Rusijos kilmės programinė įranga ES vaizdo stebėjimo projektuose (2026 m.): atitikties, sankcijų ir viešųjų pirkimų apžvalga
Faktinė, į viešuosius pirkimus orientuota apžvalga, skirta vaizdo stebėjimo sistemų projektuotojams, integratoriams ir ES perkančiosioms organizacijoms, užduodanti tą patį pasikartojantį klausimą 2026 m.: kaip taikomos kilmės, sankcijų ir duomenų saugojimo taisyklės, kai naudojama vaizdo stebėjimo sistemų projektavimo programinė įranga? Šiame straipsnyje apibendrinama viešai prieinama sistema. Tai nėra teisinė konsultacija – kiekvieną konkretų sprendimą dėl pirkimo turėtų patvirtinti kvalifikuotas viešųjų pirkimų patarėjas.
Svarbu: tai faktinė apžvalga, o ne teisinė konsultacija
Sankcijos, eksporto kontrolė ir viešųjų pirkimų taisyklės dažnai keičiasi ir yra skirtingai interpretuojamos skirtingose ES valstybėse narėse. Niekas šiame straipsnyje neturėtų būti laikoma teisine konsultacija dėl konkretaus sandorio. Dėl privalomų sprendimų kreipkitės į kvalifikuotus viešųjų pirkimų specialistus atitinkamoje jurisdikcijoje. Nuorodos į viešai prieinamus standartus, reglamentus ir teismų praktiką yra tikslios, kiek mums žinoma, 2026 m. gegužės mėn. duomenimis.
Turinys
- Kodėl šis klausimas svarbus 2026 m. ES viešuosiuose pirkimuose
- Dabartinė ES sankcijų sistema – aukšto lygio santrauka
- JAV pusė: NDAA §889 ir ICTS vykdomieji įsakymai
- Tiesioginis viešųjų pirkimų poveikis vaizdo stebėjimo sistemų projektavimo programinei įrangai
- Kaip pirkėjai patikrina programinės įrangos kilmę
- GDPR perdavimo trečiosioms šalims aspektas
- Kodėl egzistuoja CCTVplanner – ES talpinama, ES sukurta
- CCTV projektavimo irankio keitimas
- Baigiamasis atsakomybės apribojimas
- Dažnai užduodami klausimai
Kodėl šis klausimas svarbus 2026 m. ES viešuosiuose pirkimuose
Nuo 2022 m. ES priėmė kelis nuoseklius sankcijų paketus, nukreiptus prieš Rusiją, kartu keitė valstybių narių viešųjų pirkimų taisykles. Bendras poveikis programinės įrangos pirkimams buvo didelis: perkančiosios organizacijos, kurios anksčiau neklausė apie programinės įrangos kilmę, dabar įprastai įtraukia kilmės atskleidimo reikalavimus kvalifikacijos etape, o pasiūlymai, kuriuose negalima įrodyti nesankcionuotos kilmės, dažniausiai atmetami prieš komercinę peržiūrą.
Vaizdo stebėjimo sistemų projektavimo programinė įranga patenka į ypatingą rizikos kategoriją, nes jos kuriami artefaktai – aukštų planai, kamerų išdėstymas, tinklo topologija, BOM – yra jautrūs tiek saugumo, tiek eksploatavimo požiūriu. Net tais atvejais, kai sankcijų priemonė iš esmės neapima konkrečios vaizdo stebėjimo sistemų planavimo priemonės, perkančiosios organizacijos linkusios laikytis atsargumo pozicijos, ypač gynybos, viešojo administravimo, ypatingos svarbos infrastruktūros ir didelių sveikatos priežiūros ar transporto projektų srityse.
Šis straipsnis yra aiškinamasis straipsnis, kurio norėjome, kai integratorių klientai pirmą kartą pradėjo mūsų klausinėti apie programinės įrangos kilmę atsakymuose į pasiūlymus. Jis yra aprašomasis, o ne nurodantis – jo tikslas – išdėstyti sistemą aiškia kalba, kad vaizdo stebėjimo sistemų dizaineris galėtų užduoti savo pirkimų konsultantui tinkamus klausimus, o ne pakeisti tą pokalbį.
