Med de ekonomiska resultaten, parlamentariska bevisen och återhämtningsbilden nu i sikte, vad händelsen egentligen säger oss om beroenden, sammankopplad styrning och företagens motståndskraft.

När Marks & Spencers ordförande Archie Norman framträdde inför parlamentets underutskott för näringsliv och handel i juli 2025, arbetade återförsäljaren fortfarande med konsekvenserna av en av de mest störande cyberincidenterna i sin historia. 

Bevisförhöret gav en ovanligt detaljerad bild av vad som händer när en lyckad cyberattack når djupt in i den dagliga driften av en större organisation . System hade tagits offline, onlinehandeln stördes och återhämtningen förväntades fortsätta i månader.

Vi har nu en tydligare bild av den slutliga effekten . I resultatet för 2025/26 rapporterade M&S 131.3 miljoner pund i olycksrelaterade kostnader och 100 miljoner pund i försäkringsersättningar. Den justerade vinsten före skatt minskade med 23.8 % till 671.4 miljoner pund, även om verksamheten återgick till vinsttillväxt jämfört med föregående år under andra halvåret.

Värdet av M&S-upplevelsen som fallstudie går utöver storleken på den ekonomiska smällen. Ett intrång fick konsekvenser för teknik, verksamhet, leverantörer, kunddata och ekonomisk utveckling. Återställningen krävde att alla dessa relationer förstods och hanterades under press. 

För chefer inom informationssäkerhet, risk och compliance finns det mycket att lära av det som hände. 

En cyberincident blev snabbt en störning i verksamheten 

M&S berättade för parlamentet att den första åtkomsten till deras system skedde den 17 april 2025 genom sofistikerad personimitation, med en tredje part också inblandad i åtkomstpunkten. 

När attacken identifierades stängde M&S avsiktligt av systemen för att skydda den bredare verksamheten. Norman förklarade att detta bidrog till den operativa påverkan men var rätt defensiv åtgärd. Att få tillbaka systemen online på ett säkert sätt blev sedan en långdragen återuppbyggnadsprocess. 

M&S chefsjurist Nick Follan sammanfattade en av de mest praktiska lärdomarna från erfarenheterna under den parlamentariska utfrågningen: organisationer bör kunna driva sin verksamhet med penna och papper under en period medan systemen inte är tillgängliga.  

Det är ett viktigt test eftersom digitala tjänster nu ligger till grund för allt från logistik och betalningar till kundkommunikation och personalhantering. När dessa tjänster försvinner flyttas utmaningen som organisationen står inför mycket snabbt bortom säkerhetsteamet. 

Motståndskraft börjar med att förstå dina beroenden 

Den operativa påverkan på M&S visar varför beroenden är viktiga. 

Dess svar på attacken krävde att lagerhanteringssystemen kopplades bort. Det resulterade i att onlinebeställningar, Click & Collect och beställningar i butik pausades, medan manuella processer infördes för att hålla prognoser, beställningar och påfyllning igång.  

Dessa lösningar höll butikerna igång, men konsekvenserna spred sig längre . M&S sa att manuell lagerallokering bidrog till ytterligare prisnedsättningar och svinn, medan onlineförsäljningen inom mode, hem och skönhet minskade med 42.9 % under första halvåret i takt med att onlineverksamheten gradvis återställdes.

Den kedjereaktionen är det som gör beroenden till en så viktig del av motståndskraft. 

Ledare behöver förstå vilka tjänster företaget inte har råd att förlora och vilken teknik, information, personal och leverantörer som håller dem igång . De behöver också veta vad som händer på andra ställen när ett av dessa beroenden fallerar.

En teknikrisk ser väldigt annorlunda ut när den är kopplad till kundtillfredsställelse, lagertillgänglighet eller intäkter. En relativt liten leverantör kan bli affärskritisk genom de system den har åtkomst till eller de processer den stöder. 

M&S-incidenten avslöjade dessa relationer i realtid. Att förstå dem i förväg ger organisationer en mycket starkare grund för att avgöra var motståndskraft behöver byggas upp. 

Beredskap måste fungera i den verkliga världen 

M&S hade investerat i cybersäkerhet före attacken. Cyberrisker hade uppmärksamhet från styrelsen, revisions- och riskkommittén, och företaget hade genomfört simuleringar och övningar med röda team. 

Normans eftertanke var talande: händelsens verklighet var mycket mer intensiv än de där övningarna. M&S förväntade sig också att systemåteruppbyggnaden skulle fortsätta i månader efter den första attacken. 

Beredskapen behöver därför testa hur organisationen kommer att fungera när de antaganden som är inbyggda i normala arbetsmetoder försvinner. 

