Ahora que se conocen los resultados financieros, las pruebas parlamentarias y el panorama de la recuperación, cabe preguntarse qué nos revela realmente este incidente sobre las interdependencias, la gobernanza conectada y la resiliencia empresarial.

Cuando Archie Norman, presidente de Marks & Spencer, compareció ante la Subcomisión de Comercio y Negocios del Parlamento en julio de 2025, la cadena minorista aún estaba lidiando con las consecuencias de uno de los incidentes cibernéticos más perjudiciales de su historia. 

La sesión de presentación de pruebas ofreció una visión inusualmente detallada de lo que sucede cuando un ciberataque exitoso afecta profundamente el funcionamiento diario de una gran organización . Los sistemas quedaron fuera de servicio, el comercio en línea se vio interrumpido y se preveía que la recuperación continuaría durante meses.

Ahora tenemos una idea más clara del impacto final . En sus resultados de 2025/26, M&S reportó 131.3 millones de libras esterlinas en costos relacionados con incidentes y 100 millones de libras esterlinas en ingresos de seguros. El beneficio ajustado antes de impuestos cayó un 23.8%, hasta los 671.4 millones de libras esterlinas, aunque la empresa recuperó el crecimiento interanual de sus beneficios en el segundo semestre.

El valor de la experiencia de M&S como caso de estudio va más allá de la magnitud del impacto financiero. Una sola intrusión tuvo repercusiones en la tecnología, las operaciones, los proveedores, los datos de los clientes y el desempeño financiero. La recuperación requirió comprender y gestionar todas esas relaciones bajo presión. 

Para los responsables de la seguridad de la información, la gestión de riesgos y el cumplimiento normativo, hay mucho que aprender de lo sucedido. 

Un incidente cibernético se convirtió rápidamente en una interrupción de la actividad empresarial. 

M&S informó al Parlamento que el acceso inicial a su sistema se produjo el 17 de abril de 2025 mediante una sofisticada suplantación de identidad, en la que también participó un tercero en el punto de acceso. 

Una vez detectado el ataque, M&S desconectó deliberadamente sus sistemas para proteger el negocio en general. Norman explicó que esto contribuyó al impacto operativo, pero que fue la medida defensiva correcta. Restablecer esos sistemas de forma segura se convirtió entonces en un largo proceso de reconstrucción. 

Nick Folland, asesor jurídico general de M&S, resumió una de las lecciones más prácticas de la experiencia durante la audiencia parlamentaria: las organizaciones deberían poder gestionar su negocio con papel y bolígrafo durante un período mientras los sistemas no estén disponibles.  

Se trata de una prueba importante porque los servicios digitales ahora son la base de todo, desde la logística y los pagos hasta la comunicación con los clientes y la gestión del personal. Cuando esos servicios desaparecen, el desafío al que se enfrenta la organización trasciende rápidamente al equipo de seguridad. 

La resiliencia comienza con la comprensión de tus dependencias. 

El impacto operativo en M&S demuestra por qué las dependencias son importantes. 

Su respuesta al ataque requirió la desconexión de los sistemas de gestión de almacenes. Esto provocó la suspensión de los pedidos en línea, el servicio Click & Collect y los pedidos en tienda, mientras se implementaban procesos manuales para mantener en funcionamiento la previsión, los pedidos y el reabastecimiento.  

Estas soluciones provisionales permitieron que las tiendas siguieran operando, pero las consecuencias se extendieron más allá . M&S afirmó que la asignación manual de existencias contribuyó a una mayor reducción de precios y al desperdicio, mientras que las ventas en línea de Moda, Hogar y Belleza cayeron un 42.9 % durante el primer semestre, a medida que se restablecía gradualmente la operación en línea.

Esa reacción en cadena es lo que hace que las dependencias sean una parte tan importante de la resiliencia. 

Los líderes deben comprender qué servicios no puede permitirse perder la empresa y qué tecnología, información, personal y proveedores son esenciales para su funcionamiento . También deben saber qué sucede en otros ámbitos cuando falla alguno de esos elementos.

Un riesgo tecnológico se ve muy diferente cuando está relacionado con la satisfacción del cliente, la disponibilidad de existencias o los ingresos. Un proveedor relativamente pequeño puede volverse fundamental para el negocio a través de los sistemas a los que tiene acceso o los procesos que respalda. 

El incidente de M&S puso al descubierto esas relaciones en tiempo real. Comprenderlas de antemano proporciona a las organizaciones una base mucho más sólida para decidir dónde es necesario reforzar su capacidad de adaptación. 

La preparación debe funcionar en el mundo real. 

M&S había invertido en ciberseguridad antes del ataque. El riesgo cibernético era una prioridad para el consejo de administración y el comité de auditoría y riesgos, y la empresa había realizado simulaciones y ejercicios de equipo rojo. 

La reflexión posterior de Norman fue reveladora: la realidad del incidente fue mucho más intensa que lo que habían mostrado esos simulacros. M&S también preveía que la reconstrucción de los sistemas continuaría durante meses después del ataque inicial. 

