Nu de financiële resultaten, het parlementaire bewijsmateriaal en het herstelbeeld bekend zijn, rijst de vraag wat het incident ons werkelijk leert over onderlinge afhankelijkheden, verbonden bestuur en de veerkracht van bedrijven.

Toen Archie Norman, voorzitter van Marks & Spencer, in juli 2025 voor de subcommissie Handel en Industrie van het parlement verscheen, was de detailhandelaar nog steeds bezig de gevolgen te verwerken van een van de meest ontwrichtende cyberincidenten in zijn geschiedenis. 

De hoorzitting bood een ongebruikelijk gedetailleerd beeld van wat er gebeurt wanneer een succesvolle cyberaanval diep doordringt in de dagelijkse gang van zaken van een grote organisatie . Systemen waren offline gehaald, online handel was verstoord en het herstel zou naar verwachting maanden duren.

We hebben nu een duidelijker beeld van de uiteindelijke impact . In de resultaten over 2025/26 rapporteerde M&S £131.3 miljoen aan incidentgerelateerde kosten en £100 miljoen aan verzekeringsuitkeringen. De gecorrigeerde winst vóór belasting daalde met 23.8% tot £671.4 miljoen, hoewel het bedrijf in de tweede helft weer een winstgroei op jaarbasis liet zien.

De waarde van de M&S-ervaring als casestudy reikt verder dan de omvang van de financiële schade. Eén enkele inbraak had gevolgen voor technologie, bedrijfsvoering, leveranciers, klantgegevens en financiële prestaties. Om te herstellen, moesten al deze relaties onder druk worden begrepen en beheerd. 

Voor leiders op het gebied van informatiebeveiliging, risicobeheer en compliance valt er veel te leren van wat er is gebeurd. 

Een cyberincident leidde al snel tot een verstoring van de bedrijfsvoering. 

M&S heeft het parlement laten weten dat de eerste toegang tot hun systeem plaatsvond op 17 april 2025 door middel van geavanceerde identiteitsvervalsing, waarbij ook een derde partij betrokken was bij het toegangspunt. 

Nadat de aanval was vastgesteld, schakelde M&S opzettelijk systemen uit om de rest van het bedrijf te beschermen. Norman legde uit dat dit weliswaar operationele gevolgen had, maar dat het de juiste verdedigingsmaatregel was. Het veilig opnieuw online brengen van die systemen werd vervolgens een langdurig herstelproces. 

Nick Folland, algemeen adviseur van M&S, vatte tijdens de hoorzitting in het parlement een van de meest praktische lessen uit deze ervaring samen: organisaties moeten hun bedrijfsvoering gedurende een bepaalde periode met pen en papier kunnen voortzetten, ook als systemen niet beschikbaar zijn.  

Het is een belangrijke test, omdat digitale diensten tegenwoordig aan de basis liggen van alles, van logistiek en betalingen tot klantcommunicatie en personeelsbeheer. Wanneer die diensten verdwijnen, verschuift de uitdaging voor de organisatie al snel van het beveiligingsteam naar een ander niveau. 

Veerkracht begint met inzicht in je afhankelijkheden. 

De operationele impact bij M&S laat zien waarom afhankelijkheden ertoe doen. 

Als reactie op de aanval moesten de magazijnbeheersystemen worden losgekoppeld. Hierdoor werden online bestellingen, Click & Collect en bestellingen in de winkel tijdelijk stopgezet, terwijl handmatige processen werden ingevoerd om de prognoses, bestellingen en voorraadbeheer draaiende te houden.  

Die noodoplossingen zorgden ervoor dat de winkels open konden blijven, maar de gevolgen reikten verder . M&S gaf aan dat handmatige voorraadtoewijzing leidde tot extra afprijzingen en verspilling, terwijl de online verkoop van mode, huis en beauty in de eerste helft met 42.9% daalde naarmate de online activiteiten geleidelijk werden hersteld.

Die kettingreactie maakt afhankelijkheden zo'n belangrijk onderdeel van veerkracht. 

