[DAGBRIEFING]
Albert Heijn-incident onder de loep na nieuwe cyberwet, G7 oefent met AI-aanvallen
Het cybersecurity-incident bij Albert Heijn, dat afgelopen zondag werd ontdekt, is een van de eerste grote incidenten sinds de inwerkingtreding van de nieuwe Cyberbeveiligingswet in augustus. Deze wet verplicht duizenden belangrijke organisaties, waaronder supermarkten, om impactvolle cyberaanvallen binnen 24 uur te melden bij het Nationaal Cyber Security Centrum (NCSC) en na 72 uur een update te geven 226. Bestuurders kunnen persoonlijk aansprakelijk worden gehouden als de cyberbeveiliging niet op orde is 2.
Het incident bij Albert Heijn leidde tot het uit voorzorg uitschakelen van IT-systemen, waardoor de website en app onbereikbaar werden, online bestellingen niet konden worden bezorgd en distributiecentra stil kwamen te liggen 226. Dit heeft nog steeds gevolgen; de bezorgdatum is verschoven naar dinsdag 20 oktober 26. Het onderzoek naar de aard en oorzaak van het incident is nog gaande, en er zijn tot nu toe geen aanwijzingen dat persoonsgegevens betrokken zijn 26. De informatie die bij het NCSC binnenkomt, wordt doorgestuurd naar toezichthouders zoals de Nederlandse Voedsel- en Warenautoriteit (NVWA), die controleren of bedrijven 'passende' maatregelen hebben getroffen 2.
De verantwoordelijkheid onder de Cyberbeveiligingswet reikt verder dan het eigen bedrijf; organisaties die onder de wet vallen, moeten ook de risico's van hun leveranciers in kaart brengen en eisen stellen 2. De wet geldt voor ongeveer 8000 organisaties in sectoren die essentieel zijn voor Nederland, zoals de zorg, drinkwater, banken en de levensmiddelensector 2.
Internationaal bereiden de financiële leiders van de G7-landen zich voor op cyberaanvallen die met kunstmatige intelligentie (AI) worden uitgevoerd. Zij gaan oefenen om hun reactie op dergelijke aanvallen te testen en te bepalen of bestaande noodprocedures voldoende zijn 5. Deze stap volgt op een waarschuwing van het Internationaal Monetair Fonds (IMF) dat een AI-gestuurde cyberaanval op een essentiële financiële dienst het vertrouwen in het financiële systeem kan ondermijnen 5. De Britse centrale bank werkt al samen met banken aan herstelplannen en waarschuwt dat banken niet langer kunnen uitgaan van de weerbaarheid van hun digitale beveiliging tegen AI-aanvallen 5.
Kernpunten
- De Cyberbeveiligingswet, sinds augustus van kracht, verplicht 8000 essentiële organisaties in Nederland tot melding van impactvolle cyberincidenten binnen 24 uur en updates na 72 uur 2.
- Het cybersecurity-incident bij Albert Heijn heeft geleid tot uitval van de website, app, bezorgdiensten en distributiecentra, en het onderzoek naar de oorzaak is nog gaande 226.
- De G7-landen gaan oefenen met AI-gestuurde cyberaanvallen om de weerbaarheid van de financiële sector te testen, na waarschuwingen van het IMF en de Bank of England 5.
Zorg · NEN 7510
Zorginstellingen vallen onder de nieuwe Cyberbeveiligingswet en moeten impactvolle cyberincidenten binnen 24 uur melden bij het NCSC, met een update na 72 uur 2. Dit betekent dat zij hun incidentresponsprocedures moeten afstemmen op deze meldplichten en de risico's bij hun leveranciers in kaart moeten brengen 2.
Alle zorgnieuws →Overheid · BIO / NIS2
Overheidsorganisaties vallen onder de nieuwe Cyberbeveiligingswet en zijn verplicht om impactvolle cyberincidenten binnen 24 uur te melden bij het NCSC, met een update na 72 uur 2. Bestuurders kunnen persoonlijk aansprakelijk worden gehouden als de cyberbeveiliging niet op orde is, wat naleving van passende maatregelen vereist 2.
Alle overheidsnieuws →Risico's
Scenario's, geen voorspellingen — hoe groot de kans is dat het jou treft weeg je zelf.
-
KRI Bestuurder wordt persoonlijk aansprakelijk gesteld via het niet op orde hebben van cyberbeveiliging, met juridische gevolgen als gevolg 2.
Relevant voor jou als: je organisatie valt onder de Cyberbeveiligingswet en je hebt de cyberbeveiliging niet op orde
-
HOO Aanvaller verstoort de primaire dienstverlening via een cyberincident, met grote financiële schade en uitval van diensten als gevolg 2.
Relevant voor jou als: je organisatie valt onder de Cyberbeveiligingswet en je hebt geen passende maatregelen getroffen om cyberincidenten te voorkomen of te herstellen
-
HOO Aanvaller ontregelt de financiële sector via AI-gestuurde cyberaanvallen, met ondermijning van het vertrouwen in het financiële systeem als gevolg 5.
Relevant voor jou als: je organisatie is een financiële instelling en je systemen zijn niet bestand tegen AI-gestuurde aanvallen
-
MID Organisatie overtreedt de meldplicht via het niet tijdig melden van een impactvol cyberincident, met toezichtmaatregelen en boetes als gevolg 2.
Relevant voor jou als: je organisatie valt onder de Cyberbeveiligingswet en je meldt een (vermoed) cyberincident met grote impact niet binnen 24 uur aan het NCSC
Aanbevolen acties
- Evalueer incidentresponsprocedures op naleving van de 24/72-uurs meldplichten onder de Cyberbeveiligingswet [2].
- Breng de cyberrisico's van ketenpartners en leveranciers in kaart en stel hier eisen aan [2].
- Test de weerbaarheid van systemen en noodprocedures tegen geavanceerde cyberaanvallen, inclusief AI-gestuurde varianten [5].