De politie en het Openbaar Ministerie hebben Ahold Delhaize in het openbaar uitgenodigd om aangifte te doen van het cybersecurityincident bij Albert Heijn. Er loopt nu geen strafrechtelijk onderzoek. Het moederbedrijf heeft het incident wel gemeld bij het NCSC, zoals de nieuwe Cyberbeveiligingswet verplicht.
Het is een opvallende stap. Politie en OM maken in een persbericht bekend dat ze contact hebben gehad met Ahold Delhaize over de aanval op de supermarktketen, die eerder deze week plaatsvond. Een aangifte kwam daar niet uit voort. Het bedrijf is daarom “uitgenodigd om aangifte te doen”, aldus het bericht.
Volgens de NOS gebeurt het zelden dat de politie een bedrijf of organisatie zo openlijk aanspoort om aangifte te doen. Toch benadrukt de politie al jaren hoe belangrijk aangiftes zijn. “Om succesvol te kunnen opsporen en vervolgen is het cruciaal om altijd zo snel mogelijk informatie te krijgen van slachtoffers”, stellen politie en OM.
Waarom Ahold tot nu toe geen aangifte deed, is niet bekend. Het bedrijf spreekt zelf nog altijd van een ‘cybersecurity-incident’ en laat schriftelijk weten “met alle relevante autoriteiten samen te werken”. Verder doet Ahold op dit moment geen uitspraken. De Landelijke Eenheid heeft niets toe te voegen aan de oproep en het OM wacht af wat er komt.
Eerder op ICT Magazine: Cybersecurity-incident bij Albert Heijn
Distributiecentra weer operationeel
Ondertussen boekt Albert Heijn vooruitgang bij het herstel van de logistiek. Alle distributiecentra van de supermarktketen zijn weer operationeel. Vanwege het cybersecurity-incident werd eerder besloten om verschillende systemen uit voorzorg uit te schakelen. Hierdoor kwamen meerdere distributiecentra stil te liggen, wat leidde tot lege schappen in de winkels.
Albert Heijn heeft bekendgemaakt de reguliere levering van alle versproducten aan winkels te hervatten. De leveringen van houdbare producten werden eerder al volledig hervat. “Dit is een mooie stap vooruit in het herstel van onze bevoorrading. We zien landelijk in toenemende mate vollere schappen”, aldus de supermarktketen.
Hoewel de bevoorrading steeds verder op gang komt, kan de beschikbaarheid van producten per winkel en per productcategorie voorlopig nog verschillen. “We blijven stap voor stap werken aan het zorgvuldig en veilig herstellen van onze systemen. Dit kost tijd en vraagt veel van onze collega’s en klanten”, meldt de retailer. Om wat voor soort incident het precies gaat, is nog altijd niet bekendgemaakt.
Melding is geen aangifte
Wat Ahold wel heeft gedaan is het incident melden bij het Nationaal Cyber Security Centrum. Daartoe is het bedrijf verplicht onder de Cyberbeveiligingswet, de Nederlandse invulling van NIS2 die op 15 augustus van dit jaar in werking trad. Organisaties die daaronder vallen, moeten een significant incident binnen 24 uur vroegtijdig melden, binnen 72 uur een formele melding doen en binnen een maand een eindverslag aanleveren.
Maar die melding staat los van het strafrecht. Het NCSC beschouwt de wettelijke melding vooral als cyberveiligheids- en toezichtsmelding. Bij vermoedelijke cybercrime, zoals ransomware of datadiefstal, is een aparte aangifte bij de politie nodig. Wel kan informatie uit NCSC-meldingen volgens politie en OM relevant zijn voor hun aanpak van cybercriminaliteit, bijvoorbeeld technische kenmerken die te vergelijken zijn met soortgelijke aanvallen. Een strafrechtelijk onderzoek kan ook ‘ambtshalve’ starten, zonder aangifte. Dat gebeurde eerder na een datalek bij een laboratorium in Rijswijk.
Niet het eerste incident bij AH
Ahold Delhaize kreeg vaker met aanvallen te maken. In november 2024 meldde het concern dat er bestanden waren buitgemaakt uit Amerikaanse bedrijfssystemen. Daarbij konden namen, bankrekeningnummers en salarisgegevens van medewerkers van onder meer Albert Heijn, Etos en Gall & Gall zijn gelekt. Dat incident werd in verband gebracht met de ransomwaregroep INC Ransom. Ahold meldde dat lek destijds bij de Autoriteit Persoonsgegevens. Vorig jaar nog was Jan Bun, de grootste franchisenemer van Albert Heijn, het doelwit. Aanvallers installeerden ransomware en stalen personeelsgegevens, waaronder paspoorten en beoordelingen.