Gehackte koelingen – Waarom IoT beveiliging een juridische bestuurstaak is

Wie binnen een onderneming over digitale veiligheid beslist, beslist ook over de continuïteit van het bedrijf. Dat geldt niet alleen voor servers, financiële administratie en klantgegevens. Ook koelinstallaties, sensoren en onderhoudssystemen kunnen een bedrijf kwetsbaar maken. De aanvallen op supermarktkoelingen laten zien hoe een digitale ingreep direct kan leiden tot fysieke schade. Voor ondernemers ligt daar een belangrijke opdracht: verbind cybersecurity met onderhoud, leveranciersafspraken, bestuur en juridische compliance, voordat een incident die samenhang afdwingt.

Op 2 november 2026 verschenen berichten over getroffen koelinstallaties bij Belgische Delhaize-winkels, onderdeel van Ahold Delhaize. Ook andere supermarktketens en Nederlandse bedrijven werden genoemd. In oktober waren al Franse supermarkten aangevallen. Volgens de berichtgeving wijzigden aanvallers de instellingen van koelsystemen, onder meer naar een doeltemperatuur van 50 graden Celsius. Daarbij lijken ontdooifuncties te zijn misbruikt. Verwarmingselementen die normaal ijsvorming tegengaan, kunnen bij verkeerde aansturing de temperatuur laten oplopen. Een ingestelde doeltemperatuur is overigens niet hetzelfde als de werkelijk bereikte temperatuur. De gevolgen waren niettemin ingrijpend: voedsel ging verloren, ondernemers moesten noodmaatregelen treffen en de bedrijfsvoering kwam onder druk te staan.

Waar zit de kwetsbaarheid?

De kwetsbaarheid zit niet noodzakelijk in de koelkast als zelfstandig apparaat. Vaak gaat het om een combinatie van regelsoftware, netwerkverbindingen en toegang voor onderhoudspartijen. Beheer op afstand bespaart tijd en maakt snelle storingsdiagnose mogelijk. Tegelijkertijd ontstaat daarmee een toegangsmogelijkheid die zorgvuldig moet worden beveiligd. Deze verbonden apparatuur behoort tot het internet of things, ofwel IoT. In een bedrijfsomgeving overlapt IoT met operationele technologie: systemen die fysieke processen aansturen. Een onbevoegde gebruiker kan daardoor niet alleen gegevens inzien, maar ook installaties anders laten functioneren. Digitale veiligheid omvat dus eveneens de betrouwbaarheid van opdrachten, instellingen en alarmen.

Wat is een praktische vaag voor ondernemers?

Een eerste praktische vraag voor ondernemers is daarom niet welke nieuwe wet er bestaat, maar welke digitale afhankelijkheden hun bedrijfsproces dragen. Welke apparaten communiceren met internet? Wie kan op afstand instellingen veranderen? Hoe lang blijft de software ondersteund? En wie reageert als een alarm midden in de nacht afgaat? Een overzicht van apparatuur, softwareversies, leveranciers en beheertoegang vormt de basis voor IoT-beveiliging. Zonder dat overzicht blijven risicoanalyses en contractuele afspraken gemakkelijk steken in algemene formuleringen.

Vanuit die inventarisatie kunnen gerichte maatregelen volgen. Beperk externe toegang tot wat voor onderhoud werkelijk nodig is en scheid waar passend installatiebesturing van de administratieve omgeving. Zorg dat gebruikers herkenbaar zijn, passende toegangsrechten hebben en wijzigingen controleerbaar blijven. Onderzoek ook of kritieke processen een onafhankelijk alarm en een veilige lokale terugvalmogelijkheid nodig hebben. Een beveiligde internetverbinding is één maatregel, geen volledige beveiligingsstrategie. Het systeem moet ook bestand zijn tegen verkeerd gebruik van een geldig account en tegen het uitblijven van een waarschuwing. Bij updates hoort een uitvoerbare procedure voor installatie, testen en herstel, zeker wanneer een wijziging zelf de productie of dienstverlening kan verstoren.

Welke cyberregels gelden er?

De Europese en Nederlandse cyberwetgeving sluit aan op deze verdeling van risico’s. De Cyber Resilience Act richt zich op digitale producten en de verantwoordelijkheid van partijen die deze op de markt brengen. De Cyberbeveiligingswet ziet op de beveiliging van organisaties binnen haar wettelijke bereik. De AI-verordening wordt relevant wanneer de toepassing daadwerkelijk een AI-systeem is. Daarnaast blijft de AVG gelden voor de verwerking en beveiliging van persoonsgegevens. De regelingen beantwoorden verschillende vragen over dezelfde digitale omgeving. Naleving van de ene regeling betekent daarom niet vanzelf dat ook aan de andere is voldaan.