Organisationer bör: 

  • Förstå kritiska tjänster och beroenden. Känna till vilka system, information, leverantörer och personer organisationen är beroende av för att fortsätta fungera. 
  • Bedöm risken ur affärsmässiga synvinklar. Koppla säkerhets- och teknikrisker med deras operativa, finansiella, regulatoriska och kundrelaterade konsekvenser. 
  • Bibehåll tydligt ägarskap och kontroll. Gör ansvarsområden och eskaleringsvägar synliga i hela organisationen. 
  • Övervaka om kontrollerna förblir effektiva. Använd bevis, incidenter och förändringar i verksamheten för att identifiera framväxande svagheter. 
  • Testa realistiska störningsscenarier. Öva på respons och återställning vid längre avbrott, leverantörsfel och förlust av normala system och kommunikationer. 
  • Använd lärdomar i styrningen. Använd incidenter, övningar, revisioner och affärsförändringar för att uppdatera risker, kontroller och prioriteringar. 

NCSC :s kod för cyberstyrning följer samma breda tänkande och sammanför riskhantering, strategi, personal, incidentplanering och återställning samt revisionssäkring och tillsyn som styrningsansvar på styrelsenivå.

Dess senaste riktlinjer för mycket störande attacker erkänner också att återställningen kan sträcka sig från omedelbar inneslutning till dagar eller veckor av återuppbyggnad innan organisationen återgår till normal verksamhet.

Styrning kopplar samman den bredare bilden av motståndskraft 

Normans bevis pekar också på en annan viktig del av motståndskraftsutmaningen: att veta hur alla dessa beroenden hänger ihop. 

Han beskrev en organisation med cirka 50 000 personer som arbetar med dess system, bestående av anställda, entreprenörer och outsourcade team, tillsammans med en blandning av äldre och nyare teknik. En tredje part var involverad i ingången till attacken, medan den sammankopplade tekniktillgången gjorde fullständig uppdelning svår. 

Hans rekommendationer fokuserade starkt på dessa grunder. Norman beskrev arkitektur som viktig för motståndskraft och rådde organisationer att upprätthålla en noggrann karta över hur systemen interagerar, vad de innehåller och vem som har åtkomst. Han poängterade också att en förstärkning av cybersäkerhetsteamet ensamt inte kunde hantera allt som det ombads att försvara. 

Det bredare M&S-svaret visar varför det är viktigt. 

Personlig kundinformation samlades också in under attacken , potentiellt inklusive kontaktuppgifter, födelsedatum och orderhistorik online. M&S hade därför integritets- och regulatoriska ansvar att hantera vid sidan av säkerhetsinneslutning, återställning, leverantörsfrågor och affärskontinuitet.

Och den teknikmiljö som organisationer måste styra fortsätter att expandera. Före attacken hade M&S redan introducerat ett AI-drivet kundrekommendationsverktyg som utvecklats tillsammans med den externa teknikleverantören Preferabli och kopplats till deras digitala produktkatalog.

I mars 2026 uppgavs det att AI stödde lagerprognoser och beställning, marknadsföring och medarbetartjänster, tillsammans med utrullningen av Microsoft Copilot till 11 000 anställda.

Det finns inga bevis för att AI spelade någon roll i cyberattacken. Dess relevans ligger i den ytterligare uppkoppling den illustrerar. AI kan förlita sig på samma information, identiteter, system och tredjepartsleverantörer som redan beaktas genom säkerhets- och integritetsstyrning. 

En relation med en enda leverantör kan därför beröra informationssäkerhet, personuppgifter och AI. En systemförändring kan få konsekvenser för alla tre. En incident som identifieras av ett team kan exponera risker eller kräva åtgärder någon annanstans. 

När informationssäkerhet, integritet och AI-styrning kan påverka varandra blir dessa kopplingar lättare att se . Risker, kontroller, bevis och korrigerande åtgärder kan flyttas mellan de områden de påverkar istället för att stanna kvar inom enskilda program.

Med tiden skapar det en motståndskraftsloop : det en organisation lär sig i en del av sin styrningsmiljö stärker de andra, vilket skapar en mer komplett bild i takt med att dess teknik, leverantörer och risker förändras.

Det är viktigt eftersom ju mer sammankopplat ett företag blir, desto större är risken att något viktigt hamnar mellan ansvarsområden. Sammankopplad styrning hjälper organisationer att se och hantera dessa relationer innan en incident avslöjar dem. 

Reglering stärker motståndskraftsagendan 

Samma fokus på motståndskraft, beroenden och löpande styrning är alltmer synligt i hela regelverket. 

