Albert Heijn cyberincident: lessen over cyberweerbaarheid en supply chains

Wat er gebeurde

Op zondagmiddag 11 oktober vielen de websites, apps en klantenservice van Albert Heijn, Etos en Gall & Gall weg. Moederbedrijf Ahold Delhaize sprak van een cyberveiligheidsincident en schakelde uit voorzorg systemen uit om de IT-omgeving te beschermen. Ook Delhaize in België en enkele Amerikaanse formules van het concern ondervonden hinder.

Een dag later bleek de impact veel groter dan een webwinkel die niet werkt. In meerdere distributiecentra lag het werk volledig stil, bevestigde topvrouw Margaret Versteden-van Duijn tegenover de NOS. Volgens een mail aan leveranciers waarover RTL Z berichtte, draaide alleen het geautomatiseerde distributiecentrum in Zaandam nog. Leveranciers kregen het verzoek uitsluitend daar te leveren, binnen de afgesproken tijdsloten.

In de winkels werd het snel zichtbaar. Elektronische schapkaartjes toonden de actieprijzen van vorige week, spaarprogramma's werkten niet en online bestellingen werden geannuleerd. Albert Heijn waarschuwde voor lege schappen, vooral bij groente en fruit, terwijl diepvries, brood en houdbare producten beter beschikbaar zouden blijven. Andere supermarkten zagen hun online bestellingen toenemen.

Ten tijde van het schrijven van dit artikel was de exacte oorzaak nog niet bevestigd. Inmiddels heeft Ahold Delhaize bekendgemaakt dat sprake is van een cybersecurity-incident. Het onderzoek naar de precieze oorzaak en de eventuele betrokkenheid van aanvallers loopt nog.

Voorraad is tijd: Little's Law

Little's Law stamt uit de wachtrijtheorie en is in de jaren zestig door John Little bewezen. De wet legt een vaste verhouding vast tussen drie grootheden in een stabiel systeem: de gemiddelde voorraad is gelijk aan de doorzet maal de doorlooptijd.

L = \lambda \times W

In lean management is deze formule de rekenkundige onderbouwing geworden om voorraad terug te dringen. Minder voorraad bij gelijke doorzet betekent een kortere doorlooptijd, minder kapitaalbeslag en minder derving. Voor een supermarkt met versproducten is dat bovendien een kwestie van houdbaarheid. Albert Heijn heeft zijn keten daar terecht op ingericht.

Draai de formule om en je ziet wat er gebeurt als de aanvoer stopt. De voorraad in winkel en keten, gedeeld door de vraag per uur, is precies de tijd die je hebt tot het schap leeg is. MIT-hoogleraar David Simchi-Levi noemt dit de time to survive: hoe lang een keten de vraag kan blijven bedienen als een knooppunt uitvalt. Daartegenover staat de time to recover: hoe lang het duurt voordat dat knooppunt weer volledig werkt. Elke dag voorraad die je wegoptimaliseert, is een dag overlevingstijd minder.

Bij vers ligt de overlevingstijd in uren tot hooguit enkele dagen. De hersteltijd van IT na een ernstig incident ligt zelden in die orde. Maersk deed er na NotPetya ongeveer tien dagen over om zijn wereldwijde omgeving opnieuw op te bouwen. Jaguar Land Rover lag in 2025 zes weken stil. Zodra de hersteltijd langer is dan de overlevingstijd, is een leeg schap een rekenkundige zekerheid.

De wet werkt ook in de herstelfase. Als de distributiecentra weer opstarten, staat er een stuwmeer aan orders klaar. De doorzet van een distributiecentrum is begrensd, dus de doorlooptijd van de achterstand loopt op. Het herstel van de keten duurt daardoor langer dan de storing zelf. Simchi-Levi wijst er terecht op dat het herstel van één knooppunt een vervlochten systeem niet direct herstelt.

Waar efficiëntie en weerbaarheid botsen

Een efficiënte keten heeft weinig voorraad, weinig knooppunten en één centraal platform dat alle formules bedient. Elk van die keuzes is verdedigbaar en levert geld op. Elk ervan verkort ook de overlevingstijd of vergroot de impact van één verstoring. Bij Albert Heijn raakte één incident in een gedeelde IT-omgeving drie Nederlandse formules tegelijk. De maatregel die de schade in IT moest beperken, het preventief uitschakelen van systemen, legde vervolgens de logistiek stil. Op dat moment werd Zaandam in één klap het enige afleverpunt voor de hele Nederlandse keten.

Hoe het anders kan, liet dezelfde week België zien. Alle Belgische Albert Heijn-winkels zijn afhankelijk van het distributiecentrum in Tilburg, dat ook geraakt werd. Toch bleef de impact daar beperkt, omdat de volumes kleiner zijn en tijdelijk andere distributiecentra konden worden ingezet. Uitwijkcapaciteit werkte als buffer.

