Au vu des résultats financiers, des éléments parlementaires et du tableau de reprise, que nous apprend réellement cet incident sur les interdépendances, la gouvernance connectée et la résilience des entreprises ?

Lorsque le président de Marks & Spencer, Archie Norman, a comparu devant la sous-commission des affaires et du commerce du Parlement en juillet 2025, le détaillant était encore aux prises avec les conséquences de l'un des incidents cybernétiques les plus perturbateurs de son histoire. 

L' audience a permis de dresser un tableau exceptionnellement détaillé des conséquences d'une cyberattaque réussie qui perturbe profondément le fonctionnement quotidien d'une grande organisation . Les systèmes ont été mis hors service, les transactions en ligne ont été interrompues et la reprise devrait se poursuivre pendant des mois.

Nous avons désormais une vision plus claire de l'impact final . Dans ses résultats de l'exercice 2025/26, M&S a comptabilisé 131.3 millions de livres sterling de coûts liés à l'incident et 100 millions de livres sterling d'indemnités d'assurance. Le bénéfice ajusté avant impôt a chuté de 23.8 % pour s'établir à 671.4 millions de livres sterling, malgré un retour à la croissance des bénéfices au second semestre.

L'intérêt de l'expérience M&S en tant qu'étude de cas dépasse largement l'ampleur du préjudice financier. Une seule intrusion a engendré des répercussions sur l'ensemble des technologies, des opérations, des fournisseurs, des données clients et des performances financières. Le rétablissement de ces relations a nécessité une compréhension et une gestion rigoureuses de l'ensemble de ces liens, même sous pression. 

Pour les responsables de la sécurité de l'information, des risques et de la conformité, il y a beaucoup à apprendre de ce qui s'est passé. 

Un incident informatique s'est rapidement transformé en interruption d'activité. 

M&S a déclaré au Parlement que l'entrée initiale dans son système s'est produite le 17 avril 2025 grâce à une usurpation d'identité sophistiquée, avec l'implication d'une tierce personne au point d'entrée. 

Une fois l'attaque identifiée, M&S a délibérément mis hors service ses systèmes afin de protéger l'ensemble de ses activités. Norman a expliqué que cette mesure, bien qu'ayant contribué aux perturbations opérationnelles, constituait la réaction défensive appropriée. La remise en service sécurisée de ces systèmes a ensuite représenté un long travail de reconstruction. 

Nick Folland, conseiller juridique de M&S, a résumé l'une des leçons les plus pratiques tirées de cette expérience lors de l'audition parlementaire : les organisations doivent pouvoir continuer à fonctionner sur papier pendant une période donnée lorsque leurs systèmes sont indisponibles.  

Il s'agit d'un test crucial car les services numériques sont désormais indispensables à tout, de la logistique et des paiements à la communication client et à la gestion des effectifs. Lorsque ces services disparaissent, le défi auquel l'organisation est confrontée dépasse très rapidement le cadre de l'équipe de sécurité. 

La résilience commence par la compréhension de ses dépendances. 

L'impact opérationnel chez M&S montre pourquoi les interdépendances sont importantes. 

En réponse à l'attaque, l'entreprise a dû déconnecter ses systèmes de gestion d'entrepôt. Les commandes en ligne, le Click & Collect et les commandes en magasin ont ainsi été suspendus, le temps de mettre en place des procédures manuelles pour assurer la continuité des prévisions, des commandes et du réapprovisionnement.  

Ces solutions de fortune ont permis aux magasins de rester ouverts, mais leurs conséquences se sont fait sentir plus largement . M&S a indiqué que l'allocation manuelle des stocks avait contribué à des démarques et à des pertes supplémentaires, tandis que les ventes en ligne de Mode, Maison et Beauté ont chuté de 42.9 % au cours du premier semestre, le service en ligne étant progressivement rétabli.

C’est cette réaction en chaîne qui fait des dépendances un élément si important de la résilience. 

