Datalek via leverancier: wat het CEVA-lek leert over je koppelingen

Een datalek via leverancier CEVA Logistics raakte deze zomer klanten van onder meer bol en De Bijenkorf. Het laat zien dat je klantgegevens niet alleen in je eigen webshop of systemen staan, maar ook bij elke partij waarmee je bent gekoppeld. In dit artikel lees je wat er gebeurde, wat er sinds 1 september verandert aan de openbaarheid van AP-sancties en hoe je je koppelingen met leveranciers zo inricht dat een lek bij een partner minder schade doet.

Wat er gebeurde bij CEVA, bol en De Bijenkorf

Op 6 augustus 2026 berichtte Security.nl dat bol en De Bijenkorf klanten waarschuwden voor een beveiligingsincident bij hun logistiek partner CEVA Logistics. Het ging om twee systemen die worden gebruikt voor de verwerking van bestellingen vanuit een van de distributiecentra van bol. Bij bol ging het volgens Security.nl om naam, adresgegevens, e-mailadres, telefoonnummer, ordernummer, EAN-code, track&trace-informatie en de bestelling zelf. Bol meldde het incident op 3 augustus bij de Autoriteit Persoonsgegevens (AP). Ook ING (via het spaarprogramma ING Punten) en Ajax waren getroffen.

Op 20 augustus meldde AG Connect dat er bij bol meer klantgegevens betrokken waren dan eerst gedacht. Inmiddels hadden twaalf organisaties het incident bij de AP gemeld, waaronder ook Ace & Tate en Zalando. Bij CEVA zelf ging het ook om gegevens van medewerkers, zoals burgerservicenummers en kopieën van paspoorten. Een detail dat ertoe doet: volgens bol zijn er geen bank- of betaalgegevens of wachtwoorden ingezien, omdat die niet in het bezit van CEVA zijn.

Op 10 september meldde Hart van Nederland dat De Bijenkorf klanten die online bestelden informeerde. Namen, adressen en telefoonnummers zijn gelekt, bank- en wachtwoordgegevens niet. De Bijenkorf adviseert klanten ervan uit te gaan dat hun gegevens betrokken zijn en extra alert te zijn op verdachte berichten die van De Bijenkorf lijken te komen.

Sinds 1 september zijn AP-sancties openbaar

Tegelijk veranderde de wet. Sinds 1 september 2026 is het openbaar maken van sancties van de AP het wettelijke uitgangspunt, zo schreef iBestuur op 26 augustus. De Verzamelwet gegevensbescherming wijzigt daarvoor de Uitvoeringswet AVG. Volgens ICT Magazine gaat het om boetes, lasten onder dwangsom en verwerkingsverboden; berispingen worden niet automatisch gepubliceerd. Publicatie volgt niet eerder dan tien werkdagen nadat de organisatie het besluit heeft ontvangen. Een sanctie na een datalek betekent dus naast een financiële ook een publieke kant.

Cyberbeveiligingswet sinds 15 augustus

Sinds 15 augustus 2026 geldt ook de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens de Rijksoverheid valt een groep van ongeveer 8.000 organisaties in 18 sectoren eronder, zoals energie, drinkwater, digitale infrastructuur, zorg en vervoer. Die organisaties moeten zich registreren, maatregelen nemen om risico’s te beheersen, significante incidenten melden, en hun bestuur is eindverantwoordelijk. Controleer via de officiële bronnen of je organisatie eronder valt.

Waarom een datalek via leverancier jou ook raakt

Voor je klanten maakt het weinig uit waar het lek zat. Ze bestelden bij jou, ze krijgen phishingberichten in jouw naam en ze stellen hun vragen aan jouw klantenservice. De Bijenkorf moest klanten waarschuwen voor een incident dat bij een andere partij plaatsvond.

Ook juridisch blijft het jouw zaak. De AP legt uit dat je als verwerkingsverantwoordelijke de melding doet, ook als het lek bij een verwerker zit. De verwerker moet jou zonder onnodige vertraging informeren. Je kunt afspreken dat de verwerker namens jou meldt, maar daarvoor is een uitdrukkelijke, schriftelijke machtiging nodig. Laat een jurist meekijken naar de afspraken die voor jouw situatie gelden.

Technisch is het beeld eenvoudig: elke koppeling is een datastroom. Je webshop stuurt adressen naar een vervoerder, orders naar een fulfilmentpartij, klantgegevens naar je CRM, e-mailadressen naar een nieuwsbriefdienst en factuurgegevens naar je boekhoudpakket. Hoe meer velden er per koppeling meegaan en hoe langer ze daar blijven staan, hoe groter de schade bij een datalek via leverancier of partner.

Breng je datastromen in kaart

Begin met een overzicht van alle koppelingen. Vaak blijken er meer te zijn dan gedacht: een oude reviewtool, een exportscript voor een marketingbureau, een plugin die bestellingen doorzet naar een spreadsheet. Per koppeling beantwoord je drie vragen: welke gegevens gaan er naartoe, welke zijn echt nodig en hoe lang blijven ze daar staan.

