Oprogramowanie rosyjskiego pochodzenia w projektach monitoringu CCTV w UE (2026): przegląd zgodności, sankcji i zamówień publicznych
Rzeczowy, skoncentrowany na zamówieniach przegląd dla projektantów CCTV, integratorów i unijnych instytucji zamawiających, stawiający to samo powtarzające się pytanie w 2026 roku: jak mają się do tego przepisy dotyczące pochodzenia, sankcji i rezydencji danych w przypadku oprogramowania do projektowania CCTV? Niniejszy artykuł podsumowuje publicznie dostępne ramy. Nie stanowi on porady prawnej — każda konkretna decyzja w sprawie zamówienia powinna zostać potwierdzona przez wykwalifikowanego prawnika specjalizującego się w zamówieniach publicznych.
Ważne: jest to recenzja oparta na faktach, a nie porada prawna
Sankcje, kontrola eksportu i przepisy dotyczące zamówień publicznych często się zmieniają i są interpretowane odmiennie w poszczególnych państwach członkowskich UE. Żadnej informacji zawartej w niniejszym artykule nie należy traktować jako porady prawnej dotyczącej konkretnej transakcji. W celu uzyskania wiążących ustaleń należy skonsultować się z wykwalifikowanym prawnikiem ds. zamówień publicznych w odpowiedniej jurysdykcji. Odniesienia do publicznie dostępnych norm, przepisów i orzecznictwa są aktualne według naszej najlepszej wiedzy na maj 2026 r.
Spis treści
- Dlaczego to pytanie jest ważne w kontekście zamówień publicznych UE w 2026 r.
- Aktualne ramy sankcji UE — podsumowanie na wysokim szczeblu
- Strona amerykańska: NDAA §889 i zarządzenia wykonawcze ICTS
- Bezpośredni wpływ zamówień na oprogramowanie do projektowania monitoringu CCTV
- Jak kupujący weryfikują pochodzenie oprogramowania
- Kąt przekazywania danych do państwa trzeciego GDPR
- Dlaczego istnieje CCTVplanner — hostowany i opracowany w UE
- Zmiana narzędzia do projektowania CCTV
- Zastrzeżenie końcowe
- Często zadawane pytania
Dlaczego to pytanie jest ważne w kontekście zamówień publicznych UE w 2026 r.
Od 2022 roku UE przyjęła wiele kolejnych pakietów sankcji wymierzonych w Rosję, a jednocześnie wprowadziła zmiany w przepisach dotyczących zamówień publicznych w państwach członkowskich. Kumulatywny wpływ na zamówienia publiczne na oprogramowanie był znaczący: instytucje zamawiające, które wcześniej nie pytały o pochodzenie oprogramowania, teraz rutynowo uwzględniają wymogi dotyczące ujawniania pochodzenia na etapie kwalifikacji, a oferty, które nie mogą udowodnić pochodzenia nieobjętego sankcjami, są często odrzucane przed oceną komercyjną.
Oprogramowanie do projektowania systemów CCTV należy do szczególnej kategorii ryzyka, ponieważ generowane przez nie artefakty – plany pięter, rozmieszczenie kamer, topologia sieci, zestawienie BOM – są wrażliwe zarówno z punktu widzenia bezpieczeństwa, jak i operacyjnego. Nawet jeśli instrument sankcji nie obejmuje na pierwszy rzut oka konkretnego narzędzia do planowania monitoringu CCTV, zamawiający zazwyczaj stosują zasadę ostrożności, zwłaszcza w sektorze obronności, administracji publicznej, infrastruktury krytycznej oraz dużych projektów z zakresu opieki zdrowotnej lub transportu.
Ten artykuł to wyjaśnienie, o którym marzyliśmy, gdy klienci integratorzy zaczęli pytać nas o pochodzenie oprogramowania w odpowiedziach na oferty. Ma charakter opisowy, a nie normatywny — jego celem jest przedstawienie ram w prostym języku, aby projektant CCTV mógł zadać swojemu doradcy ds. zamówień właściwe pytania, a nie zastępowanie tej rozmowy.
