Venäjän alkuperää oleva ohjelmisto EU:n CCTV-projekteissa (2026): vaatimustenmukaisuus, pakotteet ja hankinta-arvio
Tosittava, hankintakeskeinen tarkistus CCTV-suunnittelijoille, integraattoreille ja EU:n sopimusviranomaisille, jotka esittävät samaa toistuvaa kysymystä 2026: kuinka alkuperä-, pakotteet ja tietojen paikannussäännöt pätevät, kun CCTV-suunnitteluohjelmisto on kyseessä? Tämä artikkeli tiivistää julkisesti saatavilla olevat kehykset. Se ei ole oikeudellista neuvontaa — jokainen konkreettinen hankintapäätös on vahvistettava pätevän hankintaoikeuden asianajajan kanssa.
Tärkeää: tämä on tosiseikkojen tarkistus, ei oikeudellinen neuvonta
Pakotteet, vientikontrolli ja hankintasäännöt muuttuvat usein ja niitä tulkitaan eri tavalla EU:n jäsenvaltioissa. Mitään tässä artikkelissa ei pidä käsitellä oikeudellisena neuvontana mistään erityisestä liiketoimesta. Sitovia ratkaisuja varten ota yhteyttä päteviin hankintaasianajajiin asiaankuuluvassa lainkäyttöalueella. Viittaukset julkisesti saatavilla oleviin standardeihin, säädöksiin ja oikeuskäytäntöihin ovat tarkkoja parhaaksi tietämykseksemme toukokuuta 2026 jälkeen.
Sisällysluettelo
- Miksi tämä kysymys on tärkeä 2026 EU:n hankinnoissa
- Nykyinen EU:n pakotteiden kehys — korkean tason yhteenveto
- Yhdysvaltojen puoli: NDAA §889 ja ICTS-johtajien asetukset
- Suora hankintavaikutus CCTV-suunnitteluohjelmistoihin
- Kuinka ostajat varmistavat ohjelmiston alkuperän
- GDPR kolmannen maan siirron näkökulma
- Miksi CCTVplanner on olemassa — EU-isäntäsivustolla, EU-kehitellyllä
- CCTV-suunnittelun työkalun vaihtaminen
- Sulkeminen vastuunotto
- Usein kysytyt kysymykset
Miksi tämä kysymys on tärkeä 2026 EU:n hankinnoissa
Vuodesta 2022 lähtien EU on hyväksynyt useita peräkkäisiä pakotteiden paketteja Venäjää vastaan sekä rinnakkaisia kehityskulkuja jäsenvaltioiden julkisissa hankinnoissa. Kumulatiivinen vaikutus ohjelmiston hankintoihin on ollut merkittävä: sopimusviraston, jotka eivät aiemmin kysyneet ohjelmiston alkuperästä, sisällyttävät nyt säännöllisesti alkuperän tietovaatimukset vaatimukseltenhoidon vaiheessa, ja tarjoukset, jotka eivät voi osoittaa ei-pakotettua alkuperää, suodatetaan yleisesti pois ennen kaupallista tarkistusta.
CCTV-suunnitteluohjelmisto kuuluu erityiseen riskikategoriaan, koska se tuottaa artefaktit — lattiasuunnitelmat, kameran sijainti, verkkotopologia, BOM — ovat herkkiä sekä turvallisuuden että toiminnallisesta näkökulmasta. Vaikka pakotteiden väline ei nimenomaisesti kata tiettyä CCTV-suunnittelun työkalua, sopimusviraston soveltaa ennaltaehkäisevää kantaa, erityisesti puolustuksen, julkisen hallinnon, kriittisen infrastruktuurin ja suurten terveydenhuollon tai kuljetushankkeiden projekteissa.
Tämä artikkeli on selittävä teksti, jonka toivoimme olevan olemassa, kun integraattorien asiakkaat alkoivat ensimmäisen kerran kysyä ohjelmiston alkuperästä tarjouspyynnön vastauksissa. Se on kuvaavaa, ei määräävää — sen tarkoituksena on esitellä kehykset selkeällä kielellä, jotta CCTV-suunnittelija voi kysyä hankinnan neuvonantajiltaan oikeat kysymykset sen sijaan, että korvaa sen keskustelun.
