Wat is er gebeurd?

Op zondagmiddag 12 oktober 2026 schakelde Ahold Delhaize preventief een deel van zijn systemen uit na een cybersecurity-incident. Albert Heijn sprak eerst over een IT-incident en later over een cybersecurity-incident. Ook Etos en Gall & Gall hebben hinder. In België merkt Delhaize de gevolgen, al is die impact kleiner.

Wat de oorzaak is, wie erachter zit en of er gegevens zijn gestolen, is op het moment van schrijven niet bekendgemaakt. Experts zeggen dat een aanval waarschijnlijk is. Dat is hun inschatting en geen bevestiging van AH. De CEO van AH zegt dat het onderzoek nog loopt.

Wat is de impact?

De gevolgen raken drie groepen.

Klanten: de websites, apps en klantenservice zijn niet beschikbaar. Er kunnen geen online boodschappen worden besteld of bezorgd en geplaatste bestellingen zijn geannuleerd. Klanten die vooraf betaalden, krijgen compensatie. In de winkels werken de kassa’s, maar persoonlijke kortingen en spaaracties niet. Elektronische schapkaartjes kunnen de prijs van vorige week tonen, waardoor schap- en kassaprijs verschillen.

Leveranciers en keten: in sommige distributiecentra ligt het werk stil. Volgens RTL Nieuws meldt het bedrijf aan leveranciers dat het om bijna alle distributiecentra gaat. Er is vrees voor lege schappen, vooral bij verse producten. Op dinsdag 13 oktober meldden media dat de situatie nog niet was opgelost en dat er lege schappen zijn.

De onderneming zelf: omzet, compensatie, handmatig werk, extra communicatie en de aandacht van het management. Medewerkers moeten zonder hun gebruikelijke systemen doorwerken. Ook de communicatie staat onder druk. Experts in het AD bekritiseren het gebrek aan duidelijke communicatie rond het incident.

Eén ding werkte wel: de winkels bleven open en betalen was mogelijk. Er was dus een route om door te draaien.

Tijdlijn van het incident

• Zondag 12 oktober, middag: eerste storingen. Ahold Delhaize schakelt preventief systemen uit.
• Zondag 12 oktober, later: AH bevestigt een incident. Websites, apps en klantenservice zijn niet bereikbaar, online bestellingen worden geannuleerd en distributiecentra liggen deels stil.
• Zondag 12 oktober, avond: leveranciers worden geïnformeerd. Media waarschuwen voor lege schappen.
• Dinsdag 13 oktober: het incident is nog niet opgelost. Er zijn lege schappen in winkels en er is geen hersteltijdlijn bekendgemaakt.

Wat betekent dit voor de directie van jouw organisatie?

De impact van uitval laat zien dat cybersecurity geen IT-onderwerp is, maar een bestuurlijk onderwerp. Voor de directie van een organisatie betekent dat vijf dingen.

1. Zicht op de top cyberrisico’s. Een organisatie weet welke scenario’s haar het hardst raken, zoals uitval van de webshop, de logistiek of het klantcontact. De directie laat de IT-partij en het MT die scenario’s in begrijpelijke taal op papier zetten.
2. Bepalen van de IT-afhankelijkheden. Bij AH hangen webshop, app, klantenservice, spaarsysteem, prijskaartjes en distributie aan elkaar. Een organisatie weet welke processen op welke systemen, leveranciers en platforms draaien, en wat er stilstaat als één daarvan uitvalt.
3. Technische en organisatorische maatregelen inrichten. Dat gaat om beveiliging, back-ups en monitoring, maar ook om noodprocedures, rolverdeling en communicatie. Het is vooraf vastgelegd wie bijvoorbeeld beslist over het preventief uitschakelen van systemen, en wat er dan nog doorgaat. Zo’n besluit moet al genomen zijn voordat het nodig is.
4. Testen of de maatregelen werken. Een plan op papier is nog geen zekerheid. Een organisatie laat kwetsbaarheden opsporen met een pentest, oefent een uitvalscenario met de directie en laat de uitkomsten terugkomen in de besluitvorming.
5. Continu verbeteren. Dreigingen, systemen en leveranciers veranderen. Risicoanalyse, maatregelen, testen en verbeteren vormen daarom een vast ritme, met een duidelijke eigenaar in de directie.

Dit is geen oordeel over hoe AH zich had voorbereid. Dat weten we niet. Het is de vraag die elke organisatie zich nu kan stellen: wat zou dit bij ons betekenen?

Tot slot

Het incident bij AH is nog niet voorbij en veel vragen zijn onbeantwoord. Wat al wel duidelijk is: uitval van IT raakt je klanten, je leveranciers en je omzet, vaak tegelijk. De verantwoordelijkheid daarvoor ligt bij de directie. Weet jij welke top cyberrisico’s jouw organisatie loopt? En is dat ooit getest?

Hoe wendbaar is jouw organisatie?

Wil je weten hoe weerbaar jouw organisatie is tegen dit soort aanvallen? Of ben je benieuwd of jouw huidige maatregelen voldoende bescherming bieden tegen phishing en social engineering?

Neem gerust contact met ons op. Wij helpen je graag met een praktische analyse en concrete verbeterstappen, zodat je  niet alleen technisch, maar ook organisatorisch beter beschermd bent.