Aktualne ramy sankcji UE — podsumowanie na wysokim szczeblu
Unijne środki ograniczające wobec Rosji są wdrażane za pomocą rozporządzeń Rady publikowanych w Dzienniku Urzędowym Unii Europejskiej i aktualizowanych kolejnymi pakietami zmian. Ramy te opierają się na trzech głównych filarach istotnych dla zamówień publicznych na oprogramowanie.
Trzy filary istotne dla oprogramowania
- Kontrola eksportu. Ograniczenia w dostarczaniu do Rosji określonych towarów, usług, technologii i oprogramowania, ze szczególnym uwzględnieniem sektora podwójnego zastosowania, obronności i niektórych kategorii przemysłowych.
- Sankcje finansowe. Zamrożenie aktywów i zakazy udostępniania funduszy lub zasobów gospodarczych osobom i podmiotom wymienionym w wykazie. Kryterium „własności i kontroli” jest uzależnione od konkretnych faktów i ma zastosowanie nawet w przypadku, gdy dostawca sam nie jest wymieniony w wykazie, ale jest własnością lub jest kontrolowany przez podmiot wymieniony w wykazie.
- Filtry zamówień publicznych. Przepisy rozporządzenia Rady (UE) nr 833/2014 (w brzmieniu zmienionym), które zakazują udzielania zamówień publicznych niektórym osobom i podmiotom rosyjskim, zostały transponowane i uzupełnione do prawa zamówień publicznych państw członkowskich na różne sposoby.
Oprócz ram obowiązujących na szczeblu UE, państwa członkowskie, takie jak Niemcy, Francja, Polska, kraje nordyckie i bałtyckie, wprowadziły własne przepisy dotyczące zamówień publicznych, oparte na bardziej rygorystycznych kryteriach. W rezultacie ten sam dostawca może być akceptowalny w jednej jurysdykcji UE, a odfiltrowany w innej, nawet jeśli żaden instrument go wyraźnie nie wymienia. Dlatego zespoły ds. zamówień publicznych zazwyczaj stosują jako wewnętrzny punkt odniesienia najsurowsze przepisy obowiązujące w danym państwie członkowskim.
Strona amerykańska: NDAA §889 i zarządzenia wykonawcze ICTS
Po stronie USA, dwa instrumenty są rutynowo cytowane, nawet przez unijnych urzędników ds. zamówień publicznych, jako nieformalne punkty odniesienia. NDAA §889 (Ustawa o autoryzacji obrony narodowej im. Johna S. McCaina na rok fiskalny 2019) zabrania agencjom federalnym i kontrahentom federalnym kupowania lub używania objętego ochroną sprzętu telekomunikacyjnego i monitoringu wideo od niektórych, wymienionych chińskich producentów. Rozporządzenia wykonawcze dotyczące technologii informacyjno-komunikacyjnych i usług (ICTS), głównie rozporządzenie wykonawcze nr 13873 i jego następcy, przyznają Departamentowi Handlu USA szerokie uprawnienia do weryfikacji transakcji z udziałem zagranicznych przeciwników.
Żaden z tych instrumentów nie ma zastosowania prawnego do typowego zamówienia publicznego w UE. Są one jednak często używane jako szablony zamówień publicznych. Instytucja zamawiająca UE z 2026 r. sporządzająca ofertę na monitoring wizyjny zazwyczaj wymaga od dostawcy oświadczenia, że jego oprogramowanie, hosting i personel nie będą wykluczone na podstawie przepisów równoważnych z § 889, nawet jeśli sam § 889 nie ma znaczenia dla umowy. Dostawcy, którzy nie mogą złożyć takiego oświadczenia, znajdują się w niekorzystnej sytuacji konkurencyjnej, niezależnie od legalności ich oferty.
Bezpośredni wpływ zamówień na oprogramowanie do projektowania monitoringu CCTV
Przedstawione poniżej kategorie to cztery, w przypadku których najczęściej pojawiają się pytania dotyczące pochodzenia oprogramowania w projektach monitoringu CCTV w UE w 2026 r.