Dabartinė ES sankcijų sistema – aukšto lygio santrauka
ES ribojančios priemonės Rusijai įgyvendinamos Tarybos reglamentais, skelbiamais Europos Sąjungos oficialiajame leidinyje, ir atnaujinamais vėlesniais pakeitimų paketais. Sistema grindžiama trimis plačiais ramsčiais, susijusiais su programinės įrangos viešaisiais pirkimais.
Trys su programine įranga susiję ramsčiai
- Eksporto kontrolė. Apribojimai tiekti į Rusiją tam tikras prekes, paslaugas, technologijas ir programinę įrangą, daugiausia dėmesio skiriant dvejopo naudojimo, gynybos ir tam tikroms pramonės kategorijoms.
- Finansinės sankcijos. Turto įšaldymas ir draudimas sudaryti sąlygas į sąrašą įtrauktiems asmenims ir subjektams naudotis lėšomis ar ekonominiais ištekliais. „Nuosavybės ir kontrolės“ kriterijus yra susijęs su konkrečiais faktais ir taikomas net tais atvejais, kai pats tiekėjas nėra įtrauktas į sąrašą, bet yra į sąrašą įtraukto subjekto nuosavybė arba kontroliuojamas.
- Viešųjų pirkimų filtrai. Tarybos reglamento (ES) Nr. 833/2014 (su pakeitimais) nuostatos, draudžiančios skirti viešąsias sutartis tam tikriems Rusijos asmenims ir subjektams, skirtingai perkeltos ir papildytos valstybių narių viešųjų pirkimų teisės aktais.
Be ES lygmens sistemos, tokios valstybės narės kaip Vokietija, Prancūzija, Lenkija, Šiaurės ir Baltijos šalys įvedė savo viešųjų pirkimų terminiją su griežtesniais kriterijais. Dėl to tas pats tiekėjas gali būti priimtinas vienoje ES jurisdikcijoje, bet atmestas kitoje, net jei joks dokumentas aiškiai neįvardija jo. Todėl pirkimų komandos linkusios taikyti griežčiausią valstybės narės terminiją kaip savo vidinį atskaitos tašką.
JAV pusė: NDAA §889 ir ICTS vykdomieji įsakymai
JAV pusėje du dokumentai, kuriuos net ES viešųjų pirkimų pareigūnai reguliariai mini kaip neoficialius etalonus, yra minimi. NDAA §889 (Johno S. McCaino nacionalinės gynybos įgaliojimų įstatymas 2019 finansiniams metams) draudžia federalinėms agentūroms ir federaliniams rangovams pirkti ar naudoti draudžiamą telekomunikacijų ir vaizdo stebėjimo įrangą iš tam tikrų įvardytų Kinijos gamintojų. Informacinių ir ryšių technologijų ir paslaugų (IRTS) vykdomieji įsakymai, pirmiausia Vykdomasis įsakymas 13873 ir jį pakeitę įstatymai, suteikia JAV prekybos departamentui plačius įgaliojimus peržiūrėti sandorius, susijusius su užsienio priešininkais.
Nei vienas iš šių dokumentų teisiškai netaikomas tipiškiems ES viešiesiems pirkimams. Tačiau jie dažnai naudojami kaip viešųjų pirkimų šablonai. 2026 m. ES perkančioji organizacija, rengianti vaizdo stebėjimo sistemų konkursą, paprastai reikalauja, kad tiekėjas deklaruotų, jog jo programinė įranga, priegloba ir personalas nebūtų atmesti pagal §889 lygiavertes taisykles, net jei pats §889 nėra susijęs su sutartimi. Tiekėjai, kurie negali pateikti tokio pareiškimo, yra konkurenciniu požiūriu nepalankioje padėtyje, nepaisant jų pasiūlymo teisėtumo.
Tiesioginis viešųjų pirkimų poveikis vaizdo stebėjimo sistemų projektavimo programinei įrangai
Žemiau pateiktose keturiose kategorijose 2026 m. ES vaizdo stebėjimo projektuose dažniausiai kyla klausimų dėl programinės įrangos kilmės.
