Van webshop tot koelinstallatie: wat de cyberincidenten van deze week ons leren over business continuïteit
Cybersecurity voelde de afgelopen week ineens heel tastbaar. Niet omdat er opnieuw een paar organisaties zijn gehackt, maar vooral omdat zichtbaar werd wat een cyberincident met de dagelijkse bedrijfsvoering kan doen.
Bij Albert Heijn zijn systemen preventief uitgeschakeld vanwege een cybersecurityincident. Websites, apps en klantenservice werden tijdelijk onbereikbaar, online bestellingen werden geannuleerd en het incident had gevolgen voor logistieke processen en de beschikbaarheid van bepaalde producten. Winkels bleven wel open en kassabetalingen bleven mogelijk. De precieze oorzaak van het incident is op dit moment nog niet bekendgemaakt.
Bij ASOS speelde een heel ander scenario. Een aanvaller wist volgens de retailer de inloggegevens van een medewerker te bemachtigen door zich voor te doen als een vertrouwd contact. Daarmee werd toegang verkregen tot externe platforms die ASOS gebruikt voor de communicatie met klanten. Namen en contactgegevens werden mogelijk ingezien, terwijl betaalkaartgegevens en accountwachtwoorden volgens ASOS niet werden geraakt.
En in Frankrijk werd nóg duidelijker hoe groot de operationele impact van een cyberaanval kan zijn. Bij verschillende supermarktketens, waaronder Intermarché en Carrefour, werden aangesloten koelsystemen getroffen. De temperatuur van koelingen en vriezers werd gemanipuleerd, waardoor voedsel moest worden weggegooid en er op enkele locaties brand ontstond. Leverancier Danfoss gaf aan dat getroffen apparatuur onder meer legacy-producten omvatte die geen software- of beveiligingsupdates meer ontvangen.
Drie verschillende incidenten. Drie verschillende vormen van impact. Maar dezelfde belangrijke les: cybersecurity gaat niet alleen over het beschermen van data en systemen. Het gaat ook over het beschermen van de continuïteit van je organisatie.
Als digitaal stopt, hoe lang kan de business dan nog door?
Organisaties zijn voor vrijwel ieder belangrijk bedrijfsproces afhankelijk geworden van technologie. Van klantcontact en e-commerce tot logistiek, voorraadbeheer, betalingen en steeds vaker ook fysieke installaties. Dat levert snelheid en efficiëntie op, maar zorgt tegelijkertijd voor nieuwe afhankelijkheden.
Het incident bij Albert Heijn maakt dat heel concreet. De winkels konden openblijven, maar achter de schermen werden verschillende diensten geraakt. Online bestellen viel weg en logistieke systemen werden tijdelijk uitgeschakeld.
Een cyberincident hoeft dus niet eens alle systemen plat te leggen om grote gevolgen te hebben. Ook het preventief uitschakelen van systemen om verdere risico's te beperken kan de bedrijfsvoering flink verstoren.
Daarmee gaat cybersecurity niet alleen over het voorkomen van aanvallen, maar steeds meer over de weerbaarheid van de organisatie wanneer een belangrijk systeem uitvalt. Het vermogen om kritieke bedrijfsprocessen voort te zetten wordt daarmee minstens zo belangrijk.
Welke processen komen dan tot stilstand? Hoe lang kunnen we doorwerken? Welke alternatieven zijn beschikbaar? En hoe snel kunnen we veilig herstellen?
Dat is waar cybersecurity en business continuity elkaar raken.
Je bent zo weerbaar als de keten waarvan je afhankelijk bent
Daar komt nog een complicerende factor bij: organisaties opereren niet op zichzelf. Cloudplatforms, SaaS-oplossingen, leveranciers en andere externe platforms zijn verweven met de dagelijkse bedrijfsvoering. Dat vergroot het aantal digitale afhankelijkheden waarmee organisaties rekening moeten houden.
Bij ASOS draaide het incident bijvoorbeeld om externe platforms die het bedrijf gebruikt om met klanten te communiceren. Een aanvaller verkreeg volgens de retailer toegang nadat inloggegevens van een medewerker waren buitgemaakt. Dat laat zien waarom alleen naar de beveiliging van de eigen IT-omgeving kijken niet voldoende is. Je moet ook weten welke identiteiten toegang hebben tot kritieke systemen, welke externe partijen en platforms essentieel zijn voor je dienstverlening en wat er gebeurt wanneer één schakel in die keten wordt geraakt. Business continuity vraagt daarom om inzicht in de hele digitale keten.
Als een cyberaanval ineens fysieke gevolgen heeft
De cyberaanval op Franse supermarkten maakt die afhankelijkheid misschien nog wel het meest zichtbaar. Daar bleef de impact niet beperkt tot een laptop, applicatie of database. De aanval trof aangesloten koelsystemen. Bij getroffen winkels steeg de temperatuur van koelapparatuur, waardoor voedsel verloren ging.
