Cyberincident Albert Heijn legt kwetsbaarheid bloot
Op zondag 11 oktober 2026 sloot supermarktconcern Ahold Delhaize preventief verschillende cruciale computersystemen vanwege een cybersecurity-incident. Wat volgde waren acute logistieke problemen bij het bedrijf, enkele lege schappen in supermarkten en een mediahausse over ketenrisico’s, de kwetsbaarheid van de voedselvoorziening en de noodzaak van buffervoorraden.
Het cyberincident bij Albert Heijn laat zien hoe afhankelijk (in dit geval) de voedselvoorziening is van digitale systemen. Veel deskundigen zien het als aanleiding om bedrijfscontinuïteit, noodprocedures en ketenrisico’s opnieuw tegen het licht te houden. Het incident veroorzaakte geen directe voedselzekerheidscrisis, maar maakte wel duidelijk hoe snel digitale uitval kan doorwerken in de bevoorrading.
Efficiëntie boven robuustheid en weerbaarheid
De voedseldistributie is grotendeels ingericht op efficiëntie. Supermarkten en leveranciers werken met beperkte voorraden en leveringen die aansluiten op de verwachte vraag. Het just-in-timeprincipe beperkt opslagkosten, maar laat minder ruimte om langdurige verstoringen op te vangen.
Instituut Clingendael waarschuwde in september in een onderzoeksrapport voor mogelijke voedselschaarste bij onder meer klimaatrampen, oorlog en cyberincidenten. Het instituut pleit voor buffervoorraden bij supermarkten en een grotere zelfredzaamheid van burgers, wat al leidde tot het advies om een thuisvoorraad voor acht dagen aan te houden. Ook de overheid kan bijdragen aan een weerbaardere voedselketen, bijvoorbeeld via wetgeving en financiële ondersteuning.
Geen voedselcrisis, wel een waarschuwing
De storing bij Albert Heijn illustreert hoe afhankelijk de distributie is van digitale planning, voorraadbeheer en logistieke aansturing. Wanneer systemen preventief worden stilgelegd, kan dat verdere schade beperken, maar tegelijkertijd de bedrijfsvoering verstoren.
Op 13 oktober werden naar aanleiding van de (vermeende) hack bij Albert Heijn in de Tweede Kamer vragen gesteld over de kwetsbaarheid van de voedselketen. Staatssecretaris Erkens kondigde aan dat wordt gewerkt aan maatregelen met supermarkten en een draaiboek voor cyberincidenten, inclusief aandacht voor analoge terugvalmogelijkheden. De precieze oorzaak en omvang van het incident waren op dat moment nog niet volledig openbaar.
Veiligheidskundige implicaties
Cyberuitval is niet uitsluitend een IT-vraagstuk. De gevolgen kunnen doorwerken in logistiek, productie, technische installaties en de veiligheid van medewerkers. Cyberuitval hoort thuis in de risico-inventarisatie en -evaluatie (RI&E). Welke risico’s ontstaan als digitale planning, toegangscontrole of geautomatiseerde installaties niet meer functioneren? Welke gevolgen kan dat hebben en wat is de eventuele back-up? Terugvalprocedures verdienen aandacht. Denk aan handmatige registratie, alternatieve communicatie en duidelijke afspraken over het stilleggen en hervatten van werkzaamheden. Noodoplossingen mogen er niet toe leiden dat medewerkers beveiligingen omzeilen of installaties onveilig bedienen, hoewel de verleiding groot kan zijn om ‘de zaak te redden’.
Ketencoördinatie
Daarnaast moeten organisaties leveranciers en ketenpartners betrekken bij hun risicoanalyse. Een goed beveiligde organisatie kan immers alsnog kwetsbaar zijn wanneer een externe IT-dienst of logistieke partner uitvalt. De zelfredzaamheid van bedrijven is gediend met afspraken over beschikbaarheid van partners en voorwaarden waaronder ook ‘buitenom’ met anderen mag worden gewerkt zonder dat direct voorwaarden worden geschonden.
Oefenen met uitval en herstel
Een continuïteitsplan heeft alleen waarde als het in de praktijk werkt. Oefen daarom scenario’s waarin essentiële systemen én gebruikelijke communicatiekanalen uitvallen. Leg vast wie beslissingen neemt, hoe medewerkers worden geïnformeerd en onder welke voorwaarden werkzaamheden veilig kunnen worden hervat. Test ook back-ups en herstelprocedures. Voor organisaties met digitaal aangestuurde koelinstallaties, klimaatbeheersing of andere technische systemen is samenwerking tussen IT, technische dienst en veiligheidsprofessionals essentieel.
Van just-in-time naar just-in-case
Buffervoorraden, alternatieve leveranciers en noodprocedures kosten geld, maar kunnen voorkomen dat een organisatie bij een verstoring volledig stilvalt.
Les voor de veiligheidskundige: organiseer weerbaarheid vooraf.
Breng digitale afhankelijkheden in kaart, beoordeel de gevolgen van uitval en oefen hoe de organisatie veilig kan blijven functioneren wanneer systemen niet beschikbaar zijn.
Bronnen: rapport Clingendael, NPO Radio 1, NCSC, Kamervragen D’66, NOS, Albert Heijn.
