Cyberaanval MKB beveiliging: wat u kunt leren van het Albert Heijn-incident
In oktober 2026 werd Ahold Delhaize (het moederbedrijf van Albert Heijn, Etos en Gall & Gall) getroffen door een ernstig cybersecurity-incident. Logistieke processen en digitale diensten vielen plat. Hoe kon dit en, belangrijker: wat betekent dit voor uw eigen bedrijf? De lessen zijn direct toepasbaar, ook als u geen supermarktketen maar een mkb-onderneming runt.
Wat er precies misging bij Albert Heijn
Albert Heijn schakelde preventief meerdere systemen tegelijkertijd uit om de IT-omgeving te beschermen. Cyberbeveiligingsexperts stelden tegenover NRC dat dit erop wijst dat het bedrijf tijdens het incident niet wist waar de vermoedelijke aanvaller zich bevond binnen het netwerk. Dat is een veelzeggende constatering: zonder goed zicht op uw eigen netwerk bent u genoodzaakt drastische maatregelen te nemen die de bedrijfsvoering ernstig verstoren.
Tegelijkertijd werden honderden Franse supermarkten getroffen door een cyberaanval gericht op hun koelingssystemen. Digitale aanvallen op de retail- en logistieksector waren in de herfst van 2026 dus geen losstaand incident. Na de aanval op Albert Heijn waarschuwden experts dat ook ziekenhuizen, banken en andere Nederlandse sectoren kwetsbaar zijn voor vergelijkbare aanvallen. Geen enkele sector mag ervan uitgaan dat zij buiten schot blijft.
Waarom klantgegevens extra risico vormen
Een punt dat in de berichtgeving onderbelicht bleef: Albert Heijn bewaart aankoopgegevens van klanten tot 27 maanden terug, aldus eigen privacyvoorwaarden. Beveiligingsexperts benadrukken dat supermarktklantgegevens een gedetailleerd beeld van iemands levensstijl kunnen opleveren, van dieetpatroon tot gezinssamenstelling.
Dit raakt direct aan de AVG. Artikel 5(1)(e) van de Algemene Verordening Gegevensbescherming schrijft voor dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk voor het doel waarvoor ze zijn verzameld. De Autoriteit Persoonsgegevens houdt toezicht op de naleving hiervan en kan bij overtredingen boetes opleggen.
Voor u als mkb-ondernemer geldt dezelfde verplichting op grond van de AVG. Bewaart u klantgegevens in een CRM of factuuradministratie? Dan dient u volgens de Autoriteit Persoonsgegevens te kunnen aantonen waarom u bepaalde gegevens bewaart én hoe lang. Bent u benieuwd hoe u uw klantgegevens in een CRM-omgeving veilig en AVG-conform bijhoudt? Lees dan meer over hoe klantgegevensbeveiliging in CRM-systemen werkt en welke ketenrisico's u loopt.
De drie praktische lessen voor uw mkb
Het Albert Heijn-incident biedt concrete handvatten. Hieronder de voornaamste lessen, vertaald naar de schaal van een mkb-onderneming:
| Les | Wat Albert Heijn toonde | Wat u kunt doen |
|---|---|---|
| Netwerksegmentatie | Systemen waren onderling sterk afhankelijk | Scheid kritieke systemen van minder kritieke |
| Detectie & monitoring | Onduidelijk waar aanvaller zich bevond | Zet actieve netwerkmonitoring op |
| Incidentrespons | Drastische systeemuitschakeling vereist | Schrijf een noodprocedure vóór u die nodig heeft |
| Gegevensminimalisatie | Klantdata 27 maanden bewaard | Bewaar alleen wat noodzakelijk is, AVG-conform |
Stel: u werkt als IT-dienstverlener met tien medewerkers. Uw projectadministratie, klantgegevens en facturen staan in één cloudplatform. Als een aanvaller toegang krijgt tot dat platform, heeft hij in één klap inzicht in uw volledige klantenbestand. Robuuste toegangscontrole (verschillende rechten per medewerker, tweefactorauthenticatie, regelmatige wachtwoordrotatie) verkleint dat risico aanzienlijk.
