Albert Heijn-hack test de nieuwe Cyberbeveiligingswet

Ahold Delhaize heeft maandag aangifte gedaan bij de Nederlandse politie na de cyberaanval die de websites en apps van Albert Heijn, Etos en Gall & Gall platlegde. Het concern zegt het incident binnen 24 uur bij het NCSC te hebben gemeld. Daarmee is dit een van de eerste grote zaken waarin de Cyberbeveiligingswet, sinds augustus van kracht, in de praktijk zichtbaar wordt.

Wat Ahold Delhaize bevestigt

In een update van maandag schrijft het concern dat het systemen offline heeft gehaald, waaronder de websites en apps van zijn merken, en dat daardoor diensten uitvielen. De winkels bleven open. BleepingComputer tekende op dat klanten in Nederland niet bij de sites, apps en klantenservice van Albert Heijn, Etos en Gall & Gall konden, dat Delhaize in België eruit lag, en dat medewerkers van de Amerikaanse keten Stop & Shop niet bij hun rooster en loonstrook konden.

Het herstel loopt per merk. De site en app van Albert Heijn zijn weer in de lucht en de thuisbezorging zou vanaf vrijdag 23 oktober hervatten. De sites van Etos en Gall & Gall zijn beschikbaar, de Belgische e-commerce is volgens het bedrijf volledig operationeel, en voor de Amerikaanse merken wordt dat "de komende dagen" verwacht.

Of er gegevens zijn gestolen, is niet duidelijk. Het onderzoek loopt en heeft volgens Ahold Delhaize tot nu toe geen aanwijzingen opgeleverd dat gevoelige gegevens van klanten, medewerkers of partners zijn weggenomen. Dat is een tussenstand, geen vrijspraak. Bij de vorige grote aanval, in november 2024 op de Amerikaanse systemen, bleek uiteindelijk dat van ruim 2,2 miljoen mensen persoonlijke, financiële en medische gegevens waren buitgemaakt; die aanval werd geclaimd door de ransomwaregroep INC Ransom.

Het concern laat verder weten dat het het NCSC, opsporingsdiensten en toezichthouders is blijven bijpraten. CEO Frans Muller biedt in de verklaring zijn verontschuldigingen aan, "especially to our customers".

Waarom die melding bij het NCSC telt

Sinds 15 augustus 2026 moeten organisaties die onder de Cyberbeveiligingswet vallen aan de verplichtingen van die wet voldoen, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Het NCTV legt de meldplicht uit in drie stappen: een vroegtijdige waarschuwing "zo snel mogelijk en uiterlijk binnen 24 uur nadat de organisatie kennis heeft gekregen van het significante incident", daarna een incidentmelding "uiterlijk binnen 72 uur", en ten slotte een eindverslag "uiterlijk een maand na de incidentmelding".

Dat Ahold Delhaize zelf benoemt dat het binnen 24 uur heeft gemeld, is dus geen toevallige formulering. Het is precies de term uit de wet. Levensmiddelen is een van de sectoren die eronder valt; volgens TPO is de NVWA voor supermarkten de toezichthouder die van het NCSC informatie krijgt.

Voor wie geldt dit

Een deel van de organisaties valt van rechtswege onder de wet, zonder dat iemand ze aanwijst. Het NCTV wijst voor de vraag welke toezichthouder bij welke sector hoort naar de doorverwijsboom bij de wet. Er geldt geen overgangsperiode: de zorgplicht, de meldplicht en de registratieplicht gelden vanaf de ingangsdatum.

Praktisch betekent dat twee dingen voor beheerders. Zoek eerst uit of je werkgever of klant onder de wet valt en wie daar de toezichthouder is. Leg daarna vast wie binnen 24 uur de melding mag doen en met welke gegevens, want die klok begint te lopen op het moment dat iemand het incident ontdekt - niet wanneer het beeld compleet is.