Albert Heijn a l'arret : ce que vit un fournisseur (11/10/2026)
Quatre jours ouvres sans systemes chez un distributeur de premier plan. Vu du cote du fournisseur, ce n'est pas une actualite : c'est une semaine de chiffre d'affaires deplacee. Le deroule date, les trois mecanismes qui coutent de l'argent, et la liste a traiter avant vendredi prochain.
En bref
Le dimanche 11 octobre 2026, en debut d'apres-midi, Ahold Delhaize a coupe preventivement une partie de ses systemes apres un incident de cybersecurite : sites, applications, service client et systemes logistiques d'Albert Heijn, Etos et Gall & Gall se sont arretes, et Delhaize est passe sur des solutions de secours[2][4]. Les centres de distribution n'ont redemarre que le mercredi 14 octobre, et les livraisons regulieres de produits secs et frais n'ont ete retablies que le jeudi 15 octobre au matin[2]. Le mardi 13 octobre, le NCSC neerlandais a signale plusieurs incidents dans le secteur agroalimentaire europeen, en precisant n'avoir a ce stade aucune raison de les croire lies[1].
Si vous dirigez une PME, l'enseignement n'est pas qu'il faut mieux se proteger. C'est celui-ci : un de vos gros comptes peut rester injoignable quatre jours ouvres, et votre tresorerie le sentira avant votre informatique. Cet article traite donc de la cyberattaque qui frappe votre chaine d'approvisionnement plutot que vos propres serveurs.
Ce qui s'est passe, dans l'ordre
Dimanche 11 octobre, apres-midi : detection d'un incident de cybersecurite. Le groupe ne decrit pas une panne subie mais une decision, celle de mettre certains systemes hors ligne pour les proteger[4]. Sont tombes les sites et les applications, le service client, les programmes de fidelite et, surtout, les systemes logistiques[2].
Lundi 12 et mardi 13 octobre : les caisses des magasins fonctionnent, mais les etiquettes electroniques affichent les prix de la semaine precedente et les commandes en ligne deja passees sont annulees, avec compensation promise[4][5]. En Belgique, les 88 magasins Albert Heijn sont approvisionnes depuis des centres de distribution de substitution au lieu de Tilburg, avec des stocks reduits ; Delhaize continue de livrer en estimant les commandes d'apres l'historique d'achats au lieu des demandes des magasins[3].
Mercredi 14 octobre, 11 h 20 : redemarrage operationnel des premiers centres de distribution ; a 18 h 20, tous sont operationnels[2]. Jeudi 15 octobre, 10 h 30 : livraisons regulieres retablies dans tout le pays, et le groupe maintient qu'a ce stade rien n'indique que des donnees de clients ou de collaborateurs soient concernees, l'enquete restant ouverte[2]. Les commandes et livraisons en ligne, elles, restaient suspendues au moins jusqu'au 18 octobre[2].
Le meme mardi 13 octobre, le NCSC publiait son communique sur les incidents du secteur agroalimentaire europeen et rappelait que les organisations des secteurs critiques doivent signaler les incidents importants au CSIRT de leur secteur et a l'autorite de controle, precisement pour que les autres entreprises soient prevenues a temps[1].
Ce que ca change pour une PME fournisseur
Trois mecanismes jouent en meme temps, et aucun ne concerne votre propre securite.
D'abord, les commandes n'arrivent plus. Quand l'EDI et le portail fournisseur sont eteints, personne ne vous commande, alors que votre client continue d'avoir besoin de marchandise : il la commande d'apres l'historique[3]. Vous produisez contre une prevision qui n'est pas la votre.
Ensuite, vous ne pouvez plus facturer. Si votre seul canal de facturation est un portail, l'arret du portail decale la date de depot de la facture, donc l'echeance de paiement, de toute la duree de la panne.
Enfin, le frais ne se stocke pas. Un lot prepare pour une livraison reportee de trois jours n'est pas reporte, il est perdu.
La decision que personne ne prepare : eteindre
Le point le plus instructif de la semaine est la nature de la coupure : preventive. Quelqu'un, un dimanche apres-midi, a eu l'autorite d'arreter la logistique d'un distributeur dans deux pays. Dans la plupart des PME, cette autorite n'est ecrite nulle part.
Posez trois questions avant d'en avoir besoin. Qui peut decider de debrancher, un dimanche, sans attendre le dirigeant ? Dans quel ordre on rallume : la reprise a ete decrite par la presse specialisee comme ad hoc et non coordonnee[5], ce qui est le reproche habituel quand l'ordre de redemarrage n'a jamais ete ecrit. Et comment on continue a travailler pendant ce temps : chez Delhaize, la reponse a ete une estimation a partir de l'historique[3], un plan B degrade, mais un plan B.
C'est le meme raisonnement que pour une fuite chez un prestataire. Nous l'avons detaille a propos du delai de notification de 72 heures quand la violation vient d'un sous-traitant, et a propos de la fuite Flink partie du compte d'un ancien salarie. Le point faible n'est presque jamais votre pare-feu : c'est le compte, le lien ou le portail de quelqu'un d'autre.
Qui prevenir, pays par pays
Deux obligations distinctes peuvent se declencher, et elles n'ont ni le meme destinataire ni le meme delai. Si des donnees personnelles sont concernees, le RGPD impose au responsable du traitement de notifier la violation a l'autorite de protection des donnees dans les 72 heures, au titre de son article 33[6] : Autoriteit Persoonsgegevens aux Pays-Bas, APD/GBA en Belgique, CNIL en France, CNPD au Luxembourg. Si votre entreprise releve de NIS2, s'y ajoute le signalement de l'incident significatif, avec une alerte precoce sous 24 heures puis une notification sous 72 heures, au titre de l'article 23 de la directive[7] : en pratique le NCSC et le CSIRT sectoriel aux Pays-Bas[1], le CCB en Belgique, l'ANSSI en France, l'ILR au Luxembourg. Verifiez votre propre situation avant l'incident, pas pendant.