Les dirigeants doivent identifier les services essentiels à l'entreprise et comprendre les technologies, les informations, les ressources humaines et les fournisseurs qui les assurent . Ils doivent également anticiper les conséquences d'une défaillance de l'un de ces éléments.

Un risque technologique prend une tout autre dimension lorsqu'il est lié à la satisfaction client, à la disponibilité des stocks ou au chiffre d'affaires. Un fournisseur relativement petit peut devenir essentiel à l'activité de l'entreprise grâce aux systèmes auxquels il a accès ou aux processus qu'il prend en charge. 

L'incident chez M&S a mis en lumière ces relations en temps réel. Les comprendre au préalable offre aux organisations une base bien plus solide pour déterminer les domaines où la résilience doit être renforcée. 

La préparation doit fonctionner dans le monde réel 

M&S avait investi dans la cybersécurité avant l'attaque. Le risque cyber était pris en compte par le conseil d'administration, le comité d'audit et le comité des risques, et l'entreprise avait mené des simulations et des exercices de type « red team ». 

Le témoignage de Norman après coup était révélateur : la réalité de l’incident était bien plus intense que lors de ces exercices. M&S prévoyait également que la reconstruction des systèmes se poursuivrait pendant des mois après l’attaque initiale. 

La préparation doit donc permettre de tester comment l'organisation fonctionnera lorsque les hypothèses inhérentes aux pratiques de travail normales disparaîtront. 

Les organisations devraient : 

  • Comprendre les services critiques et leurs dépendances. Identifiez les systèmes, les informations, les fournisseurs et les personnes dont l'organisation dépend pour continuer à fonctionner. 
  • Évaluer le risque en termes commerciaux. Associez les risques liés à la sécurité et à la technologie à leurs conséquences opérationnelles, financières, réglementaires et clients. 
  • Maintenir une propriété et des contrôles clairs. Rendre les responsabilités et les procédures d'escalade visibles dans toute l'organisation. 
  • Surveillez si les mesures de contrôle restent efficaces. Utilisez les preuves, les incidents et les changements au sein de l'entreprise pour identifier les faiblesses émergentes. 
  • Tester des scénarios de perturbation réalistes. Exercices de réponse et de rétablissement en cas de pannes prolongées, de défaillances de fournisseurs et de perte des systèmes et communications normaux. 
  • Intégrer les enseignements tirés dans la gouvernance. Utilisez les incidents, les exercices, les audits et les changements organisationnels pour mettre à jour les risques, les contrôles et les priorités. 

Le code de bonnes pratiques de gouvernance cybernétique du NCSC suit la même approche globale , regroupant la gestion des risques, la stratégie, les ressources humaines, la planification et la reprise après incident, ainsi que l'assurance et la supervision en tant que responsabilités de gouvernance au niveau du conseil d'administration.

Ses dernières recommandations concernant les attaques très perturbatrices reconnaissent également que le rétablissement peut s'étendre du confinement immédiat à plusieurs jours, voire plusieurs semaines, de reconstruction avant que l'organisation ne reprenne ses activités normales.

La gouvernance relie le tableau plus large de la résilience 

Les éléments de preuve fournis par Norman mettent également en lumière un autre aspect important du défi de la résilience : comprendre comment toutes ces dépendances sont liées. 

Il a décrit une organisation dont les systèmes employaient environ 50 000 personnes (employés, sous-traitants et équipes externes) et utilisaient un mélange de technologies anciennes et récentes. Un tiers était impliqué dans le point d'entrée de l'attaque, et l'interconnexion du système informatique rendait difficile un cloisonnement complet. 

Ses recommandations portaient essentiellement sur ces fondements. Norman a souligné l'importance de l'architecture pour la résilience et a conseillé aux organisations de tenir à jour une cartographie rigoureuse des interfaces entre les systèmes, de leur contenu et des personnes y ayant accès. Il a également fait remarquer que le simple renforcement de l'équipe de cybersécurité ne suffirait pas à garantir la protection de l'ensemble des systèmes. 

