Software van Russische oorsprong in EU-camerabewakingsprojecten (2026): naleving, sancties en beoordeling van aanbestedingen

Waarom deze vraag van belang is voor EU-aanbestedingen in 2026

Sinds 2022 heeft de EU meerdere opeenvolgende sanctiepakketten tegen Rusland aangenomen, parallel aan veranderingen in de aanbestedingsregels van de lidstaten. Het cumulatieve effect hiervan op de software-aanbesteding is aanzienlijk: aanbestedende instanties die voorheen niet naar de herkomst van software vroegen, nemen nu standaard eisen op in de kwalificatiefase, en biedingen die geen bewijs van niet-gesanctioneerde herkomst kunnen leveren, worden vaak al vóór de commerciële beoordeling afgewezen.

Software voor het ontwerpen van CCTV-systemen valt in een specifieke risicocategorie, omdat de documenten die het produceert – plattegronden, cameraplaatsing, netwerktopologie, BOM – zowel vanuit veiligheids- als operationeel oogpunt gevoelig zijn. Zelfs wanneer een sanctie-instrument een specifiek CCTV-planningsinstrument niet expliciet omvat, hanteren opdrachtgevers doorgaans een voorzorgsbeginsel, met name in de defensie-, overheids-, kritieke infrastructuur- en grote zorg- of transportprojecten.

Dit artikel is de uitleg die we graag hadden gehad toen integratorklanten ons voor het eerst vroegen naar de herkomst van software in offertes. Het is beschrijvend, niet voorschrijvend – het doel is om het kader in begrijpelijke taal uiteen te zetten, zodat een CCTV-ontwerper de juiste vragen aan zijn inkoopadviseur kan stellen, en niet om dat gesprek te vervangen.

Het huidige EU-sanctiekader: een samenvatting op hoog niveau.

De restrictieve maatregelen van de EU tegen Rusland worden geïmplementeerd via verordeningen van de Raad, gepubliceerd in het Officiële Journal van de Europese Unie en bijgewerkt door middel van opeenvolgende wijzigingspakketten. Het kader is gebaseerd op drie brede pijlers die relevant zijn voor de aanbesteding van software.

Naast het EU-brede kader hebben lidstaten zoals Duitsland, Frankrijk, Polen, de Scandinavische landen en de Baltische staten hun eigen aanbestedingsregels met strengere criteria ingevoerd. Het gevolg hiervan is dat dezelfde leverancier in het ene EU-land acceptabel kan zijn en in een ander land kan worden afgewezen, zelfs als deze leverancier in geen enkel instrument expliciet wordt genoemd. Aanbestedingsteams hanteren daarom vaak de strengste regels van de betreffende lidstaat als interne maatstaf.

Amerikaanse zijde: NDAA §889 en uitvoeringsbesluiten inzake ICTS

Aan Amerikaanse zijde worden twee instrumenten, zelfs door EU-aanbestedingsfunctionarissen, routinematig aangehaald als informele referentiepunten. Artikel 889 NDAA (de John S. McCain National Defense Authorization Act voor het fiscale jaar 2019) verbiedt federale instanties en federale contractanten om telecommunicatie- en videobewakingsapparatuur van bepaalde Chinese fabrikanten te kopen of te gebruiken. De uitvoeringsbesluiten inzake informatie- en communicatietechnologie en -diensten (ICTS), met name uitvoeringsbesluit 13873 en opvolgende besluiten, geven het Amerikaanse ministerie van Handel ruime bevoegdheden om transacties met buitenlandse tegenstanders te beoordelen.

Geen van beide instrumenten is wettelijk van toepassing op een typische EU-aanbesteding. Ze worden echter vaak gebruikt als standaardformulering in aanbestedingsdocumenten. Een EU-aanbestedingsautoriteit die een aanbesteding voor CCTV-systemen opstelt, zal doorgaans van de leverancier eisen dat deze verklaart dat zijn software, hosting en personeel niet zouden worden uitgesloten op grond van regels die gelijkwaardig zijn aan §889, zelfs wanneer §889 zelf irrelevant is voor het contract. Leveranciers die deze verklaring niet kunnen afleggen, hebben een concurrentienadeel, ongeacht de onderliggende wettigheid van hun aanbod.

Directe impact van inkoop op CCTV-ontwerpsoftware

De onderstaande categorieën zijn de vier waarin we het vaakst vragen over de oorsprong van software zien opduiken in EU-camerabewakingsprojecten voor 2026.

Hoe kopers de herkomst van software controleren

Een inkoopmedewerker die een herkomstcontrole uitvoert, beschikt over een vrij standaard instrumentarium. Geen van deze controles bewijst op zichzelf de herkomst; ze vormen een beeld aan de hand van verschillende openbare gegevens.

Bij aanbestedingen met een hoger risico (defensie, kritieke infrastructuur) kan de beoordeling worden uitgebreid met onderzoek naar de herkomst van de broncode, beveiligingstests door derden en een onafhankelijk juridisch advies. De meerkosten van een dergelijke beoordeling op hoger niveau zijn niet gering en aanbestedende instanties laten deze doorgaans alleen uitvoeren als de waarde of gevoeligheid van het contract dit rechtvaardigt.

GDPR aspect van gegevensoverdracht naar derde landen

De artikelen 44 tot en met 49 GDPR regelen de overdracht van persoonsgegevens naar landen buiten de Europese Economische Ruimte. De standaardregel is dat een dergelijke overdracht verboden is, tenzij een van de volgende waarborgen van toepassing is: een adequaatheidsbesluit van de Europese Commissie, een goedgekeurd overdrachtsmechanisme zoals standaardcontractbepalingen met passende aanvullende maatregelen, of een uitzondering voor specifieke situaties.