Digitale beveiliging en de fysieke bedrijfsvoering komen hier letterlijk samen. Machines, magazijnen, gebouwen, productieomgevingen en andere operationele technologie zijn steeds vaker digitaal verbonden. Daardoor kan een kwetsbaarheid in technologie uiteindelijk gevolgen hebben voor voorraad, productie, veiligheid of dienstverlening.
Het onderscheid tussen een "IT-risico" en een "bedrijfsrisico" wordt daarmee steeds moeilijker te maken.
Cybersecurity is niet alleen een IT-vraagstuk
En precies daar wordt het een onderwerp voor de bestuurstafel. Wanneer een cyberincident gevolgen kan hebben voor omzet, productie, logistiek, dienstverlening, veiligheid en reputatie, kan de verantwoordelijkheid niet uitsluitend bij de IT-afdeling of CISO liggen.
Cybersecurity gaat dan over risicomanagement en bedrijfscontinuïteit. En sinds de komst van NIS2 en de Nederlandse Cyberbeveiligingswet is daar voor veel organisaties nog een dimensie bij gekomen: compliance.
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden en vormt de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet geldt voor organisaties die essentiële of belangrijke diensten verlenen binnen 18 sectoren. Organisaties moeten zelf vaststellen of zij onder de wet vallen.
Valt jouw organisatie onder NIS2? Doe de NIS2 Check!
Business continuity en NIS2 liggen dichter bij elkaar dan je misschien denkt
De Cyberbeveiligingswet kent onder andere een registratieplicht, meldplicht en zorgplicht. Die laatste is in het licht van de recente incidenten bijzonder relevant.
Organisaties die onder de wet vallen, moeten passende maatregelen nemen om risico's voor hun netwerk- en informatiesystemen te beheersen. Daarbij gaat het niet alleen om het voorkomen van incidenten, maar ook om het beperken van de gevolgen daarvan. De zorgplicht is daarmee ook gericht op het zoveel mogelijk waarborgen van de continuïteit van diensten.
Dat sluit direct aan bij de vraag die de cyberincidenten van deze week oproepen: Wat gebeurt er als het misgaat? Heb je zicht op de digitale afhankelijkheden van je belangrijkste bedrijfsprocessen? Weet je welke leveranciers, identiteiten, systemen en technologie cruciaal zijn? En heb je maatregelen getroffen om de impact te beperken wanneer één daarvan uitvalt?
Compliance wordt daarmee meer dan een kwestie van eisen afvinken. De achterliggende vraag is of je organisatie daadwerkelijk voldoende weerbaar is.
Ook het bestuur is aan zet
De Cyberbeveiligingswet onderstreept bovendien dat cybersecurity niet alleen de verantwoordelijkheid is van IT. Het bestuur moet maatregelen om aan de zorgplicht te voldoen goedkeuren en toezien op de uitvoering ervan. Bestuurders moeten daarnaast voldoende kennis hebben om cyberrisico's en beveiligingsmaatregelen te kunnen beoordelen en daarvoor passende training volgen.
Dat brengt business continuity, security en compliance bij elkaar.
Want uiteindelijk gaat de discussie niet over hoeveel securitytools een organisatie heeft aangeschaft. Het gaat over de vraag of de belangrijkste risico's bekend zijn, of passende maatregelen zijn genomen en of de organisatie kan blijven functioneren wanneer een incident zich tóch voordoet.
Cyberweerbaarheid begint met weten waar je staat
Geen organisatie kan garanderen dat een cyberincident nooit plaatsvindt. Maar je kunt wel bepalen hoe goed je erop voorbereid bent.
Dat vraagt onder andere om inzicht in je kritieke bedrijfsprocessen, digitale afhankelijkheden, leveranciers, identiteiten en kwetsbaarheden. En om plannen voor het moment waarop systemen tijdelijk niet beschikbaar zijn of veilig hersteld moeten worden.
Goede beveiliging alleen is dus niet genoeg. Een weerbare organisatie is voorbereid op het moment dat er toch iets misgaat en kan kritieke bedrijfsprocessen zo veel mogelijk voortzetten. Voor organisaties die onder de Cyberbeveiligingswet vallen, speelt daarnaast compliance een belangrijke rol en moeten ook de verplichtingen vanuit NIS2 worden meegenomen.
Hoe staat jouw organisatie ervoor?
Met onze NIS2-check krijg je inzicht in waar jouw organisatie staat en welke aspecten nog aandacht vragen. Niet alleen vanuit compliance, maar vooral als vertrekpunt voor een organisatie die beter voorbereid is op digitale verstoringen.
