Wat Albert Heijn anders had kunnen doen, weten we niet. De oorzaak is niet openbaar gemaakt, en van buitenaf kan niemand de beslissingen binnen het bedrijf beoordelen. Wel roept het incident een vraag op die elke Nederlandse organisatie aan de eigen praktijk kan toetsen. Wat gebeurt er als de systemen achter uw dagelijkse werk uit moeten, en wie neemt die beslissing?

Wat is er bij Albert Heijn gebeurd?

De verstoring begon op zondagmiddag 11 oktober 2026. De volgende ochtend maakte Ahold Delhaize, het moederbedrijf van Albert Heijn, bekend dat het te maken had met een beveiligingsprobleem in zijn netwerk en dat het enkele systemen offline haalde om die te beschermen. Omdat Ahold Delhaize beursgenoteerd is, publiceerde het die verklaring als voorwetenschap onder de Europese Verordening marktmisbruik.

De gevolgen waren snel zichtbaar. Volgens de NOS en andere media:

• Distributie: CEO Margaret Versteden-van Duijn bevestigde dat het werk in sommige distributiecentra volledig stillag. Volgens een e-mail aan leveranciers waarover RTL Z berichtte, moesten leveranciers alleen nog aan het distributiecentrum in Zaandam leveren. Verse producten raakten in de winkels op.

• Online diensten: Online bestellen en thuisbezorgen bij Albert Heijn lagen stil en de websites van Etos en Gall & Gall gingen offline. Bezorgers werden uit hun planningsapp gelogd.

• Klantprogramma's: Persoonlijke kortingen en spaaracties werkten niet, en elektronische schapkaartjes toonden verouderde prijzen.

• Andere landen: Delhaize in België had IT-problemen, en de websites van de Amerikaanse supermarktketens van Ahold Delhaize waren offline.

Op 13 oktober meldde Ahold Delhaize in een update dat het begon met een gecontroleerde herstart van bepaalde systemen, samenwerkte met externe cybersecurity-experts en waar nodig contact had met de bevoegde autoriteiten. Het had op dat moment geen bewijs dat gegevens van klanten, medewerkers of partners waren buitgemaakt. Albert Heijn waarschuwde klanten bovendien voor phishing pogingen.

Op 15 oktober meldde Albert Heijn dat de distributiecentra weer operationeel waren en dat de reguliere leveringen van zowel houdbare producten als versproducten aan de winkels in het hele land volledig waren hervat. Online bestellen en bezorgen was nog niet mogelijk en alle al geplaatste online bestellingen waren tot nader bericht geannuleerd. Klanten die al betaald hadden, worden gecompenseerd zodra de systemen weer werken.

Het bedrijf heeft geen cyberaanval bevestigd. De meeste security experts die Nederlandse media aan het woord lieten, achten een hack waarschijnlijk, al zijn ze het niet eens over het type aanval. Ahold Delhaize zag geen reden om het incident te koppelen aan de aanval op Franse supermarkten rond dezelfde tijd, en ook het Nationaal Cyber Security Centrum (NCSC) ziet geen aanwijzingen dat de incidenten in de Europese voedingssector met elkaar samenhangen.

Waarom een preventieve shutdown zo ver doorwerkt

Systemen offline halen is bij een beveiligingsincident vaak de juiste keuze. Het beperkt hoe ver een aanvaller kan komen en beschermt wat nog niet is geraakt. Maar de beslissing heeft een prijs en de zaak-Albert Heijn maakt die prijs zichtbaar. De winkels waren open, het personeel was er en de goederen zaten in de keten. Wat stilviel, was de coördinatie daartussen: bestellen, routes plannen, prijzen en bezorgen.

Dat patroon is niet uniek voor supermarkten. In de industrie, de logistiek, de zorg of de financiële sector loont het om na te gaan welke processen nog werken als de centrale systemen uit staan, en hoe lang.

Vijf lessen voor Nederlandse organisaties

1. Weet wat een shutdown stillegt voordat u moet beslissen

Een preventieve shutdown is een bedrijfsbeslissing onder tijdsdruk, vaak 's nachts of in het weekend. Organisaties die een business impactanalyse (BIA) hebben uitgevoerd, weten vooraf welke processen van welke systemen afhangen, hoe lang elk proces kan uitvallen en wat de terugvaloptie is. Zonder die analyse beslist het security team op technische gronden en ontdekt de business de impact achteraf.

Wat u kunt doen: Voer een BIA uit voor uw kritieke processen, leg per proces de maximaal toelaatbare uitvaltijd vast en spreek vooraf af wie een shutdown mag bevelen en wie moet worden geïnformeerd.

