Software di origine russa nei progetti di videosorveglianza dell'UE (2026): revisione in materia di conformità, sanzioni e appalti.

Perché questa domanda è importante negli appalti pubblici dell'UE del 2026

Dal 2022 l'UE ha adottato diversi pacchetti di sanzioni successive contro la Russia, parallelamente a un'evoluzione delle norme sugli appalti pubblici degli Stati membri. L'effetto cumulativo sugli appalti di software è stato sostanziale: le amministrazioni aggiudicatrici che in precedenza non chiedevano informazioni sull'origine del software ora includono sistematicamente requisiti di divulgazione dell'origine nella fase di qualificazione, e le offerte che non possono dimostrare un'origine non soggetta a sanzioni vengono comunemente scartate prima della valutazione commerciale.

Il software di progettazione per sistemi di videosorveglianza rientra in una particolare categoria di rischio poiché gli elementi che produce – planimetrie, posizionamento delle telecamere, topologia di rete, BOM – sono sensibili sia dal punto di vista della sicurezza che da quello operativo. Anche laddove uno strumento sanzionatorio non riguardi esplicitamente un particolare strumento di progettazione per sistemi di videosorveglianza, le autorità appaltanti tendono ad adottare un approccio precauzionale, soprattutto nei settori della difesa, della pubblica amministrazione, delle infrastrutture critiche e dei grandi progetti sanitari o di trasporto.

Questo articolo è la guida esplicativa che avremmo voluto avere a disposizione quando i clienti integratori hanno iniziato a chiederci informazioni sull'origine del software nelle risposte alle gare d'appalto. È descrittivo, non prescrittivo: il suo scopo è quello di illustrare il quadro di riferimento in un linguaggio semplice, in modo che un progettista di sistemi di videosorveglianza possa porre le domande giuste al proprio consulente per gli acquisti, senza sostituirsi a tale colloquio.

Il quadro attuale delle sanzioni dell'UE: sintesi di alto livello

Le misure restrittive dell'UE nei confronti della Russia sono attuate tramite regolamenti del Consiglio pubblicati nella Gazzetta ufficiale dell'Unione europea e aggiornati attraverso successivi pacchetti di emendamenti. Il quadro normativo si articola su tre pilastri principali, rilevanti per gli appalti di software.

Oltre al quadro normativo a livello UE, Stati membri come Germania, Francia, Polonia, i Paesi nordici e gli Stati baltici hanno introdotto proprie normative in materia di appalti pubblici con criteri più rigorosi. Di conseguenza, lo stesso fornitore può essere accettato in una giurisdizione UE e escluso in un'altra, anche in assenza di una specifica indicazione esplicita da parte di alcuno strumento normativo. I team addetti agli appalti tendono quindi ad applicare come riferimento interno la normativa più restrittiva dello Stato membro di riferimento.

Lato statunitense: NDAA §889 e ordini esecutivi ICTS

Sul versante statunitense, due strumenti vengono regolarmente citati, anche dai funzionari addetti agli appalti dell'UE, come parametri di riferimento informali. La sezione 889 NDAA (il John S. McCain National Defense Authorization Act per l'anno fiscale 2019) vieta alle agenzie federali e agli appaltatori federali di acquistare o utilizzare apparecchiature di telecomunicazione e videosorveglianza da determinati produttori cinesi specificati. Gli ordini esecutivi in materia di tecnologie dell'informazione e della comunicazione e servizi (ICTS), principalmente l'ordine esecutivo 13873 e i successivi, conferiscono al Dipartimento del Commercio degli Stati Uniti ampi poteri di controllo sulle transazioni che coinvolgono avversari stranieri.

Nessuno dei due strumenti è applicabile per legge a un tipico appalto UE. Tuttavia, vengono spesso utilizzati come formulazioni standard nei modelli di gara. Un'amministrazione aggiudicatrice dell'UE del 2026, nella redazione di un bando di gara per la videosorveglianza, richiederà comunemente al fornitore di dichiarare che il suo software, l'hosting e il personale non sarebbero esclusi ai sensi delle norme equivalenti all'articolo 889, anche quando l'articolo 889 stesso è irrilevante per il contratto. I fornitori che non sono in grado di rilasciare tale dichiarazione si trovano in una posizione di svantaggio competitivo, a prescindere dalla legittimità della loro offerta.

Impatto diretto degli appalti sul software di progettazione CCTV

Le categorie seguenti rappresentano le quattro aree in cui, nei progetti di videosorveglianza dell'UE del 2026, emergono con maggiore frequenza questioni relative all'origine del software.

Come gli acquirenti verificano l'origine del software

Un responsabile degli acquisti che effettua una verifica dell'origine dispone di una serie di strumenti piuttosto standard. Nessuna di queste verifiche, presa singolarmente, dimostra l'origine: esse contribuiscono a costruire un quadro complessivo a partire da informazioni pubbliche.

Per gli appalti ad alto rischio (difesa, infrastrutture critiche), la valutazione può estendersi alla provenienza del codice sorgente, ai test di sicurezza di terze parti e a un parere legale indipendente. Il costo marginale della valutazione di livello superiore non è trascurabile e le amministrazioni aggiudicatrici in genere la commissionano solo quando il valore o la delicatezza del contratto lo giustificano.

