Cyberaanval bij Albert Heijn: dit is de eerste grote test van de nieuwe Cyberbeveiligingswet

Één week geen online boodschappen bij Albert Heijn. Lege schappen in sommige winkels. En een supermarktreus die aangifte moest doen bij de Nederlandse politie. Vorige week werd Ahold Delhaize getroffen door een cyberaanval die de hele organisatie op zijn kop zette, van Zaandam tot aan de Amerikaanse supermarktketens van het concern. Het incident is meteen ook een testcase van jewelste: het is een van de eerste grote cyberincidenten sinds de Nederlandse Cyberbeveiligingswet in augustus van kracht werd.

Wat gebeurde er precies?

In het weekend van 11 en 12 oktober ontdekte Ahold Delhaize ongebruikelijke activiteit op zijn systemen. Het bedrijf, eigenaar van Albert Heijn, Etos, Gall & Gall en tientallen ketens in Europa en de Verenigde Staten, besloot daarop direct een groot deel van zijn IT-systemen uit voorzorg offline te halen. Daarmee voorkwam het dat de aanval zich verder zou verspreiden, maar het zorgde ook voor een week vol problemen.

De website en app van Albert Heijn gingen uit de lucht. Online bestellen was niet meer mogelijk. En omdat ook de logistieke systemen geraakt werden, zaten sommige winkels met lege schappen. Volgens het bedrijf zijn er tot nu toe geen aanwijzingen dat er gegevens van klanten, medewerkers of partners zijn buitgemaakt.

Stap voor stap weer online

Ahold Delhaize heeft de systemen de afgelopen dagen in fases weer opgestart. De website en app van Albert Heijn werken inmiddels weer. Ook de sites van Etos en Gall & Gall zijn weer bereikbaar. In België draait de e-commerce weer volledig. De thuisbezorging van Albert Heijn komt vanaf vrijdag 23 oktober weer op gang. Bij de Amerikaanse ketens van het concern, zoals Food Lion en Giant Food, zou de online verkoop de komende dagen terugkeren.

“Het uit voorzorg offline halen van systemen om ze te beschermen raakte de meeste van onze merken in Europa en de Verenigde Staten. Het onderzoek tot nu toe bevestigt dat dit de juiste beslissing was”, zei topman Frans Muller in een verklaring. Volgens hem neemt het bedrijf het vertrouwen van klanten serieus en staat het achter het lopende onderzoek.

Aangifte bij de politie

Op maandag 19 oktober deed Ahold Delhaize officieel aangifte bij de Nederlandse politie. Ook meldde het bedrijf het incident binnen 24 uur bij het Nationaal Cyber Security Centrum, de Nederlandse waakhond voor digitale veiligheid. Over de aard van de aanval deelt het bedrijf verder weinig details, omdat het onderzoek nog loopt.

Het is niet het eerste incident voor het concern. In november 2024 werd een aanval uitgevoerd op de Amerikaanse ketens van de groep, en naar verluidt eiste de criminele groep INC Ransom de verantwoordelijkheid op. Of de huidige aanval verband houdt met die eerdere, is niet bekendgemaakt.

De nieuwe wet komt op een cruciaal moment

Wat dit incident bijzonder maakt, is de timing. Op 15 augustus 2026 trad de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Die wet legt aan ruim 8.000 organisaties verplichtingen op rond zorgplicht, het melden van incidenten en registratie. De aanval bij Ahold Delhaize is een van de eerste grote incidenten waarbij die nieuwe meldplicht daadwerkelijk is getest. En de keten lijkt die test netjes te hebben doorstaan: het bedrijf meldde het incident binnen een dag bij het NCSC en deed aangifte.

Het incident valt ook samen met een explosieve groei van de Nederlandse cybersecuritysector. Begin oktober 2026 stonden er 962 cybersecuritybedrijven ingeschreven bij de Kamer van Koophandel, tegen 233 in dezelfde periode in 2021. Volgens het NCSC hangt die groei onder meer samen met nieuwe wetgeving en de toenemende rol van kunstmatige intelligentie, die zowel helpt bij het opsporen van kwetsbaarheden als wordt misbruikt door aanvallers.

Wat betekent dit voor jou als klant?

Voor de gemiddelde boodschapper is de schade beperkt gebleven: alle winkels bleven gewoon open. Maar het incident laat zien hoe afhankelijk supermarkten zijn geworden van hun digitale systemen. Één aanval en ineens kunnen duizenden klanten een week lang niet online bestellen.

Belangrijk om te weten: het bedrijf zegt dat er geen aanwijzingen zijn dat klantgegevens zijn gestolen. Toch is voorzichtigheid geboden. Cybercriminelen gebruiken grote incidenten vaak als aanleiding voor phishing. Krijg je de komende tijd een e-mail of sms over de Albert Heijn-hack met het verzoek op een link te klikken of gegevens in te vullen? Doe dat dan niet en ga altijd zelf naar de officiële app of website.

Digitale weerbaarheid wordt geen luxe meer

Het NCSC benadrukt dat organisaties zelf verantwoordelijk blijven voor hun digitale weerbaarheid, ook als ze beveiliging uitbesteden. Externe specialisten kunnen ondersteunen, maar nemen die verantwoordelijkheid niet over. De afgelopen week laat zien waarom: als de logistiek stilvalt, staan de schappen leeg.

De Autoriteit Persoonsgegevens ontving vorig jaar ruim 39.000 datalekmeldingen, tegen bijna 24.000 in 2020. De dreiging groeit, en met de nieuwe wet is de lat voor bedrijven hoger gelegd. De hack bij Albert Heijn zal in de sector ongetwijfeld worden aangehaald als het schoolvoorbeeld van hoe een incident onder de nieuwe regels wordt afgehandeld.

Frequently Asked Questions

Zijn mijn gegevens bij Albert Heijn gestolen bij de cyberaanval?

Volgens Ahold Delhaize zijn er op dit moment geen aanwijzingen dat er gevoelige gegevens van klanten, medewerkers of partners zijn buitgemaakt. Het bedrijf zegt dat het onderzoek nog loopt. Blijf wel alert op phishingpogingen die inspelen op dit incident.

Wanneer kan ik weer online boodschappen bestellen bij Albert Heijn?

De website en app van Albert Heijn zijn alweer online. De thuisbezorging wordt vanaf vrijdag 23 oktober hervat. Etos en Gall & Gall zijn ook weer bereikbaar. Bij de Amerikaanse ketens van het concern zou de e-commerce de komende dagen terugkeren.

Wat is de nieuwe Cyberbeveiligingswet?

De Cyberbeveiligingswet trad op 15 augustus 2026 in werking en is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet stelt aan ruim 8.000 organisaties eisen rond zorgplicht, het melden van cyberincidenten en registratie. De aanval bij Ahold Delhaize is een van de eerste grote incidenten sinds de invoering van de wet.