Van koelcel tot serverruimte: waarom cybersecurity in het gebouw begint

Het was een weekend om niet snel te vergeten voor de supermarktbranche. In de nacht van 11 op 12 oktober 2026 zetten hackers in Frankrijk de koelinstallaties van honderden supermarkten op afstand in een geforceerde ontdooistand. Bij Intermarché, Système U, E.Leclerc en Monoprix moesten verse en diepvriesproducten worden weggegooid. Op hetzelfde moment lagen in Nederland de websites, apps en bezorging van Albert Heijn, Etos en Gall & Gall stil na een cybersecurity-incident.

Twee verschillende incidenten, met één gemeenschappelijke les. Cybersecurity gaat niet meer alleen over gestolen gegevens of een gehackte laptop. Het gaat over systemen die de fysieke wereld aansturen. En veel van die systemen zitten in het gebouw.

Wat er gebeurde

Frankrijk: de koeling als doelwit

Volgens Franse media werden de koelinstallaties van ruim 300 tot meer dan 400 winkels geraakt. De aanvallers gebruikten een fout in de software van de installaties van fabrikant Danfoss. Die fout was op 18 september al door de fabrikant gemeld. De hackers zetten de installaties in een ontdooistand en verhoogden bij sommige apparaten de ingestelde temperatuur flink. Eén winkel verloor volgens een vakblad voor zo'n € 220.000 aan producten. Er werden ook brandjes gemeld. Het Openbaar Ministerie in Parijs is een onderzoek gestart.

Opvallend is wat er niet gebeurde. Er werden geen gegevens gestolen en er werd geen losgeld gevraagd voor bestanden. Een gewone installatie in het gebouw werd gebruikt om echte schade aan te richten.

Nederland: de digitale ketting breekt

Bij Albert Heijn, Etos en Gall & Gall begon het incident op zondagmiddag 11 oktober. Het bedrijf spreekt van een cybersecurity-incident en heeft uit voorzorg systemen uitgezet. Online bestellen en bezorgen was niet mogelijk, persoonlijke kortingen werkten niet en in een deel van de distributiecentra lag het werk stil. In de winkels was minder vers. Over de oorzaak geeft Albert Heijn weinig details, omdat het onderzoek nog loopt. Wat er inmiddels wel bekend is, leest u in de update hieronder.

Het laat zien hoe afhankelijk een organisatie is van haar digitale systemen. Valt het digitale deel weg, dan merkt de klant dat tot in het schap.

Update: wat we nu weten

Sinds het weekend is over beide aanvallen meer bekend geworden. Dit is de stand op 13 oktober 2026.

Albert Heijn: verdacht verkeer en een gecontroleerde herstart

Volgens bronnen van de NOS zag Albert Heijn verdacht verkeer van hackers op zijn systemen. Dat verkeer liep via servers in de Verenigde Staten, Polen, Moldavië en Turkije. Waar de daders zelf zitten, zegt dat niets: aanvallers sturen hun verkeer vaak via andere landen. Albert Heijn bevestigt dat er sprake is van een cybersecurity-incident, maar geeft geen technische details. Wel deelt het bedrijf informatie over de aanval met andere bedrijven, zodat die zich kunnen beschermen.

Het incident bleef niet beperkt tot Nederland. Ook Delhaize in België had IT-problemen, en de websites van de Amerikaanse supermarkten van moederbedrijf Ahold Delhaize, zoals Stop & Shop en Food Lion, waren een tijd niet bereikbaar.

In de winkels was goed te zien hoe ver een digitaal incident reikt. Meerdere distributiecentra lagen stil, waardoor vooral verse producten ontbraken. De elektronische prijskaartjes aan het schap toonden nog de aanbiedingen van vorige week, zodat de prijs aan de kassa kon afwijken. Op 13 oktober waren de prijskaartjes hersteld en draaiden meerdere distributiecentra weer.

Volgens Albert Heijn worden de systemen nu stap voor stap en gecontroleerd weer aangezet. Er zijn tot nu toe geen aanwijzingen dat gegevens van klanten of medewerkers zijn buitgemaakt. Het bedrijf waarschuwt wel voor nepberichten die zich voordoen als Albert Heijn. Moederbedrijf Ahold Delhaize ziet geen reden voor een verband met de aanval in Frankrijk.

Frankrijk: oude regelkasten zonder updates

Het Openbaar Ministerie in Parijs heeft een onderzoek geopend, en ook ANSSI, het Franse nationale cyberagentschap, is erbij betrokken. Fabrikant Danfoss zegt dat het vooral gaat om twee typen regelkasten voor koeling die het einde van hun levensduur hebben bereikt. Ze krijgen geen updates meer, maar hingen nog wel in de winkels en waren vanaf internet bereikbaar. In ten minste één winkel werd ook apparatuur van een andere fabrikant, Dixell, geraakt.

Het probleem was niet nieuw. Danfoss waarschuwde in 2025 al voor deze regelkasten. Onderzoekers vonden er toen 2.765 die vanaf internet te bereiken waren. Deskundigen wijzen daarnaast op een verborgen onderhoudsingang in de software, waarmee een monteur toegang kon krijgen. De schade loopt in de miljoenen euro's. Op sommige plekken liep de temperatuur in de koelingen op tot 50 °C. Het advies van ANSSI is helder: koppel zulke regelkasten los van internet, of scherm ze heel streng af.