Enligt NIS 2 omfattar åtgärder för hantering av cybersäkerhetsrisker incidenter, affärskontinuitet, krishantering, säkerhet i leveranskedjan, tillgångshantering och processer för att bedöma om säkerhetsåtgärderna fortfarande är effektiva.

För finansiella organisationer som omfattas av DORA behandlas IKT-riskhantering, resilienstestning och tredjepartsberoenden på liknande sätt som sammanhängande delar av digital operativ resiliens. Förordningen kräver uttryckligen att organisationer beaktar IKT-beroendenas kritiska betydelse och hanterar tredjepartsrisker som en del av sitt bredare IKT-riskramverk.

Storbritannien rör sig i samma riktning. Lagförslaget om cybersäkerhet och motståndskraft (nätverks- och informationssystem) , som för närvarande behandlas i överhuset, är avsett att uppdatera Storbritanniens befintliga NIS-system kring säkerhet och motståndskraft hos viktiga nätverks- och informationssystem. I september 2026 har det avslutat utskottsfasen i överhuset, med en rapportfas planerad till den 26 oktober.

Olika organisationer kommer att möta olika kombinationer av dessa krav, tillsammans med dataskyddsskyldigheter och framväxande ansvar för AI-styrning. Överlappningarna förstärker värdet av att förstå de underliggande riskerna, kontrollerna och beroendena mellan dem snarare än att närma sig varje krav som ett isolerat efterlevnadsprojekt. 

Motståndskraft är en fråga i styrelserummet 

Den sista delen av M&S-berättelsen är vad som hände efter den omedelbara krisen. 

Resultaten för 2025/26 visar tydligt de ekonomiska konsekvenserna: 131.3 miljoner pund i incidentrelaterade kostnader, inklusive 109.3 miljoner pund för systemrespons och återställning, tillsammans med 100 miljoner pund i försäkringsintäkter. 

M&S återgick ändå till vinsttillväxt jämfört med föregående år under andra halvåret. Företaget pekade specifikt på sin motståndskraftiga balansräkning som något som gjorde det möjligt för dem att absorbera störningarna samtidigt som de fortsatte att investera i sin bredare omvandling. 

Det breddar diskussionen om motståndskraft bortom teknisk återhämtning. 

En organisation kan återställa sina system och fortfarande behöva absorbera förlorade intäkter, återhämtningskostnader, kundstörningar, leverantörsproblem, myndighetsskyldigheter och månader av ledningens uppmärksamhet. Finansiell kapacitet, kommunikation, ledarskap och förmågan att fatta beslut under press påverkar alla resultatet. 

Styrelser behöver därför insyn i de kopplingar som kan förvandla ett teknikproblem till en affärsomfattande händelse.

NCSC:s kod för cyberstyrning tydliggör detta ansvar, genom att placera ägandet av kritiska cyberstyrningsåtgärder hos styrelser och direktörer och behandla cybermotståndskraft som en del av att skydda finansiell stabilitet, kontinuitet och kundernas förtroende. 

Vad bör andra organisationer ta med sig från M&S? 

M&S erfarenhet ger ledningsgrupper ett användbart sätt att utmana sina egna antaganden. 

Vet vi vilka tjänster verksamheten minst har råd att förlora, och allt de är beroende av? Förstår vi var leverantörer har tillgång till kritiska system och information? Skulle team kunna fortsätta att arbeta om kärntekniken försvinner imorgon? Har vi testat det under förhållanden som liknar en verklig kris? 

Och i takt med att säkerhet, integritet och AI blir mer sammankopplade, kan de som styr dessa områden se var deras risker överlappar varandra? Nås en fråga som identifierats i ett program på ett tillförlitligt sätt av de andra som den påverkar? Ser ledningsgrupperna en sammanhängande bild av affärsrisker, eller flera ofullständiga? 

M&S upplevde kopplingarna mellan teknik, verksamhet, leverantörer, kundinformation och ekonomisk utveckling under trycket av en större incident. 

Andra organisationer har möjlighet att förstå och styra dessa kopplingar innan de testas på samma sätt. 

Det är där affärsmässig motståndskraft börjar: med en tydlig bild av vad organisationen är beroende av, styrning som kopplar samman riskerna kring dessa beroenden, och förmågan att fortsätta driva verksamheten, anpassa sig och återhämta sig när något går fel. 

Utöka din kunskap

Blogg: Bortom intrånget: Varför svaret nu är berättelsen

Blogg: Att gå från "Håll dem borta" till "Håll verksamheten igång"

Podcast: Nätfiske för problem S2 Avsnitt 5: Du följer reglerna. Är du motståndskraftig?