Er was nog volop eten, maar de cyberaanval op AH is wel een waarschuwing voor iedereen in het voedselsysteem

Stapje voor stapje zet Albert Heijn zijn digitale systemen weer online, de distributie komt op gang en de schappen worden geleidelijk gevuld. Hoe snel dat gaat, daarover durfde ceo Margaret Versteden-van Duijn niets te zeggen toen ze dinsdagavond bij Eva Jinek aanschoof om te praten over de cyberaanval die AH zondag dwong IT-systemen uit te schakelen. Zoals ze ook niets kwijt wilde over de aard van wat AH een cybersecurity-incident noemt.

Wel legde ze uit waarom het tijd kost. AH is als het ware op zoek naar een luis in een huis: je moet elke kamer uitpluizen voor je alle deuren weer open kunt zetten, voordat alle ict-onderdelen weer veilig kunnen draaien.

Afgezien van wat klanten er in de winkel van merken, krijgt de buitenwereld weinig te zien. Waar het spaak liep in de lange aanvoerketen vóór die lege schappen – bij boeren en andere producenten, verwerkers, distributiecentra, transporteurs – vertelt AH niet. Leveranciers van Albert Heijn en brancheorganisatie CBL wilden er niets over zeggen of verwezen naar AH zelf. Alleen een huisbakker meldde zonder ruggespraak dat alles goed ging: zijn brood gaat rechtstreeks naar de winkels, hij ontwijkt zo de problemen bij distributiecentra.

Mogelijk komt er later meer openheid. Maar ook experts die risico’s voor de voedselzekerheid in Nederland in kaart brengen, weten hoe terughoudend supermarkten zijn met delen van wat deze bedrijven zien als concurrentiegevoelige informatie. Terwijl dit ‘incident’ juist ook nieuwe inzichten kan opleveren, en een aanleiding kan zijn nationale crisisplannen aan te passen.

Alternatieven volop

Vragen zijn er te over. Was dit incident een bedreiging voor de voedselzekerheid? En: wat laat deze crisis zien over de weerbaarheid van de Nederlandse voedselvoorziening?

Het antwoord op de eerste vraag is kort: nee. Het is onhandig wanneer Albert Heijn de enige supermarkt in de wijde omtrek is, en je niet kunt kopen wat je wilt. Maar er waren alternatieven, en er was zeker geen tekort aan voedsel. Je kunt ook Chinese kool eten in plaats van sla.

Weinig landen hebben per vierkante kilometer zoveel supermarkten als Nederland. Zelfs met lege schappen bij 38 procent van de supermarkten – het marktaandeel van AH – kunnen de andere supermarkten die vraag goed opvangen. Wel moeten Jumbo, Lidl en andere ketens een been bijtrekken om de voorraden op peil te houden als er langere tijd gaten zijn bij Albert Heijn.

AH-medewerkers proberen ongetwijfeld met het zweet op de rug de schade te beperken. Maar dit is niet het ‘donkerzwarte’ scenario waarover experts in april in NRC vertelden. Dat betreft een absolute noodsituatie, zoals een grote stroomuitval, waarbij alles fout gaat en bestaande marktmechanismen niet meer toereikend zijn om de voedselvoorziening te garanderen.

Deze crisis bij AH – voor AH is het dat zeker – is ook fundamenteel anders dan de scenario’s die onderzoeksinstituut Clingendael in een recent rapport schetste. Die gingen uit van overstromingen, oorlog of ernstige handelsverstoringen. In de acute fase van één tot twee weken die de denktank beschreef, is geen sprake van te weinig voedsel; het wordt daarin vooral moeilijk om de juiste producten op de goede plek te krijgen, bij de mensen die het nodig hebben. Van zo’n situatie, waarbij mensen zijn aangewezen op hun eigen noodvoorraden, is nu in de verste verten geen sprake.

De cyberaanval bij AH laat wel iets zien van de kwetsbaarheid van de Nederlandse voedselvoorziening. De digitale systemen van supermarkten en alle bedrijven daaromheen zijn geavanceerd én onmisbaar. Vraag en aanbod zijn scherp op elkaar afgesteld. Als bij de kassa een zakje rucola gescand wordt, gaat die informatie de hele keten door, tot aan de teler. Die weet dan wat hij morgen moet snijden. Supermarkten kunnen steeds preciezer voorspellen wat klanten morgen en volgende week willen kopen.

Superstrakke voedselketen

Daardoor is er steeds minder overproductie en voedselverspilling. En door het jaar heen zie je minder vaak dat een product er even niet is. Die efficiëntie maakt het bovendien mogelijk om een gigantische variatie aan gesneden en voorverpakte verse producten en maaltijden aan te bieden. Wel zijn dat vaak kort houdbare producten. Nu systemen platliggen en het distributiecentrum ze niet snel kwijt kan, gaan die producten verloren.

