balíčků změn. Rámec funguje na třech širokých pilířích týkajících se zadávání veřejných zakázek na software.

Kromě rámce na úrovni EU zavedly členské státy jako Německo, Francie, Polsko, severské a pobaltské země vlastní formulaci veřejných zakázek s přísnějšími kritérii. Výsledkem je, že stejný dodavatel může být přijatelný v jedné jurisdikci EU a vyloučen v jiné, i když jej žádný nástroj výslovně neuvádí. Týmy pro zadávání veřejných zakázek proto mají tendenci používat nejpřísnější formulaci členského státu jako své interní měřítko.

Americká strana: NDAA §889 a výkonné nařízení ICTS

Na straně USA jsou dva nástroje běžně citovány i úředníky EU pro zadávání veřejných zakázek jako neformální kritéria. NDAA §889 (zákon o zmocnění k národní obraně Johna S. McCaina na fiskální rok 2019) zakazuje federálním agenturám a federálním dodavatelům nakupovat nebo používat telekomunikační a video monitorovací zařízení od některých čínských výrobců, na která se vztahuje tato dohoda. Výkonné nařízení o informačních a komunikačních technologiích a službách (ICTS), zejména výkonné nařízení 13873 a jeho nástupci, dávají americkému ministerstvu obchodu širokou pravomoc přezkoumávat transakce zahrnující zahraniční protivníky.

Ani jeden z těchto nástrojů se z právního hlediska nevztahuje na typické zadávání veřejných zakázek v EU. Často se však používají jako šablona pro zadávání veřejných zakázek. Veřejný zadavatel EU z roku 2026, který vypracovává nabídku na CCTV, bude běžně požadovat, aby dodavatel prohlásil, že jeho software, hosting a personál nebudou vyloučeny podle pravidel ekvivalentních §889, a to i v případě, že samotný §889 je pro smlouvu irelevantní. Dodavatelé, kteří nemohou toto prohlášení učinit, jsou v konkurenční nevýhodě bez ohledu na základní zákonnost své nabídky.

Přímý dopad zadávání veřejných zakázek na software pro návrh CCTV

Níže uvedené kategorie představují čtyři, u kterých se v roce 2026 v projektech CCTV v EU nejčastěji objevují otázky týkající se původu softwaru.

Jak kupující ověřují původ softwaru

Úředník provádějící kontrolu původu má k dispozici poměrně standardní sadu nástrojů. Žádná z těchto kontrol individuálně neprokazuje původ – sestavují triangulovaný obraz z veřejně dostupných informací.

U zakázek s vyšším rizikem (obrana, kritická infrastruktura) se posouzení může rozšířit i na původ zdrojového kódu, bezpečnostní testování třetí stranou a nezávislý právní posudek. Mezní náklady na posouzení vyšší úrovně nejsou triviální a zadavatelé si jej obvykle zadávají pouze tehdy, pokud to odůvodňuje hodnota nebo citlivost zakázky.

Úhel pohledu na přenos dat do třetích zemí GDPR

Články 44 až 49 GDPR upravují předávání osobních údajů do zemí mimo Evropský hospodářský prostor. Výchozí pravidlo je, že takový předávání je zakázáno, pokud se na něj nevztahuje jedna ze stanovených záruk: rozhodnutí Evropské komise o odpovídající ochraně, schválený mechanismus předávání, jako jsou standardní smluvní doložky s vhodnými doplňkovými opatřeními, nebo výjimka pro specifické situace.

Evropský soudní dvůr ve věci Schrems II (věc C-311/18, 2020) jasně uvedl, že standardní smluvní doložky musí být doplněny posouzením dopadu přenosu, které zohledňuje zákony cílové země a to, zda poskytují v podstatě rovnocennou ochranu. Rusko není na seznamu odpovídající ochrany Evropské komise a převládající interpretace je, že dosažení „v podstatě rovnocenné“ ochrany pro přenosy do Ruska je vzhledem k tamní právní krajině obtížné. Praktickým důsledkem je, že jakýkoli nástroj pro návrh CCTV, který přenáší osobní údaje na servery v Rusku nebo subjektům pod ruskou jurisdikcí, čelí významné zátěži spojené s posouzením dopadu přenosu, kterou nástroje hostované v EU jednoduše nenesou.

