De digitale kwetsbaarheid van Nederland is deze week opnieuw zichtbaar geworden. De websites, apps, online bezorging en delen van de logistiek van Albert Heijn, Etos en Gall & Gall werden getroffen door een cybersecurity-incident. Wat aanvankelijk als een technisch probleem naar buiten kwam, blijkt volgens berichtgeving van de NOS mogelijk verband te houden met een gerichte aanval op de IT-systemen van moederbedrijf Ahold Delhaize. De gevolgen reiken verder dan een onbereikbare website: ook de bevoorrading van winkels, persoonlijke kortingsacties en de dienstverlening aan klanten kwamen onder druk te staan.
Het incident staat niet op zichzelf. De afgelopen vijf jaar werden Nederlandse bedrijven, ziekenhuizen, overheidsorganisaties en digitale dienstverleners herhaaldelijk getroffen door cyberaanvallen en datalekken. Daarbij zijn persoonsgegevens buitgemaakt, systemen uitgeschakeld en diensten langdurig verstoord. De centrale vraag is daarom niet alleen hoe goed organisaties zichzelf beveiligen, maar ook of de overheid voldoende doet om aanvallen te voorkomen, daders op te sporen en organisaties die aantoonbaar tekortschieten ter verantwoording te roepen.
Albert Heijn: cyberincident legt digitale dienstverlening en bevoorrading onder druk
Sinds zondag 11 oktober 2026 heeft Ahold Delhaize te maken met een cybersecurity-incident. Het concern schakelde uit voorzorg verschillende systemen uit om verdere schade te voorkomen. Daardoor waren onder meer de websites en apps van Albert Heijn, Etos en Gall & Gall tijdelijk niet beschikbaar. Ook online bestellingen en de bevoorrading van winkels ondervonden hinder.
In een officiële verklaring van Ahold Delhaize van 13 oktober meldde het concern dat het onderzoek nog liep en dat er op dat moment geen aanwijzingen waren dat klant- of personeelsgegevens waren buitgemaakt. Het bedrijf werkte aan een gecontroleerde herstart van systemen en schakelde externe cybersecuritydeskundigen in.
Op 14 oktober meldde de NOS dat Albert Heijn verdacht netwerkverkeer van meerdere buitenlandse servers had waargenomen. Volgens bronnen die de NOS sprak, kan het gaan om een hackaanval of een serieuze poging daartoe. Welke systemen precies zijn benaderd, hoe ver de aanvallers zijn gekomen en of gegevens zijn ingezien, is nog niet definitief vastgesteld. Albert Heijn heeft zich voor technische details beroepen op het lopende onderzoek. De berichtgeving van de NOS over het verdachte aanvalsverkeer bij Albert Heijn beschrijft wat daarover tot dusver bekend is.
Dat de systemen uit voorzorg zijn uitgeschakeld, kan erop wijzen dat het bedrijf verdere schade wilde voorkomen. Het is echter geen zelfstandig bewijs dat criminelen daadwerkelijk toegang hebben gekregen tot alle betrokken systemen of klantgegevens hebben gestolen. Juist dat onderscheid is belangrijk bij de beoordeling van de beveiliging en de eventuele verantwoordelijkheid van het bedrijf.
De maatschappelijke impact is ondertussen wel concreet. Wanneer bestellingen niet kunnen worden verwerkt en distributiecentra minder goed functioneren, worden ook klanten geraakt die zelf niets met de aanval te maken hebben. Daarmee is cybersecurity niet uitsluitend een kwestie van privacy, maar ook van de continuïteit van dagelijkse voorzieningen.
De overheid moet ook naar de voedselketen kijken
De gevolgen van het incident kwamen op 13 oktober aan de orde tijdens het vragenuur in de Tweede Kamer. D66 vroeg aandacht voor de kwetsbaarheid van de voedselvoorziening wanneer digitale systemen van supermarktketens uitvallen. Staatssecretaris Erkens antwoordde dat er op dat moment geen probleem was met de voedselzekerheid, maar dat de lessen uit het incident worden betrokken bij het landelijke crisisplan voedselzekerheid.