Nykyinen EU:n pakotteiden kehys — korkean tason yhteenveto
EU:n rajoittavat toimet Venäjää vastaan toteutetaan neuvostosaäntöjen kautta, jotka julkaistaan EU:n virallisessa lehdessä ja päivitetään peräkkäisten muutospakettien kautta. Kehys toimii kolmella laajalla pilarilla, jotka ovat oleellisia ohjelmiston hankinnoissa.
Kolme ohjelmistoon liittyvää pilaria
- Vientikontrolli. Rajoitukset määriteltyjen tavaroiden, palveluiden, teknologian ja ohjelmiston toimittamiselle Venäjälle, joissa on sektorikohtainen keskittyminen kaksiselitteisiin, puolustukseen ja tietyille teollisuuskategorioille.
- Taloudelliset pakotteet. Varojen jäädytys ja kielto varojen tai taloudellisten resurssien saattamisesta käytettävissä luetelluille henkilöille ja yhteisöille. "Omistajuus ja hallinta" -testi on tosiasiahakuinen ja pätee vaikka toimittajaa itseään ei olisi lueteltu, mutta sen omistaa tai sitä johtaa listattu yhteisö.
- Julkisen hankinnan suodattimet. Neuvostosäännön (EU) 833/2014 (muutettuna) säännökset, jotka kieltävät julkisten sopimusten myöntämisen tietyille venäläisille henkilöille ja yhteisöille, joissa jäsenvaltioiden hankintalaki on siirretty ja täydennetty eri tavalla.
EU:n kehyksen lisäksi jäsenvaltiot, kuten Saksa, Ranska, Puola, Pohjoismaat ja Baltian valtiot, ovat ottaneet käyttöön omansa julkiset hankinnat kieltä tiukemmilla kriteereillä. Tuloksena on, että samaa toimittajaa voidaan hyväksyä yhdessä EU:n lainkäyttöalueella ja suodattaa pois toisessa, vaikka mikään väline ei nimenomaisesti nimeä heitä. Hankintatiimit soveltavat siis yleensä tiukinta jäsenvaltioiden kieltä sisäisenä vertailukohtanaan.
Yhdysvaltojen puoli: NDAA §889 ja ICTS-johtajien asetukset
Yhdysvaltojen puolella kahta välinettä lainataan säännöllisesti jopa EU:n hankinnan virkailijat epävirallisina vertailukohtina. NDAA §889 (John S. McCain kansallisen puolustuksen valtuuttamislaki tilivuodelle 2019) kieltää liittovaltionvirastoja ja liittovaltion urakoitsijoita ostamasta tai käyttämästä peitettyjä telekommunikaatio- ja videovalvontavälineistöä tietyiltä nimetyiltä kiinalaisilta valmistajilta. Tietoliikenne- ja viestintäpalvelut (ICTS) johtajat asetukset, pääasiassa toimeenpanoasetusten 13873 ja seuraajat, antavat Yhdysvaltojen kauppaministeriölle laajan valtuuden tarkastella ulkomaita koskevien vastapuolten liiketoimia.
Kumpikaan väline ei päde oikeudellisilta periaatteiltaan tyypilliseen EU:n hankintaan. Niitä käytetään kuitenkin usein hankinnan mallipohjaina. 2026 EU:n sopimusvirasto CCTV-tarjouspyynnön luomisessa vaatii yleensä toimittajaa ilmoittamaan, että heidän ohjelmistonsa, isäntäsivustonsa ja henkilöstönsä eivät olisi suljettujen pois §889-vastaavia sääntöjä noudattaen, vaikka §889 itse olisi merkitön sopimukselle. Toimittajat, jotka eivät voi tehdä tätä ilmoitusta, ovat kilpailussa huonommassa asemassa riippumatta heidän tarjouksensa taustalla olevasta laillisuudesta.
Suora hankintavaikutus CCTV-suunnitteluohjelmistoihin
Alla olevat kategoriat ovat neljä, joissa näemme ohjelmiston alkuperää eniten nousevat frekvenssit 2026 EU:n CCTV-projekteissa.
