Rusijos kilmės programinė įranga ES vaizdo stebėjimo projektuose (2026 m.): atitikties, sankcijų ir viešųjų pirkimų apžvalga
Faktinė, į viešuosius pirkimus orientuota apžvalga, skirta vaizdo stebėjimo sistemų projektuotojams, integratoriams ir ES perkančiosioms organizacijoms, užduodanti tą patį pasikartojantį klausimą 2026 m.: kaip taikomos kilmės, sankcijų ir duomenų saugojimo taisyklės, kai naudojama vaizdo stebėjimo sistemų projektavimo programinė įranga? Šiame straipsnyje apibendrinama viešai prieinama sistema. Tai nėra teisinė konsultacija – kiekvieną konkretų sprendimą dėl pirkimo turėtų patvirtinti kvalifikuotas viešųjų pirkimų patarėjas.
Svarbu: tai faktinė apžvalga, o ne teisinė konsultacija
Sankcijos, eksporto kontrolė ir viešųjų pirkimų taisyklės dažnai keičiasi ir yra skirtingai interpretuojamos skirtingose ES valstybėse narėse. Niekas šiame straipsnyje neturėtų būti laikoma teisine konsultacija dėl konkretaus sandorio. Dėl privalomų sprendimų kreipkitės į kvalifikuotus viešųjų pirkimų specialistus atitinkamoje jurisdikcijoje. Nuorodos į viešai prieinamus standartus, reglamentus ir teismų praktiką yra tikslios, kiek mums žinoma, 2026 m. gegužės mėn. duomenimis.
Turinys
- Kodėl šis klausimas svarbus 2026 m. ES viešuosiuose pirkimuose
- Dabartinė ES sankcijų sistema – aukšto lygio santrauka
- JAV pusė: NDAA §889 ir ICTS vykdomieji įsakymai
- Tiesioginis viešųjų pirkimų poveikis vaizdo stebėjimo sistemų projektavimo programinei įrangai
- Kaip pirkėjai patikrina programinės įrangos kilmę
- GDPR perdavimo trečiosioms šalims aspektas
- Kodėl egzistuoja CCTVplanner – ES talpinama, ES sukurta
- „Perėjimas nuo JVSG “ realybė
- Baigiamasis atsakomybės apribojimas
- Dažnai užduodami klausimai
Kodėl šis klausimas svarbus 2026 m. ES viešuosiuose pirkimuose
Nuo 2022 m. ES priėmė kelis nuoseklius sankcijų paketus, nukreiptus prieš Rusiją, kartu keitė valstybių narių viešųjų pirkimų taisykles. Bendras poveikis programinės įrangos pirkimams buvo didelis: perkančiosios organizacijos, kurios anksčiau neklausė apie programinės įrangos kilmę, dabar įprastai įtraukia kilmės atskleidimo reikalavimus kvalifikacijos etape, o pasiūlymai, kuriuose negalima įrodyti nesankcionuotos kilmės, dažniausiai atmetami prieš komercinę peržiūrą.
Vaizdo stebėjimo sistemų projektavimo programinė įranga patenka į ypatingą rizikos kategoriją, nes jos kuriami artefaktai – aukštų planai, kamerų išdėstymas, tinklo topologija, BOM – yra jautrūs tiek saugumo, tiek eksploatavimo požiūriu. Net tais atvejais, kai sankcijų priemonė iš esmės neapima konkrečios vaizdo stebėjimo sistemų planavimo priemonės, perkančiosios organizacijos linkusios laikytis atsargumo pozicijos, ypač gynybos, viešojo administravimo, ypatingos svarbos infrastruktūros ir didelių sveikatos priežiūros ar transporto projektų srityse.
Šis straipsnis yra aiškinamasis straipsnis, kurio norėjome, kai integratorių klientai pirmą kartą pradėjo mūsų klausinėti apie programinės įrangos kilmę atsakymuose į pasiūlymus. Jis yra aprašomasis, o ne nurodantis – jo tikslas – išdėstyti sistemą aiškia kalba, kad vaizdo stebėjimo sistemų dizaineris galėtų užduoti savo pirkimų konsultantui tinkamus klausimus, o ne pakeisti tą pokalbį.
Dabartinė ES sankcijų sistema – aukšto lygio santrauka
ES ribojančios priemonės Rusijai įgyvendinamos Tarybos reglamentais, skelbiamais Europos Sąjungos oficialiajame leidinyje, ir atnaujinamais vėlesniais pakeitimų paketais. Sistema grindžiama trimis plačiais ramsčiais, susijusiais su programinės įrangos viešaisiais pirkimais.