In het verslag van het vragenuur van de Tweede Kamer staat dat het kabinet werkt aan scenario’s voor ernstiger verstoringen, waaronder situaties waarin meerdere supermarktketens worden getroffen of leveringen langdurig onderbroken raken. Ook wordt gewerkt aan een draaiboek voor cyberincidenten in de voedselketen.
Dat is relevant omdat supermarkten afhankelijk zijn van een uitgebreid netwerk van distributiecentra, transporteurs, voorraadbeheersystemen en digitale betaal- en bestelsystemen. Een storing bij één grote speler hoeft niet direct tot voedseltekorten te leiden, maar kan wel aantonen hoe weinig ruimte er soms is om langdurig zonder digitale ondersteuning te functioneren.
De overheid heeft daarmee een verantwoordelijkheid die verder gaat dan het opsporen van hackers. Ook moet worden onderzocht welke voorzieningen noodzakelijk zijn om de samenleving draaiende te houden wanneer digitale systemen uitvallen. Dat vraagt om voorbereiding, samenwerking met bedrijven en duidelijke afspraken over wie tijdens een grootschalig incident de regie neemt.
Odido: persoonsgegevens van miljoenen klanten buitgemaakt
Een van de meest ingrijpende Nederlandse cyberincidenten van 2026 vond plaats bij telecombedrijf Odido. Bij die aanval werden gegevens van meer dan zes miljoen klanten buitgemaakt. De gestolen informatie omvatte verschillende persoonsgegevens, waardoor betrokkenen risico kunnen lopen op gerichte phishing, identiteitsmisbruik en andere vormen van fraude.
De zaak kreeg een strafrechtelijk vervolg. De politie en het Openbaar Ministerie onderzochten hoe de aanvallers toegang kregen tot de systemen en wie daarbij betrokken waren. In september publiceerde de politie informatie over een verdachte die mogelijk betrokken was bij het verkrijgen van toegang via een nagemaakte inlogpagina. De politie beschreef het onderzoek naar de Odido-hack en de gebruikte werkwijze.
De zaak laat zien dat cybercriminelen niet altijd uitsluitend gebruikmaken van ingewikkelde technische kwetsbaarheden. Ook misleiding van medewerkers kan de toegangspoort vormen tot systemen waarin grote hoeveelheden gegevens zijn opgeslagen. Beveiliging vraagt daarom niet alleen om goede software, maar ook om toegangsbeperkingen, controleprocedures en training van medewerkers.
Voor klanten is het gevolg bovendien niet voorbij zodra een organisatie de systemen weer onder controle heeft. Gestolen gegevens kunnen nog lange tijd worden gebruikt voor oplichting. De verantwoordelijkheid van een organisatie houdt daarom niet op bij het herstellen van de IT-omgeving; ook duidelijke communicatie en passende ondersteuning van getroffen personen zijn belangrijk.
ChipSoft: een aanval op een leverancier raakt de zorg
In 2026 werd ook de Nederlandse zorg geconfronteerd met de gevolgen van een cyberincident bij ChipSoft, een leverancier van software voor onder meer elektronische patiëntendossiers. Verschillende zorgorganisaties moesten maatregelen nemen om hun systemen te beschermen en de continuïteit van de zorg te waarborgen.
Later kwamen meldingen naar buiten dat patiëntgegevens van verschillende zorgorganisaties waren gestolen. De gevolgen waren onder meer merkbaar bij forensische klinieken, revalidatieklinieken, het Oogziekenhuis Rotterdam en huisartsenpraktijken. De NOS berichtte over de gemelde diefstal van patiëntgegevens na de aanval op ChipSoft.
