AI DAGELIJKS

Cyberaanval bij leverancier: wat Bijenkorf jou leert

11 augustus 2026 | Boris Kusters

Inhoud

Cyberaanval bij leverancier: wat Bijenkorf jou leert

Wie deze week iets bestelt bij de Bijenkorf, wacht minstens tot 3 september op zijn pakket. Niet omdat het magazijn vol ligt of het personeel ziek is, maar omdat CEVA Logistics, de logistiek dienstverlener achter de bezorging, is getroffen door een cyberaanval. De Bijenkorf meldt het beveiligingsincident zelf op de website: bestellingen lopen wekenlange vertraging op.

Het opvallende: De Bijenkorf is niet gehackt. Het bedrijf staat gewoon online, de kassa's draaien, de webshop werkt. Maar omdat een schakel verderop in de keten eruit ligt, ligt de hele bezorging alsnog stil. Dat is precies waarom dit nieuws relevant is voor jou als ondernemer, ook als je nooit iets met een warenhuis te maken hebt.

In dit artikel lees je wat er is gebeurd, waarom een aanval bij een leverancier net zo hard aankomt als een aanval bij jezelf, en welke stappen je deze week al kunt zetten om jouw bedrijf minder kwetsbaar te maken.

Wat is er precies gebeurd bij Bijenkorf en CEVA Logistics

CEVA Logistics is een van de grotere logistieke dienstverleners van Europa, onderdeel van de Franse rederijgroep CMA CGM, en verzorgt onder meer de pakketstroom voor De Bijenkorf. Begin deze week meldde De Bijenkorf op zijn eigen site dat bestellingen door een beveiligingsincident bij CEVA op zijn vroegst 3 september worden bezorgd. Dat is geen kwestie van dagen, maar van weken wachten op spullen die je al betaald hebt.

Over de precieze aard van de aanval is nog weinig naar buiten gebracht, wat op zich al veelzeggend is: bedrijven die getroffen zijn houden details vaak achter tot forensisch onderzoek is afgerond. Wat wel duidelijk is: de impact zit niet bij De Bijenkorf zelf, maar bij een partij waar De Bijenkorf volledig van afhankelijk is voor iets essentieels, namelijk het daadwerkelijk bij de klant krijgen van een bestelling.

Waarom een aanval bij je leverancier net zo hard aankomt

Dit is het patroon dat je dit jaar vaker voorbij hebt zien komen: niet het bedrijf zelf wordt gehackt, maar een partij erachter. Eerder dit jaar ging het over een datalek bij Hugging Face en over de Russische wachtwoordmanager Passwork die ineens een veiligheidsrisico bleek. Steeds dezelfde les: je eigen beveiliging kan op orde zijn, maar zodra je draait op de systemen van een ander, draag je ook diens risico.

Voor De Bijenkorf betekent dit weken vertraging en boze klanten. Voor een MKB-bedrijf kan het net zo goed betekenen: geen toegang meer tot je boekhouding omdat je accountantskantoor plat ligt, geen bestellingen meer kunnen verwerken omdat je webshophosting eruit ligt, of geen facturen meer kunnen versturen omdat je CRM-leverancier gehackt is.

Er zit ook een juridische kant aan. Verwerkt een leverancier persoonsgegevens van jouw klanten, zoals namen en adressen voor bezorging, dan blijf jij onder de AVG de verwerkingsverantwoordelijke. Gaat het mis bij die leverancier, dan is de kans groot dat jij alsnog moet uitleggen wat er is gebeurd, aan je klanten en eventueel aan de Autoriteit Persoonsgegevens, ook al lag de fout niet bij jou.

Wat dit betekent voor de Nederlandse MKB-realiteit

Je hoeft geen warenhuis met een eigen bezorgvloot te runnen om hetzelfde risico te lopen. Elk bedrijf, van eenmanszaak tot mkb-onderneming met twintig man personeel, leunt tegenwoordig op een stapel externe partijen: webhostingpartij, betaalprovider, boekhoudpakket, e-mailleverancier, bezorgdienst en steeds vaker ook AI-tools die met klant- en bedrijfsdata werken.

Ik zie het ook in mijn eigen bedrijf in Enschede: een storing bij een hostingpartij of een DNS-provider raakt in een paar minuten meerdere klantsites tegelijk, terwijl er aan mijn eigen code niets is veranderd. Dat is precies de kwetsbaarheid waar dit Bijenkorf-verhaal een groot en zichtbaar voorbeeld van is. De vraag die elke ondernemer zichzelf zou moeten stellen: wat gebeurt er met mijn bedrijfsvoering als leverancier X morgen een week plat ligt?

Tel daarbij op dat automatisering en AI-agents een steeds groter deel van bedrijfsprocessen overnemen, van klantenservice tot orderverwerking. Recent nieuws over AI-agents die uit geteste testomgevingen ontsnappen en over Anthropic dat de automatische modus van Claude Code standaard aanzet, laat zien dat de industrie voller en sneller automatiseert dan de controle erop meegroeit. Meer automatisering bij je leveranciers betekent ook: meer plekken waar iets kan misgaan zonder dat jij het ziet aankomen.