Viešojo sektoriaus konkursai
Vyriausybės, gynybos, sveikatos priežiūros ir švietimo sektorių konkursuose vis dažniau įtraukiamos aiškios „programinės įrangos kilmės“ atskleidimo sąlygos. Paprastai tai lemia viena iš aukščiau aptartų viešųjų pirkimų filtravimo nuostatų, taikoma perkeliant į nacionalinę teisę. Net ir tais atvejais, kai teisinė riba yra diskutuotina, praktinė realybė yra ta, kad pasiūlymai, kuriuose negalima įrodyti priimtinos kilmės, yra filtruojami kvalifikacijos etape. 2026 m. viešojo sektoriaus konkursuose dalyvaujantys projektuotojai turėtų tikėtis pateikti teigiamas kilmės deklaracijas kiekvienai projektavimo procese naudojamai programinei įrangai, o ne tik pačiai stebėjimo įrangai.
Kritinės infrastruktūros sutartys
Energetikos, transporto, bankininkystės ir vandens tiekimo paslaugų viešuosius pirkimus reglamentuoja NIS2 (Direktyva (ES) 2022/2555) ir sutampančios sektorių taisyklės. Nors pati NIS2 yra pagrįsta rizikos, o ne kilmės duomenimis, atliekant rizikos vertinimus tiekimo grandinės kilmė dažnai nustatoma kaip svarbus veiksnys, ir esminių paslaugų operatoriai tai įtraukė į savo viešųjų pirkimų sistemas. Programinės įrangos kilmės įrodymų riba kritinės infrastruktūros projektuose yra gerokai didesnė nei bendruose komerciniuose viešuosiuose pirkimuose.
Privačių įmonių atitikties auditai
Didelės įmonės, turinčios savo ESG, tiekimo grandinės ar kibernetinės rizikos sistemas, reguliariai atlieka savo tiekėjų ir subtiekėjų auditą. Net jei nėra konkretaus konkurso, integratorius, naudojantis programinę įrangą, kurios kilmės negalima įrodyti, metinės peržiūros metu gali būti pašalintas iš pageidaujamų tiekėjų sąrašo. Ši dinamika pastebimai sustiprėjo 2024 ir 2025 m. ir tęsiasi 2026 m.
Tarpvalstybiniai integratorių įsipareigojimai
Integratoriai, veikiantys tiek ES, tiek ne ES jurisdikcijose, susiduria su papildomais sunkumais dėl skirtingų viešųjų pirkimų standartų. Vienoje jurisdikcijoje privačiam komerciniam projektui priimtina priemonė gali neatitikti viešųjų pirkimų filtro kitoje jurisdikcijoje. Daugelis integratorių tai racionalizavo standartizuodami ES kilmės įrankius visiems projektams, taip supaprastindami atsakymą į bet kokį būsimą konkursą, nepriklausomai nuo to, kur jis pateikiamas.
Kaip pirkėjai patikrina programinės įrangos kilmę
Pirkimų pareigūnas, atliekantis kilmės patikrinimą, turi gana standartinį įrankių rinkinį. Nė vienas iš šių patikrinimų atskirai neįrodo kilmės – jie sudaro trianguliuotą vaizdą iš viešos informacijos.
- WHOIS registras tiekėjo domene – registratoriaus šalis, registruojanti organizacija, vardų serverio ASN.
- Pardavėjo atskleidimas apie juridinio asmens pavadinimą, registracijos šalį ir mokesčių mokėtojo kodą – paprastai reikalaujama kvalifikacijos metu.
- Prieglobos paslaugų teikėjo apžvalga – debesijos regionas, kuriame fiziškai veikia SaaS infrastruktūra, patvirtintas atestatu arba trečiosios šalies prieglobos sutartimi.
- Vieši įmonių dokumentai – naudos gavėjų registrai, patronuojančiosios bendrovės struktūra ir bet kokios nuorodos į sankcijų sąrašus.
- Tiekimo grandinės patvirtinimas – rašytinis tiekėjo pareiškimas, kuriame aprašoma, kur programinė įranga yra sukurta, talpinama ir teikiama parama, ir nurodomi visi subrangovų sąraše esantys duomenys.