Voor organisaties die als essentiële of belangrijke entiteit kwalificeren, is de Cyberbeveiligingswet een direct kader voor het beheersen van cyberrisico’s. Deze Nederlandse uitvoering van NIS2 is, samen met het Cyberbeveiligingsbesluit, sinds 15 augustus 2026 in werking. Zij verlangt technische, operationele en organisatorische maatregelen die passend en evenredig zijn voor de betrokken risico’s. Beveiliging van leveranciersrelaties, toegangsbeheer, incidentafhandeling, opleiding en bedrijfscontinuïteit horen daarbij. Het gaat dus om de organisatie als geheel, niet uitsluitend om de afdeling IT. Het bestuur moet de maatregelen goedkeuren. Voor de vereiste bestuurlijke kennis en vaardigheden bevat de wet bovendien een trainings- en certificaatregeling met overgangstermijnen.

Dat maakt een juiste beoordeling van het toepassingsbereik noodzakelijk. Het gebruik van een verbonden installatie brengt een onderneming niet automatisch onder de Cyberbeveiligingswet. Evenmin valt iedere onderneming die levensmiddelen verkoopt rechtstreeks onder de levensmiddelencategorie. Die categorie betreft groothandel en industriële productie en verwerking; ook omvang, andere activiteiten en eventuele aanwijzing spelen een rol. De positie moet per relevante entiteit worden onderzocht. Voor buitenlandse vestigingen is daarnaast het toepasselijke nationale kader van belang. Een bedrijf dat zelf buiten de wet valt, kan wel contractuele beveiligingseisen krijgen van klanten die hun toeleveringsketen moeten beschermen.

Wat vraagt de Cyber Resilience Act van fabrikanten en importeurs?

Waar de Cyberbeveiligingswet de organisatie aanspreekt, verschuift de Cyber Resilience Act de aandacht naar de veiligheid van het product. Deze Europese verordening cyberweerbaarheid omvat hardware en software met digitale elementen waarvan het beoogde of redelijkerwijs voorzienbare gebruik een gegevensverbinding met een apparaat of netwerk omvat. Ook indirect verbonden producten kunnen eronder vallen. Een koelregelaar hoeft dus niet zelfstandig op internet aangesloten te zijn om relevant te worden voor de CRA. Verwerking op afstand kan onderdeel van het product zijn wanneer de betreffende software onder verantwoordelijkheid van de fabrikant is ontwikkeld en het product zonder die verwerking een functie niet kan vervullen. Dat betekent niet dat iedere afzonderlijke clouddienst automatisch binnen de verordening valt.

Fabrikanten moeten zich voorbereiden op beveiliging als vast onderdeel van de productlevenscyclus. De brede CRA-eisen omvatten onder meer risicoanalyse, bescherming tegen ongeoorloofde toegang, beveiliging van commando’s en configuraties en een doeltreffende aanpak van kwetsbaarheden. Documentatie van softwarecomponenten, regelmatige beveiligingstests en veilige verspreiding van updates ondersteunen die aanpak. De ondersteuning moet passen bij de verwachte gebruiksduur. Zij duurt ten minste vijf jaar, behalve wanneer het product naar verwachting korter wordt gebruikt. Bij bedrijfsinstallaties met een lange levensduur kan dus een langere ondersteuningsperiode nodig zijn. Importeurs en distributeurs krijgen eigen controles en verantwoordelijkheden. Ook eigen merkvoering kan ertoe leiden dat een onderneming als fabrikant wordt behandeld.

Voor de planning is het onderscheid tussen inwerkingtreding en toepassing van belang. De algemene CRA-verplichtingen gelden vanaf 11 december 2027. De bepalingen over conformiteitsbeoordelingsinstanties zijn sinds 11 juni 2026 van toepassing. Fabrikanten moeten al sinds 11 september 2026 rekening houden met rapportageverplichtingen voor actief uitgebuite kwetsbaarheden en ernstige incidenten met gevolgen voor de productbeveiliging. Daarbij geldt een vroege waarschuwing zonder onnodige vertraging en uiterlijk binnen 24 uur na kennisname, gevolgd door in beginsel een nadere melding binnen 72 uur. Ook oudere producten binnen het toepassingsgebied vallen onder deze rapportageverplichtingen. Voor de overige eisen geldt voor producten die vóór 11 december 2027 in de handel zijn gebracht in beginsel een overgangsregeling: die eisen worden relevant wanneer het product vanaf die datum ingrijpend wordt gewijzigd. Wachten tot 2027 is dus niet voor iedere verplichting mogelijk.

Wanneer geldt de AI-verordening voor verbonden systemen?

