Op zondag 11 oktober kreeg Albert Heijn te maken met een cyberincident dat de supermarktketen dagenlang ontregelde. IT-systemen gingen uit de lucht, distributiecentra lagen stil en online boodschappen bestellen was niet mogelijk. Het is een van de eerste grote testgevallen van de Cyberbeveiligingswet, die sinds deze zomer geldt en AH verplichtte de hack te melden.
De nieuwe wet maakt van digitale veiligheid nadrukkelijk een zaak van het bestuur.
Wat de Cyberbeveiligingswet vraagt
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt sinds 15 augustus 2026 en vervangt de Wet beveiliging netwerk- en informatiesystemen. De Cbw raakt organisaties in achttien sectoren, van energie en zorg tot digitale infrastructuur en voedsel. Het gaat om ongeveer 8.000 bedrijven en overheidsorganisaties, waaronder supermarkten.
Wie onder de wet valt, moet zich registreren, de risico’s voor netwerk- en informatiesystemen in kaart brengen en daar passende maatregelen tegen nemen. Ernstige incidenten moeten binnen 24 uur worden gemeld bij het Nationaal Cyber Security Centrum (NCSC), met een update na 72 uur. Het NCSC stuurt de melding door naar de toezichthouder van de sector. Voor supermarkten is dat de Nederlandse Voedsel- en Warenautoriteit. Toezichthouders kunnen sancties opleggen als een organisatie haar verplichtingen niet nakomt.
Van IT-onderwerp naar bestuurstaak
De wet legt de eindverantwoordelijkheid voor het beheersen van cyberrisico’s bij het bestuur. Bestuurders moeten de beveiligingsmaatregelen goedkeuren, toezien op de uitvoering en zorgen dat ze zelf genoeg kennis hebben om risico’s te kunnen beoordelen. Bij ernstige verwijtbaarheid of opzet kunnen bestuurders ook persoonlijk aansprakelijk worden gesteld.
Dat verandert de vraag die in een directievergadering op tafel ligt. Het gaat niet meer om ‘heeft IT dit geregeld?’, maar om ‘weten wij welke systemen ons bedrijf draaiende houden, wat er gebeurt als die uitvallen en wie dan wat beslist?’. Die vraag kan een bestuurder niet volledig uitbesteden. Hij kan zich wel laten adviseren, maar het oordeel over welk risico acceptabel is, blijft bij de top liggen.
Wat de AH-casus laat zien
Het incident bij AH maakt zichtbaar hoe ver een digitale storing doorwerkt in de fysieke bedrijfsvoering. De winkels bleven open, maar de bevoorrading haperde. Persoonlijke kortingen en spaarprogramma’s werkten tijdelijk niet en de klantenservice was een tijd onbereikbaar. De distributiecentra werden na enkele dagen weer opgestart en waren er op dat moment geen aanwijzingen dat gegevens van klanten of medewerkers waren getroffen.
De keten telt mee
Kleinere bedrijven en toeleveranciers vallen meestal niet zelf onder de wet. Toch krijgen ze er indirect mee te maken. Organisaties die wel onder de Cbw vallen, moeten ook de risico’s bij hun zakenpartners beoordelen en kunnen eisen stellen aan de beveiliging van leveranciers. Wie levert aan een supermarkt, zorginstelling of energiebedrijf, kan dus vragen verwachten over toegangsbeheer, back-ups en de aanpak van incidenten.
Het loont om daar nu al een antwoord op te hebben. Een praktische eerste stap is cyberrisico’s expliciet meenemen in de interne analyse of de SWOT-analyse van het bedrijf. Een goed geregelde beveiliging kan voor een toeleverancier zelfs een verkoopargument worden.
Aansluitende managementmodellen
Het COSO ERM-raamwerk voor enterprise risk management, opgesteld door het Committee of Sponsoring Organizations of the Treadway Commission, koppelt risicobeheer aan strategie en prestaties en beschrijft de rol van bestuur en toezicht. Het helpt om cyberrisico een vaste plek te geven naast financiële en operationele risico’s, in plaats van het als los IT-dossier te behandelen.
Het Three Lines-model van het Institute of Internal Auditors maakt duidelijk wie wat doet. Het operationele management draagt en beheerst de risico’s, functies als risicomanagement en informatiebeveiliging ondersteunen en bewaken, en de interne audit geeft het bestuur onafhankelijke zekerheid. Precies die heldere taakverdeling vraagt de Cbw.
De crisismanagementcyclus van Ian Mitroff onderscheidt vijf fasen: signalen opvangen, voorbereiden en voorkomen, schade beperken, herstellen en leren. De AH-casus laat zien waarom de eerste twee fasen zo belangrijk zijn. Een melding binnen 24 uur valt formeel in de fase van schadebeperking, maar is zonder goede voorbereiding nauwelijks haalbaar.
Aanleiding voor dit artikel is nieuws van NOS.
