Un incidente tecnológico puede destruir existencias, interrumpir la actividad y generar pérdidas que van mucho más allá de la recuperación de los sistemas. Cuando esto ocurre, la continuidad empresarial deja de ser una cuestión exclusivamente operativa y se convierte en una cuestión de gobernanza.

Cuando un ataque digital provoca consecuencias materiales

La noche del 11 al 12 de octubre de 2026, un ciberataque afectó a los sistemas de refrigeración de cientos de supermercados franceses de diferentes cadenas, entre las cuales Intermarché, Coopérative U, Carrefour  i E.Leclerc.

Según las informaciones publicadas por Reuters,  AFP i Le Monde, los atacantes lograron alterar remotamente el funcionamiento de los equipos frigoríficos. En algunos establecimientos se registraron temperaturas de hasta 50 °C, lo que obligó a retirar productos frescos y congelados, provocando perjuicios materiales y económicos.

Las autoridades francesas abrieron una investigación para determinar el alcance de los hechos, identificar a sus responsables y aclarar las circunstancias técnicas del ataque. Las informaciones conocidas apuntan a deficiencias de seguridad en sistemas de control conectados, pero es necesario distinguir entre estas constataciones y la atribución definitiva del mecanismo utilizado por los atacantes.

Más allá de los detalles técnicos, el caso es significativo por otra razón: una manipulación digital tuvo consecuencias directas sobre activos físicos y la capacidad de desarrollar la actividad comercial.

La digitalización ha hecho que muchos procesos empresariales dependan de sistemas tecnológicos que ya no pueden considerarse simples herramientas de soporte. Forman parte de la infraestructura esencial del negocio.

Esta transformación modifica la naturaleza del riesgo.

De la dependencia tecnológica al riesgo empresarial

En un artículo anterior, La dependencia tecnolçogica y la autonomía de decisión empresarial, reflexionábamos sobre cómo las decisiones tecnológicas pueden condicionar la capacidad de una organización para mantener el control sobre su actividad.

El caso francés permite avanzar en esta reflexión: ¿qué sucede cuando una dependencia tecnológica deja de funcionar o es utilizada para alterar un proceso esencial?

Los sistemas de refrigeración no son un elemento accesorio para una empresa de distribución alimenticia. Son indispensables para conservar existencias, garantizar las condiciones de comercialización de los productos y mantener la actividad.

Su alteración puede provocar simultáneamente pérdidas de mercancías, daños en instalaciones, interrupciones operativas y dificultades para cumplir con compromisos comerciales.

Estas consecuencias no tienen necesariamente la misma dimensión ni se manifiestan al mismo tiempo. Algunas son inmediatas y cuantificables. Otros dependen de la duración de la interrupción, de las relaciones contractuales afectadas y de la capacidad de recuperar la actividad.

La cuestión empresarial, por tanto, no se limita a determinar si un sistema es vulnerable.

Lo importante es hasta qué punto el fallo de este sistema puede comprometer el patrimonio, los resultados y la continuidad de la organización.

Esta distinción resulta especialmente relevante para las pymes y las empresas medianas, en las que la dependencia de un número reducido de procesos, instalaciones o proveedores puede concentrar una parte significativa del riesgo.

Un riesgo que evoluciona más rápidamente

La dependencia tecnológica no es el único factor que transforma la exposición de las empresas. También evolucionan las capacidades de quienes pueden atacarlas.

Durante la jornada Beyond Cybersecurity, celebrada en Barcelona, ​​Daniel Sánchez, CISO de la Policía Nacional, expuso cómo la inteligencia artificial puede reducir el tiempo y los recursos necesarios para desarrollar determinadas actividades maliciosas.

Roberto Espina, director global de ciberseguridad de IndraMind, destacó que esa misma tecnología también permite ampliar las capacidades de detección, análisis y respuesta.

La inteligencia artificial modifica, por tanto, tanto las posibilidades de los atacantes como las de los defensores.