Het Europees Hof van Justitie heeft in de zaak Schrems II (C-311/18, 2020) duidelijk gemaakt dat standaardcontractbepalingen moeten worden aangevuld met een effectbeoordeling van de gegevensoverdracht, waarbij rekening wordt gehouden met de wetgeving van het land van bestemming en of deze een wezenlijk gelijkwaardige bescherming biedt. Rusland staat niet op de adequaatheidslijst van de Europese Commissie en de gangbare opvatting is dat het moeilijk is om een "wezenlijk gelijkwaardige" bescherming te bereiken voor gegevensoverdrachten naar Rusland, gezien het juridische kader aldaar. Het praktische gevolg hiervan is dat elke tool voor het ontwerpen van CCTV-systemen die persoonsgegevens verzendt naar servers in Rusland, of naar entiteiten onder Russisch toezicht, te maken krijgt met een aanzienlijke effectbeoordeling van de gegevensoverdracht, iets wat voor tools die in de EU worden gehost simpelweg niet het geval is.

Voor CCTV-projecten is dit belangrijk omdat ontwerptools vaker persoonsgegevens verwerken dan mensen beseffen – projectmetadata, informatie over de locatie van de eindgebruiker, e-mailadressen van accounts, inhoud van supporttickets. Een opdrachtgever die GDPR serieus neemt, wil er zeker van zijn dat geen van deze gegevens de EU/EER verlaat op een manier die aanleiding geeft tot onderzoek op grond van hoofdstuk V.

Waarom CCTVplanner bestaat — gehost en ontwikkeld door de EU

CCTVplanner wordt beheerd door DEFENSAR, een in Polen geregistreerd bedrijf, met de frontend gehost in Polen en de backend op cloudinfrastructuur in de EU-regio. Dat is de betekenis van de slogan "100% Engineered and Hosted in EU" — de juridische entiteit, de ontwikkeling en de hosting bevinden zich allemaal binnen de Europese Unie. Kernaccount- en projectgegevens worden opgeslagen op EU-servers; een kleine set subverwerkers (betalingen, analytics, e-mail — bijv. Stripe, Google, Resend) valt onder GDPR-waarborgen voor doorgifte: SCCs en het EU–U.S. Data Privacy Framework, zoals benoemd in het privacybeleid.

Voor inkoopteams vertaalt dit zich in een kort, eenduidig antwoord op de hierboven beschreven vragen over de herkomst van gegevens. Er is nergens in het gegevenspad sprake van een subverwerker onder Russisch, Chinees of Amerikaans recht. Er is geen verplichting tot het uitvoeren van een impactbeoordeling van de gegevensoverdracht onder hoofdstuk V GDPR, omdat de gegevens de EU niet verlaten. Er is geen diskwalificatie op grond van artikel 889 van de AVG van toepassing op de toeleveringsketen. De EU-standaardarchitectuur, die door integrators over de hele wereld wordt vertrouwd, is het kenmerk dat in 2026 het vaakst ter sprake komt in inkoopgesprekken.

Uw CCTV-ontwerptool overzetten

Een praktische vraag die we in 2026 vaak horen van installateurs is: "We zijn tevreden met onze huidige tool voor het ontwerpen van CCTV-systemen, maar het inkoopteam heeft de openbaarmaking van de software-oorsprong als een risico aangemerkt. Hoe ziet een overstap eruit?" Het antwoord is grotendeels mechanisch: exporteer de plattegrond naar DXF, importeer deze in CCTVplanner, vervang camera's uit een catalogus met meer dan 65.000 modellen, pas DORI drempelwaarden aan, verleg de bekabeling en exporteer het meerpagina's tellende PDF document. We hebben een stapsgewijze handleiding geschreven in de migratiegids die hieronder is gelinkt. Geen van de stappen is bijzonder moeilijk. Het moeilijkste is over het algemeen de beslissing om over te stappen, niet de overstap zelf.

Voor door inkoop gedreven overstappen adviseren wij specifiek om de overgang schriftelijk vast te leggen: de aanleiding, de geëvalueerde alternatieven, de gekozen vervanging en de datum waarop de bestaande tool uit de workflow wordt verwijderd. Zowel inkoopadviseurs als ESG-auditors waarderen gedocumenteerde beslissingen, en een schriftelijk overgangsverslag is een veelvoorkomend document in due-diligence-dossiers.

Afsluitende disclaimer

Dit artikel is een feitelijke analyse gebaseerd op openbaar beschikbare normen, regelgeving en jurisprudentie zoals die golden in mei 2026. Het is geen juridisch advies en het is geen vervanging voor advies van een gekwalificeerde aanbestedingsjurist in uw rechtsgebied. Sancties, exportcontroles en aanbestedingsregels veranderen regelmatig en worden in de verschillende EU-lidstaten anders geïnterpreteerd. Elke concrete aanbestedingsbeslissing dient te worden bevestigd door een jurist die bekend is met de specifieke aanbestedende instantie, sector en het betreffende rechtsgebied.

Geen enkele uitspraak in dit artikel is bedoeld als een belediging van welk land, bedrijf of categorie leveranciers dan ook. Het doel is om het inkoopkader te beschrijven zoals kopers dat in 2026 ervaren, zodat integrators offertes kunnen voorbereiden en workflows kunnen ontwerpen die de kwalificatiefase doorstaan.

Veelgestelde vragen