Por lo tanto, la preparación debe poner a prueba cómo funcionará la organización cuando desaparezcan los supuestos en los que se basan las prácticas laborales habituales. 

Las organizaciones deberían: 

  • Comprender los servicios críticos y sus dependencias. Sepa de qué sistemas, información, proveedores y personas depende la organización para seguir funcionando. 
  • Evaluar el riesgo en términos empresariales. Relacione los riesgos de seguridad y tecnología con sus consecuencias operativas, financieras, regulatorias y para el cliente. 
  • Mantener una clara definición de la propiedad y los controles. Hacer visibles las responsabilidades y los canales de escalamiento en toda la organización. 
  • Supervise si los controles siguen siendo efectivos. Utilice las pruebas, los incidentes y los cambios en el negocio para identificar las debilidades emergentes. 
  • Pruebe escenarios de interrupción realistas. Practique la respuesta y la recuperación ante interrupciones prolongadas, fallas de proveedores y la pérdida de los sistemas y comunicaciones normales. 
  • Incorporar las lecciones aprendidas a la gobernanza. Utilice incidentes, simulacros, auditorías y cambios en el negocio para actualizar riesgos, controles y prioridades. 

El Código de Buenas Prácticas de Gobernanza Cibernética del NCSC sigue la misma línea de pensamiento general , reuniendo la gestión de riesgos, la estrategia, el personal, la planificación y recuperación ante incidentes, y la garantía y supervisión como responsabilidades de gobernanza a nivel de la junta directiva.

Sus directrices más recientes para ataques altamente disruptivos también reconocen que la recuperación puede extenderse desde la contención inmediata hasta días o semanas de reconstrucción antes de que la organización vuelva a sus operaciones normales.

La gobernanza conecta el panorama general de la resiliencia. 

Las pruebas aportadas por Norman también señalan otra parte importante del desafío de la resiliencia: saber cómo se conectan todas estas dependencias. 

Describió una organización con aproximadamente 50,000 personas trabajando en sus sistemas, entre empleados, contratistas y equipos subcontratados, que combinaba tecnología antigua y moderna. Un tercero intervino en el punto de entrada del ataque, y la interconexión de la infraestructura tecnológica dificultaba la compartimentación completa. 

Sus recomendaciones se centraron en gran medida en esos fundamentos. Norman describió la arquitectura como un elemento clave para la resiliencia y aconsejó a las organizaciones mantener un mapa riguroso de cómo interactúan los sistemas, qué contienen y quién tiene acceso. También señaló que fortalecer el equipo de ciberseguridad por sí solo no bastaba para abordar todas las necesidades de protección. 

La respuesta más amplia de M&S demuestra por qué eso es importante. 

Durante el ataque también se sustrajo información personal de los clientes , que podría incluir datos de contacto, fechas de nacimiento e historiales de pedidos en línea. Por lo tanto, M&S tenía responsabilidades de privacidad y cumplimiento normativo que gestionar, además de la contención de la seguridad, la recuperación, las consultas de los proveedores y la continuidad del negocio.

Y el entorno tecnológico que las organizaciones deben gestionar sigue expandiéndose. Antes del ataque , M&S ya había introducido una herramienta de recomendación de clientes basada en inteligencia artificial, desarrollada con el proveedor tecnológico externo Preferabli y conectada con su catálogo digital de productos.

Según la compañía, en marzo de 2026 la IA estaba dando soporte a la previsión y gestión de existencias, al marketing y a los servicios para empleados, además de la implementación de Microsoft Copilot para 11,000 empleados.

No hay pruebas de que la IA haya desempeñado algún papel en el ciberataque. Su relevancia radica en la conectividad adicional que demuestra. La IA puede depender de la misma información, identidades, sistemas y proveedores externos que ya se consideran en la gobernanza de la seguridad y la privacidad. 

Por lo tanto, una única relación con un proveedor puede afectar la seguridad de la información, los datos personales y la IA. Un cambio en el sistema podría tener repercusiones en los tres ámbitos. Un incidente detectado por un equipo podría revelar riesgos o requerir medidas en otros lugares. 

Cuando la seguridad de la información, la privacidad y la gobernanza de la IA se retroalimentan, esas conexiones son más fáciles de percibir . Los riesgos, los controles, las pruebas y las medidas correctivas pueden circular entre las áreas afectadas en lugar de permanecer confinados a programas individuales.

Con el tiempo, esto crea un ciclo de resiliencia : lo que una organización aprende en una parte de su entorno de gobernanza fortalece las demás, creando una imagen más completa a medida que cambian su tecnología, sus proveedores y sus riesgos.

Esto es importante porque cuanto más interconectada esté una empresa, mayor será el riesgo de que algo importante quede fuera de las distintas áreas de responsabilidad. La gobernanza conectada ayuda a las organizaciones a identificar y gestionar esas relaciones antes de que un incidente las ponga al descubierto. 

La regulación está reforzando la agenda de resiliencia. 

Este mismo enfoque en la resiliencia, las dependencias y la gobernanza continua es cada vez más visible en toda la normativa. 