Trys su programine įranga susiję ramsčiai
- Eksporto kontrolė. Apribojimai tiekti į Rusiją tam tikras prekes, paslaugas, technologijas ir programinę įrangą, daugiausia dėmesio skiriant dvejopo naudojimo, gynybos ir tam tikroms pramonės kategorijoms.
- Finansinės sankcijos. Turto įšaldymas ir draudimas sudaryti sąlygas į sąrašą įtrauktiems asmenims ir subjektams naudotis lėšomis ar ekonominiais ištekliais. „Nuosavybės ir kontrolės“ kriterijus yra susijęs su konkrečiais faktais ir taikomas net tais atvejais, kai pats tiekėjas nėra įtrauktas į sąrašą, bet yra į sąrašą įtraukto subjekto nuosavybė arba kontroliuojamas.
- Viešųjų pirkimų filtrai. Tarybos reglamento (ES) Nr. 833/2014 (su pakeitimais) nuostatos, draudžiančios skirti viešąsias sutartis tam tikriems Rusijos asmenims ir subjektams, skirtingai perkeltos ir papildytos valstybių narių viešųjų pirkimų teisės aktais.
Be ES lygmens sistemos, tokios valstybės narės kaip Vokietija, Prancūzija, Lenkija, Šiaurės ir Baltijos šalys įvedė savo viešųjų pirkimų terminiją su griežtesniais kriterijais. Dėl to tas pats tiekėjas gali būti priimtinas vienoje ES jurisdikcijoje, bet atmestas kitoje, net jei joks dokumentas aiškiai neįvardija jo. Todėl pirkimų komandos linkusios taikyti griežčiausią valstybės narės terminiją kaip savo vidinį atskaitos tašką.
JAV pusė: NDAA §889 ir ICTS vykdomieji įsakymai
JAV pusėje du dokumentai, kuriuos net ES viešųjų pirkimų pareigūnai reguliariai mini kaip neoficialius etalonus, yra minimi. NDAA §889 (Johno S. McCaino nacionalinės gynybos įgaliojimų įstatymas 2019 finansiniams metams) draudžia federalinėms agentūroms ir federaliniams rangovams pirkti ar naudoti draudžiamą telekomunikacijų ir vaizdo stebėjimo įrangą iš tam tikrų įvardytų Kinijos gamintojų. Informacinių ir ryšių technologijų ir paslaugų (IRTS) vykdomieji įsakymai, pirmiausia Vykdomasis įsakymas 13873 ir jį pakeitę įstatymai, suteikia JAV prekybos departamentui plačius įgaliojimus peržiūrėti sandorius, susijusius su užsienio priešininkais.
Nei vienas iš šių dokumentų teisiškai netaikomas tipiškiems ES viešiesiems pirkimams. Tačiau jie dažnai naudojami kaip viešųjų pirkimų šablonai. 2026 m. ES perkančioji organizacija, rengianti vaizdo stebėjimo sistemų konkursą, paprastai reikalauja, kad tiekėjas deklaruotų, jog jo programinė įranga, priegloba ir personalas nebūtų atmesti pagal §889 lygiavertes taisykles, net jei pats §889 nėra susijęs su sutartimi. Tiekėjai, kurie negali pateikti tokio pareiškimo, yra konkurenciniu požiūriu nepalankioje padėtyje, nepaisant jų pasiūlymo teisėtumo.
Tiesioginis viešųjų pirkimų poveikis vaizdo stebėjimo sistemų projektavimo programinei įrangai
Žemiau pateiktose keturiose kategorijose 2026 m. ES vaizdo stebėjimo projektuose dažniausiai kyla klausimų dėl programinės įrangos kilmės.
Viešojo sektoriaus konkursai
Vyriausybės, gynybos, sveikatos priežiūros ir švietimo sektorių konkursuose vis dažniau įtraukiamos aiškios „programinės įrangos kilmės“ atskleidimo sąlygos. Paprastai tai lemia viena iš aukščiau aptartų viešųjų pirkimų filtravimo nuostatų, taikoma perkeliant į nacionalinę teisę. Net ir tais atvejais, kai teisinė riba yra diskutuotina, praktinė realybė yra ta, kad pasiūlymai, kuriuose negalima įrodyti priimtinos kilmės, yra filtruojami kvalifikacijos etape. 2026 m. viešojo sektoriaus konkursuose dalyvaujantys projektuotojai turėtų tikėtis pateikti teigiamas kilmės deklaracijas kiekvienai projektavimo procese naudojamai programinei įrangai, o ne tik pačiai stebėjimo įrangai.
