Nederlandse cyberwet stelt ook Surinaamse leveranciers voor nieuwe vragen

Het gaat onder meer om organisaties in de energie, zorg, financiële dienstverlening, transport en digitale infrastructuur. Zij kunnen leveranciers vragen welke beveiligingsmaatregelen zijn getroffen, hoe incidenten worden gemeld en wie toegang heeft tot hun systemen of gegevens. Zulke afspraken kunnen ook in contracten worden vastgelegd. Welke eisen een Surinaams bedrijf krijgt, hangen af van de dienst die het levert en de risico’s die de Nederlandse klant daarbij ziet.

Voor een leverancier die klantgegevens verwerkt of toegang heeft tot bedrijfsnetwerken, kan informatiebeveiliging daardoor meewegen bij het verkrijgen of behouden van een opdracht. Het is dan niet genoeg om te zeggen dat er beveiligingssoftware of een firewall aanwezig is. Een afnemer kan ook vragen hoe medewerkers worden getraind, wie verantwoordelijk is voor de beveiliging en hoe maatregelen worden gecontroleerd.

Dat vraagt om aantoonbare afspraken en werkwijzen. Een bedrijf moet bijvoorbeeld kunnen laten zien wie toegang heeft tot gevoelige informatie, hoe systemen worden bijgewerkt en wat er gebeurt wanneer zich een cyberincident voordoet.

Een aanval op de Belastingdienst van Curaçao liet vorig jaar zien hoe een digitaal incident de dienstverlening kan raken. Bij die aanval werd volgens de minister van Financiën ransomware gebruikt. Een deel van de systemen werd offline gehaald; telefonische hulp en dienstverlening aan de balie waren tijdelijk niet beschikbaar. Over de precieze oorzaak van de aanval kan op basis van de beschikbare informatie geen conclusie worden getrokken.

Voor Surinaamse bedrijven met Nederlandse klanten wordt de praktische vraag daarmee steeds concreter: als een klant morgen om bewijs van digitale beveiliging vraagt, welke maatregelen en documenten kunnen zij dan overleggen?