Sinds zondag 11 oktober kampen Albert Heijn, Etos en Gall & Gall met een cyberincident. Websites en apps uit, klantenservice onbereikbaar, distributiecentra geraakt, online bestellingen geannuleerd. Of het een hack is en of er data is gestolen, zegt AH nog niet. Een beveiligingsexpert zei tegen de NOS: je neemt niet zomaar zulke maatregelen. Wat wij wel weten, uit honderden scans van kleinere organisaties: de voorbodes van zo’n dag zijn maanden eerder zichtbaar. Niet als nieuws, maar als losse vondsten die niemand bij elkaar legt.
In het kort
- Albert Heijn, Etos en Gall & Gall hebben sinds 11 oktober 2026 een cyberincident dat websites, apps, klantenservice en distributiecentra raakt. AH heeft geen hack of datalek bevestigd.
- Bij een Nederlands mkb-bedrijf met 35 apparaten, leverancier in zo’n keten, vond Lupasafe in de eerste weken: een AI-agent op zes laptops zonder AI-beleid, een beheerdersaccount zonder MFA, iCloud Drive naast OneDrive en open databasepoorten op drie domeinen.
- Geen van die vondsten is een incident. Samen vormen ze de route die een aanvaller loopt. Elke vondst wijst op een afspraak die niet bestond, niet op een nalatige collega.
- NIS2 artikel 20 legt de verantwoordelijkheid bij het bestuur, artikel 21 somt de maatregelen op. De volgorde die werkt: eerst beleid, dan bewijs, dan training.
Lupasafe is een Nederlands cybersecurity-platform dat awareness training, phishing-simulaties, dark-web monitoring, DMARC, Microsoft 365-audit en NIS2-compliance combineert in een dashboard, en het bewijs per NIS2-control verzamelt. Meer op lupasafe.com/nis2/.
Waarom dit jou raakt, ook als je geen supermarkt bent
Je leidt een mkb-bedrijf, ergens tussen de 20 en 150 medewerkers. Je hebt een IT-partner die Microsoft 365 beheert, een accountant die elk jaar langskomt, en een paar grote klanten die steeds vaker vragen hoe het met je beveiliging zit. Misschien val je direct onder NIS2 en de Cyberbeveiligingswet. Waarschijnlijker val je er indirect onder: je levert aan een organisatie die wel in scope zit, of je beheert subsidies, donaties of partnerdata waar een accountant en een bestuur naar kijken. Als jouw grootste klant drie dagen stilstaat, krijg jij daarna een vraag. Niet of je gehackt bent, maar of je kunt aantonen dat je niet de zwakke schakel bent.
Vier vondsten bij een mkb-bedrijf met 35 apparaten
Vorige week bespraken wij de eerste scan van een Nederlands mkb-bedrijf met ruim dertig medewerkers dat levert aan grote ketens. Geen directe NIS2-plicht. Wel een grote klant in de keten, en een accountant die bij de jaarrekening bewijs van cyberweerbaarheid wilde zien. Het platform liet binnen een paar weken dit zien. Grote kans dat je het herkent.
1. Een AI-agent op zes laptops
Medewerkers hadden Claude lokaal geinstalleerd. Zo’n agent kan software installeren, poorten openen en koppelingen leggen met je CRM en je boekhouding. Vijf andere apparaten draaiden transcriptiesoftware voor vergaderingen, zonder dat iemand wist waar die transcripties stonden. Er was geen AI-beleid. Niemand had dus iets fout gedaan. Er was alleen niets afgesproken.
2. Een beheerdersaccount zonder MFA
Honderd procent van de medewerkers had MFA. Van de tien beheerdersaccounts van de IT-partner miste er een. Een beheerder die op een phishingmail klikt, geeft je hele Microsoft 365-omgeving weg. Misschien is het een bewust afgeschermd noodaccount. Misschien is het vergeten. Niemand had het gevraagd.
3. iCloud Drive naast OneDrive
Op veel apparaten stond iCloud aan, gekoppeld aan persoonlijke Apple-accounts. Bedrijfsdata op twee plekken, waarvan een buiten je zicht blijft als iemand vertrekt.
4. Databasepoorten open naar internet
Drie belangrijke domeinen stelden hun MySQL-poort bloot. De hosting adverteerde veertien diensten, waar alleen HTTPS nodig was. Het was eerder gemeld en nog steeds open.
Geen van deze vier is een incident. Samen zijn ze de route die een aanvaller loopt: een gelekt wachtwoord uit een extern datalek, een beheerder zonder tweede factor, een open poort, data op een plek die niemand bewaakt. Bij AH zie je het eindpunt van zo’n route. Bij dit bedrijf zie je het begin.
Het patroon: ontbrekend beleid, geen domme collega
Wie deze lijst leest, zoekt een schuldige. Dat is de verkeerde reflex. Elke vondst wijst op een afspraak die niet bestond. Welke AI-tools mogen, en met welke data. Wie beheerder is, en waarom. Waar bedrijfsdata staat. Wat een domein naar buiten mag tonen. Zonder die afspraken doet iedereen wat handig is, en handig is zelden veilig. Training helpt pas als er iets is om op te trainen.
