Een cyberincident bij een grote supermarktketen lijkt misschien ver weg van de glastuinbouw, maar de gevolgen kunnen door de hele keten voelbaar zijn. De glastuinbouw is namelijk niet alleen afhankelijk van digitale systemen maar ook van andere partijen in de keten: van leveranciers en logistieke dienstverleners tot afnemers en retailers. Valt een systeem bij één van die partijen uit, dan kan dat gevolgen hebben voor bestellingen, transport, afzet en uiteindelijk de omzet van een tuinbouwbedrijf.
Het cyberincident
Sinds zondagmiddag 11 oktober kampen Albert Heijn, Etos en Gall & Gall met een cybersecurity-incident. Ahold Delhaize spreekt van ‘kwaadwillende acties van derden’. Om de IT-omgeving te beschermen, schakelde het bedrijf onder meer websites, apps, klantenservice en e-mail uit. Daarnaast lagen meerdere distributiecentra stil, waardoor winkels minder goed bevoorraad konden worden. Dit was vooral zichtbaar bij verse producten: schappen met groente en fruit raakten op verschillende plekken leeg.
Het incident had niet alleen gevolgen voor de bedrijfsvoering, maar bracht ook wettelijke verplichtingen op het gebied van cybersecurity met zich mee.
Volgens Ahold Delhaize waren er geen aanwijzingen dat persoonsgegevens bij het incident waren betrokken. Het bedrijf meldde het incident binnen 24 uur bij het Nationaal Cyber Security Centrum (NCSC), conform de meldplicht die geldt voor organisaties die onder de Cyberbeveiligingswet (CBW) vallen.
De situatie bij Albert Heijn laat zien dat cyberincidenten ook gevolgen kunnen hebben voor andere organisaties binnen dezelfde keten. Zo kunnen ook bedrijven in de glastuinbouw indirect met dergelijke incidenten te maken krijgen. Organisaties die onder de Cyberbeveiligingswet vallen, moeten voldoen aan de toepasselijke verplichtingen op het gebied van risicobeheersing en cybersecurity. Ook voor glastuinbouwbedrijven die niet rechtstreeks onder deze wet vallen, is het belangrijk om de digitale risico’s van leveranciers en andere ketenpartners in kaart te brengen.
Op maandag 19 oktober deed Ahold Delhaize aangifte bij de politie. Het onderzoek naar de aard en oorzaak van het cyberincident liep op dat moment nog. Tegelijkertijd werd de dienstverlening geleidelijk hersteld. Op 18 oktober waren de website van Albert Heijn en de Mijn AH-app weer beschikbaar. Ook de websites van Etos en Gall & Gall waren hersteld. Op vrijdag 23 oktober werd de bezorging van online bestelde boodschappen hervat. Aanvankelijk ontvingen klanten met een Bezorgbundel en zakelijke klanten hun bestellingen; vanaf die dag kon iedereen weer online boodschappen bestellen.
Het belang van communicatie
Na een cyberincident is de manier waarop een organisatie communiceert bepalend voor het behoud van het publieke vertrouwen. Albert Heijn en Ahold Delhaize deelden via mediastatements informatie over het incident en het herstel van hun dienstverlening. Dat is belangrijk want speculeren over mogelijke oorzaken of kwetsbaarheden kan onnodige onrust en een vertekend beeld in de media veroorzaken. Ook is het belangrijk om binnen de keten snel en transparant informatie uit te wisselen, zodat betrokken partijen hun aanpak kunnen afstemmen.
Cyberaanval in de keten
Het cyberincident bij Albert Heijn laat zien dat een cyberaanval gevolgen kan hebben voor de hele keten. Dit komt doordat de keten niet alleen afhankelijk is van producten, maar ook van informatie, diensten en digitale systemen. Een teler is bijvoorbeeld afhankelijk van leveranciers voor software en onderhoud, en van de logistieke sector voor het leveren van producten.
Ketenafhankelijkheid betekent dat alle schakels in een keten, van teler tot winkel, van elkaar afhankelijk zijn. Als één schakel uitvalt, kan dit directe gevolgen hebben voor de gehele keten.
Een cyberincident bij een grote supermarkt kan gevolgen hebben voor de hele keten, tot aan de teler toe. Telers zijn voor de verkoop van hun producten afhankelijk van de systemen en processen van hun afnemers. Wanneer deze uitvallen, kan de afzet stil komen te liggen, waardoor een teler omzet kan verliezen. Dit risico is vooral groot wanneer een teler sterk afhankelijk is van één afnemer.
De keten is zo sterk als de zwakste schakel. Cyberveiligheid vraagt daarom om een gezamenlijke aanpak, waarbij alle schakels verantwoordelijkheid nemen voor de veiligheid van de keten.
Wat kun je vandaag doen?
Ketenbeveiliging bestaat uit vier fases: voorbereiding, keteninventarisatie, afspraken maken en naleving. Deze fases bieden organisaties houvast bij het versterken van de digitale veiligheid binnen de keten.
Begin met de volgende stappen:
- Breng je keten in kaart. Identificeer je leveranciers en breng de risico’s in beeld die voortkomen uit afhankelijkheden van externe partijen.
- Breng je bedrijf in kaart. Bepaal welke bedrijfsprocessen essentieel zijn voor het functioneren en de continuïteit van je organisatie.
- Voer een risicoanalyse uit. Breng de belangrijkste risico’s en kwetsbaarheden binnen je organisatie en de keten in kaart.
- Stel een incident response plan op. Leg vast welke stappen je moet nemen wanneer zich een cyberincident voordoet en wie hiervoor verantwoordelijk is.
- Leg afspraken vast. Maak duidelijke afspraken over beveiligingsmaatregelen en verantwoordelijkheden. Leg deze bijvoorbeeld vast in een Service Level Agreement (SLA) of een Dossier Afspraken en Procedures (DAP).
Een cyberincident bij een ketenpartner is niet altijd te voorkomen, maar de gevolgen ervan zijn wel te beperken. Door inzicht te krijgen in je afhankelijkheden, afspraken te maken met leveranciers en afnemers en voorbereid te zijn op incidenten, vergroot je de digitale weerbaarheid van je bedrijf én de keten als geheel. Want digitale veiligheid is niet alleen een verantwoordelijkheid van je eigen organisatie, maar van alle partijen die samen de keten vormen.
Wil je weten hoe je ketenbeveiliging structureel aanpakt? Lees dan het artikel Ketenbeveiliging in 4 fases: voorbereiding.
Bronnen: NCTV | Ahold Delhaize | Albert Heijn | Albert Heijn | NOS (geraadpleegd 26 oktober 2026)
Foto: iStock/Chor Muang