Gisteren sprak ik met Jasmijn Huisman van Trouw over het cyberincident bij Albert Heijn. Het artikel staat sinds gisteravond online en vandaag in de krant. Ik vond het een prettig gesprek en ben blij dat ik in de landelijke media kan uitleggen wat digitale veiligheid in de praktijk betekent. Want als je boodschappen niet worden bezorgd, merk je ineens hoe afhankelijk we van die systemen zijn.
Heel eerlijk: dit is geen stuk dat je even tussen twee vergaderingen door wegleest. Reken op een minuut of vijftien. Pak dus eerst een kop koffie of thee, ga er even goed voor zitten en lees rustig door.
We spraken bijna veertig minuten. Daarvan past natuurlijk maar een deel in een krantenartikel. Daarom wil ik hier verder ingaan op een vraag die in ons gesprek aan bod kwam: valt een supermarkt eigenlijk vanzelf onder de Cyberbeveiligingswet?
Het ligt voor de hand om dat te denken. We moeten tenslotte allemaal boodschappen kunnen doen. Maar alleen levensmiddelen verkopen aan consumenten maakt een bedrijf naar mijn mening niet automatisch Cbw-plichtig. Bij Albert Heijn moet je dus kijken naar de afzonderlijke bedrijven achter het merk en naar wat die bedrijven doen. [3] [5]
Respect voor de mensen bij AH
Voordat ik op de wet inga, wil ik iets herhalen wat ik ook tegen Jasmijn zei: ik heb heel veel respect voor de mensen die daar nu bezig zijn. De medewerkers die de systemen onderzoeken en herstellen, de bevoorrading weer op gang brengen en in de winkels vragen van klanten beantwoorden, hebben een moeilijke klus.
Zij hebben de ruimte nodig om hun werk zorgvuldig te doen. Ik ken de interne situatie bij AH niet en kan van buitenaf niet beoordelen welke technische keuzes nodig waren. Dat een bedrijf door een cyberincident wordt geraakt, bewijst op zichzelf niet dat het zijn beveiliging heeft verwaarloosd.
Onderaan dit artikel staat de stand van zaken volgens AH, met de datum en het tijdstip van die update.
Welke bedrijven zitten er achter het merk?
De Cyberbeveiligingswet, meestal afgekort tot Cbw, geldt sinds 15 augustus 2026. Nederland geeft met deze wet uitvoering aan de Europese NIS2-richtlijn. [2]
Of een organisatie eronder valt, beoordeel je per entiteit, bijvoorbeeld per bv. Daarbij tellen de activiteiten en de omvang van die onderneming, maar ook eventuele bijzondere regels of een aanwijzing. Veel organisaties vallen automatisch onder de wet zodra ze aan de criteria voldoen. Ze moeten dat zelf beoordelen. [3]
Die omvang bepaal je niet altijd door alleen de medewerkers van één bv te tellen. Ook gegevens van moeder-, dochter- en partnerondernemingen kunnen meetellen. De wettelijke rekenregels en de onderlinge verhoudingen bepalen hoe dat gebeurt. [4]
Voor levensmiddelen richt de wet zich op groothandel en industriële productie en verwerking. In de toelichting op de sectorregeling is verkoop of levering aan de eindverbruiker uitgezonderd. Denk aan de consument die boodschappen koopt. Levert een onderneming aan een ander levensmiddelenbedrijf dat de producten doorverkoopt of verwerkt, dan geldt die uitzondering niet. Ook dan moet je nog nagaan of aan de overige criteria is voldaan. [5]
Met alleen de naam Albert Heijn zijn we er dus niet. Achter een supermarktmerk kunnen meerdere bedrijven met verschillende activiteiten zitten. Ook het woord ‘distributiecentrum’ vertelt ons niet welke onderneming juridisch verantwoordelijk is: een gebouw is geen afzonderlijk bedrijf en opslag is niet zonder meer groothandel.
