← Alle artikelen

Albert Heijn vier dagen plat: wat een leverancier merkt (16-10-2026)

Gepubliceerd op 16 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Vier werkdagen zonder systemen bij een grote retailer. Van de kant van de leverancier bekeken is dat geen nieuwsbericht, maar een week omzet die opschuift. De tijdlijn met data, de drie mechanismen die echt geld kosten, en de lijst die voor volgende vrijdag af moet.

In het kort

Op zondag 11 oktober 2026, in het begin van de middag, zette Ahold Delhaize uit voorzorg een deel van zijn systemen uit na een cybersecurityincident. Websites, apps, de klantenservice en de logistieke systemen van Albert Heijn, Etos en Gall & Gall vielen stil, en Delhaize schakelde over op noodoplossingen^[2][4]. De distributiecentra kwamen pas op woensdag 14 oktober weer op gang, en de reguliere leveringen van houdbare producten en versproducten waren pas donderdagochtend 15 oktober hersteld^[2]. Op dinsdag 13 oktober meldde het NCSC meerdere incidenten in de Europese levensmiddelensector, met de toevoeging dat er op dat moment geen reden was om aan te nemen dat die incidenten met elkaar verband houden^[1].

Runt u een mkb-bedrijf, dan is de les niet dat u zich beter moet beveiligen. De les is deze: een van uw grootste afnemers kan vier werkdagen onbereikbaar zijn, en uw liquiditeit merkt dat eerder dan uw ICT. Dit stuk gaat dus over een cyberincident in de toeleveringsketen, niet over uw eigen servers.

Wat er gebeurde, op een rij

Zondag 11 oktober, middag: een cybersecurityincident wordt vastgesteld. Het concern beschrijft geen storing die het onderging, maar een besluit dat het nam: bepaalde systemen offline halen om ze te beschermen^[4]. Uit gingen de websites en apps, de klantenservice, de spaar- en loyaltysystemen en vooral de logistieke systemen^[2].

Maandag 12 en dinsdag 13 oktober: de kassa's in de winkels werken, maar de elektronische schaplabels laten de prijzen van vorige week zien, en al geplaatste online orders worden geannuleerd, met compensatie^[4][5]. In Belgie worden de 88 Albert Heijn-winkels vanuit vervangende distributiecentra bevoorraad in plaats van vanuit Tilburg, met een kleinere voorraad; Delhaize blijft leveren door orders te schatten op basis van de aankoophistorie in plaats van de aanvragen van de winkels^[3].

Woensdag 14 oktober, 11.20 uur: de eerste distributiecentra starten operationeel op; om 18.20 uur draaien ze alle^[2]. Donderdag 15 oktober, 10.30 uur: de reguliere leveringen zijn landelijk hersteld, en het concern houdt vol dat er op dat moment geen aanwijzingen zijn dat gegevens van klanten of collega's bij het incident betrokken zijn; het onderzoek loopt nog^[2]. Online bestellen en bezorgen bleven wel opgeschort tot ten minste 18 oktober^[2].

Op diezelfde dinsdag 13 oktober publiceerde het NCSC zijn bericht over de incidenten in de Europese levensmiddelensector, met de herhaling dat organisaties in vitale sectoren belangrijke incidenten moeten melden bij het CSIRT van hun sector en bij de toezichthouder, juist om andere bedrijven tijdig te waarschuwen^[1].

Wat dit betekent voor een mkb-leverancier

Er lopen drie mechanismen door elkaar, en geen ervan gaat over uw eigen beveiliging.

Eerst drogen de orders op. Staan EDI en het leveranciersportaal uit, dan bestelt niemand bij u, terwijl uw afnemer nog steeds goederen nodig heeft: die bestelt op basis van historie^[3]. U produceert tegen een prognose die niet van u is.

Vervolgens kunt u niet factureren. Is een portaal uw enige factuurkanaal, dan schuift het uitvallen ervan de datum van indiening op, en daarmee de betaaltermijn, met de hele duur van de storing.