Leiders moeten begrijpen welke diensten het bedrijf zich niet kan veroorloven te verliezen en welke technologie, informatie, mensen en leveranciers daarvoor nodig zijn . Ze moeten ook weten wat er elders gebeurt als een van die afhankelijkheden uitvalt.

Een technologisch risico krijgt een heel andere betekenis wanneer het verband houdt met klanttevredenheid, voorraadbeschikbaarheid of omzet. Een relatief kleine leverancier kan bedrijfskritisch worden door de systemen waartoe hij toegang heeft of de processen die hij ondersteunt. 

Het M&S-incident legde die relaties in realtime bloot. Door ze van tevoren te begrijpen, hebben organisaties een veel sterkere basis om te bepalen waar ze hun weerbaarheid moeten versterken. 

Voorbereiding moet in de praktijk werken. 

M&S had vóór de aanval al geïnvesteerd in cyberbeveiliging. Cyberrisico's hadden de aandacht van de raad van bestuur, de auditcommissie en de risicocommissie, en het bedrijf had simulaties en red-team-oefeningen uitgevoerd. 

Normans reflectie achteraf was veelzeggend: de werkelijkheid van het incident was veel heftiger dan die oefeningen deden vermoeden. M&S verwachtte bovendien dat de wederopbouw van de systemen nog maanden na de eerste aanval zou duren. 

Een goede voorbereiding vereist daarom dat wordt getest hoe de organisatie zal functioneren wanneer de aannames die ten grondslag liggen aan de normale werkpraktijken verdwijnen. 

Organisaties moeten: 

  • Inzicht in kritieke diensten en afhankelijkheden. Weet op welke systemen, informatie, leveranciers en mensen de organisatie vertrouwt om te blijven functioneren. 
  • Beoordeel risico's in zakelijke termen. Koppel beveiligings- en technologierisico's aan hun operationele, financiële, wettelijke en klantgerichte gevolgen. 
  • Zorg voor duidelijke eigendoms- en controlemechanismen. Zorg ervoor dat verantwoordelijkheden en escalatieprocedures binnen de hele organisatie inzichtelijk zijn. 
  • Monitor of de maatregelen effectief blijven. Gebruik bewijsmateriaal, incidenten en veranderingen binnen het bedrijf om opkomende zwakke punten te identificeren. 
  • Test realistische scenario's voor verstoringen. Oefen de respons en het herstel bij langdurige stroomuitval, leveranciersstoringen en het uitvallen van normale systemen en communicatie. 
  • De geleerde lessen kunnen vervolgens weer worden toegepast in het bestuur. Gebruik incidenten, oefeningen, audits en veranderingen binnen de organisatie om risico's, beheersmaatregelen en prioriteiten bij te werken. 

De gedragscode voor cybergovernance van het NCSC volgt dezelfde brede denkwijze en brengt risicobeheer, strategie, personeel, incidentplanning en -herstel, en assurance en toezicht samen als verantwoordelijkheden op bestuursniveau.

De meest recente richtlijnen voor zeer ontwrichtende aanvallen erkennen ook dat het herstel kan variëren van onmiddellijke beheersing tot dagen of weken van wederopbouw voordat de organisatie haar normale werkzaamheden kan hervatten.

Bestuur verbindt het bredere beeld van veerkracht. 

Normans bewijsmateriaal wijst ook op een ander belangrijk aspect van de uitdaging op het gebied van veerkracht: inzicht in hoe al deze onderlinge afhankelijkheden met elkaar verbonden zijn. 

Hij beschreef een organisatie met ongeveer 50,000 mensen die aan de systemen werkten, waaronder werknemers, contractanten en externe teams, en een mix van verouderde en nieuwere technologie. Een derde partij was betrokken bij de toegangspoort tot de aanval, terwijl de onderlinge verbondenheid van de technologie-infrastructuur volledige compartimentering moeilijk maakte. 

Zijn aanbevelingen waren sterk gericht op die fundamenten. Norman beschreef architectuur als belangrijk voor veerkracht en adviseerde organisaties om een ​​nauwkeurige kaart bij te houden van hoe systemen met elkaar communiceren, wat ze bevatten en wie er toegang toe heeft. Hij benadrukte ook dat het versterken van het cybersecurityteam alleen niet voldoende was om alles te beschermen wat van het team werd verwacht. 