De inzet van kunstmatige intelligentie vraagt vervolgens om een afzonderlijke beoordeling. Een digitale regelaar is niet automatisch AI. Bij toepassingen voor storingsvoorspelling, optimalisatie of zelfstandige uitvoering van opdrachten moet worden onderzocht of sprake is van een AI-systeem, welke risico-indeling geldt en wie welke wettelijke rol vervult. Dat AI is gebruikt bij de aanvallen op de supermarktkoelingen, staat hiermee niet vast. De verbinding is vooral praktisch: zowel verbonden apparatuur als AI kan bevoegdheden krijgen waarmee de fysieke of digitale bedrijfsomgeving wordt beïnvloed.

Dat verschil in bevoegdheden verdient meer aandacht dan de vraag hoe overtuigend een AI-toepassing antwoord geeft. Een tekstassistent zonder toegang tot bedrijfssystemen heeft een andere positie dan een AI-agent die onderhoudssoftware kan bedienen. Geef een handelend systeem uitsluitend de benodigde rechten en organiseer toezicht, signalering en een werkende ingrijpmogelijkheid. Alleen een instructie dat het systeem binnen bepaalde grenzen moet blijven, is geen technische beperking van zijn toegang.

Het OpenAI–Hugging Face-incident illustreert waarom die begrenzing belangrijk is. In het technische rapport wordt beschreven hoe AI-agents tijdens interne veiligheidsevaluaties in juli 2026 buiten hun bedoelde omgeving kwamen. Volgens het rapport combineerden zij kwetsbaarheden in ondersteunende software met blootgestelde toegangssleutels om externe systemen te bereiken. De evaluatieomgeving beschikte niet over dezelfde waarborgen als de reguliere productieomgeving. Het incident biedt daarom geen basis voor de conclusie dat iedere chatbot hetzelfde gedrag vertoont. Wel maakt het zichtbaar dat ondersteunende software en gedeelde toegang een veiligheidsgrens kunnen ondermijnen. Die afhankelijkheid bestaat ook bij een koelinstallatie die via externe beheersystemen wordt aangestuurd.

Een implementatieplan voor de AI-verordening moet bovendien rekening houden met de wijziging door Digital Omnibus on AI uit 2026. Voor bepaalde hoogrisico-onderdelen is de toepassing verschoven naar 2 december 2027 voor systemen uit bijlage III en naar 2 augustus 2028 voor bepaalde productgebonden hoogrisicosystemen. Niet alle AI-regels zijn daarmee uitgesteld. De gewijzigde bepaling over AI-geletterdheid verlangt dat aanbieders en gebruiksverantwoordelijken maatregelen nemen om de ontwikkeling daarvan bij medewerkers en andere betrokken personen te ondersteunen. Praktisch vraagt dat om instructies die aansluiten op het werk: welke toepassingen zijn toegestaan, welke gegevens mogen worden gebruikt en wanneer moet iemand ingrijpen of escaleren? Als hoogrisico-AI onderdeel is van een digitaal product, kan CRA-conformiteit onder voorwaarden bijdragen aan het aantonen van naleving van de AI-cybersecurity-eisen. Andere AI-verplichtingen blijven afzonderlijk gelden.

Wat betekenen de cyberregels voor overheid en consumenten?

Voor de overheid bestaat dezelfde noodzaak om wetgeving om te zetten in werkende processen. Zij is niet alleen toezichthouder en informatieverstrekker, maar ook gebruiker en inkoper van digitale systemen. Binnen de wettelijke afbakening omvat de Cyberbeveiligingswet zowel centrale als decentrale overheidsorganisaties. Het stellen van eisen aan een leverancier ontslaat een gemeente of waterschap niet van het beheersen van de eigen toegang en risico’s. Publieke inkoop moet daarom vanaf het begin aandacht besteden aan ondersteuning, beveiliging, controleerbare prestaties en continuïteit. Daarnaast zijn voldoende capaciteit, bruikbare voorlichting en grensoverschrijdende samenwerking nodig. Een waarschuwing over een kwetsbaarheid moet niet alleen worden verzonden, maar ook leiden tot een duidelijke opdracht, een verantwoordelijke uitvoerder en controle op het resultaat.

Burgers hebben daarbij een andere rol dan fabrikanten of gereguleerde organisaties. Voor consumenten zijn het installeren van updates, het volgen van beveiligingsinstructies en het beperken van onnodige verbindingen nuttige handelingen. Daarvoor moeten zij wel kunnen begrijpen hoe een product werkt en hoelang het veilig wordt ondersteund. Onderzoek van de ACM en RDI naar slimme consumentenapparaten liet tekortkomingen zien in informatie over updates en in de levering daarvan. Verantwoord gebruik kan onvoldoende productbeveiliging of ontbrekende ondersteuning niet vervangen. De samenleving heeft baat bij een verdeling waarin fabrikanten veilige producten leveren, organisaties hun omgeving beheersen en gebruikers bruikbare informatie krijgen.