Deze zaak maakt duidelijk dat een organisatie niet rechtstreeks hoeft te worden aangevallen om toch grote gevolgen te ondervinden. Wanneer een belangrijke softwareleverancier wordt getroffen, kunnen meerdere aangesloten instellingen tegelijkertijd risico lopen. Dat maakt de beveiliging van leveranciers een wezenlijk onderdeel van de digitale weerbaarheid van ziekenhuizen en andere zorgverleners.
Medische gegevens zijn bovendien bijzonder gevoelig. Ze kunnen informatie bevatten over diagnoses, behandelingen en persoonlijke omstandigheden die mensen niet openbaar willen maken. Een incident in de zorg kan daardoor niet alleen de privacy aantasten, maar ook het vertrouwen in de instellingen die verantwoordelijk zijn voor de bescherming van die gegevens.
Bol en de Bijenkorf: risico’s bij externe leveranciers
Ook in de detailhandel blijken externe dienstverleners een belangrijke rol te spelen bij digitale incidenten. In 2026 meldden zowel bol als de Bijenkorf een beveiligingsincident bij een logistieke partner. In beide gevallen draaide het om systemen buiten de directe IT-omgeving van de winkelbedrijven waarin gegevens over bestellingen werden verwerkt.
Bol publiceerde informatie over het incident bij een logistieke partner in een eigen verklaring over het beveiligingsincident. Daarbij werd toegelicht welke categorieën klantgegevens mogelijk betrokken waren en welke stappen werden gezet om het incident te onderzoeken.
Ook de Bijenkorf meldde dat onbevoegden toegang hadden gekregen tot systemen van een logistieke dienstverlener. Het bedrijf gaf aan dat onder meer namen, contactgegevens en informatie over online bestellingen betrokken konden zijn. In de toelichting van de Bijenkorf op het beveiligingsincident staat welke informatie het bedrijf daarover aan klanten heeft verstrekt.
De overeenkomst tussen deze incidenten en de situatie bij Albert Heijn is dat digitale afhankelijkheid niet ophoudt bij de eigen organisatie. Leveranciers kunnen toegang hebben tot gegevens, systemen of processen die noodzakelijk zijn voor de dagelijkse bedrijfsvoering. Daardoor kan een beveiligingsprobleem bij één partij gevolgen hebben voor meerdere bedrijven en hun klanten.
Vanuit juridisch perspectief betekent dit niet dat een opdrachtgever automatisch aansprakelijk is voor iedere fout van een leverancier. De verantwoordelijkheden hangen onder meer af van de rolverdeling, de gemaakte afspraken en de toepasselijke privacy- en beveiligingsregels. Wel moeten organisaties die persoonsgegevens verwerken zorgvuldig omgaan met de keuze en controle van hun leveranciers.
Ook persoonsgegevens van medewerkers van Ahold Delhaize kwamen eerder in beeld
Het moederbedrijf van Albert Heijn werd al eerder geconfronteerd met een groot datalek. In april 2025 berichtte RTL Nieuws dat gegevens van medewerkers van Ahold Delhaize mogelijk waren buitgemaakt bij een incident dat verband hield met systemen van de Amerikaanse tak van het concern. Het ging volgens de berichtgeving onder meer om paspoorten, contracten, cv’s en bankgegevens. Het bedrijf meldde dat de Autoriteit Persoonsgegevens was geïnformeerd en dat onderzoek werd gedaan.
De reconstructie van RTL Nieuws over de gelekte personeelsgegevens bij Ahold Delhaize beschreef de mogelijke risico’s voor medewerkers. Het concern had op dat moment geen aanwijzingen dat ook klantgegevens van bol.com waren buitgemaakt.
Deze eerdere zaak moet worden onderscheiden van het huidige incident. De beschikbare informatie bewijst niet dat beide gebeurtenissen dezelfde oorzaak hebben of onderdeel zijn van één aanvalscampagne. Wel illustreren ze dat de bescherming van personeels- en klantgegevens bij grote internationale concerns blijvende aandacht vereist.
