Hoe een OT-cybersecurity- of kritieke-infrastructuurbeveiligingsbedrijf op te zetten in de VAE

Een handelslicentie van de DET of een free zone-autoriteit registreert de commerciële activiteit. Dat zegt op zichzelf niet of het bedrijf iets doet wat de TDRA of de Cyber Security Council als gereguleerd beschouwt. Het mandaat van de TDRA omvat de telecomnetwerken, apparatuur en encryptie van de VAE; een bedrijf dat connectiviteit bouwt, doorverkoopt of exploiteert, of cryptografische apparatuur levert, valt binnen dat mandaat, ongeacht hoe de licentie is geformuleerd. De Cyber Security Council is opgericht om de nationale cybersecuritystrategie van de VAE op te bouwen en voert het Critical Information Infrastructure Protection-beleid uit, dat baseline-beveiligingsverplichtingen vastlegt voor de exploitanten van aangewezen kritieke infrastructuur. Die verplichtingen rusten op de infrastructuurexploitant, maar bereiken de leverancier via het contract: een bank, nutsbedrijf of vervoersexploitant die zelf een aangewezen CII-entiteit is, zal zijn baseline-controles, toegangsregels en meldingsverplichtingen voor incidenten doorgaans doorzetten naar elke OT-beveiligingsleverancier die hij inschakelt.

De praktische vraag voor een oprichter is welke van deze drie instanties hun regels daadwerkelijk raken met het voorgenomen werk, vergelijkbaar met de vraag die een bedrijf voor identiteitsbeveiliging of privileged-access-management moet beantwoorden over zijn eigen toegangsrechten. Een zuiver assessment- of architectuurreviewbedrijf, zonder live toegang en zonder eigen apparatuur, staat het dichtst bij gewone commerciële activiteit. Een bedrijf dat het netwerk van een klant continu monitort, een permanente verbinding op afstand onderhoudt of gateways levert en configureert, komt dichter bij het domein van TDRA en de Council, net zoals een bedrijf voor post-quantumcryptografie of beveiligde communicatie zijn eigen cryptografische werk moet classificeren voordat het zijn licentie kan classificeren.

Noch het werkterrein van TDRA, noch het CIIP-kader van de Council kan worden herleid tot één enkele vergoeding of licentiecategorie die in algemene zin kan worden gepubliceerd. TDRA beslist per geval of een bepaald netwerk, bepaalde apparatuur of een bepaalde versleutelingsactiviteit onder de telecomregelgeving valt; een bedrijf waarvan het aanbod connectiviteit, monitoring met interceptiemogelijkheden of cryptografische hardware omvat, moet die vraag rechtstreeks aan TDRA voorleggen in plaats van een antwoord af te leiden uit de marketing van een concurrent. Het CIIP-beleid van de Cyber Security Council is het instrument dat kritieke activa identificeert, basisbeveiligingseisen vaststelt voor CII-entiteiten en het toezicht- en handhavingsmechanisme daaromheen uitvoert; het is geschreven voor de exploitant van de infrastructuur, zodat de verplichtingen van een leverancier daaronder contractueel van aard zijn en geen afzonderlijke licentie vormen die de leverancier zelf aanvraagt. Verplichtingen op het gebied van gegevensbescherming gelden naast beide: een bedrijf dat persoonlijke of operationele gegevens verwerkt als onderdeel van zijn monitoringdienst moet kunnen aantonen waar die gegevens worden bewaard en wie er toegang toe heeft. Hier worden geen activiteitscode, licentiecategorie of kapitaalbedrag vermeld; die worden getoetst aan het actuele materiaal van TDRA en de Council voordat een entiteitsroute wordt gekozen.

Een bank of een inkoopteam van een onderneming dat een OT-beveiligingsleverancier beoordeelt, controleert niet primair de balans. Er wordt gecontroleerd wie toegang heeft tot de levende besturingssystemen van een klant, onder welke schriftelijke bevoegdheid, en wat er gebeurt wanneer die toegang wordt misbruikt of eenvoudigweg vergeten raakt. Verwacht vragen over de omvang van elke regeling voor toegang op afstand, hoe de toegang in tijd wordt begrensd en ingetrokken, welke logging bestaat, en of het de eigen medewerkers van het bedrijf zijn of een onderaannemer die daadwerkelijk toegang heeft. Een enkele niet-gedocumenteerde overdracht aan een moederbedrijf, gelieerde onderneming of gespecialiseerde partner is doorgaans het eerste wat een gesprek over het openen van een rekening doet vastlopen. Dat bewijs opbouwen vóór het eerste bankgesprek, in plaats van na uitgifte van de licentie, is het verschil dat het werk aan gereedheid voor een zakelijke bankrekening moet overbruggen.

OT- en kritieke-infrastructuurklanten kijken verder dan het aandeelhoudersregister, naar de mensen die daadwerkelijk hun systemen zullen aanraken. Een toezichthouder, bank of klant die het dossier beoordeelt, wil iemand zien die OT-technische competentie kan aantonen, geen algemene IT-beveiligingsachtergrond, voordat enig scan-, monitoring- of wijzigingswerk op een levende industriële omgeving wordt goedgekeurd. Wanneer de eigendomsstructuur van het bedrijf zelf door verschillende holdinglagen, fondsen of familiestructuren loopt, maakt die keten deel uit van hetzelfde dossier dat een klant of bank zal lezen, en de route gereguleerde en complexe eigendomsstructuur is precies voor dat geval gebouwd. Een schriftelijk businessplan met onderliggende documentatie moet op één plek het operationele model, de toegangsgrens en de mensen die deze beheren, vastleggen.

De gemeenschappelijke draad is dezelfde die een connectiviteitsinfrastructuurbedrijf tegenkomt: een geldige handelslicentie wordt verward met de vergunningen, contracten en technische bevoegdheid die daadwerkelijk nodig zijn om in deze sector actief te zijn. De licentie is het eenvoudige deel; de toegangsgrens en de schriftelijke bevoegdheid daarachter zijn dat niet.

Een standaard mainland-handelslicentie voor dit soort adviesactiviteit of technologieactiviteit begint bij AED 14.000, met een free zone-pakket met alleen een licentie dat beschikbaar is vanaf ongeveer AED 5.000 tot 6.000; geen van beide bedragen omvat het technisch personeel, de beveiligde faciliteiten, de testinfrastructuur of de incidentcapaciteit die het operationele model daadwerkelijk nodig heeft. De visumcapaciteit moet overeenkomen met het aantal OT-engineers en operationele medewerkers dat het bedrijf werkelijk van plan is aan te nemen, niet met een fictief personeelsbestand dat bij de oprichting is vastgesteld. Licenties en establishment cards worden jaarlijks verlengd, en een bedrijf dat apparatuur, een monitoringfaciliteit of een beveiligde operatiekamer heeft, moet die verlenging samen met een eventuele huurovereenkomst voor de bedrijfsruimte plannen in plaats van haar als een afzonderlijke gebeurtenis te behandelen. De kosten boven deze bedragen worden in lagen opgebouwd, en de Velarozone-servicevergoeding wordt gespecificeerd in de opdrachtbevestiging in plaats van als kopcijfer te worden gepubliceerd.