Efficiëntie betekent ook dat voedsel snel ‘op’ is als er schakels in die efficiënte keten breken. Voedselverwerkers hebben voorraden voor een à twee dagen, bij distributiecentra ligt genoeg voor drie à vier dagen en bij supermarkten raken de schappen na twee dagen leeg. Er is dus voor acht dagen verwerkt voedsel op voorraad, schat Clingendael. Voorraden en buffers zijn in een superstrakke voedselketen duur en overbodig. Efficiëntie en weerbaarheid staan met elkaar op gespannen voet.

Onduidelijk is welke omwegen supermarkten hebben om winkels goed te blijven bevoorraden. AH laat her en der vrachtwagens met veelgebruikte producten naar winkels rijden, maar dat zijn mogelijk niet precies de producten waaraan die supermarkt behoefte had.

Provisorische oplossingen stuiten bovendien snel op nieuwe hindernissen, zei directeur Marc Jansen van brancheorganisatie CBL eerder in NRC. „Je kunt als supermarktmanager wel een lijstje maken met wat je nodig hebt, maar veel distributiecentra zijn zo geautomatiseerd dat je simpelweg niet meer handmatig de spullen uit de stellingen kunt halen.”

Klappen op de beurs

Albert Heijn zal ongetwijfeld veel leren van de cyberaanval van deze week. Niet alleen over de beveiliging van onlinesystemen, ook over de problemen die op allerlei punten in de keten ontstaan. Pieter Zwaan, een van de auteurs van het Clingendael-rapport, noemt een voorbeeld. Tijdens sessies bij Clingendael gingen deelnemers ervan uit dat een ‘hybride verstoring’, zoals nu bij AH, binnen één of twee dagen achter de rug zou zijn. „Nu het langer heeft geduurd, noopt dat tot reflectie”, zegt Zwaan.

Als de digitale wegen geblokkeerd zijn, kun je niet terug naar de bevoorradingssystemen van vroeger – wie heeft er nog een fax? Maar welke back-ups zijn er wel? Zwaan: „We weten niet wat Albert Heijn doet, maar we zouden er allemaal van kunnen leren.”

Dat Albert Heijn processen zal aanpassen, ligt voor de hand. De kosten van dit soort incidenten zijn te hoog om dat niet te doen. Dan gaat het niet alleen om misgelopen omzet en schade in de keten. Minstens zo prangend is het vertrouwen van beleggers. Woensdagochtend, toen de distributiecentra weer opstartten, ging dat weer iets omhoog, maar eerder deze week kreeg Ahold Delhaize klappen op de beurs.

Uiteindelijk heeft weerbaarheid een prijs. Landen die grote voorraden aanhouden, zowel consumptiegoederen als graan en soja, betalen daar fors voor. In Nederland hebben supermarkten al gezegd niet voor die kosten te willen opdraaien.

Ook over de psychologie van consumenten zijn lessen te leren. Is de definitie van voedseltekorten dat er op loopafstand geen maaltijdsalade of voorgesneden broccoli meer te koop is, dan is al snel sprake van een crisissituatie. Maar wanneer voldoende calorieën voor de hele bevolking het uitgangspunt is, ontstaat een ander perspectief op de lege schappen bij Albert Heijn. Dan gaat het niet over voorgesneden groente, maar is de vraag of er genoeg gecondenseerde melk is.

Acht dagen noodvoorraad

Dat de uitval bij AH langer duurde dan verwacht, betekent overigens niet dat Nederlanders nu een nog grotere noodvoorraad moeten aanleggen dan de acht dagen die Clingendael adviseert. Dat advies gaat uit van een verstoring van twee weken, en die moet in de hele keten worden opgevangen. Bovendien heeft de helft van de Nederlanders zelfs nog geen noodvoorraad voor drie dagen: het overheidsadvies.

Lees ook

Wat als de stroom langdurig uitvalt en de deur van de supermarkt dichtblijft? Voor zo’n ‘donkerzwart’ scenario ontbreekt een plan

Perceptie speelt dus een rol in de omgang met situaties zoals nu bij Albert Heijn. „Dit is toch dystopisch?”, zei een klant naast lege rekken dinsdag tegen NRC. Niet langer zijn lege schappen louter een praktisch ongemak. In het achterhoofd zitten onvermijdelijk de geopolitieke spanningen en de dreiging van Russische cyberaanvallen. Hoewel Albert Heijn zelfs het woord ‘hack’ niet in de mond neemt, versterken die grotere dreigingen de vrees voor voedseltekorten, ook als die nu niet aan de orde zijn.

Kies NRC als voorkeursbron