Cybersecurity wordt voor Surinaamse bedrijven onderdeel van de commerciële relatie

Sinds 15 augustus 2026 is in Nederland de Cyberbeveiligingswet van kracht, de nationale uitwerking van de Europese NIS2-richtlijn. De wet geldt niet in Suriname, maar een groeiende groep Surinaamse bedrijven krijgt er dit najaar toch mee te maken, via hun Europese klanten.

De wet verplicht Europese organisaties in sectoren als energie, transport, zorg, financiële dienstverlening en digitale infrastructuur om risico’s in hun toeleveringsketen te beheersen. Zij moeten leveranciers beoordelen en afspraken daarover contractueel vastleggen. Voor leveranciers betekent dit in de praktijk onder meer securityvragenlijsten, contractaddenda en verzoeken om aan te tonen welke beveiligingsmaatregelen zijn getroffen.

Voor Surinaamse bedrijven die diensten of producten leveren aan Europese afnemers verschuift informatiebeveiliging daarmee van een intern of lokaal onderwerp naar een onderdeel van de commerciële relatie. Leveranciers die persoonsgegevens verwerken of toegang hebben tot klantsystemen worden daarbij als risicovoller beschouwd en krijgen de

vragen als eerste.

Advertisement

In de praktijk kunnen de meeste organisaties de vragen inhoudelijk beantwoorden, maar hebben zij moeite om dit aan te tonen.

De blinde vlek zit niet in de techniek

Dat de aandacht voor cybersecurity toeneemt, is positief. De manier waarop organisaties ermee omgaan, vormt echter vaker het probleem. Cybersecurity staat inmiddels op vrijwel elke directieagenda, maar wordt nog regelmatig benaderd als een aankoop: software, een firewall of een consultant wordt aangeschaft en daarmee lijkt de zaak afgedaan.

Digitale weerbaarheid steunt op drie pijlers: techniek, mensen en besturing.

Advertisement

Techniek moet daadwerkelijk worden getest. Het gaat niet alleen om de vraag of er een firewall is, maar of die standhoudt wanneer iemand er serieus met kwade bedoelingen tegenaan gaat.

Medewerkers moeten weten

waar zij op moeten letten, omdat veel incidenten beginnen bij een handeling die op dat moment volkomen redelijk lijkt.

Daarnaast is besturing nodig: beleid, duidelijke verantwoordelijkheden en periodieke toetsing om een cultuur van veilig werken te behouden en te voorkomen dat maatregelen verwateren zodra een project is afgerond.

Ontbreekt één van deze drie, dan houdt de rest het niet. Een organisatie met uitstekende techniek en ongetrainde medewerkers is even kwetsbaar als een organisatie die het omgekeerde heeft.

De regio als spiegel

De ransomware-aanval op de belastingdienst van Curaçao trof een organisatie van vergelijkbare schaal als veel Surinaamse instellingen, met vergelijkbare afhankelijkheden en aannames over de eigen weerbaarheid. Dergelijke incidenten zijn zelden het gevolg van een geavanceerde aanval. Vaker gaat het om een combinatie van een verouderd systeem, een medewerker die op het

verkeerde moment op de verkeerde link klikt en het ontbreken van iemand die eindverantwoordelijk is voor het geheel.

Ook diverse Surinaamse organisaties zijn inmiddels slachtoffer geworden van kwaadwillende hackers. Om verschillende redenen maken zij dat niet bekend.

Voor Surinaamse bestuurders is de vraag daarom niet alleen welke software of firewall moet worden aangeschaft. Belangrijker is de vraag: als een afnemer morgen vraagt aan te tonen hoe de informatiebeveiliging is ingericht, wie beantwoordt die vraag en waarmee?

Clear IT Solutions N.V. is actief op het gebied van informatiebeveiliging, ISO-certificering en digitale transformatie. Clear IT werkt samen met OptiSec Cyber Security Trainingen (Woerden, Nederland) en Tozetta Ethical Hacking (Curaçao) en organiseert in het vierde kwartaal van dit jaar drie sessies over dit onderwerp in Paramaribo en online. Twee daarvan zijn kosteloos toegankelijk.

Redactie Chronos