Het antwoord op de vraag of iedere supermarkt er onder valt is daarom: niet vanzelf. Een onderneming die alleen supermarkten voor consumenten exploiteert, valt niet op grond van die verkoop onder deze voedselcategorie van de Cbw. Voor andere activiteiten binnen hetzelfde concern kan de beoordeling anders uitvallen. [3] [5]
In de openbare bronnen die ik heb geraadpleegd, vond ik geen volledige, bevestigde beoordeling van alle betrokken AH-bedrijven. Ik kan dus niet vaststellen dat heel AH onder de wet valt, of dat het concern erbuiten valt. Voor de klant is het één merk. Achter dat merk moet wel duidelijk zijn welk bedrijf waarvoor verantwoordelijk is.
Verschillende bedrijven, hetzelfde netwerk
Bedrijven kunnen juridisch los van elkaar staan en toch dezelfde computersystemen gebruiken. Dat maakt de afbakening van de wet ook voor de IT-afdeling van belang.
Het Nationaal Cyber Security Centrum (NCSC) legt dit uit in zijn handreiking voor complexe bedrijfsmodellen. Delen meerdere bedrijven één IT-netwerk en valt één daarvan onder de Cbw, dan moet volgens die handreiking het hele gedeelde netwerk aan de beveiligingseisen voldoen. Bij afzonderlijke netwerken geldt dat alleen voor de netwerken van de bedrijven die onder de wet vallen. De wettelijke verplichtingen blijven bij de Cbw-plichtige bedrijven liggen; de andere bedrijven worden door het delen van een netwerk niet vanzelf Cbw-plichtig. [6]
Hoe het netwerk bij AH is ingericht, weet ik niet. Dit is de algemene uitleg van het NCSC.
Voor een bestuur betekent het dat een overzicht van de bv’s alleen niet genoeg is. Je moet ook weten wie de gezamenlijke systemen beheert, welke bedrijven dezelfde inlogvoorzieningen gebruiken en wat er uitvalt als zo’n voorziening niet meer werkt.
Herstel moet je oefenen
Bedrijven die onder de Cbw vallen, moeten zich voorbereiden op uitval. Het Cyberbeveiligingsbesluit verplicht hen onder meer tot een bedrijfscontinuïteitsplan, een herstelplan en een crisisplan. Die plannen moeten op schrift staan en periodiek worden getest; het crisisplan moet ook worden geoefend. Daarin leg je onder meer vast wie welke taken en bevoegdheden heeft en hoe je tijdens een crisis communiceert. Verder moet je regelmatig de betrouwbaarheid van back-ups controleren en rekening houden met de beveiliging van je leveranciersketen. [7]
In Trouw zei ik het zo: ‘Een noodplan is pas overtuigend als je hebt laten zien dat het onder druk werkt.’ Het maken van een back-up is daarbij pas het begin. Je moet er ook je systemen en bedrijfsprocessen mee kunnen herstellen. [9]
Daarom zou ik bij zo’n oefening ook de mensen betrekken die het dagelijkse werk doen, samen met communicatie, leveranciers en bestuurders. Zij moeten weten hoe ze verder kunnen als hun vertrouwde systemen uitvallen. Een server kan technisch weer werken terwijl medewerkers hun werkzaamheden nog niet kunnen hervatten.
