De cyberaanval op Albert Heijn is een van de eerste grote tests voor de nieuwe Cyberbeveiligingswet, die in augustus 2026 van kracht werd. Die wet verplicht duizenden organisaties om ernstige cyberincidenten te melden. En voor het eerst kunnen bestuurders ook persoonlijk worden aangesproken als de beveiliging niet op orde blijkt.
Albert Heijn moest de aanval binnen 24 uur melden bij het Nationaal Cyber Security Centrum (NCSC). De gevolgen van het incident waren groot: de website en app vielen uit, bezorgbestellingen konden niet worden afgeleverd en meerdere distributiecentra lagen stil. Supermarkten konden daardoor tijdelijk moeilijker worden bevoorraad.
De wet geldt voor sectoren die als essentieel voor Nederland worden beschouwd, zoals de zorg, drinkwater, banken en ook de levensmiddelensector, waar supermarkten onder vallen.
Wat speelt er precies?
- De Cyberbeveiligingswet is in augustus 2026 ingegaan en geldt voor circa 8.000 organisaties.
- Bedrijven moeten cyberincidenten met grote impact binnen 24 uur melden bij het NCSC.
- Na 72 uur volgt een verplichte update over de situatie.
- Toezichthouders, zoals de NVWA voor supermarkten, ontvangen de meldingen en controleren de naleving.
- Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij ernstig verwijtbaar handelen of opzet.
Waarom valt Albert Heijn onder deze wet?
“Het gaat om sectoren die essentieel zijn om in Nederland altijd te blijven draaien”, zegt Bart Scholten van advies- en keuringsbedrijf Kiwa. Organisaties in die sectoren zijn verplicht zich te registreren bij het NCSC en moeten voldoen aan strenge beveiligingseisen.
Joke Bodewits van advocatenkantoor Hogan Lovells Cadwalader legt uit dat de wet nieuwe verplichtingen toevoegt aan wat bedrijven al zouden moeten doen. “Als het goed is, waren bedrijven zich al bewust van cyberrisico’s en de maatregelen die ze moesten nemen. Deze wet brengt nieuwe verplichtingen met zich mee.”
Melding binnen 24 uur: zo werkt dat in de praktijk
Zodra een bedrijf een ernstig cyberincident vermoedt, moet het dat binnen 24 uur melden bij het NCSC. Dat geldt voor situaties met grote financiële schade of ernstige verstoringen van de dienstverlening, zoals bij Albert Heijn het geval was. Het bedrijf schakelde een deel van zijn IT-systemen uit nadat bleek dat er iets mis was.
Een melding heeft ook een voordeel voor het getroffen bedrijf zelf. “Daar zitten heel goede en gemotiveerde mensen klaar om te helpen en met je mee te denken”, zegt Bodewits. “Bijvoorbeeld om de signalen door te nemen die erop wijzen dat je getroffen bent.”
Na die eerste melding volgt binnen 72 uur een verplichte update. “Als je getroffen bent door een cyberincident, gebeurt er heel veel tegelijkertijd”, aldus Bodewits. “Het komt vaak voor dat iets wat je dacht, later toch anders bleek te zitten.”
NVWA houdt toezicht op supermarkten
De informatie die bij het NCSC binnenkomt, wordt doorgestuurd naar de bevoegde toezichthouder. Voor supermarkten is dat de Nederlandse Voedsel- en Warenautoriteit (NVWA). Die controleert of bedrijven de juiste maatregelen hebben getroffen.
“In de Cyberbeveiligingswet staat dat organisaties passende maatregelen moeten nemen om cyberincidenten te voorkomen”, zegt Scholten. Wat precies passend is, verschilt per situatie. “Je moet in ieder geval proberen te voorkomen dat er een cyberaanval plaatsvindt, maar ook een plan hebben voor als het tóch gebeurt.”
Verantwoordelijkheid strekt zich uit tot leveranciers
De wet beperkt zich niet tot de grote organisaties zelf. Bedrijven die eronder vallen, moeten ook de cyberrisico’s van hun leveranciers in kaart brengen. “Die verantwoordelijkheid reikt verder dan het bedrijf zelf”, benadrukt Scholten. “Op die manier kun je ook aan leveranciers eisen stellen over hun cyberbeveiliging.”
Bestuurders in de boardroom verantwoordelijk voor cyberveiligheid
Een van de meest ingrijpende onderdelen van de nieuwe wet is de persoonlijke aansprakelijkheid van bestuurders. Als een toezichthouder oordeelt dat de beveiliging tekortschoot, kunnen niet alleen boetes worden opgelegd aan het bedrijf, maar ook aan de bestuurders zelf.
Bodewits nuanceert: waarschijnlijk is persoonlijke aansprakelijkheid alleen aan de orde bij ernstig verwijtbaar handelen of opzet. “Er wordt van bestuurders verwacht dat ze cyberincidenten proberen te voorkomen en het onderwerp serieus nemen.”
“De Cyberbeveiligingswet maakt van cybersecurity een onderwerp dat op het hoogste niveau behandeld moet worden”, zegt Scholten. “Bedrijven en organisaties kunnen nu niet meer zeggen: dit is iets van de security- of IT-afdeling. Het onderwerp moet in de bestuurskamer besproken worden.”
Wat betekent dit voor andere bedrijven?
De hack bij Albert Heijn laat zien dat de wet niet puur op papier bestaat. Grote incidenten worden nu zichtbaar gemeld en beoordeeld. Dat kan voor andere bedrijven een signaal zijn om hun eigen beveiliging kritisch te bekijken.
Met zo’n 8.000 organisaties die onder de wet vallen, is de reikwijdte aanzienlijk. Het doel is duidelijk: Nederland digitaal weerbaarder maken, van de bestuurskamer tot de leverancier om de hoek.