Wat leren gebouweigenaren hiervan?

• Wat aan het netwerk hangt, merk je in het gebouw. Prijskaartjes, koeling en logistiek draaien allemaal op het netwerk. Valt dat weg, dan staat er niets meer in het schap. In een kantoor geldt hetzelfde voor toegang, klimaat en verlichting.
• Apparatuur gaat langer mee dan de updates. Een regelkast in een installatie hangt er vaak tien jaar of langer. De fabrikant stopt eerder met updates. Weet daarom welke apparaten in het gebouw nog updates krijgen, en welke niet.
• Een onderhoudsingang is ook een ingang. Installaties die op afstand bereikbaar zijn voor de monteur, zijn dat soms ook voor een aanvaller. Vraag na welke toegang op afstand er is, en sluit wat niet nodig is.
• Snel afsluiten kan alleen als netwerken gescheiden zijn. Albert Heijn kon systemen uitzetten om erger te voorkomen. Dat lukt alleen als duidelijk is welk systeem waar aan hangt, en als installaties en kantoor-IT van elkaar gescheiden zijn.

Dit zijn precies de punten waar een IT-Label inspectie naar kijkt: welke apparatuur er aan het netwerk hangt, of de netwerken gescheiden zijn en hoe het gebouw beveiligd is.

Een gebouw zit tegenwoordig vol computers. Ze heten alleen koeling, klimaat, toegang en camera.

Waarom cybersecurity steeds belangrijker wordt

Steeds meer apparaten in een gebouw zijn met een netwerk verbonden. Denk aan de koeling, de klimaatinstallatie, de toegangspoortjes, de camera's, de slimme meters en de sensoren die bijhouden hoe druk een ruimte is. Vaak kan een installateur er op afstand bij om storingen op te lossen. Dat is handig, maar elke verbinding is ook een mogelijke ingang voor een aanvaller.

Tegelijk zijn organisaties steeds afhankelijker van die systemen. Kantoren draaien op cloudtoepassingen, videobellen en online samenwerken. Winkels en magazijnen draaien op voorraadsystemen en logistiek. Als het netwerk uitvalt, staat het werk stil. Meer over die ontwikkeling leest u in ons kennisbankartikel over cybersecurity in vastgoed.

Cybersecurity begint bij de hardware en de infrastructuur

Bij cybersecurity denken veel mensen aan virusscanners, wachtwoorden en firewalls. Die zijn belangrijk. Maar ze helpen weinig als de basis niet klopt. Een firewall beschermt niet als iedereen de serverruimte in kan lopen. Dit zijn de punten waar het in een gebouw vaak misgaat:

• De serverruimte en technische ruimte. Is de ruimte afgesloten? Wie heeft een sleutel of pas? Staat de netwerkapparatuur soms gewoon in een open kast op de gang?
• Fysieke toegang tot het netwerk. Kan een bezoeker een kabel in een vrije netwerkaansluiting steken en zo op het netwerk komen? Zijn er elektronische toegangscontrole en camera's?
• Open wifi. Een wifi-netwerk zonder wachtwoord, of een gastennetwerk dat niet gescheiden is van het kantoornetwerk, is een open deur.
• Installaties op hetzelfde netwerk. Hangen de koeling, het klimaat of de camera's aan hetzelfde netwerk als de kantoorcomputers? Dan kan een aanvaller via het ene systeem bij het andere komen.
• Toegang op afstand. Welke leveranciers kunnen van buitenaf inloggen, en hoe is dat beveiligd? Worden standaardwachtwoorden gebruikt?
• Verouderde apparatuur. Apparatuur en software die geen updates meer krijgen, blijven kwetsbaar. Juist in installaties blijft apparatuur vaak tien jaar of langer hangen.

Over de fysieke kant schreven we eerder in het artikel wie kan fysiek bij uw netwerk? en in cybersecurity begint bij de basis van het gebouw.

Wat de wet nu vraagt

De wetgever heeft de afgelopen tijd de lat flink hoger gelegd. Drie wetten zijn hier van belang.

De Cyberbeveiligingswet

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. Dit is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Meer dan 8.000 organisaties vallen eronder, in sectoren zoals energie, zorg, vervoer, digitale diensten, productie en levensmiddelen.

• Zorgplicht. Organisaties moeten passende maatregelen nemen om hun netwerken en systemen te beveiligen. De Europese richtlijn zegt daarbij uitdrukkelijk dat ook de fysieke omgeving van die systemen beschermd moet worden. Dat gaat dus ook over de serverruimte, de technische ruimte en wie daar binnen kan.
• Meldplicht. Een ernstig incident moet binnen 24 uur gemeld worden, met een uitgebreide melding binnen 72 uur.
• De keten. Organisaties zijn ook verantwoordelijk voor de risico's bij hun leveranciers. Denk aan de installateur die op afstand inlogt op de koeling of het klimaat.
• Het bestuur. Bestuurders zijn persoonlijk verantwoordelijk voor de naleving. Cybersecurity is daarmee geen zaak van de IT-afdeling alleen.