Melden en toezicht
Bij levensmiddelenbedrijven die onder de Cbw vallen, houdt de Nederlandse Voedsel- en Warenautoriteit (NVWA) toezicht. Een significant cyberincident meld je bij het NCSC, dat de melding doorzet naar de NVWA. Het woord ‘significant’ heeft hier een wettelijke betekenis: niet elke verdachte e-mail of dreiging hoeft te worden gemeld. [8]
De sectorregeling werkt die drempel verder uit. Zij noemt onder meer ernstige verstoring van productie, verwerking of distributie en geslaagde, vermoedelijk kwaadwillige en ongeoorloofde toegang tot systemen. De regeling geeft geen uitputtende lijst; ook de algemene wettelijke criteria blijven gelden. Worden meerdere Cbw-plichtige bedrijven binnen een concern door hetzelfde significante incident geraakt, dan moet volgens de NCSC-handreiking elk betrokken bedrijf afzonderlijk melden. [5] [6]
Bij het toezicht maakt de wet onderscheid tussen ‘belangrijke’ en ‘essentiële’ entiteiten. Die woorden zeggen iets over de wettelijke indeling. Voor beide categorieën geldt dat bedrijven zich vooraf moeten beveiligen en voorbereiden. Het verschil zit onder meer in de aanleiding die de toezichthouder nodig heeft om te controleren. [3] [8]
| Vraag | Belangrijke entiteit | Essentiële entiteit |
|---|---|---|
| Moet het bedrijf vooraf beveiligingsmaatregelen nemen? | Ja. De zorgplicht geldt al vóór een incident. | Ja. De zorgplicht geldt al vóór een incident. |
| Wanneer kan de toezichthouder controleren? | Bij aanwijzingen of informatie over een mogelijke overtreding. | Ook zonder aanwijzingen voor een overtreding. |
| Moet er eerst een cyberincident zijn geweest? | Nee. Signalen van tekortkomingen kunnen voldoende aanleiding zijn. | Nee. Toezicht kan ook preventief plaatsvinden. |
| Moet een significant incident worden gemeld? | Ja. | Ja. |
| Hoe heet deze vorm van toezicht? | Reactief toezicht. | Proactief én reactief toezicht. |
Bronnen: NCTV en NVWA. De concrete beveiligingsmaatregelen moeten passen bij de risico’s van het bedrijf. De tabel betekent niet dat elk bedrijf exact dezelfde maatregelen moet nemen. [3] [8]
Reactief toezicht betekent dus niet dat een bedrijf mag wachten met beveiligen totdat er iets misgaat. Het bedrijf moet zich vooraf voorbereiden. Ook hoeft de toezichthouder niet op een incident te wachten: informatie over mogelijke tekortkomingen kan al aanleiding zijn om de naleving te onderzoeken.
Volgens de NVWA vallen de meeste middelgrote en grote levensmiddelenbedrijven die aan de criteria voldoen in de categorie ‘belangrijk’. Wordt een bedrijf door het ministerie van Landbouw, Visserij, Voedselzekerheid en Natuur onder de Wet weerbaarheid kritieke entiteiten als ‘kritiek’ aangewezen, dan is het voor de Cbw ‘essentieel’. Hoe bekend een merk is, bepaalt die indeling niet. [8]
Toezicht op afzonderlijke bedrijven geeft nog geen volledig beeld van wat er gebeurt als een hele keten wordt geraakt. In een gezamenlijke oefening kun je ook testen of de afspraken tussen bedrijven en overheid op elkaar aansluiten wanneer meerdere systemen tegelijk uitvallen.
Wel gemeld, nog geen strafrechtelijk onderzoek
Op 14 oktober hebben politie en Openbaar Ministerie hierover aanvullende informatie gedeeld. Volgens het officiële politiebericht heeft Ahold Delhaize gehandeld volgens de meldplicht uit de Cyberbeveiligingswet. Politie en OM hebben contact gehad met het bedrijf en het uitgenodigd om aangifte te doen. Op het moment van dat bericht loopt er geen strafrechtelijk onderzoek.
Dat laat een belangrijk onderscheid zien: een melding bij het NCSC is iets anders dan aangifte bij de politie. Het bericht maakt bovendien niet duidelijk welke afzonderlijke bedrijven binnen het concern onder de Cbw vallen. De vraag naar die afbakening blijft dus relevant.