Julkisen sektorin tarjouspyynnöt
Hallituksen, puolustuksen, terveydenhuollon ja koulutuksen tarjouspyynnöt sisältävät yhä useammin nimenomaiset "ohjelmiston alkuperä" -tietovaatimukset. Laukaisin on yleensä yksi edellä käsitellyistä hankinnan suodattimen säännöksistä, jota sovelletaan kansallisen siirron kautta. Vaikka oikeudellinen kynnys olisi kiistanalainen, käytännön todellisuus on, että tarjoukset, jotka eivät voi osoittaa hyväksyttävää alkuperää, suodatetaan vaatimukseltenhoidon vaiheessa. CCTV-suunnittelijoiden, jotka vastaamaan julkisen sektorin tarjouspyyntöihin 2026, on odotettava tekevän vahvistavia alkuperä-ilmoituksia kaikista suunnitteluprosessissa käytetyistä ohjelmistotyökaluista, ei vain valvontavälineistöstään.
Kriittisen infrastruktuurin sopimukset
Energia-, kuljetus-, pankki- ja vesihuollon hankinta on säännelty NIS2 (direktiivin (EU) 2022/2555) ja overlapping sektorikohtaisen säännösten perusteella. Vaikka NIS2 itsessään on riskiperusteinen eikä alkuperäperusteinen, tuloksena olevat riskiarvioit yleisesti tunnistavat toimitusketjun alkuperän oleellisena tekijänä, ja perushallinnon operaattorit ovat sisällyttäneet sen hankintarunkoihinsa. Ohjelmiston alkuperän todistuksen palkki kriittisen infrastruktuurin projekteissa on merkittävästi korkeampi kuin yleisten kaupallisten hankintojen osalta.
Yksityisen sektorin vaatimustenmukaisuuden auditoinnit
Suuret yritykset omilla ESG-, toimitusketju- tai kyber-riskialan kehyksillä auditoivat säännöllisesti toimittajiaan ja alamme toimittajia. Vaikka mitään erityistä tarjouspyyntöä ei olisi, integraattori, joka käyttää ohjelmistoa, jonka alkuperää ei voida osoittaa, voi löytää itsensä poistetuksi ensisijaisten toimittajien luettelosta vuosittaisen katsauksen aikana. Tämä dynamiikka kiihtyi huomattavasti 2024 ja 2025 yli ja jatkuu 2026:lle.
Rajat ylittävät integraattoripalvelujen sitoutumukset
Integraattoreiden, joilla on toimintaa sekä EU:n että EU:n ulkopuolisissa lainkäyttöalueilla, kohtaa lisäkompleksisuutta, koska hankinnan standardit eroavat. Työkalu, joka on hyväksyttävä yksityisen kaupallisen hankkeen osalta yhdessä lainkäyttöalueella, ei välttämättä läpäise hankinnan suodatinta julkisessa projektissa eri lainkäyttöalueella. Monet integraattorit ovat yksinkertaistaneet tätä standardoimalla EU-alkuperäiseen työkaluun kaikissa hankkeissa, yksinkertaistaen vastauksen kaikkiin tuleviin tarjouspyyntöihin riippumatta siitä, mihin se päätyy.
Kuinka ostajat varmistavat ohjelmiston alkuperän
Alkuperätarkistusta tekevällä hankinnan virkailijalla on melko vakiotoimintosarja. Mikään näistä tarkistuksista yksittäin ei todista alkuperää — ne kokoonpanivat trianguloidun kuvan julkisista tiedoista.
- WHOIS-rekisteri toimittajalle verkkotunnuksella — rekisteröija maa, rekisteröity organisaatio, nimipalvelin ASN.
- Toimittajan tietojen julkistaminen oikeushenkilön nimen, rekisteröintimaan ja verotuotunnuksen osalta — vaatii yleensä vaatimukseltenhoidon vaiheessa.
- Isäntäpalveluntarjoajan tarkistus — pilven alue, jossa SaaS-infrastruktuuri fyysisesti sijaitsee, osoitettu vakuutuksella tai kolmannen osapuolen isäntäsopimuksella.
- Julkisen yrityksen ilmoitukset — hyödyllisessä omistajuuden rekisterit, emoyhtiön rakenne ja kaikki pakotteiden luettelon risteytys.
- Toimitusketjun vakuutus — kirjallinen ilmoitus toimittajalta, joka kuvaa, missä ohjelmisto on kehitetty, isännöity ja tuettu, sekä nimeää kaikki ali-prosessoijat.