Angolo di trasferimento verso paesi terzi GDPR

Gli articoli da 44 a 49 GDPR disciplinano il trasferimento di dati personali verso paesi al di fuori dello Spazio economico europeo. La regola generale prevede che tale trasferimento sia vietato, a meno che non si applichi una delle garanzie specificate: una decisione di adeguatezza della Commissione europea, un meccanismo di trasferimento approvato, come le clausole contrattuali standard con opportune misure integrative, oppure una deroga per situazioni specifiche.

La Corte di giustizia europea, nella sentenza Schrems II (causa C-311/18, 2020), ha chiarito che le clausole contrattuali standard devono essere integrate da una valutazione d'impatto del trasferimento che tenga conto delle leggi del paese di destinazione e della loro effettiva equivalenza in termini di protezione. La Russia non è inclusa nell'elenco di adeguatezza della Commissione europea e, secondo l'interpretazione prevalente, raggiungere una protezione "sostanzialmente equivalente" per i trasferimenti verso la Russia risulta difficile, dato il quadro giuridico vigente. Di conseguenza, qualsiasi strumento di progettazione di sistemi di videosorveglianza che trasmetta dati personali a server in Russia o a entità soggette alla giurisdizione russa, è soggetto a un onere significativo in termini di valutazione d'impatto del trasferimento, onere che gli strumenti ospitati nell'UE non devono affrontare.

Per i progetti di videosorveglianza, questo aspetto è fondamentale perché gli strumenti di progettazione accedono ai dati personali più spesso di quanto si pensi: metadati del progetto, informazioni sul sito del cliente finale, indirizzi e-mail degli account, contenuto dei ticket di assistenza. Un acquirente che prende sul serio GDPR vorrà la garanzia che nessuno di questi dati esca dall'UE/SEE in un modo che possa far scattare il controllo previsto dal Capitolo V.

Perché esiste CCTVplanner: ospitato nell'UE, sviluppato nell'UE

CCTVplanner è gestito da DEFENSAR, società registrata in Polonia, con il frontend ospitato in Polonia e il backend su un'infrastruttura cloud dell'UE. Questo è il significato dello slogan "100% progettato e ospitato nell'UE": l'entità legale, la progettazione e l'hosting sono tutti all'interno dell'Unione Europea e non sono presenti sub-processori di paesi terzi nell'architettura predefinita.

Per i team addetti agli acquisti, questo si traduce in una risposta breve e dichiarativa alle domande sulla divulgazione dell'origine descritte in precedenza. Non vi è alcun sub-responsabile del trattamento dei dati con giurisdizione russa, cinese o statunitense in nessuna fase del percorso dei dati. Non sussiste alcun onere di valutazione dell'impatto del trasferimento ai sensi del Capitolo V GDPR, poiché i dati non escono dall'UE. Non vi è alcun elemento di esclusione equivalente alla Sezione 889 nella catena di fornitura. Riconosciuta dagli integratori di tutto il mondo, l'architettura "UE per impostazione predefinita" è la caratteristica che emerge più frequentemente nelle conversazioni sugli acquisti nel 2026.

La realtà del "passaggio da JVSG "

Una domanda pratica che ci viene posta dagli integratori nel 2026 è: "Siamo soddisfatti del nostro attuale strumento di progettazione CCTV, ma il team acquisti ha segnalato la divulgazione dell'origine del software come un rischio. Come si svolge la transizione?" La risposta è principalmente di natura tecnica: esportare la planimetria in formato DXF, importarla in CCTVplanner, sostituire le telecamere da un catalogo di oltre 65.000 modelli, adattare le soglie DORI, riorganizzare il cablaggio ed esportare il documento PDF multipagina. Abbiamo redatto una guida dettagliata passo passo nella sezione dedicata alla migrazione, disponibile al link sottostante. Nessuno dei passaggi è particolarmente difficile. La parte più complessa è generalmente la decisione di effettuare il cambiamento, non il cambiamento in sé.

Nello specifico, per i cambiamenti dettati da esigenze di approvvigionamento, consigliamo di documentare la transizione per iscritto: l'evento scatenante, le alternative valutate, il sostituto scelto e la data in cui lo strumento esistente viene dismesso dal flusso di lavoro. Sia i consulenti in materia di approvvigionamento che i revisori ESG apprezzano le decisioni documentate, e un registro scritto della transizione è un documento comune nei pacchetti di due diligence.

Dichiarazione di non responsabilità finale

Questo articolo è un'analisi fattuale basata su standard, regolamenti e giurisprudenza pubblicamente disponibili a maggio 2026. Non costituisce consulenza legale e non sostituisce la consulenza di un avvocato specializzato in appalti pubblici nella vostra giurisdizione. Sanzioni, controlli sulle esportazioni e norme sugli appalti pubblici sono in continua evoluzione e vengono interpretati in modo diverso nei vari Stati membri dell'UE. Ogni decisione concreta in materia di appalti pubblici dovrebbe essere confermata da un legale esperto nell'ente appaltante, nel settore e nella giurisdizione specifici.

Nessuna affermazione contenuta in questo articolo intende denigrare alcun paese, azienda o categoria di fornitore. L'obiettivo è descrivere il quadro degli appalti pubblici così come verrà percepito dagli acquirenti nel 2026, in modo che gli integratori possano preparare le risposte alle offerte e progettare flussi di lavoro che superino la fase di qualificazione.

Domande frequenti