Kunnen we uit het ontbreken van een strafrechtelijk onderzoek afleiden dat er geen aanval is geweest? Nee. Het vertelt ons evenmin dat een interne fout of een AI-toepassing de oorzaak was. Daarvoor ontbreken concrete aanwijzingen. Schade beperken, digitale sporen bewaren, technisch onderzoek doen en contact onderhouden met de autoriteiten zijn verschillende werkzaamheden die naast elkaar kunnen plaatsvinden. De politie benadrukt dat snelle informatie van slachtoffers belangrijk is voor opsporing en vervolging.
Voor een oordeel over de oorzaak en eventuele daders moeten we dus wachten op verdere onderzoeksresultaten.
Wat heeft de voedselketen samen geoefend?
Ook in het vragenuur van 13 oktober ging het over de voorbereiding op grotere verstoringen. Staatssecretaris Erkens zei dat het landelijk crisisplan voedselzekerheid in het eerste kwartaal van 2027 wordt vastgesteld. Daarin worden ook scenario’s uitgewerkt waarin alle supermarkten worden getroffen of leveringen langdurig uitvallen. [10]
Bij het lezen van het verslag bleef ik met een vraag zitten: wat hebben overheid en voedselbedrijven daarvan al samen geoefend?
Er zijn oefeninitiatieven in de sector. FNLI en CCRC kondigden bijvoorbeeld een cyberoefening voor voedingsmiddelenbedrijven aan. Agrifood ISAC noemt gezamenlijk oefenen als doel. Nederland kent bovendien de nationale cyberoefening ISIDOOR. [11] [12] [13] Uit het vragenuur blijkt echter niet of al gezamenlijk is getest hoe de voedselvoorziening doorgaat als meerdere supermarktketens en hun leveranciers tegelijk digitale problemen krijgen. Het verslag bewijst evenmin dat zo’n oefening nooit heeft plaatsgevonden.
Mijn oproep aan de Tweede Kamer is daarom om het kabinet te vragen welke ketenoefeningen zijn uitgevoerd, welke partijen meededen en wat daarbij niet goed werkte. Vraag ook wie de verbeteringen uitvoert en wanneer opnieuw wordt getest of ze werken.
Ik zou daarvoor een concreet scenario kiezen: bestellen, voorraadbeheer en de gebruikelijke communicatie vallen bij meerdere partijen tegelijk uit. Laat supermarkten, producenten, vervoerders, IT-leveranciers en de betrokken overheden samen oefenen welke leveringen dan veilig kunnen doorgaan. Wie beslist over noodoplossingen? Hoe bereiken we mensen die afhankelijk zijn van bezorging?
Bouw voort op wat er al gebeurt en begin waar mogelijk voordat het nieuwe crisisplan definitief is. Geef verbeterpunten een verantwoordelijke en een termijn. De Kamer kan op hoofdlijnen worden geïnformeerd over de resultaten, zonder beveiligingsgevoelige details openbaar te maken. Dan gaat het gesprek ook over wat we samen hebben geprobeerd en wat daarvan in de praktijk werkt.
Vijf vragen voor je eigen organisatie
Ook zonder te weten hoe het bij AH precies zit, kun je dit gesprek in je eigen organisatie voeren. Ik zou als bestuurder met deze vragen beginnen:
- Welke bedrijven binnen onze groep vallen onder de wet? Laat die beoordeling onderbouwen en leg vast wie waarvoor verantwoordelijk is.
- Van welke systemen en leveranciers zijn we afhankelijk? Kijk daarbij ook over de grenzen van de afzonderlijke bv’s heen.
- Welke essentiële leveringen kunnen doorgaan als de IT uitvalt? Spreek vooraf af wat veilig kan doorlopen en wat tijdelijk moet stoppen.
- Hebben we het herstel samen geoefend? Betrek zowel de mensen die besluiten nemen als de mensen die het werk moeten uitvoeren.
- Hoe bereiken we medewerkers, klanten en leveranciers? Zorg dat dit ook kan als de gebruikelijke communicatiesystemen uitvallen.
