Med de økonomiske resultatene, parlamentariske bevisene og gjenopprettingsbildet nå i sikte, hva hendelsen egentlig forteller oss om avhengigheter, sammenkoblet styring og robusthet i næringslivet.

Da Marks & Spencers styreleder Archie Norman møtte for parlamentets underkomité for næringsliv og handel i juli 2025, jobbet detaljisten fortsatt med konsekvensene av en av de mest forstyrrende cyberhendelsene i sin historie. 

Vitnemålsmøtet ga et uvanlig detaljert innblikk i hva som skjer når et vellykket cyberangrep når dypt inn i den daglige driften av en stor organisasjon . Systemer hadde blitt tatt offline, netthandel ble forstyrret, og gjenopprettingsprosessen var forventet å fortsette i flere måneder.

Vi har nå et klarere bilde av den endelige effekten . I resultatene for 2025/26 rapporterte M&S 131.3 millioner pund i hendelsesrelaterte kostnader og 100 millioner pund i forsikringsutbetalinger. Justert resultat før skatt falt med 23.8 % til 671.4 millioner pund, selv om virksomheten returnerte til resultatvekst fra år til år i andre halvår.

Verdien av M&S-opplevelsen som casestudie går utover størrelsen på det økonomiske slaget. Én inntrenging skapte konsekvenser på tvers av teknologi, drift, leverandører, kundedata og økonomisk ytelse. Gjenoppretting krevde at alle disse relasjonene ble forstått og håndtert under press. 

For ledere innen informasjonssikkerhet, risiko og samsvar er det mye å lære av det som skjedde. 

En cyberhendelse ble raskt en forretningsforstyrrelse 

M&S fortalte parlamentet at den første tilgangen til systemet deres skjedde 17. april 2025 gjennom sofistikert etterligning, med en tredjepart også involvert i tilgangspunktet. 

Da angrepet ble identifisert, stengte M&S bevisst ned systemene for å beskytte den bredere virksomheten. Norman forklarte at dette bidro til den operative påvirkningen, men at det var riktig forsvarstiltak. Å få disse systemene trygt på nett igjen ble deretter en langvarig gjenoppbyggingsøvelse. 

M&S' juridiske rådgiver Nick Follan oppsummerte en av de mest praktiske lærdommene fra erfaringene under den parlamentariske høringen: organisasjoner bør kunne drive virksomheten sin med penn og papir i en periode mens systemene ikke er tilgjengelige.  

Det er en viktig test fordi digitale tjenester nå ligger til grunn for alt fra logistikk og betalinger til kundekommunikasjon og arbeidsstyrkehåndtering. Når disse tjenestene forsvinner, beveger utfordringen organisasjonen står overfor seg raskt utover sikkerhetsteamet. 

Motstandskraft starter med å forstå dine avhengigheter 

Den operasjonelle påvirkningen hos M&S viser hvorfor avhengigheter er viktige. 

Responsen på angrepet krevde at lagerstyringssystemene ble frakoblet. Dette resulterte i at nettbestillinger, Click & Collect og bestilling i butikk ble satt på pause, mens manuelle prosesser ble innført for å holde prognoser, bestillinger og påfylling i gang.  

Disse løsningene holdt butikkene i gang med å drive virksomheten, men konsekvensene spredte seg lenger . M&S sa at manuell lagerallokering bidro til ytterligere prisavslag og svinn, mens nettsalget innen mote, hjem og skjønnhet falt med 42.9 % i løpet av første halvår etter hvert som nettdriften gradvis ble gjenopprettet.

Den kjedereaksjonen er det som gjør avhengigheter til en så viktig del av motstandskraft. 

Ledere må forstå hvilke tjenester bedriften ikke har råd til å miste, og teknologien, informasjonen, menneskene og leverandørene som holder dem i gang . De må også vite hva som skjer andre steder når en av disse avhengighetene svikter.

En teknologirisiko ser veldig annerledes ut når den er knyttet til kundeoppfyllelse, lagerbeholdning eller inntekter. En relativt liten leverandør kan bli forretningskritisk gjennom systemene den har tilgang til eller prosessene den støtter. 

M&S-hendelsen avdekket disse forholdene i sanntid. Å forstå dem på forhånd gir organisasjoner et mye sterkere grunnlag for å avgjøre hvor motstandskraft må bygges. 

Beredskap må fungere i den virkelige verden 

M&S hadde investert i cybersikkerhet før angrepet. Cyberrisiko hadde styret, revisjons- og risikokomiteens oppmerksomhet, og selskapet hadde gjennomført simuleringer og «red-team»-øvelser. 

Normans refleksjon etterpå var talende: realiteten av hendelsen var langt mer intens enn disse øvelsene. M&S forventet også at gjenoppbyggingen av systemene ville fortsette i flere måneder etter det første angrepet. 