U projektů CCTV je to důležité, protože návrhové nástroje se dotýkají osobních údajů častěji, než si lidé uvědomují – metadat projektu, informací o webu koncového zákazníka, e-mailových adres účtů, obsahu tiketů podpory. Kupující, který bere GDPR vážně, bude chtít mít jistotu, že žádná z těchto dat neopustí EU/EHP způsobem, který by spustil kontrolu podle kapitoly V.

Proč existuje CCTVplanner – hostovaný v EU, vyvinutý v EU

CCTVplanner provozuje společnost DEFENSAR, registrovaná v Polsku, s frontendem hostovaným v Polsku a backendem na cloudové infrastruktuře v regionu EU. To je význam titulku „100% navrženo a hostováno v EU“ – právní subjekt, inženýrství i hosting se nacházejí v Evropské unii. Klíčová data účtu a projektů jsou uložena na serverech v EU; malá skupina dílčích zpracovatelů (platby, analytika, e-mail – např. Stripe, Google, Resend) je pokryta zárukami pro předávání dat dle GDPR: SCCs a EU–U.S. Data Privacy Framework, jak je uvedeno v zásadách ochrany osobních údajů.

Pro týmy zadávání zakázek se to promítá do krátké, deklarativní odpovědi na výše popsané otázky týkající se zveřejnění původu. V datové cestě se nenachází žádný ruský, čínský ani americký subzpracovatel. Podle kapitoly V GDPR neexistuje žádná povinnost posoudit dopad přenosu, protože data neopouští EU. V dodavatelském řetězci neexistuje žádná diskvalifikační klauzule ekvivalentní §889. Architektura EU jako výchozího nastavení, které důvěřují integrátoři z celého světa, je jediným prvkem, který se v roce 2026 v rozhovorech o zadávání zakázek objevuje nejčastěji.

Prechod na jiny CCTV navrhovy nastroj

Praktická otázka, kterou slýcháme od integrátorů v roce 2026, zní: „Jsme spokojeni s naším současným nástrojem pro návrh CCTV, ale tým pro zadávání veřejných zakázek označil zveřejnění původu softwaru za riziko. Jak vypadá přechod?“ Odpověď je většinou mechanická – exportovat půdorys do formátu DXF, importovat jej do CCTVplanneru, přemístit kamery z katalogu s více než 65 000 modely, porovnat prahové hodnoty DORI, přesměrovat kabeláž, exportovat vícestránkový PDF. V níže uvedeném průvodci migrací jsme napsali podrobný postup. Žádný z kroků není nijak zvlášť obtížný. Nejtěžší je obecně rozhodnutí o přechodu, nikoli samotný přechod.

Konkrétně u přechodů v souvislosti s nákupem doporučujeme písemně zdokumentovat přechod – spouštěcí událost, vyhodnocené alternativy, zvolenou náhradu a datum, kdy je stávající nástroj vyřazen z pracovního postupu. Poradci pro nákup i auditoři ESG odměňují zdokumentovaná rozhodnutí a písemný protokol o přechodu je běžnou součástí balíčků due diligence.

Závěrečné prohlášení o vyloučení odpovědnosti

Tento článek je věcným přehledem založeným na veřejně dostupných normách, předpisech a judikatuře k květnu 2026. Nejedná se o právní poradenství a nenahrazuje poradenství kvalifikovaného právního zástupce pro zadávání veřejných zakázek ve vaší jurisdikci. Sankce, kontroly vývozu a pravidla pro zadávání veřejných zakázek se často vyvíjejí a v jednotlivých členských státech EU se vykládají odlišně. Každé konkrétní rozhodnutí o zadávání veřejných zakázek by mělo být potvrzeno právním zástupcem obeznámeným s konkrétním veřejným zadavatelem, odvětvím a jurisdikcí.

Žádné tvrzení v tomto článku není zamýšleno jako znevažování jakékoli země, společnosti nebo kategorie dodavatele. Záměrem je popsat rámec zadávání veřejných zakázek tak, jak jej kupující vnímají v roce 2026, aby integrátoři mohli připravit odpovědi na nabídky a navrhnout pracovní postupy, které přežijí fázi kvalifikace.

Často kladené otázky