Vergeet de helpdesk niet. Juist tijdens een incident kan iemand die zich als leverancier voordoet met een spoedoplossing geloofwaardig klinken. Laat zo’n verzoek controleren via een bekend nummer uit je eigen administratie of via de afgesproken supportprocedure. AH waarschuwt in zijn update ook dat kwaadwillenden zulke situaties kunnen misbruiken door zich via phishing voor te doen als medewerkers van een organisatie. [1] Dat is een risico om op voorbereid te zijn, geen verklaring voor wat er bij AH is gebeurd.
Verder kijken dan de wettelijke plicht
Ik wens de mensen bij Albert Heijn veel sterkte en een zorgvuldig herstel toe. Het onderzoek zal meer duidelijkheid moeten geven over wat er is gebeurd.
Intussen blijft voor iedere organisatie de vraag wie er last van heeft als zij uitvalt. Ook een bedrijf dat zelf buiten de Cbw valt, kan belangrijk zijn voor klanten en andere bedrijven. Die afhankelijkheden moet je kennen, bespreken en meenemen in je oefeningen. Voor mij is dat een belangrijke reden om dit gesprek te voeren.
Door de P-SEP-bril
People. Bij het voorbereiden op een crisis horen ook de mensen aan de telefoon, in de winkel en in het distributiecentrum aan tafel. Zij moeten met de gemaakte afspraken kunnen werken.
Security. Koppel je AI-toepassingen aan je voorraad-, bestel- of klantsystemen? Dan is het belangrijk te weten welke gegevens ze kunnen lezen en wat ze mogen veranderen. Een onvoldoende beveiligde koppeling kan een aanvaller toegang geven. Beperk daarom de toegangsrechten tot wat nodig is, houd het gebruik in de gaten en neem de koppeling mee in je herstelplan. Dit is algemeen advies; ik leg hiermee geen verband met de oorzaak van het incident bij AH.
Ethics. Klanten en medewerkers moeten kunnen vertrouwen op wat je hun vertelt. Wees duidelijk over wat je weet, wat je nog onderzoekt en wat zij zelf kunnen doen. Dat helpt hen ook om zich te beschermen tegen oplichters die de onrust misbruiken.
Privacy. Breng vooraf in kaart waar persoonsgegevens staan en houd bij wie toegang heeft gehad. Dat helpt om bij een incident gericht te onderzoeken welke gegevens mogelijk zijn geraakt. Zo’n overzicht is een beginpunt voor onderzoek, nog geen antwoord op de vraag of er gegevens zijn buitgemaakt.
In je organisatie. Leg je directie één vraag voor: als morgen onze belangrijkste systemen uit voorzorg uitgaan, wat blijft er dan draaien en wie beslist dat?
Basis op orde. Maak een overzicht van je bedrijven, systemen, koppelingen en leveranciers. Oefen daarna met je mensen of je er ook echt mee kunt herstellen.
Wil je dat jouw mensen weten wat ze moeten doen als de systemen uitvallen? Train ze voordat het nodig is. Daarvoor heb ik de masterclass cyberweerbaarheid ontwikkeld.
Wat weten we over de oorzaak?
Wie zit er achter de hack? Die vraag loopt vooruit op wat we weten. Albert Heijn spreekt zelf van een cybersecurityincident en onderzoekt nog wat er precies is gebeurd. Laten we dat onderzoek afwachten voordat we een oorzaak of een dader aanwijzen.
Bij een grote supermarktorganisatie zijn winkels, distributiecentra, leveranciers en digitale diensten sterk van elkaar afhankelijk. Dat maakt het onderzoeken van een incident en het veilig herstellen ingewikkeld. Beveiligingsmonitoring kan verdachte activiteiten signaleren, maar daarmee is nog niet meteen duidelijk wat er aan de hand is.