Przetargi w sektorze publicznym
Przetargi w sektorze rządowym, obronnym, opieki zdrowotnej i edukacji coraz częściej zawierają wyraźne klauzule ujawniające „pochodzenie oprogramowania”. Zazwyczaj jest to jeden z przepisów dotyczących filtrowania zamówień publicznych, omówionych powyżej, wdrażanych w drodze transpozycji do prawa krajowego. Nawet jeśli próg prawny jest dyskusyjny, w praktyce oferty, które nie są w stanie udowodnić akceptowalnego pochodzenia, są odrzucane na etapie kwalifikacji. Projektanci odpowiadający na przetargi w sektorze publicznym w 2026 roku powinni spodziewać się konieczności składania oświadczeń o pochodzeniu dla każdego narzędzia programowego używanego w procesie projektowania, nie tylko dla samego sprzętu monitorującego.
Umowy dotyczące infrastruktury krytycznej
Zamówienia publiczne w sektorze energetycznym, transportowym, bankowym i wodociągowym podlegają przepisom NIS2 (Dyrektywa (UE) 2022/2555) oraz nakładającym się przepisom sektorowym. Chociaż sama NIS2 opiera się na ryzyku, a nie na pochodzeniu, wynikające z niej oceny ryzyka często wskazują pochodzenie łańcucha dostaw jako istotny czynnik, a operatorzy usług kluczowych uwzględnili to w swoich systemach zamówień publicznych. Wymagania dotyczące dowodów pochodzenia oprogramowania w projektach infrastruktury krytycznej są znacznie wyższe niż w przypadku ogólnych zamówień komercyjnych.
Audyty zgodności w przedsiębiorstwach prywatnych
Duże przedsiębiorstwa z własnymi systemami ESG, łańcucha dostaw lub cyberryzyka rutynowo audytują swoich dostawców i poddostawców. Nawet jeśli nie ma konkretnego przetargu, integrator korzystający z oprogramowania, którego pochodzenia nie można udowodnić, może zostać usunięty z listy preferowanych dostawców podczas corocznego przeglądu. Dynamika ta wyraźnie przyspieszyła w latach 2024 i 2025 i utrzymała się do 2026 roku.
Zaangażowanie integratorów transgranicznych
Integratorzy działający zarówno w jurysdykcjach UE, jak i poza nią, napotykają na dodatkowe trudności, ponieważ standardy zamówień publicznych różnią się. Narzędzie akceptowane w prywatnym projekcie komercyjnym w jednej jurysdykcji może nie przejść przez filtr zamówień publicznych w innej jurysdykcji. Wielu integratorów rozwiązało ten problem, standaryzując narzędzia pochodzące z UE dla wszystkich projektów, co upraszcza proces udzielania odpowiedzi na przyszłe przetargi, niezależnie od ich miejsca przeznaczenia.
Jak kupujący weryfikują pochodzenie oprogramowania
Specjalista ds. zamówień publicznych przeprowadzający weryfikację pochodzenia dysponuje dość standardowym zestawem narzędzi. Żadna z tych kontroli nie udowadnia pochodzenia indywidualnie – tworzą one obraz triangulacyjny na podstawie informacji publicznych.
- Rejestr WHOIS dla domeny sprzedawcy — kraj rejestratora, organizacja rejestrującego, numer ASN serwera nazw.
- Ujawnienie przez sprzedawcę nazwy prawnej podmiotu, kraju rejestracji i numeru identyfikacji podatkowej — zwykle wymagane w ramach kwalifikacji.
- Recenzja dostawcy hostingu — region chmury, w którym fizycznie działa infrastruktura SaaS, potwierdzony atestem lub umową o hostingu z podmiotem zewnętrznym.
- Publiczne dokumenty korporacyjne — rejestry rzeczywistych właścicieli, struktura spółki dominującej i wszelkie odniesienia do list sankcji.
- Poświadczenie łańcucha dostaw — pisemne oświadczenie dostawcy opisujące miejsce, w którym oprogramowanie jest projektowane, hostowane i obsługiwane, a także wymieniające nazwy wszystkich podprocesorów.