En vers wacht niet. Een partij die klaarstond voor een levering die drie dagen opschuift, schuift niet op; die is verloren.

Het besluit waar niemand zich op voorbereidt: uitzetten

Het leerzaamste detail van deze week is de aard van de ingreep: uit voorzorg. Op een zondagmiddag had iemand de bevoegdheid om de logistiek van een retailer in twee landen stil te zetten. In de meeste mkb-bedrijven staat die bevoegdheid nergens op papier.

Stel drie vragen voordat u de antwoorden nodig hebt. Wie mag op zondag de stekker eruit trekken, zonder op de directie te wachten? In welke volgorde zet u alles weer aan: de hervatting werd in de vakpers ad hoc en ongecoordineerd genoemd^[5], en dat is het gebruikelijke verwijt wanneer de opstartvolgorde nooit is opgeschreven. En hoe werkt u ondertussen door: bij Delhaize was het antwoord een schatting op basis van historie^[3], een uitgeklede plan B, maar wel een plan B.

Het is dezelfde denkwijze als bij een datalek bij een dienstverlener. We werkten dat uit in ons stuk over melden binnen 72 uur als het datalek bij een leverancier zit, en in dat over het datalek bij Flink dat begon bij een oud-medewerker. De zwakke plek is bijna nooit uw firewall: het is het account, de koppeling of het portaal van iemand anders.

Wie u moet melden, per land

Er kunnen twee verschillende plichten afgaan, met verschillende ontvangers en verschillende klokken. Zijn er persoonsgegevens bij betrokken, dan moet de verwerkingsverantwoordelijke het datalek op grond van artikel 33 AVG binnen 72 uur melden bij de toezichthouder^[6]: de Autoriteit Persoonsgegevens in Nederland, de GBA/APD in Belgie, de CNIL in Frankrijk, de CNPD in Luxemburg. Valt uw bedrijf onder NIS2, dan komt de melding van een significant incident daarbovenop, met een vroegtijdige waarschuwing binnen 24 uur en een melding binnen 72 uur op grond van artikel 23 van de richtlijn^[7]: in de praktijk het NCSC en het sector-CSIRT in Nederland^[1], het CCB in Belgie, ANSSI in Frankrijk en het ILR in Luxemburg. Zoek uw eigen positie uit voor een incident, niet tijdens een incident.

Levensmiddelen is een van de betrokken sectoren. Produceert, verwerkt of distribueert u voeding in Nederland, begin dan bij onze pagina over NIS2 in Nederland voor voedingsmiddelen.

Bij CyberNovaLabs.io

Wij helpen mkb-bedrijven in Nederland, Belgie, Frankrijk en Luxemburg dat plan op te schrijven voor het incident: afhankelijkheden in kaart, continuiteit in uitgeklede modus, een leveranciersvragenlijst en de NIS2- en AVG-meldingen vooraf klaargezet. Onze pagina's over cyberbeveiliging geven de details. Wilt u weten wat er bij u stilvalt als een grote afnemer vier dagen uit de lucht is, plan dan een gesprek: een uur is genoeg om de lijst en de twee gaten eruit te halen. Dienstverlening op aanvraag geprijsd.

Bronnen

1. NCSC (Pays-Bas) — In het nieuws: Cyberaanvallen op levensmiddelensector (13/10/2026)
2. Albert Heijn — Mediastatement inzake cybersecurity incident, mises a jour du 11 au 15/10/2026
3. VRT NWS — Albert Heijn en Delhaize herstarten systemen na cybersecurityincident (13/10/2026)
4. RetailDetail — Groot cyberincident bij Ahold Delhaize (12/10/2026)
5. ICT Magazine — Cybersecurity-incident bij Albert Heijn raakt nu ook toeleveringsketen en winkels (12/10/2026, mis a jour le 13/10)
6. RGPD (reglement UE 2016/679), article 33 — notification d'une violation a l'autorite de controle
7. Directive NIS2 (UE) 2022/2555, article 23 — obligations de signalement

Lees ook