Systemen uit voorzorg stilleggen kan helpen verdere schade te beperken. De zichtbare uitval betekent dus niet automatisch dat een aanvaller alles heeft platgelegd. Een deel kan het gevolg zijn van beschermende maatregelen, zoals AH zelf ook beschrijft.
Tegelijk vraagt het veiligstellen van digitale sporen om zorgvuldig handelen. Systemen van het netwerk isoleren is iets anders dan de stroom uitschakelen. Daarbij kunnen gegevens uit het werkgeheugen verloren gaan. Schade beperken en bewijs bewaren moeten daarom samen worden afgewogen. Welke maatregelen bij AH precies zijn genomen, kunnen we van buitenaf niet beoordelen.
Laten we bij de feiten blijven
Mijn oproep aan media en deskundigen: laten we stoppen met speculeren over de oorzaak zolang de feiten ontbreken. In dit artikel van Metro wordt bijvoorbeeld een DDoS-aanval geopperd omdat meerdere computers zouden zijn gebruikt. Dat gegeven alleen is daarvoor geen bewijs. Ook bij andere soorten aanvallen kunnen meerdere computers betrokken zijn.
Retailexperts kunnen de gevolgen voor winkels en omzet uitleggen. Voor uitspraken over de technische oorzaak is cybersecuritykennis nodig, maar ook dan blijft de vraag: waarop is die verklaring gebaseerd? Dat geldt net zo goed voor mij. Zonder onderzoeksgegevens kan ik de oorzaak niet vaststellen.
Klanten, medewerkers en de mensen die aan het herstel werken verdienen zorgvuldige informatie. Laten we duidelijk onderscheiden wat bevestigd is, wat nog wordt onderzocht en wat slechts een vermoeden is.
Stand van zaken: 14 oktober 2026, 18.20 uur
Goed nieuws voor de mensen die aan het herstel werken: volgens Albert Heijn zijn de distributiecentra weer operationeel. De reguliere levering van houdbare producten is sinds dinsdagavond volledig hervat. AH wil woensdagavond ook de reguliere levering van alle versproducten hervatten. De beschikbaarheid kan nog verschillen per winkel en productcategorie.
Het herstel is nog niet afgerond. Online bestellen en bezorgen zijn nog niet mogelijk en de klantenservice is nog niet bereikbaar. Ook persoonlijke kortingen en spaaracties zijn tijdelijk niet beschikbaar.
Het onderzoek naar de aard en oorzaak van het incident loopt door. Volgens AH zijn er op dat moment geen aanwijzingen dat gegevens van klanten of medewerkers bij het incident zijn betrokken. [1]
Bron: het officiële mediastatement van Albert Heijn, bijgewerkt op 14 oktober 2026 om 18.20 uur.
Klopt er volgens jou iets niet in dit artikel? Laat het me weten via het contactformulier, dan kijk ik er zorgvuldig naar.
Bronnen
Geraadpleegd op 14 oktober 2026. Ontwikkelingen na het moment van publicatie kunnen het beeld veranderen.
[1] Albert Heijn: mediastatement en updates over het cybersecurityincident
[2] Rijksoverheid: Cyberbeveiligingswet en Wwke vanaf 15 augustus 2026 van kracht
[3] NCTV: welke organisaties vallen onder de Cyberbeveiligingswet?
[4] NCSC: sector, omvang en verbonden ondernemingen
[6] NCSC: Handreiking complexe bedrijfsmodellen, over één gedeeld IT-netwerk
[7] Cyberbeveiligingsbesluit, artikelen 9 en 10: continuïteit, crisisbeheer en toeleveringsketen
[8] NVWA: verplichtingen, meldingen en toezicht onder de Cbw
[11] CCRC en FNLI: aankondiging van een cyberoefening voor de voedingsmiddelenindustrie op 6 juni 2025
[12] NCSC: Agrifood ISAC, doelstellingen en gezamenlijke oefeningen