Kritinės infrastruktūros sutartys
Energetikos, transporto, bankininkystės ir vandens tiekimo paslaugų viešuosius pirkimus reglamentuoja NIS2 (Direktyva (ES) 2022/2555) ir sutampančios sektorių taisyklės. Nors pati NIS2 yra pagrįsta rizikos, o ne kilmės duomenimis, atliekant rizikos vertinimus tiekimo grandinės kilmė dažnai nustatoma kaip svarbus veiksnys, ir esminių paslaugų operatoriai tai įtraukė į savo viešųjų pirkimų sistemas. Programinės įrangos kilmės įrodymų riba kritinės infrastruktūros projektuose yra gerokai didesnė nei bendruose komerciniuose viešuosiuose pirkimuose.
Privačių įmonių atitikties auditai
Didelės įmonės, turinčios savo ESG, tiekimo grandinės ar kibernetinės rizikos sistemas, reguliariai atlieka savo tiekėjų ir subtiekėjų auditą. Net jei nėra konkretaus konkurso, integratorius, naudojantis programinę įrangą, kurios kilmės negalima įrodyti, metinės peržiūros metu gali būti pašalintas iš pageidaujamų tiekėjų sąrašo. Ši dinamika pastebimai sustiprėjo 2024 ir 2025 m. ir tęsiasi 2026 m.
Tarpvalstybiniai integratorių įsipareigojimai
Integratoriai, veikiantys tiek ES, tiek ne ES jurisdikcijose, susiduria su papildomais sunkumais dėl skirtingų viešųjų pirkimų standartų. Vienoje jurisdikcijoje privačiam komerciniam projektui priimtina priemonė gali neatitikti viešųjų pirkimų filtro kitoje jurisdikcijoje. Daugelis integratorių tai racionalizavo standartizuodami ES kilmės įrankius visiems projektams, taip supaprastindami atsakymą į bet kokį būsimą konkursą, nepriklausomai nuo to, kur jis pateikiamas.
Kaip pirkėjai patikrina programinės įrangos kilmę
Pirkimų pareigūnas, atliekantis kilmės patikrinimą, turi gana standartinį įrankių rinkinį. Nė vienas iš šių patikrinimų atskirai neįrodo kilmės – jie sudaro trianguliuotą vaizdą iš viešos informacijos.
- WHOIS registras tiekėjo domene – registratoriaus šalis, registruojanti organizacija, vardų serverio ASN.
- Pardavėjo atskleidimas apie juridinio asmens pavadinimą, registracijos šalį ir mokesčių mokėtojo kodą – paprastai reikalaujama kvalifikacijos metu.
- Prieglobos paslaugų teikėjo apžvalga – debesijos regionas, kuriame fiziškai veikia SaaS infrastruktūra, patvirtintas atestatu arba trečiosios šalies prieglobos sutartimi.
- Vieši įmonių dokumentai – naudos gavėjų registrai, patronuojančiosios bendrovės struktūra ir bet kokios nuorodos į sankcijų sąrašus.
- Tiekimo grandinės patvirtinimas – rašytinis tiekėjo pareiškimas, kuriame aprašoma, kur programinė įranga yra sukurta, talpinama ir teikiama parama, ir nurodomi visi subrangovų sąraše esantys duomenys.
Didesnės rizikos viešųjų pirkimų (gynybos, ypatingos svarbos infrastruktūros) atveju vertinimas gali apimti šaltinio kodo kilmę, trečiųjų šalių saugumo testavimą ir nepriklausomą teisinę nuomonę. Aukštesnio lygio vertinimo ribinė kaina nėra nereikšminga, ir perkančiosios organizacijos jį paprastai užsako tik tada, kai tai pateisina sutarties vertė ar jautrumas.
GDPR perdavimo trečiosioms šalims aspektas
GDPR 44–49 straipsniai reglamentuoja asmens duomenų perdavimą į šalis, nepriklausančias Europos ekonominei erdvei. Pagal numatytąją taisyklę toks perdavimas draudžiamas, nebent taikoma viena iš nurodytų apsaugos priemonių: Europos Komisijos sprendimas dėl tinkamumo, patvirtintas perdavimo mechanizmas, pvz., standartinės sutarčių sąlygos su atitinkamomis papildomomis priemonėmis, arba išimtis konkrečioms situacijoms.