W przypadku zamówień o podwyższonym ryzyku (obronność, infrastruktura krytyczna) ocena może obejmować pochodzenie kodu źródłowego, testy bezpieczeństwa przeprowadzone przez podmioty zewnętrzne oraz niezależną opinię prawną. Koszt krańcowy oceny wyższego poziomu nie jest niewielki, a zamawiający zazwyczaj zlecają ją tylko wtedy, gdy uzasadnia to wartość lub wrażliwość kontraktu.
Kąt przekazywania danych do państwa trzeciego GDPR
Artykuły 44–49 GDPR regulują przekazywanie danych osobowych do krajów spoza Europejskiego Obszaru Gospodarczego. Zgodnie z domyślną zasadą takie przekazywanie jest zabronione, chyba że ma zastosowanie jedno z określonych zabezpieczeń: decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony, zatwierdzony mechanizm przekazywania, taki jak standardowe klauzule umowne z odpowiednimi środkami uzupełniającymi, lub derogacja w określonych sytuacjach.
Europejski Trybunał Sprawiedliwości w sprawie Schrems II (sprawa C-311/18, 2020 r.) jasno stwierdził, że standardowe klauzule umowne muszą zostać uzupełnione o ocenę wpływu na transfer danych, uwzględniającą prawo kraju docelowego oraz to, czy zapewniają one zasadniczo równoważną ochronę. Rosja nie znajduje się na liście adekwatności Komisji Europejskiej, a przeważa interpretacja, że osiągnięcie „zasadniczo równoważnej” ochrony w przypadku transferów do Rosji jest trudne, biorąc pod uwagę tamtejszy stan prawny. Praktyczną konsekwencją tego jest to, że każde narzędzie do projektowania systemów monitoringu wizyjnego, które przesyła dane osobowe na serwery w Rosji lub do podmiotów podlegających rosyjskiej jurysdykcji, stoi w obliczu istotnego obciążenia związanego z oceną wpływu na transfer danych, którego narzędzia hostowane w UE po prostu nie mają.
W przypadku projektów CCTV ma to znaczenie, ponieważ narzędzia projektowe mają kontakt z danymi osobowymi częściej, niż ludzie zdają sobie z tego sprawę – metadanymi projektu, informacjami o lokalizacji klienta końcowego, adresami e-mail kont, treścią zgłoszeń pomocy technicznej. Klient, który poważnie traktuje GDPR, będzie chciał mieć pewność, że żadne z tych danych nie opuszczają UE/EOG w sposób, który uzasadniałby kontrolę na podstawie Rozdziału V.
Dlaczego istnieje CCTVplanner — hostowany i opracowany w UE
CCTVplanner jest obsługiwany przez firmę DEFENSAR, zarejestrowaną w Polsce, z front-endem hostowanym w Polsce i back-endem w infrastrukturze chmurowej w regionie UE. Właśnie to oznacza hasło „100% inżynierii i hostingu w UE” — podmiot prawny, inżynieria i hosting znajdują się w Unii Europejskiej. Podstawowe dane konta i projektów przechowywane są na serwerach w UE; niewielki zestaw podprocesorów (płatności, analityka, poczta — np. Stripe, Google, Resend) objęty jest zabezpieczeniami transferu danych zgodnymi z GDPR: standardowymi klauzulami umownymi (SCC) oraz EU–U.S. Data Privacy Framework, wskazanymi w polityce prywatności.
Dla zespołów ds. zakupów oznacza to krótką, deklaratywną odpowiedź na pytania dotyczące ujawnienia pochodzenia opisane powyżej. Na ścieżce danych nie ma żadnego podprocesora z jurysdykcji rosyjskiej, chińskiej ani amerykańskiej. Nie ma obciążenia związanego z oceną wpływu transferu danych na mocy rozdziału V GDPR, ponieważ dane nie opuszczają UE. W łańcuchu dostaw nie ma dyskwalifikowalności równoważnej z § 889. Architektura UE, ciesząca się zaufaniem integratorów z całego świata, to jedyna cecha najczęściej pojawiająca się w rozmowach dotyczących zakupów w 2026 roku.