Beredskapen må derfor teste hvordan organisasjonen vil operere når forutsetningene som er innebygd i normale arbeidspraksiser forsvinner. 

Organisasjoner bør: 

  • Forstå kritiske tjenester og avhengigheter. Vit hvilke systemer, informasjon, leverandører og personer organisasjonen er avhengig av for å fortsette driften. 
  • Vurder risiko i forretningsmessige termer. Koble sikkerhets- og teknologirisikoer med deres driftsmessige, økonomiske, regulatoriske og kundekonsekvenser. 
  • Oppretthold tydelig eierskap og kontroll. Gjør ansvar og eskaleringsruter synlige på tvers av organisasjonen. 
  • Overvåk om kontrollene fortsatt er effektive. Bruk bevis, hendelser og endringer i virksomheten til å identifisere nye svakheter. 
  • Test realistiske forstyrrelsesscenarier. Øve respons og gjenoppretting mot langvarige avbrudd, leverandørsvikt og tap av normale systemer og kommunikasjon. 
  • Bruk lærdommene sine tilbake til styringen. Bruk hendelser, øvelser, revisjoner og forretningsendringer for å oppdatere risikoer, kontroller og prioriteringer. 

NCSCs retningslinjer for cyberstyring følger den samme brede tenkningen , og samler risikostyring, strategi, mennesker, hendelsesplanlegging og gjenoppretting, samt sikring og tilsyn som styringsansvar på styrenivå.

Den nyeste veiledningen for svært forstyrrende angrep erkjenner også at gjenoppretting kan strekke seg fra umiddelbar inneslutning til dager eller uker med gjenoppbygging før organisasjonen går tilbake til normal drift.

Styring kobler det bredere bildet av motstandskraft 

Normans bevis peker også på en annen viktig del av utfordringen med robusthet: å vite hvordan alle disse avhengighetene henger sammen. 

Han beskrev en organisasjon med rundt 50 000 mennesker som jobbet med systemene, inkludert ansatte, kontraktører og outsourcede team, i tillegg til en blanding av eldre og nyere teknologi. En tredjepart var involvert i angrepets innfallspunkt, mens teknologiens sammenkobling gjorde fullstendig oppdeling vanskelig. 

Anbefalingene hans fokuserte sterkt på disse fundamentene. Norman beskrev arkitektur som viktig for robusthet og rådet organisasjoner til å opprettholde en grundig kartlegging av hvordan systemer samhandler, hva de inneholder og hvem som har tilgang. Han påpekte også at det å styrke cybersikkerhetsteamet alene ikke kunne håndtere alt det ble bedt om å forsvare. 

Den bredere M&S-responsen viser hvorfor det er viktig. 

Personlig kundeinformasjon ble også tatt under angrepet , muligens inkludert kontaktinformasjon, fødselsdatoer og bestillingshistorikk på nett. M&S hadde derfor personvern- og regulatorisk ansvar å håndtere i tillegg til sikkerhetsinnkapsling, gjenoppretting, leverandørspørsmål og forretningskontinuitet.

Og teknologimiljøet som organisasjoner må styre fortsetter å ekspandere. Før angrepet hadde M&S allerede introdusert et AI-drevet kundeanbefalingsverktøy utviklet med den eksterne teknologileverandøren Preferabli og koblet til deres digitale produktkatalog.

Innen mars 2026 ble det opplyst at AI støttet lagerprognoser og bestillinger, markedsføring og kollegatjenester, i tillegg til utrullingen av Microsoft Copilot til 11 000 ansatte.

Det finnes ingen bevis for at KI spilte noen rolle i cyberangrepet. Relevansen ligger i den ekstra tilkoblingen den illustrerer. KI kan være avhengig av den samme informasjonen, identitetene, systemene og tredjepartsleverandørene som allerede vurderes gjennom sikkerhets- og personvernstyring. 

Et enkelt leverandørforhold kan derfor berøre informasjonssikkerhet, personopplysninger og kunstig intelligens. En systemendring kan ha implikasjoner på tvers av alle tre. En hendelse identifisert av ett team kan avdekke risikoer eller kreve tiltak andre steder. 

Når informasjonssikkerhet, personvern og styring av kunstig intelligens kan informere hverandre, er disse sammenhengene lettere å se . Risikoer, kontroller, bevis og korrigerende tiltak kan flyttes mellom områdene de påvirker i stedet for å forbli innenfor individuelle programmer.

Over tid skaper dette en robusthetsløkke : det en organisasjon lærer i én del av styringsmiljøet sitt styrker de andre, og skaper et mer komplett bilde etter hvert som teknologien, leverandørene og risikoene endrer seg.

Det er viktig fordi jo mer sammenkoblet en bedrift blir, desto større er risikoen for at noe viktig faller mellom ansvarsområder. Sammenkoblet styring hjelper organisasjoner med å se og håndtere disse relasjonene før en hendelse avslører dem. 