GGD en ziekenhuizen: de waarschuwingen zijn niet nieuw
De kwetsbaarheid van persoonsgegevens was al eerder zichtbaar bij de GGD. In 2021 kwam aan het licht dat medewerkers persoonsgegevens uit coronasystemen hadden verhandeld. Het ging onder meer om adressen, telefoonnummers en burgerservicenummers. Het incident leidde tot grote maatschappelijke verontwaardiging, omdat burgers erop moesten kunnen vertrouwen dat hun gegevens binnen de test- en bron- en contactonderzoekssystemen zorgvuldig werden behandeld.
Ook bij ziekenhuizen heeft de Autoriteit Persoonsgegevens opgetreden tegen tekortschietende beveiliging. Zo kreeg OLVG in 2021 een boete van 440.000 euro omdat medische dossiers onvoldoende waren beschermd tegen onbevoegde toegang door medewerkers. Dat was geen klassieke ransomware-aanval, maar een zaak waarin de toezichthouder tekortkomingen in de beveiliging vaststelde.
De voorbeelden laten zien dat digitale veiligheid al jaren op de agenda staat. De problematiek beperkt zich niet tot één sector en kent verschillende oorzaken: van criminele aanvallen en misleiding tot te ruime toegangsrechten en onvoldoende controle op het gebruik van gegevens.
Worden bedrijven na een cyberaanval dan niet bestraft?
De indruk dat organisaties na een datalek zonder consequenties verder kunnen, is begrijpelijk, maar juridisch te absoluut. Een bedrijf dat slachtoffer wordt van een aanval, heeft niet automatisch de wet overtreden. Ook goed beveiligde systemen kunnen kwetsbaar blijken voor nieuwe aanvalsmethoden of menselijke fouten. Voor een boete moet de toezichthouder vaststellen dat sprake is van een overtreding waarvoor de organisatie verantwoordelijk kan worden gehouden.
De Autoriteit Persoonsgegevens kan optreden wanneer organisaties de Algemene verordening gegevensbescherming (AVG) overtreden, bijvoorbeeld door persoonsgegevens onvoldoende te beveiligen of een datalek niet tijdig te melden. De toezichthouder publiceert haar besluiten en sancties in het overzicht van boetes en andere sancties.
Een voorbeeld is Transavia, dat een boete van 400.000 euro kreeg vanwege onvoldoende beveiliging van persoonsgegevens. Een hacker kon toegang krijgen tot systemen waarin gegevens van miljoenen mensen konden worden ingezien. De toezichthouder stelde tekortkomingen vast in de beveiliging, waaronder de inrichting van toegangsbeveiliging.
Daarnaast kunnen politie en Openbaar Ministerie strafrechtelijk optreden tegen personen die zich schuldig maken aan computervredebreuk, datadiefstal, afpersing of ransomware. In de zaak rond Odido is dat onderzoek zichtbaar geworden door de bekendmaking van informatie over mogelijke verdachten en de gebruikte werkwijze.
Het onderscheid blijft echter belangrijk. Een strafrechtelijk onderzoek naar de aanvallers is iets anders dan een bestuurlijke boete voor de getroffen organisatie. Beide trajecten kunnen naast elkaar bestaan, maar geen van beide volgt automatisch uit het enkele feit dat een cyberincident heeft plaatsgevonden.
De overheid moet harder inzetten op preventie en weerbaarheid
Nederland beschikt over gespecialiseerde opsporingsteams, toezichthouders en wetgeving om cybercriminaliteit aan te pakken. Toch blijkt uit de opeenvolgende incidenten dat de bescherming van digitale systemen niet uitsluitend kan afhangen van het optreden nadat er iets is misgegaan.
