Med de økonomiske resultater, de parlamentariske beviser og genopretningsbilledet nu i betragtning, hvad fortæller hændelsen os egentlig om afhængigheder, forbundet forvaltning og virksomheders modstandsdygtighed.

Da Marks & Spencers formand Archie Norman mødte op for Parlamentets underudvalg for erhvervsliv og handel i juli 2025, arbejdede detailhandleren stadig med konsekvenserne af en af ​​de mest forstyrrende cyberhændelser i sin historie. 

Bevismødet gav et usædvanligt detaljeret indblik i, hvad der sker, når et vellykket cyberangreb når dybt ind i den daglige drift af en større organisation . Systemer var blevet taget offline, onlinehandel var blevet afbrudt, og genopretningen forventedes at fortsætte i flere måneder.

Vi har nu et klarere billede af den endelige effekt . I sine resultater for 2025/26 rapporterede M&S £131.3 millioner i hændelsesrelaterede omkostninger og £100 millioner i forsikringsudbetalinger. Det justerede resultat før skat faldt med 23.8 % til £671.4 millioner, selvom forretningen vendte tilbage til en vækst i overskuddet i forhold til året før i andet halvår.

Værdien af ​​M&S' oplevelse som casestudie går ud over størrelsen af ​​det økonomiske slag. Én indtrængen skabte konsekvenser på tværs af teknologi, drift, leverandører, kundedata og økonomisk præstation. Genopretningen krævede, at alle disse relationer blev forstået og styret under pres. 

For ledere inden for informationssikkerhed, risiko og compliance er der meget at lære af, hvad der skete. 

En cyberhændelse blev hurtigt til en forretningsforstyrrelse 

M&S fortalte Parlamentet, at den første adgang til deres system fandt sted den 17. april 2025 gennem sofistikeret efterligning, hvor en tredjepart også var involveret i adgangspunktet. 

Da angrebet var identificeret, lukkede M&S bevidst systemerne ned for at beskytte den bredere forretning. Norman forklarede, at dette bidrog til den operationelle påvirkning, men at det var den rigtige defensive handling. At få disse systemer sikkert online igen blev derefter en langvarig genopbygningsøvelse. 

M&S' chefjurist, Nick Follan, opsummerede en af ​​de mest praktiske erfaringer under den parlamentariske høring: organisationer bør kunne drive deres forretning med pen og papir i en periode, hvor systemerne ikke er tilgængelige.  

Det er en vigtig test, fordi digitale tjenester nu understøtter alt fra logistik og betalinger til kundekommunikation og arbejdsstyrkestyring. Når disse tjenester forsvinder, bevæger udfordringen for organisationen sig meget hurtigt ud over sikkerhedsteamet. 

Modstandsdygtighed starter med at forstå dine afhængigheder 

Den operationelle påvirkning hos M&S viser, hvorfor afhængigheder er vigtige. 

Deres reaktion på angrebet krævede, at lagerstyringssystemerne blev afbrudt. Det resulterede i, at onlineordrer, Click & Collect og bestillinger i butikker blev sat på pause, mens manuelle processer blev indført for at holde prognoser, bestillinger og genopfyldning kørende.  

Disse løsninger holdt butikkerne i gang med at omsætte, men konsekvenserne nåede længere . M&S sagde, at manuel lagerallokering bidrog til yderligere prisnedsættelser og spild, mens onlinesalget inden for mode, bolig og skønhed faldt med 42.9 % i løbet af første halvår, i takt med at onlinedriften gradvist blev genoprettet.

Den kædereaktion er det, der gør afhængigheder til en så vigtig del af modstandsdygtighed. 

Ledere skal forstå, hvilke tjenester virksomheden ikke har råd til at miste, og hvilken teknologi, information, mennesker og leverandører der holder dem kørende . De skal også vide, hvad der sker andre steder, når en af ​​disse afhængigheder svigter.

En teknologirisiko ser meget anderledes ud, når den er forbundet med kundeopfyldelse, lagerbeholdning eller omsætning. En relativt lille leverandør kan blive forretningskritisk gennem de systemer, den har adgang til, eller de processer, den understøtter. 

M&S-hændelsen afslørede disse relationer i realtid. At forstå dem på forhånd giver organisationer et langt stærkere grundlag for at beslutte, hvor der skal opbygges modstandsdygtighed. 

Beredskab skal fungere i den virkelige verden 

M&S havde investeret i cybersikkerhed før angrebet. Cyberrisiko havde bestyrelsens, revisions- og risikoudvalgets opmærksomhed, og virksomheden havde gennemført simuleringer og red-team-øvelser. 

Normans refleksion bagefter var sigende: hændelsens virkelighed var langt mere intens end disse øvelser. M&S forventede også, at genopbygningen af ​​systemerne ville fortsætte i flere måneder efter det første angreb. 

Beredskabet skal derfor teste, hvordan organisationen vil fungere, når de antagelser, der er indbygget i normale arbejdspraksisser, forsvinder. 