En el marco de la NIS 2 , las medidas de gestión de riesgos de ciberseguridad abarcan la gestión de incidentes, la continuidad del negocio, la gestión de crisis, la seguridad de la cadena de suministro, la gestión de activos y los procesos para evaluar si las medidas de seguridad siguen siendo eficaces.

Para las organizaciones financieras sujetas a la normativa DORA , la gestión de riesgos de las TIC, las pruebas de resiliencia y las dependencias de terceros se tratan de manera similar como partes interconectadas de la resiliencia operativa digital. La normativa exige explícitamente a las organizaciones que consideren la criticidad de las dependencias de las TIC y gestionen el riesgo de terceros como parte de su marco de riesgos de las TIC más amplio.

El Reino Unido avanza en la misma dirección. El proyecto de ley de Ciberseguridad y Resiliencia (Sistemas de Red e Información) , que actualmente se encuentra en trámite en la Cámara de los Lores, tiene como objetivo actualizar el régimen NIS vigente en el Reino Unido en lo que respecta a la seguridad y la resiliencia de los sistemas de red e información esenciales. A fecha de septiembre de 2026, el proyecto ha finalizado su fase de comité en la Cámara de los Lores, y la presentación del informe está prevista para el 26 de octubre.

Las distintas organizaciones se enfrentarán a diferentes combinaciones de estos requisitos, junto con las obligaciones de protección de datos y las responsabilidades emergentes en materia de gobernanza de la IA. Estas coincidencias refuerzan la importancia de comprender los riesgos, los controles y las dependencias subyacentes, en lugar de abordar cada requisito como un proyecto de cumplimiento aislado. 

La resiliencia es un asunto que compete a la junta directiva. 

La parte final de la historia de M&S es lo que sucedió después de la crisis inmediata. 

Los resultados del ejercicio 2025/26 muestran claramente las consecuencias financieras: 131.3 millones de libras esterlinas en costes relacionados con incidentes, incluidos 109.3 millones de libras esterlinas para la respuesta y recuperación de los sistemas, junto con 100 millones de libras esterlinas en ingresos de seguros. 

No obstante, M&S volvió a registrar un crecimiento interanual de sus beneficios en el segundo semestre. La compañía destacó específicamente la solidez de su balance, que le permitió absorber las dificultades mientras continuaba invirtiendo en su transformación integral. 

Esto amplía el debate sobre la resiliencia más allá de la recuperación tecnológica. 

Una organización puede restablecer sus sistemas y aun así tener que absorber la pérdida de ingresos, los costos de recuperación, las interrupciones en el servicio al cliente, los problemas con los proveedores, las obligaciones regulatorias y meses de atención por parte de la gerencia. La capacidad financiera, la comunicación, el liderazgo y la habilidad para tomar decisiones bajo presión influyen en el resultado. 

Por lo tanto, los consejos de administración necesitan tener visibilidad de las conexiones que pueden convertir un problema tecnológico en un evento que afecte a toda la empresa.

El Código de Gobernanza Cibernética del NCSC explicita esa responsabilidad, atribuyendo la titularidad de las acciones críticas de gobernanza cibernética a los consejos de administración y considerando la resiliencia cibernética como parte de la protección de la estabilidad financiera, la continuidad y la confianza del cliente. 

¿Qué deberían aprender otras organizaciones de M&S? 

La experiencia de M&S ofrece a los equipos directivos una forma útil de cuestionar sus propias suposiciones. 

¿Sabemos qué servicios son los que la empresa menos puede permitirse perder y de qué dependen? ¿Comprendemos dónde tienen acceso los proveedores a sistemas e información críticos? ¿Podrían los equipos seguir operando si la tecnología central desapareciera mañana? ¿Hemos probado esto en condiciones que se asemejen a una crisis real? 

A medida que la seguridad, la privacidad y la IA se interconectan cada vez más, ¿pueden los responsables de estas áreas identificar dónde se superponen sus riesgos? ¿Un problema detectado en un programa afecta de forma fiable a los demás programas a los que afecta? ¿Los equipos directivos tienen una visión integral del riesgo empresarial o varias visiones parciales? 

M&S experimentó las interconexiones entre tecnología, operaciones, proveedores, información del cliente y desempeño financiero bajo la presión de un incidente grave. 

Otras organizaciones tienen la oportunidad de comprender y gestionar esas conexiones antes de que se pongan a prueba de la misma manera. 

Ahí es donde comienza la resiliencia empresarial: con una visión clara de aquello de lo que depende la organización, una gobernanza que conecte los riesgos relacionados con esas dependencias y la capacidad de seguir operando, adaptándose y recuperándose cuando algo sale mal. 

Amplíe su conocimiento

Blog: Más allá de la brecha: por qué la respuesta es ahora la noticia principal.

Blog: Del enfoque "Mantenerlos fuera" al enfoque "Mantener el negocio en marcha"

Podcast: Phishing for Trouble T2 E5: Cumples con las normas. ¿Eres resiliente?