Postawa UE w jednym akapicie
- Podmiot operacyjny DEFENSAR zarejestrowany i będący rezydentem podatkowym w Polsce.
- Frontend hostowany w Polsce; backend w chmurze regionu UE (EU-west).
- Podstawowe dane konta i projektów na serwerach w UE; podprocesorzy (np. Stripe, Google, Resend) objęci zabezpieczeniami transferu danych zgodnymi z GDPR — standardowymi klauzulami umownymi (SCC) oraz EU–U.S. Data Privacy Framework.
- Domyślnie zgodne z GDPR — nie jest wymagana oddzielna ocena wpływu transferu danych w przypadku kupujących z UE.
Zmiana narzędzia do projektowania CCTV
Praktyczne pytanie, które słyszymy od integratorów w 2026 roku, brzmi: „Jesteśmy zadowoleni z naszego obecnego narzędzia do projektowania CCTV, ale zespół ds. zaopatrzenia zgłosił ujawnienie pochodzenia oprogramowania jako ryzyko. Jak wygląda taka migracja?”. Odpowiedź jest głównie mechaniczna — wyeksportowanie planu piętra do pliku DXF, zaimportowanie go do CCTVplanner, wymiana kamer z katalogu ponad 65 000 modeli, dopasowanie progów DORI, zmiana trasy okablowania, wyeksportowanie wielostronicowego PDF. W poniższym przewodniku migracji zamieściliśmy szczegółowy opis. Żaden z kroków nie jest szczególnie trudny. Najtrudniejsza jest zazwyczaj decyzja o przejściu, a nie samo przejście.
W przypadku zmian wynikających z procesu zakupów, zalecamy udokumentowanie przejścia na piśmie – zdarzenia inicjującego, ocenionych alternatyw, wybranego zamiennika oraz daty wycofania istniejącego narzędzia z procesu. Zarówno doradcy ds. zakupów, jak i audytorzy ESG nagradzają udokumentowane decyzje, a pisemny dziennik przejścia jest powszechnym artefaktem w pakietach due diligence.
Zastrzeżenie końcowe
Niniejszy artykuł stanowi przegląd faktów oparty na publicznie dostępnych normach, przepisach i orzecznictwie z maja 2026 r. Nie stanowi porady prawnej ani nie zastępuje porady wykwalifikowanego doradcy ds. zamówień publicznych w Państwa jurysdykcji. Sankcje, kontrola eksportu i przepisy dotyczące zamówień publicznych często się zmieniają i są interpretowane odmiennie w poszczególnych państwach członkowskich UE. Każda konkretna decyzja dotycząca zamówienia publicznego powinna zostać potwierdzona przez doradcę prawnego znającego specyfikę konkretnego podmiotu zamawiającego, sektora i jurysdykcji.
Żadne stwierdzenie zawarte w niniejszym artykule nie ma na celu zdyskredytowania żadnego kraju, firmy ani kategorii dostawców. Celem jest opisanie ram zaopatrzenia, z jakimi nabywcy będą się z nimi mierzyć w 2026 roku, aby integratorzy mogli przygotowywać odpowiedzi na oferty i projektować przepływy pracy, które przetrwają etap kwalifikacji.
Często zadawane pytania
Czy oprogramowanie rosyjskiego pochodzenia jest w 2026 roku zakazane w unijnych zamówieniach publicznych?
Nie ma jednej ogólnej unijnej reguły, która mówiłaby, że „całe oprogramowanie rosyjskiego pochodzenia jest zakazane”. Zamiast tego kilka nakładających się instrumentów UE (rozporządzenia sankcyjne, przepisy o zamówieniach publicznych, sektorowe kontrole eksportu i interpretacje państw członkowskich) sprawia, że zakup rosyjskiego oprogramowania jest w wielu konkretnych kontekstach trudny lub niemożliwy (obronność, administracja publiczna, infrastruktura krytyczna, usługi finansowe). To, czy dane zamówienie jest dopuszczalne, zależy od zamawiającego, sektora i kraju. Aby uzyskać wiążące rozstrzygnięcie, zawsze skonsultuj się z własnym radcą prawnym lub zewnętrznym doradcą ds. zamówień.