Didesnės rizikos viešųjų pirkimų (gynybos, ypatingos svarbos infrastruktūros) atveju vertinimas gali apimti šaltinio kodo kilmę, trečiųjų šalių saugumo testavimą ir nepriklausomą teisinę nuomonę. Aukštesnio lygio vertinimo ribinė kaina nėra nereikšminga, ir perkančiosios organizacijos jį paprastai užsako tik tada, kai tai pateisina sutarties vertė ar jautrumas.
GDPR perdavimo trečiosioms šalims aspektas
GDPR 44–49 straipsniai reglamentuoja asmens duomenų perdavimą į šalis, nepriklausančias Europos ekonominei erdvei. Pagal numatytąją taisyklę toks perdavimas draudžiamas, nebent taikoma viena iš nurodytų apsaugos priemonių: Europos Komisijos sprendimas dėl tinkamumo, patvirtintas perdavimo mechanizmas, pvz., standartinės sutarčių sąlygos su atitinkamomis papildomomis priemonėmis, arba išimtis konkrečioms situacijoms.
Europos Teisingumo Teismas byloje „Schrems II“ (byla C-311/18, 2020 m.) aiškiai nurodė, kad standartinės sutarčių sąlygos turi būti papildytos duomenų perdavimo poveikio vertinimu, kuriame būtų atsižvelgta į paskirties šalies įstatymus ir tai, ar jie suteikia iš esmės lygiavertę apsaugą. Rusija nėra įtraukta į Europos Komisijos tinkamumo sąrašą, ir vyraujanti nuomonė yra ta, kad pasiekti „iš esmės lygiavertę“ duomenų perdavimo į Rusiją apsaugą yra sunku, atsižvelgiant į ten esančią teisinę aplinką. Praktinė pasekmė yra ta, kad bet kuri vaizdo stebėjimo sistemų projektavimo priemonė, perduodanti asmens duomenis į serverius Rusijoje arba Rusijos jurisdikcijai priklausančius subjektus, susiduria su didele duomenų perdavimo poveikio vertinimo našta, kurios ES talpinamoms priemonėms tiesiog nereikia.
Vaizdo stebėjimo sistemų projektams tai svarbu, nes projektavimo įrankiai liečia asmens duomenis dažniau, nei žmonės suvokia – projekto metaduomenis, galutinio kliento svetainės informaciją, paskyros el. pašto adresus, pagalbos užklausų turinį. Pirkėjas, kuris rimtai žiūri į GDPR, norės garantijos, kad nė vienas iš šių duomenų nepalieka ES / EEE ribų taip, kad būtų galima patikrinti pagal V skyrių.
Kodėl egzistuoja CCTVplanner – ES talpinama, ES sukurta
„CCTVplanner“ valdo Lenkijoje registruota „DEFENSAR“, kurios priekinė dalis talpinama Lenkijoje, o galinė – ES regiono debesijos infrastruktūroje. Būtent tai ir reiškia antraštė „100 % sukurta ir talpinama ES“ – juridinis asmuo, inžinerija ir talpinimas yra Europos Sąjungoje. Pagrindiniai paskyros ir projektų duomenys saugomi ES serveriuose; nedideliam skaičiui subtvarkytojų (mokėjimai, analitika, el. paštas – pvz., Stripe, Google, Resend) taikomos GDPR duomenų perdavimo apsaugos priemonės: SCCs ir EU–U.S. Data Privacy Framework, kaip nurodyta privatumo politikoje.
Pirkimų komandoms tai reiškia trumpą, deklaratyvų atsakymą į aukščiau aprašytus klausimus apie kilmės atskleidimą. Duomenų kelyje nėra jokio Rusijos, Kinijos ar JAV jurisdikcijoje veikiančio subrangovo. Pagal GDPR V skyrių nėra jokios perdavimo poveikio vertinimo naštos, nes duomenys neiškeliauja iš ES. Tiekimo grandinėje nėra jokio §889 lygiaverčio diskvalifikavimo elemento. Integratorių iš viso pasaulio pasitikima ES architektūra pagal numatytuosius nustatymus yra vienintelis bruožas, kuris 2026 m. dažniausiai minimas pirkimų pokalbiuose.