De bredere reactie van M&S laat zien waarom dat belangrijk is. 

Tijdens de aanval werden ook persoonlijke klantgegevens buitgemaakt , mogelijk inclusief contactgegevens, geboortedata en online bestelgeschiedenis. M&S had daarom privacy- en wettelijke verantwoordelijkheden te beheren, naast het beperken van de schade, het herstellen van de schade, het beantwoorden van vragen van leveranciers en het waarborgen van de bedrijfscontinuïteit.

En de technologische omgeving die organisaties moeten beheren, blijft zich uitbreiden. Vóór de aanval had M&S al een AI-gestuurde tool voor klantaanbevelingen geïntroduceerd, ontwikkeld in samenwerking met externe technologieleverancier Preferabli en gekoppeld aan de digitale productcatalogus.

Het bedrijf gaf aan dat AI tegen maart 2026 ondersteuning zou bieden bij voorraadprognoses en -bestellingen, marketing en diensten voor medewerkers, naast de uitrol van Microsoft Copilot naar 11,000 werknemers.

Er is geen bewijs dat AI een rol heeft gespeeld in de cyberaanval. De relevantie ervan ligt in de extra connectiviteit die het illustreert. AI kan afhankelijk zijn van dezelfde informatie, identiteiten, systemen en externe leveranciers die al worden meegenomen in de beveiligings- en privacyregelgeving. 

Een relatie met één enkele leverancier kan dus betrekking hebben op informatiebeveiliging, persoonsgegevens en AI. Een systeemwijziging kan gevolgen hebben voor alle drie. Een incident dat door één team wordt vastgesteld, kan risico's aan het licht brengen of actie vereisen op andere gebieden. 

Wanneer informatiebeveiliging, privacy en AI-governance elkaar kunnen beïnvloeden, worden die verbanden gemakkelijker zichtbaar . Risico's, beheersmaatregelen, bewijsmateriaal en corrigerende acties kunnen tussen de gebieden waarop ze van invloed zijn, worden uitgewisseld in plaats van binnen afzonderlijke programma's te blijven.

Na verloop van tijd ontstaat daardoor een veerkrachtcyclus : wat een organisatie leert in één onderdeel van haar governance-omgeving versterkt de andere onderdelen, waardoor een completer beeld ontstaat naarmate haar technologie, leveranciers en risico's veranderen.

Dat is belangrijk, want hoe meer een bedrijf met elkaar verbonden is, hoe groter het risico dat iets belangrijks tussen verschillende verantwoordelijkheidsgebieden verloren gaat. Verbonden bestuur helpt organisaties die relaties te zien en te beheren voordat een incident ze aan het licht brengt. 

Regulering versterkt de agenda voor veerkracht. 

Diezelfde focus op veerkracht, afhankelijkheden en voortdurend bestuur is steeds vaker terug te vinden in de regelgeving. 

Onder NIS 2 omvatten maatregelen voor risicobeheer op het gebied van cyberbeveiliging incidentafhandeling, bedrijfscontinuïteit, crisisbeheer, beveiliging van de toeleveringsketen, activabeheer en processen voor het beoordelen of beveiligingsmaatregelen nog steeds effectief zijn.

Voor financiële organisaties die onder de DORA- regelgeving vallen , worden ICT-risicobeheer, veerkrachttesten en afhankelijkheden van derden eveneens beschouwd als samenhangende onderdelen van digitale operationele veerkracht. De regelgeving vereist expliciet dat organisaties het cruciale belang van ICT-afhankelijkheden in overweging nemen en risico's van derden beheren als onderdeel van hun bredere ICT-risicobeheer.

Het Verenigd Koninkrijk beweegt zich in dezelfde richting. De Cyber ​​Security and Resilience (Network and Information Systems) Bill , die momenteel in behandeling is in het Hogerhuis, is bedoeld om de bestaande Britse NIS-regelgeving met betrekking tot de beveiliging en veerkracht van essentiële netwerk- en informatiesystemen te actualiseren. De wet heeft de commissiefase in het Hogerhuis afgerond (vanaf september 2026), en de rapportagefase staat gepland voor 26 oktober.