La réaction plus générale de M&S démontre pourquoi cela est important. 

Des informations personnelles de clients ont également été dérobées lors de l'attaque , notamment leurs coordonnées, dates de naissance et historiques de commandes en ligne. M&S devait donc gérer ses responsabilités en matière de protection de la vie privée et de conformité réglementaire, en plus de la mise en place de mesures de sécurité, du rétablissement du service, des questions relatives aux fournisseurs et de la continuité de ses activités.

L'environnement technologique que les organisations doivent maîtriser ne cesse de s'étendre. Avant l'attaque , M&S avait déjà mis en place un outil de recommandation client basé sur l'IA, développé avec le prestataire technologique externe Preferabli et connecté à son catalogue de produits numérique.

D’ici mars 2026, l’ IA soutiendrait les prévisions et les commandes de stocks, le marketing et les services aux collaborateurs, parallèlement au déploiement de Microsoft Copilot auprès de 11 000 employés.

Rien ne prouve que l'IA ait joué un rôle dans la cyberattaque. Son intérêt réside dans la connectivité accrue qu'elle met en lumière. L'IA peut s'appuyer sur les mêmes informations, identités, systèmes et fournisseurs tiers que ceux déjà pris en compte dans la gouvernance de la sécurité et de la confidentialité. 

Une relation avec un fournisseur unique peut donc impacter la sécurité de l'information, les données personnelles et l'IA. Une modification du système peut avoir des répercussions sur ces trois aspects. Un incident identifié par une équipe peut révéler des risques ou nécessiter des interventions ailleurs. 

Lorsque la sécurité de l'information, la protection de la vie privée et la gouvernance de l'IA peuvent s'enrichir mutuellement, ces liens deviennent plus évidents . Les risques, les contrôles, les preuves et les mesures correctives peuvent circuler entre les domaines qu'ils concernent au lieu de rester confinés à des programmes individuels.

Au fil du temps, cela crée une boucle de résilience : ce qu'une organisation apprend dans un aspect de son environnement de gouvernance renforce les autres, créant ainsi une image plus complète à mesure que sa technologie, ses fournisseurs et ses risques évoluent.

C’est important car plus une entreprise est interconnectée, plus le risque qu’un élément important passe inaperçu entre les différents domaines de responsabilité est élevé. Une gouvernance connectée permet aux organisations de visualiser et de gérer ces relations avant qu’un incident ne les mette en lumière. 

La réglementation renforce le programme de résilience 

Cette même attention portée à la résilience, aux interdépendances et à la gouvernance continue est de plus en plus visible dans la réglementation. 

En vertu de la norme NIS 2 , les mesures de gestion des risques de cybersécurité couvrent la gestion des incidents, la continuité des activités, la gestion des crises, la sécurité de la chaîne d'approvisionnement, la gestion des actifs et les processus d'évaluation de l'efficacité des mesures de sécurité.

Pour les organismes financiers relevant du champ d'application de la DORA , la gestion des risques liés aux TIC, les tests de résilience et les dépendances envers les tiers sont considérés comme des éléments interdépendants de la résilience opérationnelle numérique. La réglementation exige explicitement des organismes qu'ils prennent en compte la criticité des dépendances liées aux TIC et gèrent les risques liés aux tiers dans le cadre plus large de leur gestion des risques liés aux TIC.

Le Royaume-Uni s'oriente dans la même direction. Le projet de loi sur la cybersécurité et la résilience (réseaux et systèmes d'information) , actuellement examiné par la Chambre des Lords, vise à moderniser le régime britannique existant en matière de sécurité et de résilience des réseaux et systèmes d'information essentiels. En septembre 2026, il avait franchi l'étape de l'examen en commission à la Chambre des Lords, et la présentation du rapport final était prévue pour le 26 octobre.