Organisationer bør: 

  • Forstå kritiske tjenester og afhængigheder. Kend hvilke systemer, informationer, leverandører og personer organisationen er afhængig af for at kunne fortsætte driften. 
  • Vurder risikoen i forretningsmæssige termer. Forbind sikkerheds- og teknologirisici med deres operationelle, økonomiske, lovgivningsmæssige og kundekonsekvenser. 
  • Oprethold tydelig ejerskab og kontrol. Gør ansvarsområder og eskaleringsruter synlige på tværs af organisationen. 
  • Overvåg om kontrollerne forbliver effektive. Brug beviser, hændelser og ændringer i virksomheden til at identificere nye svagheder. 
  • Test realistiske forstyrrelsesscenarier. Øvelse i respons og genopretning ved længerevarende afbrydelser, leverandørsvigt og tab af normale systemer og kommunikation. 
  • Brug erfaringerne tilbage til forvaltningen. Brug hændelser, øvelser, revisioner og forretningsændringer til at opdatere risici, kontroller og prioriteter. 

NCSC 's adfærdskodeks for cyberstyring følger den samme brede tankegang og samler risikostyring, strategi, medarbejdere, planlægning og genopretning af hændelser samt sikring og tilsyn som ledelsesansvar på bestyrelsesniveau.

Den seneste vejledning til meget forstyrrende angreb anerkender også, at genopretning kan strække sig fra øjeblikkelig inddæmning til dage eller uger med genopbygning, før organisationen vender tilbage til normal drift.

Forvaltning forbinder det bredere billede af modstandsdygtighed 

Normans beviser peger også på en anden vigtig del af udfordringen med modstandsdygtighed: at vide, hvordan alle disse afhængigheder hænger sammen. 

Han beskrev en organisation med omkring 50,000 mennesker, der arbejdede på dens systemer, fordelt på medarbejdere, entreprenører og outsourcede teams, sideløbende med en blanding af ældre og nyere teknologi. En tredjepart var involveret som indgangspunkt til angrebet, mens teknologiens sammenkobling gjorde fuldstændig opdeling vanskelig. 

Hans anbefalinger fokuserede i høj grad på disse fundamenter. Norman beskrev arkitektur som vigtig for modstandsdygtighed og rådede organisationer til at opretholde et stringent kort over, hvordan systemer interagerer, hvad de indeholder, og hvem der har adgang. Han påpegede også, at en styrkelse af cybersikkerhedsteamet alene ikke kunne håndtere alt, hvad det blev bedt om at forsvare. 

Den bredere M&S-reaktion viser, hvorfor det er vigtigt. 

Personlige kundeoplysninger blev også indsamlet under angrebet , potentielt inklusive kontaktoplysninger, fødselsdatoer og online ordrehistorik. M&S havde derfor ansvar for privatlivets fred og lovgivningsmæssige forpligtelser sammen med sikkerhedsinddæmning, genopretning, leverandørspørgsmål og forretningskontinuitet.

Og det teknologiske miljø, som organisationer skal styre, fortsætter med at ekspandere. Før angrebet havde M&S allerede introduceret et AI-drevet kundeanbefalingsværktøj, der var udviklet i samarbejde med den eksterne teknologileverandør Preferabli og forbundet med deres digitale produktkatalog.

I marts 2026 oplyste virksomheden, at AI understøttede lagerprognoser og bestilling, marketing og kollegatjenester, sideløbende med udrulningen af ​​Microsoft Copilot til 11,000 medarbejdere.

Der er intet bevis for, at AI spillede nogen rolle i cyberangrebet. Dens relevans ligger i den yderligere konnektivitet, den illustrerer. AI kan være afhængig af de samme oplysninger, identiteter, systemer og tredjepartsudbydere, der allerede tages i betragtning i forbindelse med sikkerheds- og privatlivsstyring. 

En enkelt leverandørrelation kan derfor berøre informationssikkerhed, persondata og kunstig intelligens. En systemændring kan have konsekvenser for alle tre. En hændelse identificeret af ét team kan afdække risici eller kræve handling et andet sted. 

Når informationssikkerhed, privatliv og AI-styring kan informere hinanden, er disse forbindelser lettere at se . Risici, kontroller, beviser og korrigerende handlinger kan flyttes mellem de områder, de påvirker, i stedet for at forblive inden for individuelle programmer.

Over tid skaber det en robusthedsløkke : Det, en organisation lærer i én del af sit ledelsesmiljø, styrker de andre og skaber et mere komplet billede, efterhånden som dens teknologi, leverandører og risici ændrer sig.

Det er vigtigt, fordi jo mere forbundet en virksomhed bliver, desto større er risikoen for, at noget vigtigt falder mellem ansvarsområder. Forbundet styring hjælper organisationer med at se og styre disse relationer, før en hændelse afslører dem. 

