Un incident tecnològic pot destruir existències, interrompre l'activitat i generar pèrdues que van molt més enllà de la recuperació dels sistemes. Quan això passa, la continuïtat empresarial deixa de ser una qüestió exclusivament operativa i esdevé una qüestió de governança.

Quan un atac digital provoca conseqüències materials

La nit de l'11 al 12 d'octubre de 2026, un ciberatac va afectar els sistemes de refrigeració de centenars de supermercats francesos de diferents cadenes, entre les quals Intermarché, Coopérative U, Carrefour  i E.Leclerc.

Segons les informacions publicades per Reuters,  AFP i Le Monde, els atacants van aconseguir alterar remotament el funcionament dels equips frigorífics. En alguns establiments es van registrar temperatures de fins a 50 °C, fet que va obligar a retirar productes frescos i congelats i va provocar perjudicis materials i econòmics.

Les autoritats franceses van obrir una investigació per determinar l'abast dels fets, identificar-ne els responsables i aclarir les circumstàncies tècniques de l'atac. Les informacions conegudes apunten a deficiències de seguretat en sistemes de control connectats, però cal distingir entre aquestes constatacions i l'atribució definitiva del mecanisme utilitzat pels atacants.

Més enllà dels detalls tècnics, el cas és significatiu per una altra raó: una manipulació digital va tenir conseqüències directes sobre actius físics i sobre la capacitat de desenvolupar l'activitat comercial.

La digitalització ha fet que molts processos empresarials depenguin de sistemes tecnològics que ja no es poden considerar simples eines de suport. Formen part de la infraestructura essencial del negoci.

Aquesta transformació modifica la naturalesa del risc.

De la dependència tecnològica al risc empresarial

En un article anterior, La dependència tecnològica i l'autonomia de decisió empresarial, reflexionàvem sobre com les decisions tecnològiques poden condicionar la capacitat d'una organització per mantenir el control sobre la seva activitat.

El cas francès permet avançar en aquesta reflexió: què succeeix quan una dependència tecnològica deixa de funcionar o és utilitzada per alterar un procés essencial?

Els sistemes de refrigeració no són un element accessori per a una empresa de distribució alimentària. Són indispensables per conservar les existències, garantir les condicions de comercialització dels productes i mantenir l'activitat.

La seva alteració pot provocar simultàniament pèrdues de mercaderies, danys en instal·lacions, interrupcions operatives i dificultats per complir compromisos comercials.

Aquestes conseqüències no tenen necessàriament la mateixa dimensió ni es manifesten al mateix temps. Algunes són immediates i quantificables. D'altres depenen de la durada de la interrupció, de les relacions contractuals afectades i de la capacitat de recuperar l'activitat.

La qüestió empresarial, per tant, no es limita a determinar si un sistema és vulnerable.

El que importa és fins a quin punt la fallada d'aquest sistema pot comprometre el patrimoni, els resultats i la continuïtat de l'organització.

Aquesta distinció resulta especialment rellevant per a les pimes i les empreses mitjanes, en les quals la dependència d'un nombre reduït de processos, instal·lacions o proveïdors pot concentrar una part significativa del risc.

Un risc que evoluciona més ràpidament

La dependència tecnològica no és l'únic factor que transforma l'exposició de les empreses. També evolucionen les capacitats dels qui poden atacar-les.

Durant la jornada Beyond Cybersecurity, celebrada a Barcelona, Daniel Sánchez, CISO de la Policia Nacional, va exposar com la intel·ligència artificial pot reduir el temps i els recursos necessaris per desenvolupar determinades activitats malicioses.

Roberto Espina, director global de ciberseguretat d' IndraMind, va destacar que aquesta mateixa tecnologia també permet ampliar les capacitats de detecció, anàlisi i resposta.

La intel·ligència artificial modifica, per tant, tant les possibilitats dels atacants com les dels defensors.

Aquesta observació no permet atribuir a la IA un paper concret en l'atac als supermercats francesos. La seva rellevància és més àmplia: mostra que el risc cibernètic evoluciona i que les decisions empresarials sobre protecció i continuïtat s'adopten en un entorn canviant.

Per a la direcció, la qüestió no és anticipar cada nova modalitat d'atac, sinó comprendre que l'exposició de l'empresa pot variar encara que els seus processos essencials continuïn sent els mateixos.

Recuperar els sistemes no sempre significa recuperar el negoci

La recuperació tecnològica i la recuperació empresarial són dues realitats relacionades, però no equivalents.

Un sistema pot tornar a funcionar mentre l'empresa continua suportant les conseqüències de l'incident: existències destruïdes, comandes pendents, processos interromputs, costos extraordinaris o obligacions comercials que no s'han pogut complir.

El cas dels supermercats francesos ho il·lustra amb claredat. Restablir el funcionament dels equips frigorífics no recupera els aliments que s'han hagut de retirar ni elimina automàticament les conseqüències econòmiques de la interrupció.

La continuïtat empresarial no es pot mesurar exclusivament pel temps necessari per restablir un sistema.

També depèn de la capacitat econòmica i operativa de l'organització per suportar les pèrdues i recuperar les condicions necessàries per desenvolupar la seva activitat.