Europos Teisingumo Teismas byloje „Schrems II“ (byla C-311/18, 2020 m.) aiškiai nurodė, kad standartinės sutarčių sąlygos turi būti papildytos duomenų perdavimo poveikio vertinimu, kuriame būtų atsižvelgta į paskirties šalies įstatymus ir tai, ar jie suteikia iš esmės lygiavertę apsaugą. Rusija nėra įtraukta į Europos Komisijos tinkamumo sąrašą, ir vyraujanti nuomonė yra ta, kad pasiekti „iš esmės lygiavertę“ duomenų perdavimo į Rusiją apsaugą yra sunku, atsižvelgiant į ten esančią teisinę aplinką. Praktinė pasekmė yra ta, kad bet kuri vaizdo stebėjimo sistemų projektavimo priemonė, perduodanti asmens duomenis į serverius Rusijoje arba Rusijos jurisdikcijai priklausančius subjektus, susiduria su didele duomenų perdavimo poveikio vertinimo našta, kurios ES talpinamoms priemonėms tiesiog nereikia.
Vaizdo stebėjimo sistemų projektams tai svarbu, nes projektavimo įrankiai liečia asmens duomenis dažniau, nei žmonės suvokia – projekto metaduomenis, galutinio kliento svetainės informaciją, paskyros el. pašto adresus, pagalbos užklausų turinį. Pirkėjas, kuris rimtai žiūri į GDPR, norės garantijos, kad nė vienas iš šių duomenų nepalieka ES / EEE ribų taip, kad būtų galima patikrinti pagal V skyrių.
Kodėl egzistuoja CCTVplanner – ES talpinama, ES sukurta
„CCTVplanner“ valdo Lenkijoje registruota „DEFENSAR“, kurios priekinė dalis talpinama Lenkijoje, o galinė – ES regiono debesijos infrastruktūroje. Būtent tai ir reiškia antraštė „100 % sukurta ir talpinama ES“ – juridinis asmuo, inžinerija ir talpinimas yra Europos Sąjungoje, o numatytojoje architektūroje nėra trečiųjų šalių subtvarkytojų.
Pirkimų komandoms tai reiškia trumpą, deklaratyvų atsakymą į aukščiau aprašytus klausimus apie kilmės atskleidimą. Duomenų kelyje nėra jokio Rusijos, Kinijos ar JAV jurisdikcijoje veikiančio subrangovo. Pagal GDPR V skyrių nėra jokios perdavimo poveikio vertinimo naštos, nes duomenys neiškeliauja iš ES. Tiekimo grandinėje nėra jokio §889 lygiaverčio diskvalifikavimo elemento. Integratorių iš viso pasaulio pasitikima ES architektūra pagal numatytuosius nustatymus yra vienintelis bruožas, kuris 2026 m. dažniausiai minimas pirkimų pokalbiuose.
ES pozicija vienoje pastraipoje
- Veiklos subjektas DEFENSAR yra registruotas ir mokesčių rezidentas Lenkijoje.
- Priekinė dalis talpinama Lenkijoje; vidinė dalis – ES regiono debesyje (eu-west).
- Numatytojioje architektūroje nėra trečiųjų šalių duomenų subtvarkytojų.
- Pagal numatytuosius nustatymus suderinta su GDPR – ES pirkėjams nereikia atskiro perdavimo poveikio vertinimo.
„Perėjimas nuo JVSG “ realybė
Praktinis klausimas, kurį girdime iš integratorių 2026 m., yra toks: „Esame patenkinti dabartine CCTV projektavimo priemone, tačiau pirkimų komanda pažymėjo programinės įrangos kilmės atskleidimą kaip riziką. Kaip atrodytų perėjimas?“ Atsakymas dažniausiai yra mechaninis – eksportuoti buto planą į DXF formatą, importuoti jį į CCTVplanner, pakeisti kameras iš daugiau nei 65 000 modelių katalogo, suderinti DORI slenksčius, pakeisti kabelių maršrutą, eksportuoti kelių puslapių PDF failą. Žemiau esančioje nuorodoje pateikiame nuoseklų perkėlimo vadovą. Nė vienas iš žingsnių nėra ypač sunkus. Sunkiausia dalis paprastai yra sprendimas pereiti, o ne pats perėjimas.
Konkrečiai, kalbant apie su pirkimais susijusius perėjimus, patariame perėjimą dokumentuoti raštu – nurodant įvykį, įvertintas alternatyvas, pasirinktą pakaitalą ir datą, kada esamas įrankis pašalinamas iš darbo eigos. Tiek pirkimų patarėjai, tiek ESG auditoriai vertina dokumentais pagrįstus sprendimus, o rašytinis perėjimo žurnalas yra dažnas išsamaus patikrinimo paketų artefaktas.
