Programvara av ryskt ursprung i EU:s kameraövervakningsprojekt (2026): efterlevnad, sanktioner och upphandlingsgenomgång

Varför denna fråga är viktig i EU:s upphandling 2026

Sedan 2022 har EU antagit flera på varandra följande sanktionspaket riktade mot Ryssland, parallellt med utveckling i medlemsstaternas regler för offentlig upphandling. Den samlade effekten på programvaruupphandling har varit betydande: upphandlande myndigheter som tidigare inte frågade om programvarans ursprung inkluderar nu rutinmässigt krav på ursprungsredovisning i kvalificeringsskedet, och anbud som inte kan styrka icke-sanktionerat ursprung sållas vanligtvis bort innan den kommersiella granskningen.

Designprogramvara för kameraövervakning hamnar i en särskild riskkategori eftersom de artefakter den producerar — planritningar, kameraplacering, nätverkstopologi, BOM — är känsliga ur både ett säkerhets- och ett operativt perspektiv. Även när ett sanktionsinstrument inte uttryckligen omfattar ett visst planeringsverktyg för kameraövervakning tenderar upphandlande myndigheter att inta en försiktig hållning, särskilt inom försvar, offentlig förvaltning, kritisk infrastruktur och stora projekt inom vård eller transport.

Den här artikeln är den förklaring vi önskat fanns när integratörskunder först började fråga oss om programvarans ursprung i anbudssvar. Den är beskrivande, inte föreskrivande — dess syfte är att lägga ut ramverket i klarspråk så att en designer inom kameraövervakning kan ställa rätt frågor till sina upphandlingsjurister, inte att ersätta det samtalet.

EU:s nuvarande sanktionsramverk — översiktlig sammanfattning

EU:s restriktiva åtgärder mot Ryssland genomförs genom rådsförordningar som publiceras i Europeiska unionens officiella tidning och uppdateras genom på varandra följande ändringspaket. Ramverket vilar på tre breda pelare som är relevanta för programvaruupphandling.

Utöver ramverket på EU-nivå har medlemsstater som Tyskland, Frankrike, Polen, Norden och de baltiska staterna infört eget upphandlingsspråk med strängare kriterier. Resultatet är att samma leverantör kan vara godtagbar i en EU-jurisdiktion och sållas bort i en annan, även när inget instrument uttryckligen namnger dem. Upphandlingsteam tenderar därför att tillämpa den strängaste medlemsstatens språk som intern måttstock.

Den amerikanska sidan: NDAA §889 och ICTS-presidentorder

På den amerikanska sidan citeras två instrument rutinmässigt även av EU:s upphandlingstjänstemän som informella måttstockar. NDAA §889 (the John S. McCain National Defense Authorization Act for Fiscal Year 2019) förbjuder federala myndigheter och federala leverantörer att köpa eller använda omfattad telekommunikations- och videoövervakningsutrustning från vissa namngivna kinesiska tillverkare. Presidentorderna om informations- och kommunikationsteknik och -tjänster (ICTS), främst Executive Order 13873 och dess efterföljare, ger det amerikanska handelsdepartementet vida befogenheter att granska transaktioner som involverar utländska motståndare.

Inget av instrumenten gäller juridiskt för en typisk EU-upphandling. De används dock ofta som mallspråk i upphandlingar. En upphandlande EU-myndighet som 2026 utformar ett anbud för kameraövervakning kräver vanligtvis att leverantören intygar att dess programvara, hosting och personal inte skulle uteslutas enligt regler motsvarande §889, även när §889 i sig är irrelevant för kontraktet. Leverantörer som inte kan göra det intyget hamnar i konkurrensnackdel oavsett anbudets underliggande laglighet.

Direkt upphandlingspåverkan på designprogramvara för kameraövervakning

Kategorierna nedan är de fyra där vi ser frågor om programvarans ursprung uppstå oftast i EU:s kameraövervakningsprojekt 2026.

Hur köpare verifierar programvarans ursprung

En upphandlingstjänsteman som gör en ursprungskontroll har en ganska standardiserad verktygslåda. Ingen av dessa kontroller bevisar ursprung på egen hand — tillsammans byggs en trianguleringsbild från offentlig information.

För upphandling med högre risk (försvar, kritisk infrastruktur) kan bedömningen utvidgas till källkodens proveniens, säkerhetstest av tredje part och ett oberoende juridiskt utlåtande. Den marginella kostnaden för bedömningen på den högre nivån är inte obetydlig, och upphandlande myndigheter beställer den vanligtvis bara när kontraktets värde eller känslighet motiverar det.

GDPR-vinkeln om överföringar till tredjeland

GDPR artiklarna 44 till 49 reglerar överföringar av personuppgifter till länder utanför Europeiska ekonomiska samarbetsområdet. Huvudregeln är att en sådan överföring är förbjuden om inte någon av de angivna skyddsåtgärderna gäller: ett beslut om adekvat skyddsnivå av Europeiska kommissionen, en godkänd överföringsmekanism såsom standardavtalsklausuler med lämpliga kompletterande åtgärder, eller ett undantag för särskilda situationer.