Dataminimalisatie: stuur alleen wat nodig is

Het voorbeeld van bol laat zien waarom dit werkt bij een datalek via leverancier: betaalgegevens en wachtwoorden lekten niet, omdat CEVA ze niet had. Wat een leverancier niet ontvangt, kan daar ook niet uitlekken.

In de praktijk betekent dat dat je de veldkoppeling (mapping) van elke integratie naloopt. Veel standaardkoppelingen sturen standaard alles mee wat beschikbaar is. Kijk bijvoorbeeld of een vervoerder het e-mailadres van je klant nodig heeft, of dat jij de track&trace-mail zelf verstuurt. Kijk of een boekhoudpakket het telefoonnummer nodig heeft. En kijk of een fulfilmentpartij de volledige ordergeschiedenis ziet, of alleen de order die verzonden moet worden.

Let ook op wat er in vrije tekstvelden staat. Opmerkingen bij een bestelling of een cadeaubericht kunnen gevoelige informatie bevatten die ongemerkt mee naar een leverancier gaat.

Afspraken, sleutels en bewaartermijnen

Verwerkersovereenkomst met meldafspraken

Leg per leverancier vast binnen welke tijd je wordt geïnformeerd over een incident, welke informatie je dan krijgt, welke subverwerkers er meekijken, waar de gegevens staan en wat er met de gegevens gebeurt als de samenwerking stopt. Bij een datalek via leverancier haal je zonder snelle melding van die partij de 72 uur zelf niet.

Eigen sleutels met minimale rechten

Geef elke leverancier een eigen API-sleutel of account, nooit een gedeelde beheerderssleutel. Een vervoerder die orders ophaalt, heeft leesrechten op te verzenden orders nodig en geen toegang tot je volledige klantenbestand. Met een eigen sleutel per partij kun je bij een datalek via leverancier precies die ene koppeling afsluiten, zonder dat de rest van je systemen stilvalt. Vervang sleutels periodiek en trek ze direct in als een samenwerking stopt.

Bewaartermijnen en logging

Spreek af dat leveranciers gegevens verwijderen zodra ze niet meer nodig zijn, bijvoorbeeld na afloop van de retourtermijn. Houd daarnaast zelf bij welke gegevens wanneer naar welke leverancier zijn gestuurd. Dan kun je bij een datalek via leverancier snel vaststellen welke klanten betrokken zijn, in plaats van iedereen te moeten waarschuwen.

Checklist: datalek via leverancier voorkomen en beperken

Als het toch gebeurt: de eerste 72 uur

Krijg je bericht over een datalek via leverancier of partner, dan telt de klok. Vraag direct welke systemen zijn geraakt, welke gegevens erin stonden en over welke periode. Sluit de koppeling af of vervang de sleutel als er een kans is dat de toegang nog misbruikt wordt. Leg vanaf het eerste moment vast wat je weet, wat je doet en wanneer.

Beoordeel daarna of je bij de AP moet melden. Volgens de AP moet dat binnen 72 uur na ontdekking, tenzij het onwaarschijnlijk is dat het datalek een risico oplevert; drukte of een weekend zijn geen geldige reden om later te melden. Beoordeel ook of je klanten moet informeren. De Bijenkorf koos voor een concrete boodschap: ga ervan uit dat je gegevens betrokken zijn en wees alert op berichten die van ons lijken te komen. Vertel klanten in zo’n bericht ook wat je nooit per e-mail of sms zult vragen, zoals inloggegevens of een betaling om een pakket vrij te geven.

Twijfel je over de meldplicht of over de inhoud van het bericht aan klanten, schakel dan een privacyjurist in. Na afloop loop je de checklist hierboven opnieuw door: een incident laat vaak zien welke koppeling meer gegevens kreeg dan nodig was.

Conclusie

Het incident bij CEVA laat zien dat een datalek via leverancier geen theoretisch risico is: één logistiek partner raakte in korte tijd klanten van een reeks bekende merken. Je kunt niet voorkomen dat een leverancier wordt aangevallen, maar je bepaalt wel wat daar te halen valt. Met dataminimalisatie per koppeling, eigen sleutels per leverancier, heldere afspraken en een voorbereid incidentplan beperk je de schade voor je klanten, en daarmee ook voor je eigen bedrijf, nu sancties van de AP openbaar worden.

Bronnen

• Hart van Nederland, Bijenkorf meldt datalek via logistiek partner CEVA (10 september 2026)
• Security.nl, Bijenkorf en bol waarschuwen klanten voor beveiligingsincident bij logistiek partner (6 augustus 2026)
• AG Connect, Meer klantgegevens bol.com betrokken bij datalek CEVA dan gedacht (20 augustus 2026)
• iBestuur, Boete voor privacyschending wordt openbaar (26 augustus 2026)
• ICT Magazine, AP maakt AVG-boetes vanaf september verplicht openbaar (31 augustus 2026)
• Rijksoverheid, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht (7 juli 2026)
• Autoriteit Persoonsgegevens, Meldplicht datalekken (geraadpleegd 15 september 2026)

Meer lezen: maatwerk software rond je bestaande systemen, veiligheidseisen voor AI-agents, of de herroepingsfunctie die webshops sinds juni nodig hebben.