Baigiamasis atsakomybės apribojimas
Šis straipsnis yra faktinė apžvalga, pagrįsta viešai prieinamais standartais, reglamentais ir teismų praktika nuo 2026 m. gegužės mėn. Tai nėra teisinė konsultacija ir nepakeičia kvalifikuoto viešųjų pirkimų patarėjo jūsų jurisdikcijoje konsultacijos. Sankcijos, eksporto kontrolė ir viešųjų pirkimų taisyklės dažnai keičiasi ir yra skirtingai interpretuojamos skirtingose ES valstybėse narėse. Kiekvienas konkretus sprendimas dėl viešųjų pirkimų turėtų būti patvirtintas patarėjo, susipažinusio su konkrečia perkančiąja organizacija, sektoriumi ir atitinkama jurisdikcija.
Nė vienas šio straipsnio teiginys nėra skirtas menkinti jokios šalies, įmonės ar tiekėjų kategorijos. Tikslas – apibūdinti viešųjų pirkimų sistemą tokią, kokią ją patiria pirkėjai 2026 m., kad integratoriai galėtų parengti pasiūlymų atsakymus ir sukurti darbo eigas, kurios atlaikytų kvalifikacijos etapą.
Dažnai užduodami klausimai
Is software of Russian origin banned from EU public procurement in 2026?
There is no single blanket EU rule that says "all software of Russian origin is banned". Instead, several layered EU instruments — sanctions regulations, public-procurement rules, sectoral export controls and member-state interpretations — combine to make Russian-origin software difficult or impossible to procure in many specific contexts (defence, public administration, critical infrastructure, financial services). Whether your specific procurement is permitted depends on the contracting authority, the sector and the country. Always consult your in-house counsel or external procurement advisor for a binding determination.
Does the EU sanctions framework apply to design software, not just hardware?
Sanctions instruments commonly cover "goods, services, technology and software" — software is treated as a category of its own, separate from physical hardware. Whether a particular CCTV design tool falls inside or outside a specific sanctions instrument is a fact-specific legal question. Public-sector tenders increasingly include explicit "software origin" disclosure requirements, and a vendor unable to evidence non-Russian origin is usually filtered out at the qualification stage regardless of the underlying sanctions analysis.
How does GDPR interact with Russian-hosted software?
GDPR Articles 44 to 49 govern personal-data transfers to third countries. Russia is not on the European Commission's list of countries with an adequacy decision, and standard contractual clauses to Russian processors face additional scrutiny under the Schrems II reasoning of the European Court of Justice. In practice this means that any CCTV design tool that transmits personal data — project metadata, account information, customer-site details — to servers in Russia or to entities under Russian jurisdiction faces a meaningful GDPR transfer-impact assessment burden that EU-hosted tools do not.
What is NDAA §889 and does it apply outside the United States?
NDAA §889 is a US federal procurement rule that prohibits federal agencies and federal contractors from buying or using telecommunications and video-surveillance equipment from certain named Chinese companies. It is a US instrument with US scope, but it is increasingly cited as a procurement template by EU and UK contracting authorities updating their own rules. Procurement officers in 2026 routinely ask vendors whether their products would qualify under §889 even when §889 itself does not legally apply to the contract.
What practical due-diligence does a procurement team perform on software origin?
Standard checks include WHOIS lookups on the vendor domain, verification of the legal entity name and registration country, review of hosting providers (where the SaaS infrastructure physically runs), inspection of public corporate filings, and a request for a written supply-chain attestation from the vendor. For higher-risk procurements (defence, critical infrastructure) the assessment can extend to source-code provenance, third-party penetration testing, and an independent legal opinion. None of this is a substitute for advice from procurement counsel, which is why the recurring recommendation in this article is to consult one.
Susiję straipsniai
Palyginimas greta, įskaitant duomenų saugojimo poziciją.
Žingsnis po žingsnio vadovas, kaip pereiti prie viešųjų pirkimų.
Laisvojo lygio parinktys patikrintos dėl kilmės ES ir atitikties GDPR reikalavimams.
Standartų atnaujinimas, susijęs su ES viešųjų pirkimų terminija.
ES talpinama naršyklės skaičiuoklė, nereikia diegti.
Standartus atitinkančių objektyvų rekomendacijos, talpinamos ES.