Cyberaanval kost moederbedrijf Albert Heijn tot 250 miljoen euro omzet

Ahold Delhaize, het moederbedrijf van Albert Heijn, verwacht dat de cyberaanval van oktober in het vierde kwartaal 200 tot 250 miljoen euro aan omzet en 75 tot 100 miljoen euro aan bedrijfsresultaat kost. Dat staat in de kwartaalcijfers van 4 november. Voor Nederlandse bestuurders laat dit zien hoe snel een IT-incident de hele bedrijfsvoering raakt.

Wat is er gebeurd?

Op 12 oktober kwam het nieuws over grote storingen naar buiten. Ahold Delhaize haalde systemen offline om de IT-omgeving te beschermen. Dat raakte vooral de online diensten in de Benelux en de VS en de toeleveringsketen in de Benelux; bol werd niet getroffen.

Distributiecentra lagen stil, winkels kregen te maken met lege schappen en websites en apps waren dagenlang onbereikbaar. CEO Frans Muller meldt dat het grootste deel van de verstoring binnen twee weken onder controle was, maar dat het volledige herstel nog loopt.

Wat kost de aanval?

• Omzet: 200 tot 250 miljoen euro minder in het vierde kwartaal.
• Bedrijfsresultaat: 75 tot 100 miljoen euro lager. De kosten voor respons en herstel komen daar nog bij, maar hebben volgens het bedrijf slechts een marginaal effect op het resultaat over 2026.

Hoe reageerde de beurs?

Na het eerste nieuws verloor het aandeel bijna 3 procent. Op 13 oktober stond het nog ongeveer 2,5 procent onder de slotkoers van de vrijdag ervoor.

Op de dag van de kwartaalcijfers ging het aandeel juist omhoog: ANP meldde in de ochtend ruim 2 procent winst. De cijfers over het derde kwartaal waren beter dan verwacht. Ook lag de geschatte schade onder de inschatting van Degroof Petercam, dat een dag eerder nog rekende op 600 miljoen euro omzetverlies en 150 miljoen euro minder resultaat.

Is er een verband met de gehackte koelingen?

Dat is niet vastgesteld, maar de reeks incidenten laat wel zien hoe kwetsbaar de sector is. Op dezelfde dag dat Albert Heijn werd getroffen (12 oktober) meldde de NOS dat hackers de koelsystemen van honderden Franse winkels hadden gemanipuleerd. Een woordvoerder van Ahold Delhaize zag geen reden voor een verband met het eigen incident.

Begin november volgden nieuwe aanvallen in meerdere Europese landen. In België werden minstens 76 winkels getroffen, waaronder een veertigtal van Delhaize. In Nederland ging het om zeker zeventien bedrijven, zoals buurtwinkels en slagerijen. Daar ontbrak een voldoende beveiligde netwerkverbinding en waren standaardwachtwoorden niet gewijzigd. Wie achter de aanvallen zit, is niet bevestigd.

Wat betekent dit voor uw organisatie?

De boodschap reikt verder dan supermarkten. Bespreek in uw bestuur vier vragen:

• Hoe lang kan uw organisatie doordraaien als u kernsystemen zelf offline moet halen, en wat kost elke dag stilstand?
• Weet u wat uw kernprocessen zijn en welke afhankelijkheden deze hebben?
• Zijn operationele systemen, zoals koeling, gebouwbeheer en logistiek, afgeschermd van het internet en voorzien van eigen wachtwoorden?
• Is het besluit om systemen offline te halen vooraf belegd en geoefend?

Wilt u uw bestuur hierop voorbereiden? Bekijk onze NIS2 boardroom training of lees meer over digitale weerbaarheid.