Cyberaanval bij Albert Heijn: wat leert een klein bedrijf ervan?

Op 12 oktober 2026 meldde Ahold Delhaize een beveiligingsprobleem in het eigen netwerk. Het bedrijf haalde uit voorzorg een deel van de systemen offline. De winkels bleven open (persbericht Ahold Delhaize ↗ (opent in nieuw venster)). In Nederland waren de websites en apps van Albert Heijn, Etos en Gall & Gall onbereikbaar. Volgens TPO ↗ (opent in nieuw venster) werden koeriers op zondag 11 oktober al buitengesloten van hun app en gingen op maandag ook een paar distributiecentra helemaal dicht. In sommige winkels bleven schappen leeg.

Op 14 oktober draaiden de distributiecentra weer en kwamen houdbare producten weer in de winkels. Verse producten duurden langer. Persoonlijke bonussen, koopzegels en Air Miles werkten tijdelijk niet en de klantenservice was niet bereikbaar (Dutch IT Channel ↗ (opent in nieuw venster)). Op 17 oktober liet Albert Heijn weten dat thuisbezorgen tot minstens dinsdag 20 oktober stillag (NL Times ↗ (opent in nieuw venster)).

Op 13 oktober schreef Ahold Delhaize dat het op dat moment geen bewijs had dat gegevens van klanten, medewerkers of partners waren meegenomen. Het onderzoek liep nog en het bedrijf startte een gecontroleerde herstart van een deel van de systemen (update Ahold Delhaize ↗ (opent in nieuw venster)). Wie erachter zit, is op het moment van schrijven niet bekend. Volgens politie en OM meldde het bedrijf het incident binnen 24 uur bij het NCSC, zoals de Cyberbeveiligingswet vraagt.

Het was niet de eerste keer. In november 2024 haalde Ahold Delhaize ook systemen offline, toen in de Verenigde Staten. Een aantal apotheken en webwinkels had last van de storing. Supermarktketen Hannaford annuleerde afhaal- en bezorgorders (Cybersecurity Dive ↗ (opent in nieuw venster)). Later bleek dat op 5 en 6 november 2024 bestanden waren gestolen. In juni 2025 meldde het bedrijf bij de procureur-generaal van de staat Maine dat het om gegevens van 2.242.521 mensen ging, vooral huidige en oud-medewerkers. Daarin zaten onder meer burgerservicenummers, bankrekeningnummers en gezondheidsgegevens uit personeelsdossiers (Security Affairs ↗ (opent in nieuw venster)).

Ahold Delhaize staat niet alleen. Vier voorbeelden met goed gedocumenteerde gevolgen:

Je hebt geen distributiecentra of fabrieken. De problemen in de eerste dagen lijken wel op elkaar, en bij een bedrijf van tien mensen voel je ze sneller:

• Systemen gaan uit, soms door de aanvaller en soms omdat je ze zelf uitzet om erger te voorkomen. Dan kun je niet factureren, niet plannen en niet bij je klantdossiers.
• Je mail en je gedeelde mappen zijn niet te vertrouwen of niet bereikbaar. Het telefoonnummer van je IT-partner staat in Outlook, en daar kun je niet bij.
• Niemand weet wie er beslist. Mag je de server uitzetten? Bel je de klant? Betaal je losgeld? Wie praat met de pers of met de verzekeraar?
• Ondertussen lopen de meldtermijnen. Voor een datalek heb je 72 uur. Valt je bedrijf onder de Cyberbeveiligingswet, dan heb je voor de eerste melding 24 uur.
• Het probleem kan ook bij een leverancier zitten, zoals bij de luchthavens. Dan moet je verder zonder een systeem waar je zelf niets aan kunt doen.

Grote bedrijven hebben hier draaiboeken en crisisteams voor. Een klein bedrijf heeft meestal niets op papier en moet alles op het moment zelf bedenken.