ES pozicija vienoje pastraipoje
- Veiklos subjektas DEFENSAR yra registruotas ir mokesčių rezidentas Lenkijoje.
- Priekinė dalis talpinama Lenkijoje; vidinė dalis – ES regiono debesyje (eu-west).
- Pagrindiniai paskyros ir projektų duomenys ES serveriuose; subtvarkytojams (pvz., Stripe, Google, Resend) taikomos GDPR duomenų perdavimo apsaugos priemonės — SCCs ir EU–U.S. Data Privacy Framework.
- Pagal numatytuosius nustatymus suderinta su GDPR – ES pirkėjams nereikia atskiro perdavimo poveikio vertinimo.
CCTV projektavimo irankio keitimas
Praktinis klausimas, kurį girdime iš integratorių 2026 m., yra toks: „Esame patenkinti dabartine CCTV projektavimo priemone, tačiau pirkimų komanda pažymėjo programinės įrangos kilmės atskleidimą kaip riziką. Kaip atrodytų perėjimas?“ Atsakymas dažniausiai yra mechaninis – eksportuoti buto planą į DXF formatą, importuoti jį į CCTVplanner, pakeisti kameras iš daugiau nei 65 000 modelių katalogo, suderinti DORI slenksčius, pakeisti kabelių maršrutą, eksportuoti kelių puslapių PDF failą. Žemiau esančioje nuorodoje pateikiame nuoseklų perkėlimo vadovą. Nė vienas iš žingsnių nėra ypač sunkus. Sunkiausia dalis paprastai yra sprendimas pereiti, o ne pats perėjimas.
Konkrečiai, kalbant apie su pirkimais susijusius perėjimus, patariame perėjimą dokumentuoti raštu – nurodant įvykį, įvertintas alternatyvas, pasirinktą pakaitalą ir datą, kada esamas įrankis pašalinamas iš darbo eigos. Tiek pirkimų patarėjai, tiek ESG auditoriai vertina dokumentais pagrįstus sprendimus, o rašytinis perėjimo žurnalas yra dažnas išsamaus patikrinimo paketų artefaktas.
Baigiamasis atsakomybės apribojimas
Šis straipsnis yra faktinė apžvalga, pagrįsta viešai prieinamais standartais, reglamentais ir teismų praktika nuo 2026 m. gegužės mėn. Tai nėra teisinė konsultacija ir nepakeičia kvalifikuoto viešųjų pirkimų patarėjo jūsų jurisdikcijoje konsultacijos. Sankcijos, eksporto kontrolė ir viešųjų pirkimų taisyklės dažnai keičiasi ir yra skirtingai interpretuojamos skirtingose ES valstybėse narėse. Kiekvienas konkretus sprendimas dėl viešųjų pirkimų turėtų būti patvirtintas patarėjo, susipažinusio su konkrečia perkančiąja organizacija, sektoriumi ir atitinkama jurisdikcija.
Nė vienas šio straipsnio teiginys nėra skirtas menkinti jokios šalies, įmonės ar tiekėjų kategorijos. Tikslas – apibūdinti viešųjų pirkimų sistemą tokią, kokią ją patiria pirkėjai 2026 m., kad integratoriai galėtų parengti pasiūlymų atsakymus ir sukurti darbo eigas, kurios atlaikytų kvalifikacijos etapą.
Dažnai užduodami klausimai
Ar rusiškos kilmės programinė įranga 2026 m. draudžiama ES viešuosiuose pirkimuose?
Nėra vienos bendros ES taisyklės, pagal kurią "visa rusiškos kilmės programinė įranga yra uždrausta". Vietoj to keli sluoksniuoti ES instrumentai, tokie kaip sankcijų reglamentai, viešųjų pirkimų taisyklės, sektoriniai eksporto kontrolės reikalavimai ir valstybių narių aiškinimai, kartu daro rusiškos kilmės programinės įrangos įsigijimą sudėtingą arba neįmanomą daugelyje konkrečių kontekstų (gynyba, viešasis administravimas, kritinė infrastruktūra, finansinės paslaugos). Ar jūsų konkretus pirkimas leidžiamas, priklauso nuo perkančiosios organizacijos, sektoriaus ir šalies. Dėl privalomo sprendimo visada konsultuokitės su savo vidaus teisininku ar išoriniu pirkimų patarėju.
