Ahold Delhaize wachtte ruim een week met aangifte: ‘De politie houdt contact met het bedrijf’

Ahold Delhaize deed maandag formeel aangifte van het cyberveiligheidsincident bij het concern. Dat gebeurde ruim een week nadat het bedrijf verdachte activiteiten in zijn IT-systemen had opgemerkt. De politie bestudeert de aangifte nu, meldde een woordvoerder op dinsdag 20 oktober 2026.

Voor de lezer rijst daarmee vooral een vraag over de volgorde van gebeurtenissen: waarom kwam de aangifte pas na ruim een week, en wat betekent dat voor een mogelijk onderzoek? Het is nog onduidelijk of de politie een onderzoek start. Die tijdlijn laat zien hoe het incident zich ontwikkelde.

Aangifte op maandag, onderzoek nog onzeker

De Nederlandse politie bestudeert de aangifte die het moederbedrijf van Albert Heijn, Etos en Gall & Gall indiende. Een woordvoerder zegt dat de politie ook goed contact houdt met het concern over het incident. Daarmee is het eerste contact tussen bedrijf en opsporing in elk geval gelegd.

Het is echter nog onduidelijk of de politie naar aanleiding van de aangifte ook een onderzoek begint. Een aangifte betekent dus niet automatisch dat er een strafrechtelijk onderzoek volgt. Eerst beoordeelt de politie wat er is aangeleverd en wat daarmee mogelijk is.

Ruim een week tussen ontdekking en aangifte

Ahold Delhaize merkte ruim een week voor de aangifte verdachte activiteiten in zijn IT-systemen op. Op 12 oktober 2026 meldde het bedrijf in Zaandam publiekelijk een beveiligingsprobleem binnen zijn netwerk. De teams namen stappen om het probleem te beoordelen en te beperken.

In dat bericht zei het concern dat het ter bescherming enkele systemen offline haalde. Tegelijk benadrukte het dat de winkels open waren en klanten bedienden. De bescherming van de infrastructuur had volgens het bedrijf prioriteit, in het belang van klanten, medewerkers en partners.

Binnen 24 uur gemeld bij het NCSC

Ahold Delhaize meldde de ontdekking wel binnen 24 uur aan het Nationaal Cyber Security Centrum (NCSC). Het bedrijf voldeed daarmee aan zijn meldplicht. Volgens de Cybersecurity Act, die sinds vorig jaar augustus geldt, moeten bedrijven en organisaties in Nederland cyberincidenten bij het NCSC melden.

De snelle melding bij het NCSC stond dus los van de latere aangifte. Het concern informeerde de overheid over het incident, maar schakelde de politie pas later formeel in. Daardoor liep het bedrijf eerst de verplichte route en pas daarna de strafrechtelijke.

Waarom een melding geen aangifte is

Op 16 oktober meldde Cybernews dat de politie en het Openbaar Ministerie Ahold Delhaize hadden uitgenodigd om formeel aangifte te doen. Op dat moment was er nog geen formele aangifte ingediend. Ook liep er toen volgens die berichtgeving geen strafrechtelijk onderzoek naar het incident.

Een melding bij het NCSC is namelijk niet hetzelfde als een formele aangifte bij de politie. In het persbericht schreef de politie dat het voor succesvol onderzoek en vervolging cruciaal is om zo snel mogelijk informatie van slachtoffers te krijgen. Volgens Cybernews was het de eerste keer dat de politie een bedrijf publiekelijk opriep aangifte te doen.

Systemen offline, webshops onbereikbaar

Het offline halen van systemen had gevolgen voor de dagelijkse gang van zaken. Veel webshops van het concern waren onbereikbaar. Ook de bevoorrading van winkels kwam in de problemen. Het bedrijf nam die stap uit voorzorg, vanwege het cyberincident.

Volgens Cybernews startte Albert Heijn zijn logistieke systemen daarna geleidelijk weer op. De productbeschikbaarheid kon per winkel nog verschillen, maar zou naar verluidt gedurende de dag langzaam normaliseren. Zo werd het herstel stap voor stap zichtbaar in de supermarkten.

Geen aanwijzingen voor gestolen gegevens

Over de gegevens is het bedrijf voorzichtig. Ahold Delhaize meldde vooralsnog geen aanwijzingen te hebben dat gegevens van klanten, werknemers of partners zijn buitgemaakt. Op 13 oktober liet het concern al weten dat het geen aanwijzingen had dat klantgegevens waren gestolen.

Dat is nadrukkelijk een tussenstand. Het onderzoek van Ahold Delhaize naar het incident loopt nog. Daarom zegt de huidige vaststelling niets definitiefs over de omvang van het incident, en ook niet over de oorzaak ervan.

Aparte context: de aanval in Frankrijk

Het incident bij Ahold Delhaize viel samen met een cyberaanval in Frankrijk. Daarbij warmden koelkasten en vriezers in honderden winkels ’s nachts op tot 50 graden Celsius, wat tot branden en bedorven voedsel leidde. Dat meldde Reuters op 13 oktober.

Een verband tussen beide incidenten is er volgens het NCSC niet. De Nederlandse toezichthouder zegt geen reden te hebben om dat aan te nemen. De Franse aanval is dus alleen als afzonderlijke context te noemen, niet als verklaring voor wat Ahold Delhaize overkwam.

Wat nu bekend is en wat nog niet

De stand van zaken is daarmee beperkt. De politie bestudeert de aangifte en houdt contact met het concern. Of dat leidt tot een strafrechtelijk onderzoek, is niet bekend. Bekend is wel dat een onderzoek ook zonder formele aangifte kan beginnen.

Voorlopig blijft de aandacht daarom liggen bij twee lopende trajecten. Ahold Delhaize onderzoekt zelf wat er in zijn systemen is gebeurd. De politie beoordeelt ondertussen of de aangifte aanleiding geeft tot opsporing. Over beide trajecten zijn nog geen resultaten gemeld.