Op 13 oktober 2026 meldde het NCSC dat meerdere cyberincidenten de Europese levensmiddelensector raken. Het NCSC ziet op dit moment geen reden om aan te nemen dat ze met elkaar samenhangen. Het NCSC treedt op als nationaal CSIRT en als sectoraal CSIRT voor aangewezen organisaties, volgt dreigingen continu, onderzoekt de feiten en deelt informatie met betrokken partijen. Over individuele organisaties of lopend onderzoek doet het geen uitspraken. Op de pagina staat geen technisch advies over de incidenten zelf.
Wat er publiek bekend is
Volgens SecurityWeek nam Ahold Delhaize na een beveiligingsincident uit voorzorg systemen offline. Winkels bleven open en het bedrijf zegt dat zijn vermogen om klanten te bedienen niet is aangetast. Belgische media meldden dat leveringen en online bestellingen van Albert Heijn en Delhaize in België en Nederland werden verstoord; het bedrijf erkende dat de impact per merk verschilt en begon met een gecontroleerde heropstart van sommige systemen. Het zegt geen aanwijzingen te hebben dat klant- of medewerkersdata zijn gestolen en heeft autoriteiten en belanghebbenden geïnformeerd.
Een tweede bericht, op basis van Reuters en BFM TV, betreft koel- en vriesregelaars van de Deense fabrikant Danfoss. Aanvallers zouden op afstand de doeltemperatuur op 50 graden Celsius hebben gezet, waardoor koelingen en vriezers overnacht ontdooiden. Bij sommige apparatuur liep de temperatuur zes uur op voordat medewerkers het merkten. Meer dan 300 winkels in Frankrijk zouden zijn geraakt; er was ook schade in België, Duitsland, Nederland, Polen, Portugal en Spanje. BFM TV schat de verliezen op miljoenen euro’s, en producten waarvan de bewaaromstandigheden niet gegarandeerd konden worden, zijn uit de verkoop gehaald. Claroty had ongeveer twee maanden eerder kwetsbaarheden gemeld in het beheerplatform AK-SM 800A van Danfoss; het is onduidelijk of die zijn gebruikt. Ook een verband met het incident bij Ahold Delhaize is niet vastgesteld. Lees meer bij SecurityWeek en bij het NCSC.
Waarom dit een ketenvraagstuk is
Wat de twee berichten gemeen hebben, is niet bewezen samenhang maar een patroon: een fysiek proces, de koude keten of de bevoorrading, hangt af van software en apparatuur van derden die op afstand bereikbaar is. De schade zit dan niet in gestolen gegevens maar in continuïteit: bedorven voorraad, lege schappen, vertraagde leveringen. Voor een bestuur betekent dat dat het ketenrisico niet stopt bij de leverancier van uw ICT, maar ook de fabrikant van uw koelregelaar, uw logistieke platform en de partij die dat beheert omvat.
Het vraagt ook een andere meetlat. Bij een datalek telt u records; bij een verstoring van de bedrijfsvoering telt u uren tot herstel, het aantal vestigingen en de waarde van de voorraad. Zet die maatstaven vooraf vast in de risicoanalyse, per kritieke leverancier, zodat u bij een incident niet moet gaan rekenen.
Checklist voor CISO en inkoop
De volgende punten zijn onze eigen duiding en komen niet uit de genoemde bronnen:
- Breng in kaart welke operationele apparatuur (koeling, klimaat, logistiek, kassasystemen) op afstand wordt beheerd, door wie, en via welk beheerplatform.
- Leg per leverancier vast wie kwetsbaarheidsmeldingen ontvangt en binnen welke termijn updates worden uitgerold, en neem dat contractueel op.
- Controleer of beheerinterfaces van leveranciers niet rechtstreeks vanaf internet bereikbaar zijn en of toegang is beveiligd met meervoudige authenticatie en logging.
- Zorg voor temperatuur- en procesbewaking die los staat van het beheersysteem en direct alarmeert, zodat een manipulatie binnen minuten opvalt in plaats van uren.
- Oefen een scenario waarin een leveranciersplatform wordt misbruikt of uitvalt: wie beslist, wie meldt, en welke handmatige terugvalprocedure geldt?
Melden en bestuurlijke afweging
De Cyberbeveiligingswet (Cbw) is sinds 15 augustus van kracht en geldt voor ongeveer 8.000 organisaties in 18 (zeer) kritieke sectoren; grotere bedrijven in andere sectoren en sommige leveranciers kunnen er ook onder vallen. Organisaties die eronder vallen moeten significante incidenten melden bij het CSIRT van hun sector en bij de toezichthouder. Het NCSC noemt op de pagina geen drempels of termijnen; die staan in de wet en in de handreikingen. Of de genoemde bedrijven onder de wet vallen, volgt niet uit de bronnen. Voor uw eigen organisatie geldt: bepaal vooraf wie beoordeelt of een incident significant is en wie mag melden, ook als de oorzaak bij een leverancier ligt.
Het NCSC wijst er verder op dat kleine bedrijven tot 1.250 euro subsidie kunnen krijgen voor cyberveiligheidsmaatregelen.
Wat betekent dit? Voor bestuurders is de les dat ketenrisico ook fysieke continuïteit raakt. Vraag uw CISO en inkoop welke leveranciers uw bedrijfsproces op afstand kunnen aansturen of verstoren, wat de contractuele eisen zijn voor updates en incidentmelding, en of u een incident bij zo’n leverancier zelf zou zien. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om die leveranciers te classificeren, eisen vast te leggen en de afhankelijkheden zichtbaar te maken voordat een aanval ze voor u blootlegt.