Korkeamman riskin hankinnalla (puolustus, kriittinen infrastruktuuri) arviointi voi ulottua lähdekoodi-alkuperään, kolmannen osapuolen turvallisuuden testaukseen ja itsenäiseen oikeudelliseen lausuntoon. Korkeamman tason arvioinnin rajatuotanto on merkittävä ja sopimusviraston tilaa sen vain, kun sopimuksen arvo tai herkkyys perusteltaa.
GDPR kolmannen maan siirron näkökulma
GDPR:n artikkelit 44-49 sääntelevät henkilötietojen siirtoja EU:n ulkopuolisiin maihin. Oletussääntö on, että tällainen siirto on kielletty, elleivät soveltuvia suojaksi: eurooppalainen komission riittävyys, hyväksytty siirtomekanismi, kuten vakiosopimukset asianmukaisilla täydennyksillä, tai vapautus erityisille tilanteille.
Euroopan tuomioistuin Schrems II -tapauksessa (asia C-311/18, 2020) teki selväksi, että vakiosopimuksia on täydennettävä siirron vaikutusarviolla, joka ottaa huomioon kohdemaan lait ja ovatko ne olennaisesti vastaavan suojan tarjoavat. Venäjä ei ole eurooppalaisella komission riittävyysluettelolla, ja vallitseva tulkinta on, että "olennaisesti vastaavan" suojan saavuttaminen siirroille Venäjälle on vaikeaa ottaen huomioon oikeudellisen maiseman. Käytännön seuraus on, että kaikella CCTV-suunnittelun työkalulla, joka siirtää henkilötietoja Venäjän palvelimille tai Venäjän lainkäyttövallan alaisille yhteisöille, on merkittävä siirron vaikutusarvion taakka, jota EU:n isäntäsivustoilla olevilla työkaluilla yksinkertaisesti ei ole.
CCTV-projekteissa tämä on tärkeää, koska suunnittelun työkalut koskettavat henkilötietoja useammin kuin ihmiset ymmärrät — projektimetadata, loppuasiakkaan sivustojen tiedot, tilillä olevia sähköpostiosoitteita, tuen lippujen sisältöä. Ostaja, joka ottaa GDPR:n vakavasti, haluaa vakuutusta siitä, että mitään näistä tiedoista ei lähde EU/EEA:sta tavalla, joka laukaisee luvun V tutkinnon.
Miksi CCTVplanner on olemassa — EU-isäntäsivustolla, EU-kehitellyllä
CCTVplanneria käyttää DEFENSAR, joka on rekisteröity Puolassa, ja frontend on isännöity Puolassa ja backend on EU-alue pilvipalvelun infrastruktuurissa. Tämä on otsikon merkitys "100% Engineered and Hosted in EU" — oikeushenkilö, tekniikka ja isännöinti ovat kaikki Euroopan unionin sisällä. Ydintilit ja projektitiedot tallennetaan EU-palvelimille; pieni joukko ali-prosessoijia (maksut, analytiikka, sähköposti — esim. Stripe, Google, Resend) kuuluu GDPR-siirtosuojauksen piiriin: SCC:t ja EU–USA-tietosuojasopimus, kuten yksityisyydensuojalauseessa nimetään.
Hankintatiimeille tämä kääntyy lyhyeksi, deklaratiiviseksi vastaukseksi edellä kuvattuihin alkuperätietovaatimuksiin. Missään ei ole Venäjän lainkäyttövallan yhteisöä, ohjelmistoa tai ali-prosessoijaa toimitusketjussa. Mikäli ali-prosessori toimii EU:n ulkopuolelta (maksut, analytiikka, sähköposti), siirto kuuluu GDPR luvun V suojauksessa — SCC:t ja EU–USA-tietosuojasopimus — nimetään yksityisyydensuojalauseessa. Ei §889-vastaavaa pois sulkevaa tekijää toimitusketjussa. Integraattorit kaikkialta maailmasta luottivat EU-oletuksella olevan arkkitehtuuriin on yksittäinen ominaisuus, joka tulee useimmiten esille hankinnan keskusteluissa 2026.
EU-asenne yhdessä kappaleessa
- Toimintayksikkö DEFENSAR rekisteröity ja veroasuin Puolassa.