In september 2026 waarschuwden de politie, het Nationaal Cyber Security Centrum, de AIVD, de MIVD, het Openbaar Ministerie en andere overheidsorganisaties gezamenlijk dat kunstmatige intelligentie cyberaanvallen sneller en omvangrijker kan maken. Zij riepen bestuurders op om cybersecurity prioriteit te geven, de basisbeveiliging op orde te brengen en deskundigen voldoende middelen te geven. De politie publiceerde de gezamenlijke waarschuwing over de groeiende cyberdreiging.
De boodschap is helder: digitale veiligheid moet een verantwoordelijkheid zijn van bestuurders en directies, niet alleen van IT-afdelingen. Organisaties moeten aantoonbaar aandacht besteden aan toegangsbeheer, multifactor-authenticatie, software-updates, back-ups, incidentrespons en de beveiliging van leveranciers. De overheid moet vervolgens controleren of de geldende normen worden nageleefd en waar nodig handhaven.
Bij organisaties die belangrijk zijn voor de voedselvoorziening, zorg of andere essentiële diensten is bovendien een plan nodig om de dienstverlening tijdens een langdurige digitale storing voort te zetten. De ervaring bij Albert Heijn laat zien dat ook een supermarktketen waarvan de winkels open blijven, door uitval van digitale systemen niet normaal kan functioneren.
Niet iedere aanval is te voorkomen, maar nalatigheid mag niet lonen
Het zou onjuist zijn om na iedere hack direct de getroffen organisatie de schuld te geven. Onderzoek moet uitwijzen hoe aanvallers zijn binnengekomen, welke maatregelen waren getroffen en of wettelijke verplichtingen zijn geschonden. Dat geldt voor Albert Heijn, maar net zo goed voor Odido, ChipSoft, bol en de Bijenkorf.
Tegelijkertijd mag die noodzakelijke nuance niet leiden tot vrijblijvendheid. Organisaties die grote hoeveelheden persoonsgegevens verzamelen of afhankelijk zijn van digitale systemen met maatschappelijke betekenis, dragen een zware verantwoordelijkheid. Wanneer blijkt dat beveiligingsmaatregelen onvoldoende waren of wettelijke verplichtingen zijn genegeerd, moeten daar passende consequenties tegenover staan.
De overheid heeft daarom twee taken. Zij moet cybercriminelen opsporen en vervolgen, maar ook zorgen dat organisaties hun digitale weerbaarheid serieus nemen voordat een aanval plaatsvindt. Dat betekent investeren in preventie, toezicht, duidelijke verantwoordelijkheden en een goede voorbereiding op uitval.
Cyberveiligheid is inmiddels een publieke verantwoordelijkheid
Van de GGD en ziekenhuizen tot Odido en Albert Heijn: de incidenten van de afgelopen jaren maken duidelijk dat cybercriminaliteit niet alleen een probleem is voor individuele bedrijven. De gevolgen kunnen miljoenen mensen raken, medische gegevens blootleggen en dagelijkse voorzieningen verstoren.
Het huidige incident bij Albert Heijn bewijst nog niet dat klantgegevens zijn gestolen of dat het bedrijf zijn beveiliging niet op orde had. Het laat wel zien hoe afhankelijk de samenleving is geworden van digitale systemen en hoe groot de gevolgen kunnen zijn wanneer een grote organisatie haar dienstverlening tijdelijk moet stilleggen.
De overheid treedt op, maar de effectiviteit van dat optreden moet uiteindelijk blijken uit de mate waarin aanvallen worden voorkomen, daders worden vervolgd en organisaties hun beveiliging aantoonbaar verbeteren. Burgers mogen verwachten dat hun gegevens zorgvuldig worden beschermd en dat essentiële diensten ook bij digitale ontwrichting zo veel mogelijk beschikbaar blijven.
De vraag is daarom niet of iedere cyberaanval kan worden voorkomen. De vraag is of Nederland voldoende doet om de schade te beperken, herhaling tegen te gaan en organisaties die aantoonbaar tekortschieten verantwoordelijk te houden.
Heeft u een foutje gezien of beschikt u over aanvullende informatie? Neem dan contact met ons op.
Weergaven: 18