Een noodplan is een paar kantjes waarop staat wie wat doet als het misgaat. Wie beslist, wie je belt, welke systemen het belangrijkst zijn, waar de back-up staat en welke meldingen je moet doen. Je schrijft het als alles nog werkt en je rustig kunt nadenken.

Print het. Een plan in je gedeelde map of in je mailbox heb je niet als juist die systemen plat liggen of als je niet weet of ze nog veilig zijn. Leg een kopie op kantoor en een kopie thuis bij degene die beslist. Zet er telefoonnummers op, geen links.

Dit is de korte versie. Het volledige noodplan cyberaanval, met invulvelden voor je eigen contactpersonen, vind je op de pagina die je kunt printen.

1. Wijs één persoon aan die beslist. Spreek vooraf af wie de leiding heeft en wie die vervangt. Die persoon besluit over uitzetten, communicatie en het inschakelen van hulp. Dan hoeft niemand in de chaos te overleggen wie wat mag.
2. Haal getroffen apparaten van het netwerk. Trek de netwerkkabel eruit of zet wifi uit. Zet het apparaat zelf liever niet uit, want wat in het geheugen staat kan helpen bij het onderzoek. Twijfel je, bel dan eerst je IT-partner.
3. Bel je IT-partner en je verzekeraar. Gebruik de nummers van je papieren lijst en bel vanaf een telefoon die niet aan het bedrijfsnetwerk hangt. Heb je een cyberverzekering, dan heeft die vaak een meldnummer dat dag en nacht bereikbaar is.
4. Schrijf alles op met tijd erbij. Wat zag je, wanneer, wie heb je gebeld en wat heb je gedaan. Doe het op papier of op een schoon apparaat. Je hebt dit later nodig voor de meldingen, de verzekeraar en de aangifte.
5. Check of je back-up nog goed is. Zet niets terug voordat je weet dat de back-up schoon is en het lek dicht. Een back-up die ook op het netwerk stond, kan versleuteld of besmet zijn. Een offline of onveranderbare kopie is dan je uitweg.
6. Kijk welke meldingen je moet doen. Zijn er persoonsgegevens geraakt? Dan loopt de termijn van 72 uur voor de Autoriteit Persoonsgegevens. Doe ook aangifte bij de politie, want een melding bij het NCSC is geen aangifte. Vertel je klanten wat er aan de hand is, ook als je nog niet alles weet.

Lekken er persoonsgegevens en is er een risico voor de mensen van wie die gegevens zijn? Dan meld je het datalek binnen 72 uur nadat je het ontdekte bij de Autoriteit Persoonsgegevens ↗ (opent in nieuw venster). Is het risico hoog, dan moet je de betrokkenen zelf ook informeren. Weet je nog niet alles, meld dan toch op tijd en vul later aan.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Valt je organisatie daaronder, dan meld je een significant incident binnen 24 uur met een vroege waarschuwing, binnen 72 uur met een incidentmelding en uiterlijk een maand later met een eindverslag (NCSC ↗ (opent in nieuw venster)). Of je eronder valt, lees je op onze pagina over de Cyberbeveiligingswet. De meeste kleine bedrijven vallen er niet rechtstreeks onder. Lever je wel aan een bedrijf dat eronder valt, dan kan die klant eisen stellen aan jouw beveiliging.

Begin met het noodplan cyberaanval. Vul het in, print het en loop het een keer door met je collega's. Doe daarna onze gratis IT-check, zodat je ziet waar de grootste gaten zitten.

Twee onderwerpen bepalen vaak hoe snel je weer draait. De eerste is je back-up: staat er een kopie offline en heb je het terugzetten ooit getest? De tweede is basisbeveiliging zoals tweestapsverificatie, updates en bewustzijn bij je medewerkers.

Voor een deel van die maatregelen kun je tot en met 30 november 2026 subsidie aanvragen. Mijn Cyberweerbare Zaak betaalt de helft terug, tot € 1.250. Daaronder vallen onder meer back-ups instellen en testen, tweestapsverificatie en training voor medewerkers. Het budget gaat op volgorde van binnenkomst.