Concrete stappen om je leveranciersrisico te beperken

Je kunt een cyberaanval bij een leverancier niet voorkomen, dat ligt buiten jouw macht. Wat je wel kunt doen is de schade beperken als het misgaat.

Breng in kaart welke drie tot vijf leveranciers echt kritiek zijn voor je bedrijfsvoering: zonder hen staat de zaak stil.
Vraag die leveranciers concreet hoe ze omgaan met beveiligingsincidenten en binnen welke termijn ze jou informeren.
Leg afspraken vast in een verwerkersovereenkomst of contract, niet alleen in een mondelinge toezegging.
Bedenk voor je meest kritieke schakel een uitwijkscenario: een tweede leverancier, een handmatig noodproces, of op zijn minst een lijst met wie je moet bellen.
Zorg dat je klantendata en back-ups niet uitsluitend bij die ene externe partij staan.

Als het toch misgaat, bepaalt communicatie het vertrouwen

Wat De Bijenkorf in elk geval goed doet: het bedrijf communiceert actief en op tijd over de vertraging, in plaats van klanten te laten gissen waarom hun pakket niet komt. Dat voorkomt niet de ergernis, maar wel een deel van de schade aan het vertrouwen.

Voor een MKB-bedrijf geldt hetzelfde principe op kleinere schaal. Ligt je systeem plat door een leverancier, meld dat dan zelf en snel aan je klanten, met een reële inschatting van de vertraging. Stilzwijgen tijdens een storing kost je meer vertrouwen dan de storing zelf.

Wat dit betekent voor jou

Dit Bijenkorf-verhaal is geen incident dat je even wegleest omdat het een groot warenhuis betreft en jij een kleiner bedrijf hebt. Het is een concrete illustratie van een risico dat elk bedrijf loopt zodra het draait op externe leveranciers, en dat is inmiddels elk bedrijf. Je hoeft niet in paniek te raken, maar wel je belangrijkste afhankelijkheden kennen en weten wat je doet op de dag dat een van hen plat ligt. Dat is geen IT-project van een half jaar, het is een kwestie van een paar uur nadenken en vastleggen, het liefst voordat je erover leest in plaats van erin voorkomt.

Werkt deze AI-ontwikkeling door in jouw bedrijf? hosting voor MKB.

Veelgestelde vragen

Wat is een supply chain cyberaanval?

Dat is een aanval die niet je eigen bedrijf raakt, maar een leverancier waar je van afhankelijk bent, zoals een logistiek partner, hostingpartij of softwareleverancier. Jouw systemen zijn veilig, maar doordat een schakel in de keten uitvalt, ligt jouw dienstverlening alsnog stil. Het incident bij CEVA Logistics dat de bezorging van De Bijenkorf raakt, is daar een actueel voorbeeld van.

Waarom duurt het zo lang voordat Bijenkorf-bestellingen weer bezorgd worden?

Na een beveiligingsincident moet een logistiek dienstverlener eerst forensisch onderzoek doen, systemen weer veilig opstarten en de opgelopen achterstand in de pakketstroom wegwerken. De Bijenkorf noemt zelf 3 september als vroegst mogelijke bezorgdatum voor nieuwe bestellingen, wat aangeeft hoe groot de achterstand bij CEVA Logistics is.

Kan mijn bedrijf slachtoffer worden van een cyberaanval zonder dat ikzelf gehackt ben?

Ja. Zodra je afhankelijk bent van externe leveranciers voor hosting, boekhouding, betalingen of logistiek, erf je ook hun risico. Jouw eigen beveiliging kan volledig op orde zijn en toch merk je de gevolgen als een leverancier plat ligt, precies zoals bij De Bijenkorf nu gebeurt.

Moet ik een datalek melden bij de Autoriteit Persoonsgegevens als de fout bij mijn leverancier ligt?

Als jij de verwerkingsverantwoordelijke bent voor de persoonsgegevens die bij het incident betrokken zijn, blijft die meldplicht bij jou liggen, ook al zit de fout bij je leverancier. Een datalek meld je in de regel binnen 72 uur bij de Autoriteit Persoonsgegevens; leg daarom in je verwerkersovereenkomst vast dat een leverancier jou snel genoeg informeert om die termijn te halen.

Hoe controleer ik of mijn leveranciers hun beveiliging op orde hebben?

Vraag naar hun incidentresponsplan, hoe snel ze jou informeren bij een storing of hack, en of ze relevante certificeringen hebben. Leg dit vast in een verwerkersovereenkomst of contract in plaats van te vertrouwen op een mondelinge toezegging, zodat je iets hebt om op terug te vallen.

Wat kan ik als klein bedrijf deze week al doen?

Zet de drie tot vijf leveranciers op een rij zonder wie je bedrijf stilvalt, en bedenk per leverancier wat je doet als die morgen een week onbereikbaar is. Dat kost een middag en levert meer op dan maandenlang wachten op een uitgebreid beveiligingsplan.