Wat deze wet betekent voor het gebouw, werkten we uit in de Cyberbeveiligingswet en de digitale gebouwlaag.

De Cyber Resilience Act

De Cyber Resilience Act is een Europese wet voor producten met een netwerkverbinding. Dat geldt ook voor de regelaars van koeling, klimaat en toegang in een gebouw. Sinds 11 september 2026 moeten fabrikanten een fout die actief misbruikt wordt binnen 24 uur melden. Vanaf december 2027 moeten nieuwe producten aan veiligheidseisen voldoen. De aanval in Frankrijk liep via precies zo'n fout in de software van een fabrikant. Meer daarover leest u in wat de CRA betekent voor vastgoed.

De AVG

Kunnen bij een aanval persoonsgegevens zijn ingezien of gestolen? Dan moet een organisatie dat binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Ook als de aanval begon bij een installatie in het gebouw.

Alle drie de wetten leggen de verantwoordelijkheid bij de organisatie of de fabrikant. Een groot deel van de risico's zit echter in het gebouw: in de serverruimte, het netwerk en de installaties. Een huurder kan alleen aan de zorgplicht voldoen als duidelijk is hoe het gebouw in elkaar zit.

Wat dit betekent voor huurder en verhuurder

In veel gebouwen is niet duidelijk wie waarvoor verantwoordelijk is. De verhuurder denkt in installaties, de huurder denkt in de eigen IT. Het gebouwnetwerk waar de koeling, het klimaat en de toegangscontrole op hangen, valt daar vaak tussenin.

Voor de huurder betekent dit: vraag vóór het tekenen hoe het gebouw beveiligd is. Wie kan bij de serverruimte, welke netwerken zijn er en wie beheert ze? Voor de verhuurder betekent dit: een gebouw waarvan de basis aantoonbaar op orde is, is aantrekkelijker voor huurders die onder de Cyberbeveiligingswet vallen. Leg samen vast wie wat beheert, zodat het bij een incident niet tussen wal en schip valt.

Wat een IT-Label inspectie bekijkt

Het IT-Label beoordeelt de digitale infrastructuur van een gebouw. Beveiliging hoort daarbij. Een Certified Partner kijkt tijdens de inspectie onder meer naar:

• of de serverruimte en de technische ruimtes afsluitbaar zijn;
• of er elektronische toegangscontrole en camerabewaking is;
• of er zichtbare netwerkbeveiliging is, zoals een firewall en beveiligde apparatuur;
• welke IoT-apparatuur en sensoren zijn aangesloten;
• hoe het wifi-netwerk is ingericht;
• of de netwerken gescheiden zijn.

De uitkomst komt terug in het opleverniveau van PREMIUM tot SHELL. Zo weten huurder en verhuurder waar het gebouw staat, en wat er nog moet gebeuren.

We zeggen er eerlijk bij wat het label niet is. Het is geen penetratietest en geen bewijs dat een organisatie aan de Cyberbeveiligingswet voldoet. Het IT-Label beoordeelt het gebouw, niet de eigen IT-omgeving van de huurder. Maar het geeft wel het fundament waarop een organisatie haar beveiliging kan bouwen.

Wilt u snel weten hoe een gebouw ervoor staat? De IT-Label Voorinspectie geeft binnen enkele dagen een indicatie van het digitale opleverniveau, vanaf € 750 excl. btw per locatie.

Zes vragen om nu te stellen

• Wie kan er bij de serverruimte? Is die afgesloten, en wordt bijgehouden wie er binnen gaat?
• Is er open wifi? En is het gastennetwerk gescheiden van het kantoornetwerk?
• Welke installaties hangen aan het netwerk? Koeling, klimaat, toegang, camera's: staan ze los van de kantoor-IT?
• Wie kan er van buitenaf inloggen? Welke leveranciers hebben toegang op afstand, en hoe is dat beveiligd?
• Welke apparatuur krijgt geen updates meer? Zijn er regelkasten of andere apparaten waarvoor de fabrikant gestopt is, en zijn die vanaf internet bereikbaar?
• Wie is verantwoordelijk? Is vastgelegd wat de verhuurder beheert en wat de huurder?

De incidenten van dit weekend laten zien dat een aanval niet altijd via de computer op het bureau binnenkomt. Soms komt die via de koelcel, de klimaatinstallatie of een open kast in de gang. Wie de digitale basis van het gebouw kent, kan die deuren op tijd dichtdoen.

Bronnen: RTS, Journal du Geek, Je bosse en grande distribution, Albert Heijn (mediastatement), NOS, ICT Magazine, NL Times, DutchNews, franceinfo, L'Usine Digitale, L'Avenir, Cyberattaque.org, NJB (Staatsblad 2026, 187), NCSC, ICTRecht, Stibbe, Jones Day, Digital Trust Center. Dit artikel is bijgewerkt op 13 oktober 2026. Het onderzoek bij Albert Heijn en in Frankrijk loopt nog.