ZAANDAM – Het omvangrijke IT-incident bij Albert Heijn, Etos en Gall & Gall kan grote financiële gevolgen hebben. Sinds zondagmiddag 11 oktober zijn verschillende digitale diensten buiten gebruik en worden online bestelde boodschappen voorlopig niet bezorgd. De schade kan bij een langdurige verstoring in de miljoenen lopen. Maar wie betaalt uiteindelijk de rekening? De supermarktketen zelf, een externe IT-leverancier of een verzekeraar? Het antwoord ligt grotendeels besloten in contractuele afspraken, wettelijke verplichtingen en de oorzaak van het incident.
Digitale dienstverlening grotendeels stilgelegd
Moederbedrijf Ahold Delhaize maakte maandag bekend dat sprake is van een beveiligingsprobleem binnen het netwerk. Uit voorzorg zijn verschillende systemen uitgeschakeld om verdere risico's te beperken. Websites, apps, logistieke toepassingen en de klantenservice van Albert Heijn, Etos en Gall & Gall zijn hierdoor getroffen.
De fysieke winkels blijven geopend en de kassasystemen functioneren. Wel kunnen elektronische schapkaartjes verouderde actieprijzen tonen. Ook de Mijn Bonus Box, Koopzegels, Air Miles en verschillende persoonlijke kortingsacties zijn tijdelijk niet beschikbaar.
Albert Heijn heeft aangekondigd klanten te compenseren wanneer zij persoonlijke kortingen mislopen. Wanneer de digitale dienstverlening volledig kan worden hervat, is nog onbekend.
Dagelijks miljoenen euro's online omzet op het spel
De financiële belangen zijn aanzienlijk. Volgens de Twinkle100 realiseerde Albert Heijn in 2025 ongeveer 2,3 miljard euro onlineomzet. Omgerekend komt dat neer op gemiddeld 6,3 miljoen euro per kalenderdag.
Wanneer hypothetisch wordt uitgegaan van een winstmarge van 4 procent, vertegenwoordigt die omzet ongeveer 252.000 euro aan resultaat per dag. Bij vier dagen volledige omzetuitval zou dat rekenkundig ruim één miljoen euro betekenen.
Dat bedrag is nadrukkelijk geen vastgestelde schade. De werkelijke winstgevendheid van de onlineactiviteiten kan afwijken van de gehanteerde marge. Bovendien kunnen bestellingen later alsnog worden geleverd of verschuiven naar fysieke winkels. Daar staat tegenover dat de financiële gevolgen verder kunnen oplopen door extra personeelsinzet, technische onderzoeken, herstelwerkzaamheden, compensaties en mogelijke schadeclaims.
De vraag wie deze kosten moet dragen, is juridisch ingewikkelder dan de omvang van de storing doet vermoeden.
Contract met IT-leverancier vormt het uitgangspunt
Bij zakelijke IT-dienstverlening worden afspraken doorgaans vastgelegd in een overeenkomst en een zogenoemde Service Level Agreement (SLA). Hierin staan onder meer de beschikbaarheid van systemen, beveiligingsverplichtingen, reactietijden en verantwoordelijkheden bij incidenten.
Het onderscheid tussen een inspanningsverplichting en een resultaatsverplichting is daarbij belangrijk.
Bij een inspanningsverplichting moet een leverancier aantoonbaar zorgvuldig handelen, zonder dat een bepaald resultaat wordt gegarandeerd. Bij een resultaatsverplichting kan bijvoorbeeld zijn vastgelegd dat systemen minimaal 99,9 procent van de tijd beschikbaar moeten zijn.
Wanneer een leverancier een overeengekomen verplichting niet nakomt, kan sprake zijn van een toerekenbare tekortkoming. Dat betekent echter niet automatisch dat de volledige financiële schade moet worden vergoed.
Ook zonder specifieke beschikbaarheidsgarantie kan een leverancier aansprakelijk worden wanneer hij onvoldoende zorgvuldig heeft gehandeld. Van een professionele IT-dienstverlener mag worden verwacht dat deze passende beveiligingsmaatregelen treft, risico's signaleert en klanten tijdig waarschuwt.