- Frontend isännöidään Puolassa; backend EU-alue pilvipalvelun (eu-west) on.
- Ydintilit ja projektitiedot EU-palvelimilla; ali-prosessoijat (esim. Stripe, Google, Resend) kuuluvat GDPR-siirtosuojauksen piiriin — SCC:t ja EU–USA-tietosuojasopimus.
- GDPR-yhteensopiva oletuksena — ei erillistä siirron vaikutusarviota vaadita EU:n ostajille.
CCTV-suunnittelun työkalun vaihtaminen
Käytännön kysymys, jonka kuulemme integraattoreilta 2026, on: "Olemme tyytyväisiä nykyiseen CCTV-suunnittelun työkaluumme, mutta hankintatiimi on merkinnyt ohjelmiston alkuperä-tietovaatimukset riskiksi. Mitä siirtymä näyttää?" Vastaus on enimmäkseen mekaaninen — vie lattian suunnitelma DXF:ään, tuo se CCTVplanneriin, sijoita kamerajärjestelmä 65 000+ mallin luettelosta, täsmää DORI-kynnys, reitititä kaapeli uudelleen, vie monisivuinen PDF-toimitettava. Olemme kirjoittaneet vaiheittain pelattava opas alla linkitettyyn siirtämisoppaaseen. Mikään näistä vaiheista ei ole erityisen vaikea. Vaikeinta osaa on yleensä päätös tehdä vaihto, ei itse vaihto.
Hankintalähtöisille vaihdoille erityisesti neuvomme olemme dokumento siirtymä kirjallisesti — laukaisin tapahtuma, arvioidut vaihtoehdot, valittu korvike ja päivämäärä olemassa olevan työkalun poistamista työnkulusta. Hankinnan neuvonantajat ja ESG-auditoijat molemmat palkitsevat dokumentoituja päätöksiä, ja kirjoitettu siirtymäloki on tavallinen tuotanto due-diligence-paketeissa.
Sulkeminen vastuunotto
Tämä artikkeli on tosittava tarkistus, joka perustuu julkisesti saatavilla oleviin standardeihin, säädöksiin ja oikeuskäytäntöihin toukokuusta 2026. Se ei ole oikeudellista neuvontaa ja se ei korvaa neuvontoa päteviltä hankinta-asianajajilta omassaan lainkäyttöalueella. Pakotteet, vientikontrolli ja hankintasäännöt kehittyvät usein ja tulkitaan eri tavalla EU:n jäsenvaltioissa. Jokainen konkreettinen hankintapäätös on vahvistettava neuvonantajan kanssa, joka tuntee erityisen sopimusviraston, alan ja lainkäyttövallan.
Mitään tämän artikkelissa ei ole tarkoituksena moitteeksi mihinkään maahan, yritykseen tai toimittajien kategoriaan. Tarkoituksena on kuvailla hankintakehysta siten kuin ostajat kokevat sen 2026:ssa, jotta integraattorit voivat valmistaa tarjouspyynnön vastauksia ja suunnittelun työnkulkuja, jotka selviytyvät vaatimukseltenhoidon vaiheesta.
Usein kysytyt kysymykset
Onko venäläistä alkuperää oleva ohjelmisto kielletty EU:n julkisissa hankinnoissa vuonna 2026?
Ei ole yhtä yleistä EU-sääntöä, joka kieltäisi "kaiken venäläistä alkuperää olevan ohjelmiston". Sen sijaan useat kerrostuneet EU:n välineet, kuten pakotesäädökset, hankintasäännöt, alakohtaiset vientivalvonnat ja jäsenvaltioiden tulkinnat, yhdistyvät niin, että venäläistä alkuperää olevan ohjelmiston hankinta on vaikeaa tai mahdotonta monissa erityistilanteissa (puolustus, julkishallinto, kriittinen infrastruktuuri, rahoituspalvelut). Se, onko juuri sinun hankintasi sallittu, riippuu hankintayksiköstä, toimialasta ja maasta. Kysy aina sitovaa ratkaisua varten yrityksen sisäiseltä juristilta tai ulkopuoliselta hankintaneuvojalta.
Soveltuuko EU:n pakoteviitekehys suunnitteluohjelmistoihin eikä vain laitteisiin?
