Albert Heijn meldde een grote hack vanwege de nieuwe cyberbeveiligingswet die meldplicht en aansprakelijkheid voor bestuurders introduceert.
Albert Heijn moest een recente hack melden vanwege de nieuwe Cyberbeveiligingswet die in augustus van kracht is gegaan. Deze wet verplicht duizenden vitale organisaties, waaronder supermarkten, om cyberincidenten met grote impact binnen 24 uur te melden bij het Nationaal Cyber Security Centrum (NCSC). Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij onvoldoende maatregelen treffen.
De wet geldt voor sectoren die essentieel zijn voor de continuïteit van Nederland, zoals zorg, drinkwater, banken en levensmiddelen. Organisaties moeten zich registreren bij het NCSC en passende maatregelen nemen om cyberaanvallen te voorkomen en te beperken. Bij Albert Heijn leidde de hack tot het uitschakelen van delen van het IT-systeem, waardoor de website en app onbereikbaar werden en distributiecentra tijdelijk stil kwamen te liggen.
Door melding te maken bij het NCSC kan een getroffen organisatie gebruikmaken van de expertise van het centrum. Na de eerste melding is een update binnen 72 uur verplicht, omdat de situatie zich vaak ontwikkelt. De toezichthouder, voor supermarkten de Nederlandse Voedsel- en Warenautoriteit (NVWA), controleert of bedrijven voldoen aan de wet en passende beveiligingsmaatregelen hebben genomen.
De verantwoordelijkheid reikt verder dan het eigen bedrijf. Organisaties moeten ook de cyberrisico's van hun leveranciers in kaart brengen en eisen stellen aan hun beveiliging. Bij onvoldoende naleving kan de toezichthouder sancties opleggen en bestuurders persoonlijk aansprakelijk stellen, vooral bij ernstig verwijtbaar handelen.