Niet iedere storing is de schuld van de leverancier
Een complicerende factor is dat bij een cyberincident niet altijd direct duidelijk wordt wat er precies is gebeurd.
Is een beveiligingslek ontstaan door achterstallig onderhoud? Heeft een leverancier waarschuwingen genegeerd? Werden noodzakelijke updates niet uitgevoerd? Of is een organisatie getroffen door een aanval die ondanks passende voorzorgsmaatregelen moeilijk te voorkomen was?
Ook de beslissing om systemen preventief uit te schakelen kan een rol spelen. Ahold Delhaize zegt die maatregel te hebben genomen om de eigen infrastructuur te beschermen.
Wanneer het stilleggen van systemen noodzakelijk was om grotere schade te voorkomen, hoeft de daardoor ontstane schade niet automatisch voor rekening van een leverancier te komen.
Daarbij is ook van belang wie de getroffen systemen beheert. Niet alle digitale voorzieningen van een onderneming hoeven bij dezelfde externe leverancier te zijn ondergebracht. Een organisatie kan bovendien zelf verantwoordelijk zijn voor bepaalde onderdelen van haar beveiliging.
Aansprakelijkheid vaak contractueel beperkt
Zelfs wanneer een leverancier aantoonbaar een fout heeft gemaakt, kan een zogenoemd exoneratiebeding de financiële gevolgen voor die leverancier beperken.
In zakelijke IT-contracten staat regelmatig dat aansprakelijkheid is gemaximeerd tot een bepaald bedrag of tot de contractwaarde over een afgesproken periode. Ook kunnen omzetverlies, winstderving en andere vormen van indirecte schade zijn uitgesloten.
Daardoor kan een onderneming die miljoenen euro's schade lijdt uiteindelijk slechts aanspraak maken op een beperkte vergoeding.
Dergelijke afspraken zijn in commerciële overeenkomsten in beginsel toegestaan. Een leverancier moet zijn financiële risico's kunnen inschatten en verzekeren.
De rechter kan een aansprakelijkheidsbeperking onder bijzondere omstandigheden echter buiten toepassing laten wanneer een beroep daarop naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is.
Vooral opzet en bewuste roekeloosheid kunnen daarbij zwaar wegen. Ook de ernst van de tekortkoming, de contractonderhandelingen en de positie van beide partijen spelen een rol.
Artikel 6:248 van het Burgerlijk Wetboek is hierbij van belang. Artikel 6:235 bepaalt daarnaast onder welke omstandigheden ondernemingen zich niet kunnen beroepen op bepaalde vernietigingsgronden voor algemene voorwaarden. Dat kan onder meer relevant zijn wanneer een onderneming zelf herhaaldelijk vergelijkbare voorwaarden gebruikt.
Cyberaanval betekent niet automatisch overmacht
Een leverancier kan proberen aansprakelijkheid af te wijzen door zich op overmacht te beroepen. Een cyberaanval of beveiligingsincident vormt juridisch echter niet vanzelfsprekend een overmachtssituatie.
Van belang is of het incident volgens de wet en de overeenkomst binnen de risicosfeer van de leverancier valt.
Wanneer een IT-bedrijf contractueel verantwoordelijk is voor beveiliging, monitoring en herstel, kan het zich mogelijk niet verschuilen achter het feit dat kwaadwillenden een aanval hebben uitgevoerd.
Anders ligt dat wanneer aantoonbaar sprake is van een gebeurtenis waarvoor de leverancier volgens de gemaakte afspraken en geldende wettelijke regels niet verantwoordelijk is.
Ook daarom zijn technische logbestanden, beveiligingsrapportages en onafhankelijk forensisch onderzoek belangrijk. Zij kunnen inzicht geven in de oorzaak en helpen vaststellen welke partij haar verplichtingen mogelijk niet is nagekomen.
Ook klanten en persoonsgegevens kunnen betrokken zijn
De gevolgen van een omvangrijke IT-verstoring beperken zich niet tot omzetverlies.