Regulering forsterker agendaen for robusthet 

Det samme fokuset på robusthet, avhengigheter og løpende styring er stadig mer synlig på tvers av regulering. 

Under NIS 2 omfatter tiltak for risikostyring i cybersikkerhet hendelseshåndtering, forretningskontinuitet, krisehåndtering, sikkerhet i forsyningskjeden, kapitalforvaltning og prosesser for å vurdere om sikkerhetstiltakene fortsatt er effektive.

For finansorganisasjoner som faller inn under DORA , behandles IKT-risikostyring, robusthetstesting og tredjepartsavhengigheter på samme måte som sammenhengende deler av digital operasjonell robusthet. Forordningen krever eksplisitt at organisasjoner vurderer hvor kritiske IKT-avhengigheter er og håndterer tredjepartsrisiko som en del av sitt bredere IKT-risikorammeverk.

Storbritannia beveger seg i samme retning. Lovforslaget om cybersikkerhet og robusthet (nettverks- og informasjonssystemer) , som for tiden behandles i Overhuset, har som mål å oppdatere Storbritannias eksisterende NIS-regime rundt sikkerheten og robustheten til viktige nettverks- og informasjonssystemer. Per september 2026 har det fullført komitéfasen i Overhuset, med rapportfase planlagt til 26. oktober.

Ulike organisasjoner vil møte ulike kombinasjoner av disse kravene, i tillegg til forpliktelser til databeskyttelse og nye ansvarsområder for styring av kunstig intelligens. Overlappingene forsterker verdien av å forstå de underliggende risikoene, kontrollene og avhengighetene på tvers av dem, i stedet for å behandle hvert krav som et isolert samsvarsprosjekt. 

Motstandskraft er et styreromsproblem 

Den siste delen av M&S-historien er hva som skjedde etter den umiddelbare krisen. 

Resultatene for 2025/26 viser de økonomiske konsekvensene tydelig: 131.3 millioner pund i hendelsesrelaterte kostnader, inkludert 109.3 millioner pund for systemrespons og gjenoppretting, i tillegg til 100 millioner pund i forsikringsinntekter. 

M&S gjenopplevde likevel resultatvekst fra år til år i andre halvår. Selskapet pekte spesifikt på sin robuste balanse som gjorde det mulig for dem å absorbere forstyrrelsene samtidig som de fortsatte å investere i sin bredere transformasjon. 

Det utvider samtalen om robusthet utover teknologisk gjenoppretting. 

En organisasjon kan gjenopprette systemene sine og fortsatt måtte absorbere tapte inntekter, gjenopprettingskostnader, kundeavbrudd, leverandørproblemer, regulatoriske forpliktelser og måneder med ledelsens oppmerksomhet. Finansiell kapasitet, kommunikasjon, lederskap og evnen til å ta beslutninger under press påvirker alle resultatet. 

Styrer trenger derfor synlighet på tvers av forbindelsene som kan gjøre et teknologiproblem til en hendelse som omfatter hele virksomheten.

NCSCs kodeks for cyberstyring gjør dette ansvaret eksplisitt, og plasserer eierskap for kritiske cyberstyringstiltak hos styrer og direktører, og behandler cyberrobusthet som en del av å beskytte finansiell stabilitet, kontinuitet og kundetillit. 

Hva bør andre organisasjoner ta med seg fra M&S? 

M&S-erfaringen gir ledergrupper en nyttig måte å utfordre sine egne antagelser på. 

Vet vi hvilke tjenester bedriften minst har råd til å miste, og alt de er avhengige av? Forstår vi hvor leverandører har tilgang til kritiske systemer og informasjon? Kan team fortsette å operere hvis kjerneteknologien forsvinner i morgen? Har vi testet det under forhold som ligner en reell krise? 

Og etter hvert som sikkerhet, personvern og kunstig intelligens blir mer sammenkoblet, kan de som styrer disse områdene se hvor risikoene deres overlapper hverandre? Når et problem som er identifisert i ett program på en pålitelig måte frem til de andre det påvirker? Ser ledergruppene ett sammenhengende bilde av forretningsrisiko, eller flere delvise bilde? 

M&S opplevde sammenhengene mellom teknologi, drift, leverandører, kundeinformasjon og økonomisk ytelse under presset fra en større hendelse. 

Andre organisasjoner har en mulighet til å forstå og styre disse forbindelsene før de testes på samme måte. 

Det er der forretningsrobusthet starter: med et klart bilde av hva organisasjonen er avhengig av, styring som kobler risikoene rundt disse avhengighetene, og evnen til å fortsette driften, tilpasse seg og gjenopprette seg når noe går galt. 

Utvid din kunnskap

Blogg: Utover bruddet: Hvorfor responsen nå er historien

Blogg: Fra å «holde dem ute» til å «holde virksomheten i gang»

Podkast: Phishing for Trouble S2 E5: Du er kompatibel. Er du robust?