Twee klassieke casussen laten zien dat een buffer meer kan zijn dan voorraad. In 1997 brandde bij Aisin de enige fabriek af die remkleppen voor Toyota maakte. Er lag twee à drie dagen voorraad en de hele groep dreigde weken stil te vallen. Binnen enkele dagen draaide de productie weer, omdat tientallen leveranciers zichzelf organiseerden en de productie overnamen. Die buffer bestond uit vertrouwen, gedeelde kennis en reservecapaciteit bij partners, jarenlang vóór de brand opgebouwd.

Bij Maersk hing het herstel na NotPetya in 2017 af van toeval. Alle domeincontrollers waren gewist, op één na in Ghana die door een stroomstoring offline was geweest. Zonder die ene machine was er geen startpunt voor herstel. Een buffer die er bij toeval is, is geen strategie.

Efficiëntie optimaliseert voor de gewone dag, weerbaarheid voor de slechtste dag. Het bestuur moet bewust kiezen waar het de buffer legt, want ergens moet hij liggen.

Zeven handvatten voor bestuurders en CISO's

1. Zet overlevingstijd naast hersteltijd.

Vraag per productgroep of proces hoe lang de keten zonder IT de klant kan bedienen. Leg daar de realistische hersteltijd na een ransomware-aanval naast, gemeten in dagen tot weken. Overal waar de hersteltijd langer is dan de overlevingstijd, heb je een buffer of een alternatieve route nodig. Schneider Electric verhoogde volgens Simchi-Levi precies daar zijn voorraad.

2. Kies bewust welke buffer je bouwt.

Voorraad is bij vers maar beperkt mogelijk. Er zijn andere buffers: uitwijkcapaciteit in een ander distributiecentrum, zoals in België, tussenopslag bij een ketenpartner, zoals bij Bakker, of een handmatige procedure die echt geoefend is. Leg vast welke buffer bij welk proces hoort en wat die per jaar kost. Zo wordt weerbaarheid een begrotingspost met een prijskaartje.

3. Bepaal vooraf waar je de stekker uittrekt.

Preventief uitschakelen is vaak de juiste reflex, maar het mag de logistiek niet automatisch meenemen. Ontwerp segmentatie tussen kantoor-IT, webshop en de systemen voor magazijnbeheer en transportplanning. Spreek vooraf af wie mag besluiten tot uitschakelen, welke systemen in welke volgorde gaan en wat er dan blijft draaien.

4. Definieer een minimale operatie.

Welk deel van het assortiment moet hoe dan ook de winkel halen, en hoe doe je dat zonder systemen? Denk aan standaardorders per winkel die offline beschikbaar zijn, een recente export van voorraadposities en een transportplanning op basis van vaste routes. Bakker Logistiek merkte in 2021 dat honderden vrachtwagens niet met de hand te plannen zijn. Dat ontdek je liever in een oefening dan tijdens een incident.

5. Plan de herstart als apart project.

Little's Law voorspelt dat de achterstand langer doorwerkt dan de storing. Leg vooraf vast in welke volgorde knooppunten opstarten, hoe je de piek in orders afvlakt en hoe je voorkomt dat winkels en leveranciers het bullwhip-effect zelf versterken met paniekbestellingen. Deel tijdens herstel zo veel mogelijk echte verkoopinformatie met leveranciers.

6. Betrek ketenpartners in je weerbaarheid.

De Toyota-casus laat zien dat partners je buffer kunnen zijn, mits je die relatie vóór de crisis opbouwt. Oefen scenario's samen met kritieke leveranciers en logistieke dienstverleners. Neem in contracten op hoe je elkaar informeert, waar alternatieve afleverpunten liggen en wat ieder doet bij uitval. Kijk daarbij ook naar de kleine leveranciers, want Simchi-Levi vond bij Ford het grootste risico juist bij onderdelen van een paar dubbeltjes.

7. Maak weerbaarheid een bestuurlijke KPI.

Zolang alleen kostprijs, voorraaddagen en derving op het dashboard staan, wint efficiëntie elke discussie. Rapporteer overlevingstijd en hersteltijd van de kritieke ketens elk kwartaal aan de directie. De NIS2-richtlijn vraagt bovendien uitdrukkelijk om bedrijfscontinuïteit en beveiliging van de toeleveringsketen, ook in de levensmiddelensector, en legt die verantwoordelijkheid bij het bestuur. Begin met één tabletop-oefening waarin je de IT een week uitzet en kijkt wanneer het eerste schap leeg is.

De vraag voor de volgende bestuursvergadering is daarmee eenvoudig. Hoeveel uur houdt onze keten het vol zonder IT, en hoeveel dagen hebben we nodig om te herstellen? Wie die twee getallen niet kent, heeft zijn keten geoptimaliseerd voor een dag die steeds minder vaak voorkomt.