Cyberaanval leverancier CEVA vertraagt Bijenkorf-orders

Wat is er precies gebeurd bij de Bijenkorf en CEVA Logistics

CEVA Logistics is een van de grotere logistieke dienstverleners van Europa en verzorgt onder meer de orderverwerking en bezorging voor de Bijenkorf. Deze week meldde de Bijenkorf op zijn eigen website dat bestellingen vertraging oplopen door een beveiligingsincident bij deze partner. Klanten die nu bestellen, ontvangen hun pakket op zijn vroegst begin september: een vertraging van weken, midden in de zomer.

Wat er precies is gebeurd bij CEVA Logistics maakt de Bijenkorf niet volledig bekend. Dat is op zich logisch: tijdens een incident ligt de focus op herstel en klantcommunicatie, niet op een technische reconstructie naar buiten toe. Voor klanten en voor andere bedrijven die met CEVA werken, blijft daardoor onduidelijk hoe groot en hoe diep het probleem precies is.

Waarom dit geen probleem van een ander is voor jouw MKB

Het makkelijkste is om dit weg te zetten als pech voor de Bijenkorf. Maar de kern van het verhaal is breder: jouw bedrijf is net zo veilig als de zwakste schakel in je lijst van leveranciers. Werk je met een extern boekhoudpakket, een logistiek dienstverlener, een hostingpartij of een salarisverwerker, dan hangt jouw continuïteit gedeeltelijk af van hún beveiliging. Dat geldt voor een webshop met vijf medewerkers net zo goed als voor een warenhuisketen.

Dit ketenrisico staat inmiddels ook op de radar van de wetgever. De NIS2-richtlijn verplicht een groeiende groep bedrijven, en daarmee indirect ook hun toeleveranciers, om aantoonbaar werk te maken van cyberbeveiliging en het beheersen van risico's bij derde partijen. Val je zelf niet onder die richtlijn, dan merk je het vaak toch: grotere klanten of partners stellen steeds vaker vragen over jouw beveiligingsniveau, juist omdat zij hun eigen ketenrisico moeten beperken. We schreven eerder al over de Hugging Face-hack en over hoe Claude drie bedrijven wist te hacken: ook daar was de les steeds hetzelfde, een incident bij één schakel raakt al snel meerdere bedrijven.

Daarnaast speelt de AVG een rol zodra er persoonsgegevens in het spel zijn. Verwerkt een leverancier klantgegevens van jou, denk aan adressen voor bezorging, en wordt die leverancier getroffen door een aanval, dan kan dat ook voor jou een meldplicht bij de Autoriteit Persoonsgegevens betekenen. Veel MKB-ondernemers in Nederland weten niet dat die verantwoordelijkheid niet stopt bij de eigen voordeur.

Wat je concreet kunt doen tegen ketenrisico

Je hoeft niet meteen een dik beveiligingsbeleid te schrijven om je risico te verkleinen. Een paar praktische stappen helpen al enorm:

• Breng je belangrijkste leveranciers in kaart: wie heeft toegang tot klantdata, wie verwerkt bestellingen, wie host je website of webshop.
• Vraag simpelweg of ze een incidentresponsplan hebben en hoe snel ze jou informeren bij problemen.
• Zorg voor een alternatief bij je meest kritieke schakel, denk aan een tweede vervoerder of een uitwijkmogelijkheid voor je hosting.
• Houd je eigen systemen op orde: actuele back-ups, updates en een betrouwbare hostingpartij verkleinen de kans dat een incident bij jou net zo lang duurt als bij de Bijenkorf.
• Communiceer snel en eerlijk naar klanten als een partner in de problemen zit. De Bijenkorf doet dat nu ook: liever een eerlijke melding met een concrete datum dan stilte.

Voor de meeste MKB-bedrijven is dit geen kwestie van een groot project starten, maar van een paar uur tijd investeren om de belangrijkste risico's scherp te krijgen. Ook wachtwoordbeheer hoort daarbij: we schreven eerder over het risico van een Russische wachtwoordmanager voor Nederlandse bedrijven, en dezelfde vraag geldt voor elke tool die je inzet: wie beheert mijn toegang, en wat gebeurt er als die partij zelf wordt gehackt.