Czy unijne ramy sankcji dotyczą oprogramowania projektowego, a nie tylko sprzętu?
Instrumenty sankcyjne często obejmują „towary, usługi, technologię i oprogramowanie”: oprogramowanie jest traktowane jako odrębna kategoria, osobna od fizycznego sprzętu. To, czy konkretne narzędzie do projektowania CCTV podlega danemu instrumentowi sankcyjnemu, jest kwestią prawną zależną od stanu faktycznego. Przetargi sektora publicznego coraz częściej zawierają wyraźne wymogi ujawnienia „pochodzenia oprogramowania”, a dostawca, który nie potrafi wykazać nierosyjskiego pochodzenia, jest zwykle odrzucany na etapie kwalifikacji, niezależnie od analizy sankcyjnej.
Jak RODO odnosi się do oprogramowania hostowanego w Rosji?
Artykuły 44-49 RODO regulują przekazywanie danych osobowych do państw trzecich. Rosji nie ma na liście państw objętych decyzją o odpowiednim stopniu ochrony Komisji Europejskiej, a standardowe klauzule umowne z rosyjskimi podmiotami przetwarzającymi podlegają dodatkowej kontroli według rozumowania Trybunału Sprawiedliwości UE w sprawie Schrems II. W praktyce oznacza to, że każde narzędzie do projektowania CCTV, które przesyła dane osobowe (metadane projektów, informacje o koncie, dane lokalizacji klienta) na serwery w Rosji lub do podmiotów podlegających rosyjskiej jurysdykcji, ponosi znaczący ciężar oceny skutków transferu zgodnie z RODO, którego nie mają narzędzia hostowane w UE.
Czym jest NDAA §889 i czy obowiązuje poza Stanami Zjednoczonymi?
NDAA §889 to amerykański federalny przepis zamówieniowy, który zabrania agencjom federalnym i wykonawcom federalnym kupowania oraz używania sprzętu telekomunikacyjnego i do nadzoru wizyjnego od niektórych wymienionych z nazwy chińskich firm. To instrument amerykański o zasięgu amerykańskim, ale coraz częściej cytuje się go jako wzór zamówieniowy w UE i Wielkiej Brytanii, gdy zamawiający aktualizują własne zasady. Specjaliści ds. zamówień w 2026 roku rutynowo pytają dostawców, czy ich produkty spełniałyby warunki §889, nawet gdy sam §889 prawnie nie ma zastosowania do umowy.
Jaką praktyczną należytą staranność dotyczącą pochodzenia oprogramowania wykonuje zespół zakupowy?
Standardowe kontrole obejmują zapytania WHOIS o domenę dostawcy, weryfikację nazwy podmiotu prawnego i kraju rejestracji, przegląd dostawców hostingu (gdzie fizycznie działa infrastruktura SaaS), analizę publicznych dokumentów rejestrowych firmy oraz prośbę o pisemne oświadczenie dostawcy o łańcuchu dostaw. W zamówieniach o wyższym ryzyku (obronność, infrastruktura krytyczna) ocena może sięgać do pochodzenia kodu źródłowego, testów penetracyjnych przez stronę trzecią i niezależnej opinii prawnej. Nic z tego nie zastępuje porady radcy prawnego ds. zamówień, dlatego powtarzającym się zaleceniem w tym artykule jest skonsultowanie się z takim radcą.
Powiązane artykuły
Porównanie bezpośrednie, uwzględniające postawę dotyczącą rezydencji danych.
Podręcznik krok po kroku dotyczący przejścia na model oparty na zamówieniach publicznych.
Opcje bezpłatne sprawdzone pod kątem pochodzenia z UE i zgodności GDPR.
Aktualizacja przepisów dotyczących zamówień publicznych w UE.
Kalkulator przeglądarkowy hostowany na platformie UE, nie wymaga instalacji.
Zalecenia dotyczące obiektywów zgodne ze standardami, hostowane w UE.