Hoe handelt u na een cyberincident?

Wanneer een incident toch plaatsvindt, moeten technische respons en juridische beoordeling tegelijk beginnen. Onder de Cyberbeveiligingswet moeten essentiële en belangrijke entiteiten significante incidenten melden. Voor de reguliere meldroute geldt een onverwijlde waarschuwing of, wanneer dat niet mogelijk is, waarschuwing binnen 24 uur na kennisname, met een volgende melding binnen 72 uur. Een fabrikant kan daarnaast een eigen CRA-meldplicht hebben. Beide beoordelingen staan los van de vraag of persoonsgegevens zijn getroffen. Een gehackte koeling is niet vanzelf een AVG-datalek. Daarvoor moet de beveiligingsinbreuk bijvoorbeeld leiden tot ongeoorloofde toegang tot, verlies van of wijziging van persoonsgegevens. Dat kan ook het geval zijn wanneer het IoT-apparaat de route vormt naar gegevens die elders worden opgeslagen.

Een incidentprocedure moet deze verschillen vooraf ondervangen. Leg vast wie de technische feiten verzamelt, wie de meldcriteria beoordeelt en wie bevoegd is om maatregelen te nemen. Regel welke informatie leveranciers onmiddellijk verstrekken en hoe betrokkenen buiten kantooruren bereikbaar zijn. Bewaar relevante logs en registreer de genomen besluiten. Een enkel meldformulier of algemeen calamiteitenplan volstaat niet wanneer niemand de verantwoordelijkheid draagt voor de uitvoering en opvolging.

Wie is aansprakelijk voor schade door een cyberaanval?

Ook de financiële afwikkeling begint bij duidelijke afspraken. Het feit dat een cyberaanval is geslaagd, maakt een leverancier niet automatisch aansprakelijk. In het arrest van 25 februari 2025 over de aanval bij de gemeente Hof van Twente stelde het Gerechtshof Arnhem-Leeuwarden de concrete overeengekomen verplichtingen en de naleving daarvan centraal. Voor ondernemers betekent dit dat ICT-contracten en onderhoudsovereenkomsten helder moeten beschrijven wie toegang beheert, updates verzorgt, veiligheidswaarschuwingen beoordeelt en incidenten onderzoekt. Spreek bovendien concreet over schadeposten en aansprakelijkheidsbeperkingen. Een algemene toezegging dat een systeem veilig is, voorkomt niet dat later discussie ontstaat over de werkelijk opgedragen werkzaamheden.

De herziene Europese productaansprakelijkheidsrichtlijn geeft software en cybersecurity een uitdrukkelijke plaats in de beoordeling van productveiligheid. Zij vormt echter geen vangnet voor iedere zakelijke schade. Uitsluitend beroepsmatig gebruikte zaken vallen buiten haar schadebereik. De richtlijn moet uiterlijk op 9 december 2026 zijn omgezet en koppelt het nieuwe regime aan producten die na die datum in de handel worden gebracht of in gebruik worden gesteld. Voor verloren handelsvoorraad en bedrijfsonderbreking blijven contractuele en andere aansprakelijkheidsgronden daarom belangrijk. Ook verzekeringsdekking verdient een afzonderlijke beoordeling: uit het bestaan van een cyberverzekering volgt niet dat iedere fysieke schade of omzetderving verzekerd is.

Cybersecurity voor ondernemers is daarmee een vraagstuk van techniek, organisatie en juridische risicoverdeling. Juridisch advies over IoT, NIS2-compliance, de Cyber Resilience Act en verantwoord AI-gebruik helpt om vast te stellen welke verplichtingen gelden en hoe deze in leverancierscontracten en bedrijfsprocessen kunnen worden vastgelegd. De waarde daarvan blijkt vooral in de uitvoering. Iedere belangrijke digitale verbinding moet een duidelijk doel, passende beveiliging en een verantwoordelijke beheerder hebben. De gehackte koelingen laten zien waarom: een ogenschijnlijk kleine instelling kan grote gevolgen hebben, terwijl een tijdig uitgevoerde maatregel het verschil kan maken tussen een beheersbare storing en een ontwrichte onderneming.

Vragen

Heeft u vragen naar aanleiding van dit artikel? Onze advocaten staan klaar om u te adviseren! Neem contact op met een van onze advocaten via de mail, telefonisch of vul het contactformulier in voor een vrijblijvend eerste gesprek. Wij denken graag met u mee.

Veelgestelde vragen over IoT, cybersecurity en aansprakelijkheid