Ar ES sankcijų sistema taikoma ir projektavimo programinei įrangai, o ne tik techninei įrangai?
Sankcijų instrumentai paprastai apima "prekes, paslaugas, technologijas ir programinę įrangą", o programinė įranga laikoma atskira kategorija, atskirta nuo fizinės techninės įrangos. Ar konkretus CCTV projektavimo įrankis patenka į konkretų sankcijų instrumentą, ar ne, yra nuo faktų priklausantis teisinis klausimas. Viešojo sektoriaus konkursuose vis dažniau pateikiami aiškūs reikalavimai atskleisti "programinės įrangos kilmę", o tiekėjas, kuris negali įrodyti nerusiškos kilmės, paprastai pašalinamas kvalifikacijos etape nepaisant esminės sankcijų analizės.
Kaip GDPR sąveikauja su Rusijoje talpinama programine įranga?
GDPR 44-49 straipsniai reglamentuoja asmens duomenų perdavimą į trečiąsias šalis. Rusija nėra Europos Komisijos sąraše šalių, kurioms priimtas sprendimas dėl tinkamumo, o standartinės sutarčių sąlygos su Rusijos duomenų tvarkytojais susiduria su papildoma patikra pagal Europos Sąjungos Teisingumo Teismo Schrems II argumentaciją. Praktiškai tai reiškia, kad bet kuris CCTV projektavimo įrankis, perduodantis asmens duomenis (projektų metaduomenis, paskyros informaciją, klientų objektų duomenis) į serverius Rusijoje ar Rusijos jurisdikcijai priklausantiems subjektams, susiduria su didele GDPR perdavimo poveikio vertinimo našta, kurios neturi ES talpinami įrankiai.
Kas yra NDAA §889 ir ar jis taikomas už Jungtinių Valstijų ribų?
NDAA §889 yra JAV federalinė viešųjų pirkimų taisyklė, draudžianti federalinėms agentūroms ir federaliniams rangovams pirkti ar naudoti telekomunikacijų ir vaizdo stebėjimo įrangą iš tam tikrų įvardytų Kinijos bendrovių. Tai JAV instrumentas su JAV taikymo sritimi, tačiau vis dažniau cituojamas kaip pirkimų šablonas ES ir Jungtinės Karalystės perkančiųjų organizacijų, atnaujinančių savo taisykles. 2026 m. pirkimų specialistai įprastai klausia tiekėjų, ar jų produktai atitiktų §889, net kai §889 teisiškai sutarčiai netaikomas.
Kokį praktinį išsamų patikrinimą dėl programinės įrangos kilmės atlieka pirkimų komanda?
Standartiniai patikrinimai apima WHOIS užklausas tiekėjo domenui, juridinio asmens pavadinimo ir registracijos šalies patikrinimą, talpinimo paslaugų teikėjų peržiūrą (kur fiziškai veikia SaaS infrastruktūra), viešų įmonių įrašų peržiūrą ir rašytinio tiekimo grandinės patvirtinimo prašymą tiekėjui. Didesnės rizikos pirkimams (gynyba, kritinė infrastruktūra) vertinimas gali apimti šaltinio kodo kilmę, trečiosios šalies skverbties testavimą ir nepriklausomą teisinę nuomonę. Nė vienas iš šių veiksmų nepakeičia viešųjų pirkimų teisininko patarimo, todėl šiame straipsnyje pasikartojanti rekomendacija yra konsultuotis su tokiu.
Susiję straipsniai
Palyginimas greta, įskaitant duomenų saugojimo poziciją.
Žingsnis po žingsnio vadovas, kaip pereiti prie viešųjų pirkimų.
Laisvojo lygio parinktys patikrintos dėl kilmės ES ir atitikties GDPR reikalavimams.
Standartų atnaujinimas, susijęs su ES viešųjų pirkimų terminija.
ES talpinama naršyklės skaičiuoklė, nereikia diegti.
Standartus atitinkančių objektyvų rekomendacijos, talpinamos ES.