Les différentes organisations seront confrontées à des combinaisons variées de ces exigences, auxquelles s'ajoutent les obligations en matière de protection des données et les nouvelles responsabilités liées à la gouvernance de l'IA. Ces recoupements soulignent l'importance de comprendre les risques, les contrôles et les dépendances sous-jacents plutôt que de traiter chaque exigence comme un projet de conformité isolé. 

La résilience est un problème qui se pose au sein du conseil d'administration. 

La dernière partie de l'histoire de M&S concerne ce qui s'est passé après la crise immédiate. 

Ses résultats de 2025/26 montrent clairement les conséquences financières : 131.3 millions de livres sterling de coûts liés à l'incident, dont 109.3 millions pour la réponse et la récupération des systèmes, ainsi que 100 millions de livres sterling d'indemnités d'assurance. 

M&S a néanmoins renoué avec la croissance de ses bénéfices au second semestre, par rapport à l'année précédente. L'entreprise a notamment souligné la solidité de son bilan, qui lui a permis d'absorber les perturbations tout en poursuivant ses investissements dans sa transformation globale. 

Cela élargit le débat sur la résilience au-delà de la simple récupération technologique. 

Une organisation peut rétablir ses systèmes et devoir néanmoins absorber les pertes de revenus, les coûts de remise en état, les perturbations pour les clients, les problèmes d'approvisionnement, les obligations réglementaires et des mois de mobilisation de la direction. La capacité financière, la communication, le leadership et l'aptitude à prendre des décisions sous pression sont autant d'éléments qui influencent le résultat. 

Les conseils d’administration ont donc besoin d’une visibilité sur l’ensemble des connexions susceptibles de transformer un problème technologique en un événement à l’échelle de l’entreprise.

Le Code de gouvernance cybernétique du NCSC explicite cette responsabilité, confiant la responsabilité des actions critiques en matière de gouvernance cybernétique aux conseils d'administration et aux administrateurs et traitant la cyber-résilience comme faisant partie intégrante de la protection de la stabilité financière, de la continuité et de la confiance des clients. 

Quelles leçons les autres organisations devraient-elles tirer de l'exemple de M&S ? 

L'expérience de M&S offre aux équipes dirigeantes un moyen utile de remettre en question leurs propres hypothèses. 

Savons-nous quels services l'entreprise peut le moins se permettre de perdre, et tout ce dont ils dépendent ? Savons-nous où les fournisseurs ont accès aux systèmes et informations critiques ? Les équipes pourraient-elles continuer à travailler si la technologie essentielle disparaissait demain ? Avons-nous testé cette hypothèse dans des conditions proches d'une crise réelle ? 

À mesure que la sécurité, la protection de la vie privée et l'IA s'interconnectent, les responsables de ces domaines sont-ils capables d'identifier les points communs entre leurs risques ? Un problème repéré dans un programme est-il systématiquement signalé aux autres programmes concernés ? Les équipes dirigeantes ont-elles une vision globale et cohérente des risques pour l'entreprise, ou plusieurs visions partielles ? 

M&S a pu constater les liens entre la technologie, les opérations, les fournisseurs, les informations clients et les performances financières sous la pression d'un incident majeur. 

D'autres organisations ont la possibilité de comprendre et de gérer ces liens avant qu'ils ne soient mis à l'épreuve de la même manière. 

C’est là que commence la résilience des entreprises : par une vision claire des éléments dont l’organisation dépend, une gouvernance qui relie les risques liés à ces dépendances et la capacité de continuer à fonctionner, de s’adapter et de se rétablir en cas de problème. 

Élargissez vos connaissances

Blog : Au-delà de la brèche : pourquoi la réaction est désormais au cœur de l’histoire

Blog : Passer de « les tenir à l’écart » à « assurer la continuité des activités »

Podcast : Phishing for Trouble S2 E5 : Vous êtes conforme. Êtes-vous résilient ?