A Beyond Cybersecurity, Carles Flamerich va relacionar la resiliència amb la capacitat de detectar, reaccionar, recuperar l'activitat i continuar operant. Jaime Peris, comissionat especial per a la reindustrialització, va vincular la ciberseguretat amb la competitivitat industrial i la resiliència de les cadenes de subministrament.

Aquestes dues perspectives conflueixen en una mateixa idea: la seguretat tecnològica té una dimensió empresarial que va més enllà de la protecció dels sistemes.

Per a una empresa, la resiliència també significa preservar la capacitat de complir compromisos, mantenir relacions comercials i prendre decisions en circumstàncies adverses.

Quan la continuïtat entra en l'àmbit de la governança

La gestió tècnica dels sistemes pot estar delegada en equips interns o proveïdors especialitzats. Però aquesta delegació no elimina la responsabilitat de direcció sobre les conseqüències empresarials de les dependències tecnològiques.

Les decisions sobre inversió, organització, contractació de serveis externs i nivells de risc assumibles poden condicionar la capacitat de l'empresa per resistir una interrupció significativa.

No són qüestions exclusivament informàtiques.

Afecten el patrimoni social, la capacitat financera, les relacions comercials i la continuïtat de l'activitat.

En aquest punt, cal distingir entre tres dimensions que sovint es confonen: l'existència d'un risc, les decisions empresarials sobre com gestionar-lo i l'eventual responsabilitat jurídica dels administradors.

La Llei de societats de capital estableix, en l'article 225, el deure general de diligència dels administradors. Aquest deure comprèn una dedicació adequada, l'adopció de les mesures necessàries per a la bona direcció i el control de la societat, i l'obtenció de la informació adequada per complir les seves obligacions.

L'article 226 protegeix la discrecionalitat empresarial en les decisions estratègiques i de negoci quan es compleixen les condicions legalment establertes, entre les quals actuar de bona fe, sense interès personal, amb informació suficient i mitjançant un procediment de decisió adequat.

Per la seva banda, l'article 236 regula els pressupòsits de la responsabilitat dels administradors pels danys causats per determinats actes o omissions contraris a la llei, als estatuts o als deures inherents al càrrec, quan hi concorren els requisits legalment exigits.

Aquest marc no significa que els administradors hagin de conèixer tots els detalls tècnics dels sistemes ni que hagin de garantir que mai no es produirà un ciberincident.

Tampoc no significa que qualsevol atac que ocasioni pèrdues constitueixi automàticament una negligència.

La determinació d'una eventual responsabilitat exigeix analitzar les circumstàncies concretes, la conducta dels administradors i els requisits jurídics aplicables. No es pot deduir cap responsabilitat dels administradors dels supermercats francesos a partir de les informacions periodístiques disponibles.

La reflexió empresarial és una altra.

Quan la continuïtat del negoci depèn de sistemes tecnològics essencials, les decisions sobre aquesta dependència formen part de la manera com es governa l'empresa.

Les conseqüències poden anar més enllà de les pèrdues immediates

Un incident que interromp l'activitat pot afectar diferents interessos vinculats a la societat.

Els socis poden veure compromès el valor de la seva inversió. Els clients poden patir les conseqüències d'incompliments contractuals. Els proveïdors poden veure alterades les seves relacions comercials o les expectatives de cobrament.

Aquestes situacions no generen necessàriament les mateixes obligacions ni responsabilitats.

Cal distingir entre els perjudicis que pot haver d'assumir la societat i aquells que, en determinades circumstàncies, podrien donar lloc a responsabilitats personals dels administradors.

La distinció és essencial per evitar una lectura alarmista del ciberrisc.

Però també posa de manifest que les conseqüències d'una interrupció empresarial poden superar àmpliament el cost inicial de l'incident.

Una pèrdua d'existències pot ser immediata. La recuperació de la confiança comercial, la normalització dels subministraments o la resolució d'un conflicte contractual poden requerir molt més temps.

Això situa la continuïtat empresarial en un àmbit en què convergeixen decisions tecnològiques, operatives, financeres i de governança.

Governar el risc abans que es materialitzi

La digitalització ha ampliat les possibilitats de les empreses, però també ha transformat la naturalesa de determinades exposicions.

Un sistema connectat pot esdevenir una dependència crítica. Una incidència tecnològica pot provocar una pèrdua material. I una interrupció operativa pot acabar comprometent resultats, patrimoni i compromisos comercials.

La governança del risc no consisteix a garantir que aquestes situacions no es produiran, sinó a comprendre les conseqüències de les decisions adoptades i el nivell d'exposició que l'empresa assumeix.

Però aquesta reflexió obre una altra qüestió: quan un risc no es pot eliminar completament, fins a quin punt l'empresa està preparada per assumir-ne les conseqüències econòmiques?

La resposta no depèn només de les mesures de protecció tecnològica. També depèn de les decisions sobre la capacitat financera de resposta i la possible transferència d'una part del risc.

Perquè la continuïtat empresarial no comença quan cal recuperar l'activitat, sinó en les decisions que determinen fins a quin punt una empresa podrà suportar-ne la interrupció.