Software af russisk oprindelse i EU-CCTV-projekter (2026): Gennemgang af overholdelse, sanktioner og indkøb

Hvorfor dette spørgsmål betyder noget i EU-indkøb i 2026

Siden 2022 har EU vedtaget flere på hinanden følgende sanktionspakker rettet mod Rusland, sammen med parallelle udviklinger i medlemsstaternes regler for offentlige indkøb. Den samlede effekt på softwareindkøb har været betydelig: ordregivende myndigheder, der tidligere ikke spurgte om softwarens oprindelse, inkluderer nu rutinemæssigt krav om oprindelsesoplysning på kvalifikationstrinnet, og bud, der ikke kan dokumentere ikke-sanktioneret oprindelse, sorteres almindeligvis fra, før den kommercielle vurdering.

CCTV-designsoftware befinder sig i en særlig risikokategori, fordi de dokumenter, den producerer — plantegninger, kameraplacering, netværkstopologi, BOM — er følsomme både fra et sikkerheds- og et driftsmæssigt synspunkt. Selv hvor et sanktionsinstrument ikke direkte dækker et specifikt CCTV-planlægningsværktøj, har ordregivende myndigheder tendens til at anlægge en forsigtighedstilgang, især inden for forsvar, offentlig administration, kritisk infrastruktur og store sundheds- eller transportprojekter.

Denne artikel er den forklaring, vi ønskede fandtes, dengang installatørkunder først begyndte at spørge os om softwarens oprindelse i udbudsbesvarelser. Den er beskrivende, ikke normativ — dens formål er at lægge rammen frem i klart sprog, så en CCTV-designer kan stille sin indkøbsjuridiske rådgiver de rette spørgsmål, snarere end at erstatte den samtale.

Den nuværende EU-sanktionsramme — overordnet resumé

EU's restriktive foranstaltninger mod Rusland gennemføres via Rådets forordninger offentliggjort i Den Europæiske Unions Tidende og opdateret gennem successive ændringspakker. Rammen bygger på tre brede søjler, der er relevante for softwareindkøb.

Ud over EU-rammen har medlemsstater som Tyskland, Frankrig, Polen, de nordiske lande og de baltiske stater indført deres eget sprog for offentlige indkøb med strengere kriterier. Resultatet er, at den samme leverandør kan være acceptabel i én EU-jurisdiktion og blive sorteret fra i en anden, selv når intet instrument udtrykkeligt navngiver dem. Indkøbsteams har derfor tendens til at anvende det strengeste medlemsstats-sprog som deres interne benchmark.

Den amerikanske side: NDAA §889 og ICTS-bekendtgørelser

På den amerikanske side citeres to instrumenter rutinemæssigt selv af EU-indkøbsansvarlige som uformelle benchmarks. NDAA §889 (John S. McCain National Defense Authorization Act for Fiscal Year 2019) forbyder føderale myndigheder og føderale kontrahenter at købe eller bruge dækket telekommunikations- og videoovervågningsudstyr fra visse navngivne kinesiske producenter. Bekendtgørelserne om Information and Communications Technology and Services (ICTS), primært Executive Order 13873 og efterfølgere, giver det amerikanske handelsministerium brede beføjelser til at gennemgå transaktioner, der involverer udenlandske modstandere.

Ingen af instrumenterne gælder retligt for et typisk EU-indkøb. De bruges dog ofte som skabelonsprog i indkøb. En EU-ordregivende myndighed, der i 2026 udarbejder et CCTV-udbud, vil almindeligvis kræve, at leverandøren erklærer, at deres software, hosting og personale ikke ville blive udelukket efter regler svarende til §889, selv når §889 selv er irrelevant for kontrakten. Leverandører, der ikke kan afgive den erklæring, er ringere stillet konkurrencemæssigt, uanset den underliggende lovlighed af deres tilbud.

Direkte indkøbsmæssig indvirkning på CCTV-designsoftware

Kategorierne nedenfor er de fire, hvor vi ser spørgsmål om softwareoprindelse opstå hyppigst i EU-CCTV-projekter i 2026.

Hvordan købere verificerer softwarens oprindelse

En indkøbsansvarlig, der udfører et oprindelsestjek, har et ret standardiseret værktøjssæt. Ingen af disse tjek beviser i sig selv oprindelsen — de sammensætter et trianguleret billede ud fra offentlig information.

Ved indkøb med højere risiko (forsvar, kritisk infrastruktur) kan vurderingen udvides til kildekodens herkomst, tredjeparts sikkerhedstest og en uafhængig juridisk udtalelse. Meromkostningen ved den højere vurdering er ikke ubetydelig, og ordregivende myndigheder bestiller typisk kun dette, hvor kontraktens værdi eller følsomhed berettiger det.

GDPR — overførsel til tredjelande

GDPR-artikel 44 til 49 regulerer overførsel af personoplysninger til lande uden for Det Europæiske Økonomiske Samarbejdsområde. Hovedreglen er, at en sådan overførsel er forbudt, medmindre en af de angivne garantier finder anvendelse: en tilstrækkelighedsafgørelse fra Europa-Kommissionen, en godkendt overførselsmekanisme såsom standardkontraktbestemmelser med passende supplerende foranstaltninger, eller en undtagelse til specifikke situationer.