Experts benadrukten na het incident dat robuuste netwerksegmentatie, snelle detectie en werkbare noodprocedures de doorslag geven. Die lessen klinken technisch, maar zijn vertaalbaar naar eenvoudige vragen: wie heeft toegang tot welk systeem, en wat doet u als dat systeem uitvalt?
Breng vandaag uw digitale administratie op orde en leg in één overzicht vast wie toegang heeft tot welke gegevens.
Ransomware en de kwetsbaarheid van kleine bedrijven
Veel mkb-ondernemers denken: 'Wij zijn te klein om een interessant doelwit te zijn.' Dat is een misvatting. Kleinere bedrijven beschikken doorgaans over minder beveiligingsbudget en minder IT-personeel, waardoor zij aantrekkelijk kunnen zijn voor criminelen die op zoek zijn naar de zwakste schakel in een keten. Lees meer over hoe ransomware kleine bedrijven raakt en hoe u uw administratie beschermt.
Daarnaast speelt de NIS2-richtlijn een steeds grotere rol. Grotere organisaties die onder NIS2 vallen kunnen volgens de richtlijn hun toeleveranciers (waaronder mkb-bedrijven) verplichten tot minimale cybersecuritymaatregelen. Bent u toeleverancier van een grotere partij? Dan kunt u indirect al verplichtingen hebben. Lees meer over wat NIS2 voor uw bedrijf betekent.
Conclusie
Het cybersecurity-incident bij Albert Heijn ligt dichter bij uw bedrijf dan het misschien lijkt. Het laat zien hoe kwetsbaar digitale systemen zijn wanneer netwerksegmentatie ontbreekt, detectie tekortschiet en noodprocedures niet beschikbaar zijn. Voor mkb-ondernemers zijn de lessen direct toepasbaar: breng in kaart welke gegevens u bewaart, wie er toegang toe heeft en wat u doet als een systeem uitvalt. Wie zijn administratie en klantgegevens goed op orde heeft, staat sterker, zowel tegenover aanvallers als tegenover de Autoriteit Persoonsgegevens.
Veelgestelde vragen
Hoe lang mag ik klantgegevens bewaren volgens de AVG? Dat hangt af van het doel waarvoor u de gegevens verwerkt. De AVG schrijft voor dat u persoonsgegevens niet langer bewaart dan noodzakelijk. Voor factuuradministratie geldt een fiscale bewaarplicht van zeven jaar; voor marketingdoeleinden gelden kortere termijnen. De Autoriteit Persoonsgegevens geeft hierover richtlijnen.
Moet ik als klein mkb-bedrijf ook voldoen aan NIS2? Niet altijd rechtstreeks, maar als u toeleverancier bent van een grotere organisatie die onder NIS2 valt, kunt u indirect verplichtingen hebben. Controleer dit via uw opdrachtgever of raadpleeg een jurist die gespecialiseerd is in IT-recht.
Wat doet u als eerste na een cyberincident? Zorg eerst dat u het incident kunt isoleren: koppel getroffen systemen los van het netwerk. Meld het incident vervolgens bij de Autoriteit Persoonsgegevens als er persoonsgegevens bij betrokken zijn. De AVG schrijft voor dat dit binnen 72 uur dient te gebeuren. Schakel daarna een gespecialiseerde incident-responspartij in.
Hoe beschermt u uw digitale administratie? Gebruik tweefactorauthenticatie, maak regelmatig back-ups op een afgescheiden locatie, beperk toegangsrechten per medewerker en gebruik een platform dat data versleuteld opslaat. Oefen ook uw noodprocedure zodat u niet voor het eerst nadenkt over wat u doet als het misgaat.
Zet vandaag de eerste stap
Een veilige en overzichtelijke digitale administratie begint met de juiste basis. PrikKlokPlus is een alles-in-één platform waarbij u zelf bepaalt wie toegang heeft tot welke gegevens, van urenregistratie en projectbeheer tot facturatie en klantbeheer.