Verschillende organisaties zullen te maken krijgen met verschillende combinaties van deze vereisten, naast verplichtingen op het gebied van gegevensbescherming en opkomende verantwoordelijkheden op het gebied van AI-governance. De overlappingen benadrukken het belang van inzicht in de onderliggende risico's, beheersmaatregelen en onderlinge afhankelijkheden, in plaats van elke vereiste als een op zichzelf staand complianceproject te benaderen. 

Veerkracht is een kwestie voor de directie. 

Het laatste deel van het M&S-verhaal gaat over wat er gebeurde na de acute crisis. 

De resultaten voor 2025/26 laten de financiële gevolgen duidelijk zien: 131.3 miljoen pond aan incidentgerelateerde kosten, waaronder 109.3 miljoen pond voor systeemrespons en -herstel, naast 100 miljoen pond aan verzekeringsuitkeringen. 

M&S boekte desondanks in de tweede helft van het jaar weer winstgroei. Het bedrijf wees specifiek op zijn sterke balans, die het in staat stelde de verstoringen op te vangen en tegelijkertijd te blijven investeren in zijn bredere transformatie. 

Dat verbreedt het gesprek over veerkracht tot voorbij het herstel na technologische ontwikkelingen. 

Een organisatie kan haar systemen herstellen en toch te maken krijgen met omzetverlies, herstelkosten, verstoring van de klantrelatie, problemen met leveranciers, wettelijke verplichtingen en maandenlange aandacht van het management. Financiële draagkracht, communicatie, leiderschap en het vermogen om onder druk beslissingen te nemen, spelen allemaal een rol in het uiteindelijke resultaat. 

Bestuursraden moeten daarom inzicht hebben in de verbanden die een technologieprobleem kunnen laten uitgroeien tot een gebeurtenis die de hele organisatie raakt.

De Cyber ​​Governance Code van de NCSC maakt die verantwoordelijkheid expliciet, door de verantwoordelijkheid voor cruciale cybergovernance-acties bij de raden van bestuur te leggen en cyberweerbaarheid te beschouwen als onderdeel van het beschermen van financiële stabiliteit, continuïteit en klantvertrouwen. 

Wat kunnen andere organisaties leren van M&S? 

De M&S-ervaring biedt managementteams een nuttige manier om hun eigen aannames ter discussie te stellen. 

Weten we welke diensten het bedrijf zich het minst kan veroorloven te verliezen, en van alles waar ze van afhankelijk zijn? Begrijpen we waar leveranciers toegang hebben tot cruciale systemen en informatie? Zouden teams kunnen blijven functioneren als essentiële technologie morgen zou uitvallen? Hebben we dat getest onder omstandigheden die een echte crisis nabootsen? 

Naarmate beveiliging, privacy en AI steeds meer met elkaar verweven raken, kunnen de mensen die verantwoordelijk zijn voor deze gebieden dan nog wel zien waar de risico's elkaar overlappen? Bereikt een probleem dat in één programma wordt vastgesteld ook de andere programma's die erdoor worden beïnvloed? Zien managementteams één samenhangend beeld van de bedrijfsrisico's, of meerdere fragmentarische beelden? 

M&S ondervond de verbanden tussen technologie, bedrijfsvoering, leveranciers, klantgegevens en financiële prestaties onder de druk van een groot incident. 

Andere organisaties krijgen de kans om die verbanden te begrijpen en te beheren voordat ze op dezelfde manier op de proef worden gesteld. 

Daar begint bedrijfsveerkracht: met een helder beeld van waar de organisatie van afhankelijk is, een governancekader dat de risico's rond die afhankelijkheden in kaart brengt, en het vermogen om te blijven functioneren, zich aan te passen en te herstellen wanneer er iets misgaat. 

Breid je kennis uit

Blog: Voorbij de inbreuk: Waarom de reactie nu het verhaal is

Blog: Van 'houd ze buiten' naar 'zorg dat het bedrijf blijft draaien'

Podcast: Phishing voor problemen S2 E5: Je voldoet aan de regels. Ben je ook weerbaar?