EU-Domstolen fastslog i Schrems II-sagen (sag C-311/18, 2020) klart, at standardkontraktbestemmelser skal suppleres med en overførselskonsekvensanalyse, der tager hensyn til lovgivningen i bestemmelseslandet, og hvorvidt den yder et i det væsentlige tilsvarende beskyttelsesniveau. Rusland er ikke på Europa-Kommissionens liste over lande med tilstrækkeligt beskyttelsesniveau, og den fremherskende fortolkning er, at det er vanskeligt at opnå "i det væsentlige tilsvarende" beskyttelse for overførsler til Rusland i betragtning af det retlige landskab dér. Den praktiske konsekvens er, at ethvert CCTV-designværktøj, der overfører personoplysninger til servere i Rusland, eller til enheder under russisk jurisdiktion, står over for en betydelig byrde i form af en overførselskonsekvensanalyse, som EU-hostede værktøjer ganske enkelt ikke gør.

For CCTV-projekter betyder dette noget, fordi designværktøjer berører personoplysninger oftere, end folk går rundt og tror — projektmetadata, slutkundens siteoplysninger, kontoens e-mailadresser, indholdet af supportsager. En køber, der tager GDPR seriøst, vil ønske sikkerhed for, at ingen af disse data forlader EU/EØS på en måde, der udløser kapitel V-kontrol.

Hvorfor CCTVplanner findes — hostet og udviklet i EU

CCTVplanner drives af DEFENSAR, registreret i Polen, med frontenden hostet i Polen og backenden på skyinfrastruktur i EU-regionen. Det er betydningen af overskriften "100 % udviklet og hostet i EU" — den juridiske enhed, udviklingen og hostingen befinder sig alle inden for Den Europæiske Union. Kernekonto- og projektdata opbevares på EU-servere; et lille antal underleverandører (betalinger, analyse, e-mail — f.eks. Stripe, Google, Resend) er dækket af GDPR-overførselsgarantier: SCC'er og EU-USA Data Privacy Framework, som angivet i privatlivspolitikken.

For indkøbsteams oversættes dette til et kort, deklarativt svar på de ovenfor beskrevne spørgsmål om oplysning af oprindelse. Der findes ingen enhed, software eller underleverandør under russisk jurisdiktion nogen steder i forsyningskæden. Hvor en underleverandør opererer uden for EU (betalinger, analyse, e-mail), er overførslen dækket af GDPR kapitel V-garantierne angivet i privatlivspolitikken — SCC'er og EU-USA Data Privacy Framework. Der er ingen diskvalificerende faktor svarende til §889 i forsyningskæden. CCTVplanner nyder tillid fra installatører fra hele verden, og arkitekturen, der som standard er EU-baseret, er den enkeltfunktion, der oftest kommer op i indkøbssamtaler i 2026.

Skift af dit CCTV-designværktøj

Et praktisk spørgsmål, vi hører fra installatører i 2026, er: "Vi er tilfredse med vores nuværende CCTV-designværktøj, men indkøbsteamet har markeret oplysning af softwareoprindelse som en risiko. Hvordan ser et skift ud?" Svaret er for det meste mekanisk — eksportér plantegningen til DXF, importér den i CCTVplanner, genplacer kameraer fra et katalog med over 65.000 modeller, match DORI-tærskler, omlæg kabling, eksportér det flersidede PDF-dokument. Vi har skrevet en trin-for-trin-guide i migrationsguiden nedenfor. Ingen af trinnene er særlig svære. Den sværeste del er som regel beslutningen om at skifte, ikke selve skiftet.

For specifikt indkøbsdrevne skift er vores råd at dokumentere overgangen skriftligt — den udløsende begivenhed, de vurderede alternativer, den valgte erstatning og datoen for, hvornår det eksisterende værktøj udgår af arbejdsgangen. Både indkøbsjuridisk rådgivning og ESG-revisorer belønner dokumenterede beslutninger, og en skriftlig overgangslog er et almindeligt dokument i due diligence-mapper.

Afsluttende ansvarsfraskrivelse

Denne artikel er en faktuel gennemgang baseret på offentligt tilgængelige standarder, forordninger og retspraksis pr. maj 2026. Det er ikke juridisk rådgivning, og det erstatter ikke rådgivning fra kvalificeret indkøbsjuridisk rådgivning i din jurisdiktion. Sanktioner, eksportkontrol og indkøbsregler udvikler sig ofte og fortolkes forskelligt på tværs af EU-medlemsstater. Enhver konkret indkøbsbeslutning bør bekræftes med en rådgiver, der er bekendt med den specifikke ordregivende myndighed, sektor og jurisdiktion, der er tale om.

Ingen udtalelse i denne artikel er tiltænkt som en nedgørelse af noget land, virksomhed eller kategori af leverandør. Formålet er at beskrive den indkøbsramme, som købere oplever den i 2026, så installatører kan forberede udbudsbesvarelser og designarbejdsgange, der overlever kvalifikationstrinnet.

Ofte stillede spørgsmål