L'agroalimentaire est precisement un des secteurs vises. Si vous produisez, transformez ou distribuez de l'alimentaire aux Pays-Bas, commencez par notre page NIS2 aux Pays-Bas pour l'agroalimentaire.
- Listez vos trois plus gros clients et vos trois fournisseurs critiques. Pour chacun, ecrivez en une ligne ce que vous faites s'ils sont injoignables cinq jours.
- Pour chacun, obtenez un contact hors systeme : nom, numero de mobile, adresse e-mail qui ne depend pas de leur domaine. Un portail eteint n'a pas de numero de telephone.
- Verifiez que vous pouvez facturer sans leur portail : facture PDF avec la reference de commande, et relisez ce que dit le contrat sur l'echeance quand le portail est indisponible.
- Ecrivez, en trois lignes, qui a l'autorite de couper vos systemes hors heures de bureau, et dans quel ordre on redemarre.
- Verifiez qu'aucune interface d'administration, aucun automate et aucun acces distant n'est joignable depuis Internet. Notre questionnaire de securite fournisseur sert aussi a vous auditer vous-meme.
- Mettez sur une seule page les coordonnees de signalement des deux autorites qui vous concernent, protection des donnees et NIS2, avec leurs delais.
Chez CyberNovaLabs.io
Nous aidons des PME des Pays-Bas, de Belgique, de France et du Luxembourg a ecrire ce plan avant l'incident : cartographie des dependances, continuite en mode degrade, questionnaire fournisseur, preparation des signalements NIS2 et RGPD. Nos pages cybersecurite en donnent le detail. Si vous voulez savoir ce qui tombe chez vous quand un gros compte s'eteint quatre jours, prenez rendez-vous : une heure suffit pour sortir la liste et les deux trous a boucher. Prestation sur devis.
Sources
- NCSC (Pays-Bas) — In het nieuws: Cyberaanvallen op levensmiddelensector (13/10/2026)
- Albert Heijn — Mediastatement inzake cybersecurity incident, mises a jour du 11 au 15/10/2026
- VRT NWS — Albert Heijn en Delhaize herstarten systemen na cybersecurityincident (13/10/2026)
- RetailDetail — Groot cyberincident bij Ahold Delhaize (12/10/2026)
- ICT Magazine — Cybersecurity-incident bij Albert Heijn raakt nu ook toeleveringsketen en winkels (12/10/2026, mis a jour le 13/10)
- RGPD (reglement UE 2016/679), article 33 — notification d'une violation a l'autorite de controle
- Directive NIS2 (UE) 2022/2555, article 23 — obligations de signalement
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Failles critiques PHP : votre site web est concerné (21/10/2026)
Deux vulnérabilités critiques dans PHP, le moteur sous la plupart des sites de PME, permettent une exécution de code à distance sans authentification. Les correctifs sont sortis le 21 octobre 2026. Ce qu'il faut vérifier cette semaine, et ce qui ne sera jamais corrigé.
Lire l'article →22 octobre 2026 · 9 min de lectureNIS2 Pays-Bas : éditeurs de logiciels et prestataires IT, concernés ?
Éditer un logiciel ne figure pas dans la loi néerlandaise. Gérer l'infrastructure d'un client, héberger, surveiller : si. Voici comment trancher votre cas en dix minutes, avec les dates néerlandaises, l'autorité compétente et la règle d'établissement principal qui décide qui vous contrôle.
Lire l'article →18 octobre 2026 · 7 min de lecturePrise de rendez-vous B2B : cabinets comptables et fiduciaires
Deux demandes se cachent derrière « je veux des rendez-vous avec des comptables » : vendre aux cabinets, ou être un cabinet qui cherche des clients. La première bute sur un calendrier fixé par la loi. La seconde bute sur un code de déontologie qui encadre le démarchage et la reprise du dossier d'un confrère. Les deux sont traitées ici.
Lire l'article →17 octobre 2026 · 8 min de lectureNIS2 Pays-Bas : immobilier et gestion locative, concernés ?
La Cyberbeveiligingswet est en vigueur depuis le 15 aout 2026 et vise 8 000 organisations. L'immobilier n'y figure pas. Ce qui vous oblige vraiment : la Wet goed verhuurderschap, les questionnaires de vos clients, et le prestataire ICT que vous partagez.
Lire l'article →16 octobre 2026 · 7 min de lectureNo-show en prise de rendez-vous B2B : 7 leviers pour le faire baisser
Pas de fantômes dans votre agenda. Un rendez-vous B2B manqué coûte le temps préparé, le créneau et la relance. Voici 7 leviers pour faire baisser le no-show, et ce que les données publiques permettent — ou non — d'en attendre.
Lire l'article →16 octobre 2026 · 9 min de lectureNIS2 France : les cabinets d'avocats sont-ils concernes ?
Les services juridiques ne figurent pas aux annexes I et II de NIS2, et la France n'a pas acheve sa transposition au 16 octobre 2026. Mais la directive atteint les cabinets par la chaine d'approvisionnement de leurs clients concernes, par le RGPD et par la fraude aux virements CARPA. Ce qui est opposable aujourd'hui, et dans quel ordre agir.
Lire l'article →