EU-domstolen gjorde i Schrems II (mål C-311/18, 2020) klart att standardavtalsklausuler måste kompletteras med en konsekvensbedömning av överföringen som tar hänsyn till mottagarlandets lagar och om de ger ett väsentligen likvärdigt skydd. Ryssland finns inte på Europeiska kommissionens lista över länder med adekvat skyddsnivå, och den rådande tolkningen är att det är svårt att uppnå "väsentligen likvärdigt" skydd för överföringar till Ryssland med tanke på det rättsliga landskapet där. Den praktiska följden är att varje designverktyg för kameraövervakning som överför personuppgifter till servrar i Ryssland, eller till enheter under rysk jurisdiktion, möter en betydande börda av konsekvensbedömning av överföringen som EU-värda verktyg helt enkelt inte gör.

För kameraövervakningsprojekt är detta viktigt eftersom designverktyg berör personuppgifter oftare än man tror — projektmetadata, information om slutkundens plats, e-postadresser till konton, innehåll i supportärenden. En köpare som tar GDPR på allvar vill ha en försäkran om att inga av dessa uppgifter lämnar EU/EES på ett sätt som utlöser granskning enligt kapitel V.

Varför CCTVplanner finns — EU-värd, EU-utvecklad

CCTVplanner drivs av DEFENSAR, registrerat i Polen, med frontend hostad i Polen och backend på molninfrastruktur i EU-region. Det är innebörden av rubriken "100 % utvecklad och hostad inom EU" — den juridiska enheten, utvecklingen och hostingen finns allihop inom Europeiska unionen. Kärndata för konton och projekt lagras på EU-servrar; ett litet antal underbiträden (betalningar, analys, e-post — t.ex. Stripe, Google, Resend) omfattas av GDPR:s skyddsåtgärder för överföringar: SCCs och EU–U.S. Data Privacy Framework, som anges i integritetspolicyn.

För upphandlingsteam översätts detta till ett kort, deklarativt svar på de frågor om ursprungsredovisning som beskrivits ovan. Det finns ingen underleverantör under rysk, kinesisk eller amerikansk jurisdiktion någonstans i datavägen. Det finns ingen börda av konsekvensbedömning av överföring enligt GDPR kapitel V eftersom uppgifterna inte lämnar EU. Det finns ingen diskvalificerare motsvarande §889 i leveranskedjan. Den EU-by-default-arkitekturen, som integratörer från hela världen litar på, är den enskilda egenskap som kommer upp oftast i upphandlingssamtal 2026.

Byta CCTV-designverktyg

En praktisk fråga vi hör från integratörer 2026 är: "Vi är nöjda med vårt nuvarande designverktyg för kameraövervakning, men upphandlingsteamet har flaggat redovisning av programvarans ursprung som en risk. Hur ser en övergång ut?" Svaret är mestadels mekaniskt — exportera planritningen till DXF, importera den till CCTVplanner, placera om kamerorna från en katalog med 65 000+ modeller, matcha DORI-trösklarna, dra om kablaget, exportera den flersidiga PDF-leveransen. Vi har skrivit en steg-för-steg-spelbok i migreringsguiden som länkas nedan. Inget av stegen är särskilt svårt. Det svåraste är i regel beslutet att göra bytet, inte själva bytet.

Specifikt för upphandlingsdrivna byten är vårt råd att dokumentera övergången skriftligt — den utlösande händelsen, de alternativ som utvärderats, den valda ersättaren och datumet då det befintliga verktyget tas ur arbetsflödet. Både upphandlingsjurister och ESG-revisorer belönar dokumenterade beslut, och en skriftlig övergångslogg är en vanlig artefakt i due diligence-paket.

Avslutande ansvarsfriskrivning

Den här artikeln är en faktagenomgång baserad på offentligt tillgängliga standarder, regler och rättspraxis per maj 2026. Den är inte juridisk rådgivning och ersätter inte rådgivning från kvalificerade upphandlingsjurister i din jurisdiktion. Sanktioner, exportkontroller och upphandlingsregler utvecklas ofta och tolkas olika i olika EU-medlemsstater. Varje konkret upphandlingsbeslut bör bekräftas med jurister som är insatta i den specifika upphandlande myndigheten, sektorn och jurisdiktionen i fråga.

Inget uttalande i den här artikeln är avsett som nedvärdering av något land, företag eller leverantörskategori. Avsikten är att beskriva upphandlingsramverket så som köpare upplever det 2026, så att integratörer kan förbereda anbudssvar och projekteringsarbetsflöden som klarar kvalificeringsskedet.

Vanliga frågor