Wanneer persoonsgegevens daadwerkelijk verloren zijn gegaan, zijn gewijzigd of onbevoegd toegankelijk zijn geworden, kan sprake zijn van een datalek onder de Algemene verordening gegevensbescherming (AVG).
Afhankelijk van het risico kan dan een meldplicht aan de Autoriteit Persoonsgegevens gelden. Bij een hoog risico voor betrokkenen moeten mogelijk ook klanten of medewerkers worden geïnformeerd.
Het enkele feit dat systemen vanwege een beveiligingsprobleem worden uitgeschakeld, bewijst overigens niet dat persoonsgegevens zijn buitgemaakt.
Ook tegenover consumenten kunnen verplichtingen ontstaan. Klanten die reeds betaalde boodschappen niet ontvangen, behouden in beginsel hun contractuele rechten. Afhankelijk van de omstandigheden kunnen zij aanspraak maken op terugbetaling, nakoming of een andere passende oplossing.
Bij Albert Heijn speelt bovendien de compensatie van persoonlijke kortingen die door het incident niet kunnen worden toegepast.
Verzekeraar kan deel van de schade vergoeden
Veel grote ondernemingen beschikken over verzekeringen voor cyberincidenten en bedrijfsonderbrekingen. Daarmee kunnen onder voorwaarden onder meer herstelkosten, forensisch onderzoek en financiële schade door bedrijfsuitval worden gedekt.
De precieze dekking verschilt echter per polis.
Verzekeraars stellen doorgaans eisen aan digitale beveiliging, toegangsbeheer, back-ups en incidentrespons. Wanneer een onderneming niet voldoet aan relevante polisvoorwaarden, kan dat gevolgen hebben voor een eventuele uitkering.
Ook bevatten polissen vaak eigen risico's, maximale vergoedingen en wachttijden voordat bedrijfsschade wordt vergoed.
Een cyberverzekering betekent daarom niet automatisch dat de volledige rekening bij de verzekeraar terechtkomt.
Schade kan uiteindelijk over meerdere partijen worden verdeeld
Bij het vaststellen van de financiële schade moet nauwkeurig worden onderzocht hoeveel inkomsten daadwerkelijk verloren zijn gegaan en welke kosten door het incident zijn veroorzaakt.
Niet iedere gemiste bestelling vertegenwoordigt definitief omzetverlies. Een klant kan dezelfde boodschappen later opnieuw bestellen of alsnog in een winkel kopen.
Daartegenover staan kosten die niet meer kunnen worden terugverdiend, zoals de inzet van externe beveiligingsspecialisten, extra werkzaamheden en mogelijk bederf van producten.
Ook moet worden bekeken of de getroffen onderneming redelijke maatregelen heeft genomen om de schade te beperken. Wanneer dat onvoldoende is gebeurd, kan dit gevolgen hebben voor een eventuele schadevergoeding.
Uiteindelijk kan de rekening worden verdeeld tussen de onderneming, betrokken leveranciers en verzekeraars. Dat hangt af van de vastgestelde oorzaak, de contractuele afspraken en de verzekeringsdekking.
Incident onderstreept kwetsbaarheid grote winkelketens
De problemen bij Albert Heijn, Etos en Gall & Gall laten zien hoe sterk moderne winkelketens afhankelijk zijn geworden van digitale infrastructuur.
Een beveiligingsprobleem kan in korte tijd gevolgen hebben voor bestellingen, bevoorrading, klantenservice, kortingssystemen en de dagelijkse bedrijfsvoering.
Voor ondernemingen is het daarom belangrijk vooraf vast te leggen welke systemen bedrijfskritisch zijn, welke beveiligingseisen gelden en wie verantwoordelijk is wanneer deze systemen uitvallen.
Zolang de oorzaak van het incident bij Ahold Delhaize niet volledig bekend is en eventuele contractuele verantwoordelijkheden niet zijn vastgesteld, kan niet worden bepaald wie de financiële gevolgen uiteindelijk moet dragen.
Eén ding is duidelijk: hoe langer de verstoring voortduurt, hoe groter het risico dat de schade aanzienlijk oploopt. En daarmee wordt de vraag wie de rekening betaalt steeds belangrijker.