NIS2 artikel 20 legt de verantwoordelijkheid voor cyberrisico’s bij het bestuur. Niet bij je IT-partner, niet bij de collega die toevallig handig is. Het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en volgt zelf training. Artikel 21 somt de maatregelen op: beleid en risicoanalyse, incidentafhandeling, continuiteit en back-up, ketenbeveiliging, toegangsbeheer en MFA. In Nederland vertaalt NIS2 Supply Chain 10 dit naar 17 controls die een organisatie zonder securityafdeling kan uitvoeren en aantonen.
Wat er bij dit bedrijf veranderde in vijftig minuten
Het bedrijf had al phishingtests en e-learning lopen en wilde daar meer van. De cijfers lieten iets anders zien: het probleem lag niet bij de medewerkers, maar bij ontbrekende afspraken. In een gesprek van vijftig minuten draaide de volgorde om. Eerst beleid, dan training. Informatiebeveiliging kreeg een eigenaar, het management kreeg een rol, en er kwam een lijst voor de komende maanden: een informatiebeveiligingsbeleid, een AI-beleid, een leverancierslijst, een jaarlijkse risicoanalyse, een geteste back-up en herstel, en een oefening voor incidenten.
Drie vragen voor je volgende MT
- Wie is bij ons verantwoordelijk voor informatiebeveiliging, op papier?
- Hebben wij een informatiebeveiligingsbeleid en een AI-beleid dat medewerkers kennen?
- Wanneer hebben wij voor het laatst zelf gekeken wat er op onze laptops en domeinen staat?
Als je op een van de drie geen antwoord hebt, heb je je eerste actiepunt. Wil je weten wat jouw domeinen naar buiten tonen? Doe de gratis scan op lupasafe.com/nis2-scan/.
Wat Lupasafe hierin doet
Lupasafe verzamelt dit bewijs doorlopend uit Microsoft 365, apparaten, domeinen en gelekte data: MFA-status per gebruiker, geinstalleerde software en patches, wat je domeinen naar buiten tonen, phishing- en trainingsresultaten. Het platform koppelt dat aan de NIS2-controls en toont per control wat er is en wat ontbreekt. Het beleid zelf schrijf en bepaal jij, met je IT-partner, en je legt het vast in het platform zodat directie, IT-partner en accountant naar dezelfde gegevens kijken. Lees hoe wij NIS2 aanpakken of start een proefperiode.
Veelgestelde vragen
Val ik onder NIS2 als leverancier van een groot bedrijf?
Direct onder NIS2 val je als je in een aangewezen sector werkt en de drempel van middelgroot haalt, of als de overheid je aanwijst. Indirect val je eronder als je levert aan een organisatie die direct in scope zit: die moet de risico’s in haar keten beheersen en zal je om bewijs vragen. Voor mkb-bedrijven en non-profits tot 150 medewerkers is dit de meest voorkomende route.
Wat vraagt NIS2 artikel 20 van het bestuur?
Artikel 20 maakt het bestuur verantwoordelijk voor de cyberrisico’s van de organisatie. Het bestuur keurt de risicobeheersmaatregelen goed, ziet toe op de uitvoering en volgt zelf training. De verantwoordelijkheid kan niet volledig worden uitbesteed aan een IT-partner.
Wat is NIS2 Supply Chain 10?
NIS2 Supply Chain 10 (SC10) is de Nederlandse set van 17 basismaatregelen voor organisaties die als leverancier in de keten van een NIS2-plichtige organisatie zitten. Het vertaalt artikel 20 en 21 van NIS2 naar controls die een organisatie zonder eigen securityafdeling kan uitvoeren en aantonen, zoals een beveiligingsbeleid, een inventaris van apparaten en informatie, MFA, back-up en herstel, en opleiding van bestuur en medewerkers.
Waarom eerst beleid en dan pas training?
Training vraagt mensen om regels te volgen. Zonder beleid bestaan die regels niet, en doet iedereen wat handig is. Stel daarom eerst vast wie verantwoordelijk is, welke tools en opslag zijn toegestaan en hoe toegang is geregeld. Train daarna op dat beleid en meet met phishingtests en e-learning of het beklijft.
Volgende delen in deze serie
Deel 2: Harde data verandert directies, awareness-praatjes niet. Hoe de accountantsvraag bij dit bedrijf leidde tot zes getallen op de directietafel, waarom die meer deden dan een consultantrapport, en hoe je zelf zo’n overzicht maakt.
Deel 3: Hoe de 17 controls van NIS2 Supply Chain 10 deze vier vondsten voorkomen. Per vondst de control die het had gevangen, de volgorde waarin je ze aanpakt, en het antwoord op de vraag: val ik eigenlijk onder NIS2?
Bronnen: mediastatement Albert Heijn, 11 tot 13 oktober 2026; NOS, 12 oktober 2026; ICT Magazine over de toeleveringsketen. AH heeft geen hack of datalek bevestigd; wij spreken daarom van een cyberincident. Het bedrijf in dit artikel is volledig geanonimiseerd; de cijfers komen uit het Lupasafe-platform.
