Europese cyberwet raakt Surinaamse bedrijven via Nederlandse klanten

Surinaamse bedrijven die zaken doen met Nederlandse en andere Europese ondernemingen kunnen indirect te maken krijgen met strengere Europese eisen voor cybersecurity. De regels gelden niet rechtstreeks in Suriname, maar Europese organisaties moeten ook de digitale risico’s bij hun leveranciers beoordelen. Daardoor kunnen Surinaamse bedrijven worden gevraagd aan te tonen hoe zij hun systemen, gegevens en bedrijfsprocessen tegen cyberincidenten beschermen.

Aanleiding is de invoering van strengere Europese regels rond digitale weerbaarheid en de beveiliging van toeleveringsketens. Volgens Clear IT Solutions N.V. betekent dit

dat informatiebeveiliging voor Surinaamse ondernemingen die Europese klanten bedienen steeds minder uitsluitend een interne ICT-aangelegenheid is. Het wordt ook een voorwaarde binnen de commerciële relatie tussen klant en leverancier.

In de praktijk kan een Surinaams bedrijf bijvoorbeeld een uitgebreide vragenlijst over informatiebeveiliging ontvangen. Ook kunnen Europese klanten aanvullende beveiligingsvoorwaarden in contracten opnemen of bewijs verlangen dat bepaalde maatregelen daadwerkelijk zijn ingevoerd. Vooral leveranciers die persoonsgegevens van klanten verwerken of toegang hebben tot systemen van hun opdrachtgevers kunnen volgens Clear IT eerder met dergelijke controles worden geconfronteerd.

Daar ligt volgens het IT-bedrijf een belangrijk knelpunt. Veel organisaties zouden vragen over hun beveiliging inhoudelijk wel kunnen beantwoorden, maar moeite hebben om met documentatie en controles aan te tonen dat maatregelen structureel zijn ingevoerd en worden nageleefd.

Dat verschil kan belangrijk worden wanneer een Europese opdrachtgever zijn eigen cyberrisico’s moet beoordelen. Alleen aangeven dat een firewall, antivirusprogramma of andere beveiligingssoftware aanwezig is, hoeft

dan niet voldoende te zijn. Een opdrachtgever kan bijvoorbeeld willen weten hoe beveiligingsmaatregelen worden getest, wie binnen de organisatie verantwoordelijk is en hoe personeel wordt voorbereid op digitale dreigingen. Clear IT waarschuwt daarom voor een benadering waarbij cybersecurity vooral als de aanschaf van technologie wordt gezien.

Volgens het bedrijf moet digitale weerbaarheid tegelijkertijd steunen op techniek, mensen en bestuur. Technische beveiliging moet worden getest, medewerkers moeten risico’s leren herkennen en vanuit het management moeten verantwoordelijkheden, beleid en periodieke controles worden vastgelegd. Het ontbreken van een van die onderdelen kan de effectiviteit van de overige maatregelen ondermijnen.

De ontwikkeling kan ertoe leiden dat cybersecurity voor Surinaamse bedrijven niet alleen een technisch risico vormt, maar ook een zakelijk vraagstuk wordt. Een onderneming die onvoldoende kan aantonen hoe haar informatiebeveiliging is geregeld, kan immers vragen krijgen van een Europese opdrachtgever die zelf verplichtingen heeft rond de beveiliging van zijn leveranciersketen.

Daarmee verschuift volgens Clear IT ook de vraag die bestuurders zichzelf zouden moeten stellen. Niet uitsluitend welke firewall of beveiligingssoftware moet worden aangeschaft, maar vooral wie binnen de onderneming tegenover een klant kan verantwoorden hoe de informatiebeveiliging is ingericht en welk bewijs daarvoor beschikbaar is.

Clear IT wijst daarbij op cyberincidenten in de regio als waarschuwing voor Surinaamse organisaties. Het bedrijf noemt onder meer een ransomware-aanval op de belastingdienst van Curaçao en stelt dat ook Surinaamse organisaties slachtoffer zijn geworden van kwaadwillende hackers. Volgens Clear IT worden dergelijke incidenten in Suriname om verschillende redenen niet altijd openbaar gemaakt. In het aangeleverde stuk worden echter geen namen of concrete gevallen genoemd waarmee die laatste bewering onafhankelijk kan worden gecontroleerd.

Het bedrijf benadrukt verder dat succesvolle cyberaanvallen niet noodzakelijk het gevolg hoeven te zijn van zeer geavanceerde methoden. Een combinatie van verouderde systemen, menselijke fouten en onduidelijke verantwoordelijkheid voor informatiebeveiliging kan volgens de onderneming eveneens grote gevolgen hebben.

Clear IT Solutions, dat zich bezighoudt met informatiebeveiliging, ISO-certificering en digitale transformatie, wil in het vierde kwartaal drie bijeenkomsten over het onderwerp organiseren, zowel in Paramaribo als online. Twee daarvan zouden kosteloos toegankelijk zijn. Het bedrijf werkt daarbij samen met OptiSec Cyber Security Trainingen uit Nederland en Tozetta Ethical Hacking uit Curaçao.

De ontwikkeling rond Europese cybersecurityregels maakt volgens Clear IT vooral duidelijk dat digitale beveiliging voor internationaal opererende Surinaamse bedrijven steeds meer onderdeel wordt van zakendoen. Een Surinaamse leverancier hoeft niet zelf onder dezelfde Europese wetgeving te vallen om toch vragen over zijn beveiliging te krijgen: de eisen kunnen via een Europese klant in de toeleveringsketen bij hem terechtkomen.