Pakotevälineet kattavat tyypillisesti "tavarat, palvelut, teknologian ja ohjelmistot", ja ohjelmisto käsitellään omana luokkanaan erillään fyysisestä laitteistosta. Kuuluuko tietty CCTV-suunnittelutyökalu tietyn pakotevälineen piiriin vai ei, on tosiseikoista riippuva oikeudellinen kysymys. Julkisen sektorin kilpailutuksissa on yhä useammin nimenomaisia vaatimuksia "ohjelmiston alkuperän" ilmoittamisesta, ja toimittaja, joka ei pysty osoittamaan alkuperän olevan muu kuin venäläinen, karsitaan yleensä kelpoisuusvaiheessa taustalla olevasta pakoteanalyysistä riippumatta.
Miten GDPR liittyy Venäjällä isännöityyn ohjelmistoon?
GDPR:n artiklat 44-49 säätelevät henkilötietojen siirtoja kolmansiin maihin. Venäjä ei ole Euroopan komission luettelossa maista, joilla on tietosuojan riittävyyttä koskeva päätös, ja vakiosopimuslausekkeet venäläisten henkilötietojen käsittelijöiden kanssa joutuvat lisätarkasteluun Euroopan unionin tuomioistuimen Schrems II -päättelyn nojalla. Käytännössä tämä tarkoittaa, että mikä tahansa CCTV-suunnittelutyökalu, joka siirtää henkilötietoja (projektien metatietoja, tilitietoja, asiakaskohteiden tietoja) palvelimille Venäjällä tai venäläisen lainkäyttövallan alaisille tahoille, kohtaa merkittävän GDPR-siirtovaikutusten arvioinnin taakan, jota EU:ssa isännöidyillä työkaluilla ei ole.
Mikä on NDAA §889 ja koskeeko se Yhdysvaltojen ulkopuolella?
NDAA §889 on Yhdysvaltain liittovaltion hankintasääntö, joka kieltää liittovaltion virastoja ja liittovaltion urakoitsijoita ostamasta tai käyttämästä tietoliikenne- ja videovalvontalaitteita tietyiltä nimetyiltä kiinalaisyrityksiltä. Se on yhdysvaltalainen väline yhdysvaltalaisella soveltamisalalla, mutta siihen viitataan yhä useammin hankintamallina EU:n ja Yhdistyneen kuningaskunnan hankintayksiköissä, jotka päivittävät omia sääntöjään. Hankinnoista vastaavat kysyvät vuonna 2026 rutiininomaisesti toimittajilta, täyttäisivätkö heidän tuotteensa §889:n vaatimukset, vaikka §889 ei oikeudellisesti sovellu sopimukseen.
Millaista käytännön huolellisuustarkastusta hankintatiimi tekee ohjelmiston alkuperästä?
Vakiotarkastuksiin kuuluvat WHOIS-haut toimittajan verkkotunnuksesta, oikeushenkilön nimen ja rekisteröintimaan varmistaminen, isännöintipalveluntarjoajien tarkastelu (missä SaaS-infrastruktuuri fyysisesti toimii), julkisten yritystietojen tarkastus ja kirjallisen toimitusketjuvakuutuksen pyytäminen toimittajalta. Suuremman riskin hankinnoissa (puolustus, kriittinen infrastruktuuri) arviointi voi ulottua lähdekoodin alkuperään, kolmannen osapuolen tunkeutumistestaukseen ja riippumattomaan oikeudelliseen lausuntoon. Mikään tästä ei korvaa hankintajuristin neuvoja, minkä vuoksi tämän artikkelin toistuva suositus on kääntyä sellaisen puoleen.
Aiheeseen liittyvät artikkelit
Rinnakkainen vertailu, joka sisältää tietojen paikallistamisen asenteen.
Vaiheittainen playbook hankintalähtöiselle vaihdolle.
Ilmaiset tason vaihtoehdot, jotka on tarkistettu EU:n alkuperän ja GDPR-asenteen osalta.
Standardien puolen päivitys, joka koskee EU:n hankintakieltä.
EU:n isäntäsivustolla oleva selaimen laskuri, ei asennusta vaadita.
Standardeihin perustuva objektiivin suositus, EU:n isäntäsivustolla.