Regulering styrker dagsordenen for modstandsdygtighed 

Det samme fokus på modstandsdygtighed, afhængigheder og løbende forvaltning er i stigende grad synligt på tværs af regulering. 

Under NIS 2 omfatter risikostyringsforanstaltninger for cybersikkerhed håndtering af hændelser, forretningskontinuitet, krisestyring, sikkerhed i forsyningskæden, aktivstyring og processer til vurdering af, om sikkerhedsforanstaltningerne fortsat er effektive.

For finansielle organisationer, der er omfattet af DORA , behandles IKT-risikostyring, test af modstandsdygtighed og tredjepartsafhængigheder på samme måde som forbundne dele af digital operationel modstandsdygtighed. Forordningen kræver eksplicit, at organisationer overvejer kritiskheden af ​​IKT-afhængigheder og håndterer tredjepartsrisiko som en del af deres bredere IKT-risikoramme.

Storbritannien bevæger sig i samme retning. Lovforslaget om cybersikkerhed og modstandsdygtighed (netværk og informationssystemer) , der i øjeblikket behandles i Overhuset, har til formål at opdatere Storbritanniens eksisterende NIS-ordning omkring sikkerheden og modstandsdygtigheden af ​​​​essentielle netværks- og informationssystemer. Fra september 2026 har det afsluttet udvalgsfasen i Overhuset, og rapportfasen er planlagt til den 26. oktober.

Forskellige organisationer vil stå over for forskellige kombinationer af disse krav, sammen med databeskyttelsesforpligtelser og nye ansvarsområder inden for AI-styring. Overlapningerne forstærker værdien af ​​at forstå de underliggende risici, kontroller og afhængigheder på tværs af dem i stedet for at gribe hvert krav an som et isoleret compliance-projekt. 

Modstandsdygtighed er et problem i bestyrelsen 

Den sidste del af M&S' historie er, hvad der skete efter den umiddelbare krise. 

Resultaterne for 2025/26 viser de økonomiske konsekvenser tydeligt: ​​131.3 millioner pund i hændelsesrelaterede omkostninger, herunder 109.3 millioner pund til systemrespons og genopretning, sammen med 100 millioner pund i forsikringsindtægter. 

M&S vendte ikke desto mindre tilbage til en år-til-år-overskudsvækst i andet halvår. Virksomheden pegede specifikt på sin robuste balance, som gjorde det muligt for den at absorbere forstyrrelsen, samtidig med at den fortsatte investeringen i sin bredere transformation. 

Det udvider samtalen om modstandsdygtighed ud over teknologisk genopretning. 

En organisation kan gendanne sine systemer og stadig skulle absorbere tabt omsætning, genopretningsomkostninger, kundeforstyrrelser, leverandørproblemer, lovgivningsmæssige forpligtelser og måneders ledelsesfokus. Finansiel kapacitet, kommunikation, lederskab og evnen til at træffe beslutninger under pres påvirker alle resultatet. 

Bestyrelser har derfor brug for synlighed på tværs af de forbindelser, der kan forvandle et teknologisk problem til en forretningsomspændende begivenhed.

NCSC's Cyber ​​Governance Code gør dette ansvar eksplicit, placerer ejerskabet for kritiske cybergovernance-handlinger hos bestyrelser og direktører og behandler cyberrobusthed som en del af at beskytte finansiel stabilitet, kontinuitet og kundernes tillid. 

Hvad bør andre organisationer tage med sig fra M&S? 

M&S-erfaringen giver ledelsesteams en nyttig måde at udfordre deres egne antagelser. 

Ved vi, hvilke tjenester virksomheden mindst har råd til at miste, og alt hvad de er afhængige af? Forstår vi, hvor leverandører har adgang til kritiske systemer og information? Kunne teams fortsætte driften, hvis kerneteknologien forsvandt i morgen? Har vi testet det under forhold, der ligner en reel krise? 

Og i takt med at sikkerhed, privatliv og kunstig intelligens bliver mere forbundet, kan de personer, der styrer disse områder, så se, hvor deres risici overlapper hinanden? Når et problem, der er identificeret i ét program, pålideligt ud til de andre, det påvirker? Ser ledelsesteams ét sammenhængende billede af forretningsrisici, eller flere delvise? 

M&S oplevede forbindelserne mellem teknologi, drift, leverandører, kundeinformation og økonomisk præstation under presset fra en større hændelse. 

Andre organisationer har mulighed for at forstå og styre disse forbindelser, før de testes på samme måde. 

Det er her, forretningsrobusthed starter: med et klart overblik over, hvad organisationen er afhængig af, governance, der forbinder risiciene omkring disse afhængigheder, og evnen til at fortsætte driften, tilpasse sig og komme sig, når noget går galt. 

Udvid din viden

Blog: Ud over bruddet: Hvorfor responsen nu er historien

Blog: Fra at 'Hold dem ude' til at 'Hold virksomheden kørende'

Podcast: Phishing for Trouble S2 E5: Du er kompatibel. Er du robust?