2. Breng uw afhankelijkheden in kaart over systemen, merken en landen heen

Eén incident op groepsniveau raakte de distributie in Nederland, het bestellen in België en websites in de Verenigde Staten. Gedeelde IT-omgevingen leveren efficiëntie op, maar ook gedeelde zwakke plekken. Veel organisaties ontdekken die verbanden pas tijdens een incident.

Wat u kunt doen: Leg vast welke kritieke diensten op welke systemen en leveranciers draaien, inclusief gedeelde groepsplatformen. Werk dat overzicht bij zodra systemen, leveranciers of groepsplatformen veranderen.

3. Betrek uw leveranciers bij uw incidentrespons

Leveranciers moesten volgens berichten hun leveringen op korte termijn omgooien, op basis van een e-mail. Dat is de keten kant van een incident. Uw storing verstoort uw leveranciers en de storing van een leverancier kan u stilleggen. Onder NIS2 is de beveiliging van de toeleveringsketen uitdrukkelijk onderdeel van cyberrisicobeheer.

Wat u kunt doen: Deel uw leveranciers in naar kritikaliteit, spreek af hoe u elkaar tijdens een incident informeert en herzie die afspraken volgens een vaste cyclus.

4. Bereid u voor op de meldtermijnen voordat de klok gaat lopen

Een organisatie die onder de Cbw valt, moet een significant incident binnen 24 uur nadat zij ervan op de hoogte is, vroegtijdig melden bij het CSIRT en de toezichthouder. Gaat het om persoonsgegevens, dan geldt daarnaast een aparte verplichting uit de AVG. De Autoriteit Persoonsgegevens moet zonder onredelijke vertraging en zo mogelijk binnen 72 uur worden geïnformeerd, tenzij het niet waarschijnlijk is dat het datalek een risico voor mensen oplevert. Beursgenoteerde bedrijven kunnen bovendien openbaarmakingsplichten richting de markt hebben, zoals de eerste verklaring van Ahold Delhaize laat zien.

Wat u kunt doen: Bepaal vooraf wie beoordeelt of een incident significant is, bereid sjablonen voor elke melding voor en test de meldketen in een oefening.

5. Plan uw communicatie, ook voor de phishing die volgt

Een publiek incident is een kans voor criminelen die zich voordoen als het getroffen bedrijf. De phishing waarschuwing van Albert Heijn herinnert eraan dat klanten, medewerkers en leveranciers duidelijke en consistente informatie nodig hebben, via kanalen die zij al vertrouwen.

Wat u kunt doen: Bereid berichten voor aan klanten, medewerkers, leveranciers en media, en spreek af wie ze goedkeurt. Benoem de kanalen die u gebruikt, zodat mensen echte berichten van valse kunnen onderscheiden.

Wat de Cyberbeveiligingswet nu vraagt

De Cyberbeveiligingswet (Cbw), de Nederlandse wet die de NIS2-richtlijn omzet, is op 15 augustus 2026 in werking getreden. Volgens het NCSC vallen ruim 8.000 organisaties die essentiële of belangrijke diensten leveren onder de wet. Voor die organisaties betekent dat:

Niet elk bedrijf in de voedselketen valt onder de wet. In de levensmiddelensector omvat NIS2 bedrijven die actief zijn in groothandel en in industriële productie en verwerking, en de omvangsdrempels zijn van toepassing. Detailhandel als zodanig staat er niet in. Groepen met eigen distributieactiviteiten, voedselproducenten en logistieke dienstverleners doen er goed aan hun positie per juridische entiteit te toetsen. Ons artikel over de NIS2-vereisten gaat dieper in op de verplichtingen.

Hoe Formalize helpt

De meeste lessen hierboven komen neer op twee dingen: uw afhankelijkheden vooraf kennen en onder druk op basis van die kennis kunnen handelen. Formalize brengt die informatie samen in één GRC-platform:

• Bedrijfscontinuïteit en weerbaarheid: Structureer business impact analyses met vastgelegde impactcriteria en herstelprioriteiten, breng afhankelijkheden tussen processen, systemen en leveranciers in kaart en volg continuïteitsoefeningen en verbeteracties.

• Beheer van derden: Deel leveranciers in naar type, risico of regelgevende relevantie, en houd beoordelingen en goedkeuringen volgens een traceerbare planning bij.

• NIS2: Beheer incidentmeldingen binnen gestructureerde termijnen, beoordeel risico's en koppel mitigerende acties aan eigenaren.

Formalize vervangt uw security team of uw incident-responsepartner niet. Het geeft hen en uw bestuur één gedeeld overzicht van processen, afhankelijkheden en leveranciers om mee te werken als systemen uitvallen.

Dit artikel is gebaseerd op openbare verklaringen en mediaberichten die op 15 oktober 2026 beschikbaar waren. We werken het bij als er belangrijke nieuwe informatie bekend wordt. Het is geen juridisch advies.