Esta observación no permite achacar a la IA un papel concreto en el ataque a los supermercados franceses. Su relevancia es más amplia: muestra que el riesgo cibernético evoluciona y que las decisiones empresariales sobre protección y continuidad se adoptan en un entorno cambiante.

Para la dirección, la cuestión no es anticipar cada nueva modalidad de ataque, sino comprender que la exposición de la empresa puede variar aunque sus procesos esenciales sigan siendo los mismos.

Recuperar los sistemas no siempre significa recuperar el negocio

La recuperación tecnológica y la recuperación empresarial son dos realidades relacionadas, pero no equivalentes.

Un sistema puede volver a funcionar mientras la empresa sigue soportando las consecuencias del incidente: existencias destruidas, pedidos pendientes, procesos interrumpidos, costes extraordinarios u obligaciones comerciales que no se han podido cumplir.

El caso de los supermercados franceses lo ilustra con claridad. Restablecer el funcionamiento de los equipos frigoríficos no recupera los alimentos que han tenido que retirarse ni elimina automáticamente las consecuencias económicas de la interrupción.

La continuidad empresarial no puede medirse exclusivamente por el tiempo necesario para restablecer un sistema.

También depende de la capacidad económica y operativa de la organización para soportar las pérdidas y recuperar las condiciones necesarias para desarrollar su actividad.

A Beyond Cybersecurity, Carles Flamerich relacionó la resiliencia con la capacidad de detectar, reaccionar, recuperar la actividad y continuar operando. Jaime Peris, comisionado especial para la reindustrialización, vinculó la ciberseguridad con la competitividad industrial y la resiliencia de las cadenas de suministro.

Estas dos perspectivas confluyen en una misma idea: la seguridad tecnológica posee una dimensión empresarial que va más allá de la protección de los sistemas.

Para una empresa, la resiliencia significa también preservar la capacidad de cumplir compromisos, mantener relaciones comerciales y tomar decisiones en circunstancias adversas.

Cuando la continuidad entra en el ámbito de la gobernanza

La gestión técnica de los sistemas puede estar delegada en equipos internos o proveedores especializados. Sin embargo, esta delegación no elimina la responsabilidad de dirección sobre las consecuencias empresariales de las dependencias tecnológicas.

Las decisiones sobre inversión, organización, contratación de servicios externos y niveles de riesgo asumibles pueden condicionar la capacidad de la empresa para resistir una significativa interrupción.

No son cuestiones exclusivamente informáticas.

Afectan al patrimonio social, la capacidad financiera, las relaciones comerciales y la continuidad de la actividad.

En este punto, cabe distinguir entre tres dimensiones que a menudo se confunden: la existencia de un riesgo, las decisiones empresariales sobre cómo gestionarlo y la eventual responsabilidad jurídica de los administradores.

La Ley de sociedades de capital establece, en el artículo 225, el deber general de diligencia de los administradores. Este deber comprende una dedicación adecuada, la adopción de las medidas necesarias para la buena dirección y el control de la sociedad, y la obtención de la información adecuada para cumplir con sus obligaciones.

El artículo 226 protege la discrecionalidad empresarial en las decisiones estratégicas y de negocio cuando se cumplen las condiciones legalmente establecidas, entre ellas actuar de buena fe, sin interés personal, con información suficiente y mediante un procedimiento de decisión adecuado.

Por su parte, el artículo 236 regula los presupuestos de la responsabilidad de los administradores por los daños causados ​​por determinados actos u omisiones contrarios a la ley, estatutos o deberes inherentes al cargo, cuando concurren los requisitos legalmente exigidos.

Este marco no significa que los administradores deban conocer todos los detalles técnicos de los sistemas ni que deban garantizar que nunca se va a producir un ciberincidente.

Tampoco significa que cualquier ataque que ocasione pérdidas constituya automáticamente una negligencia.

La determinación de una eventual responsabilidad exige analizar las circunstancias concretas, conducta de los administradores y requisitos jurídicos aplicables. No puede deducirse ninguna responsabilidad de los administradores de los supermercados franceses a partir de las informaciones periodísticas disponibles.

La reflexión empresarial es otra.

Cuando la continuidad del negocio depende de sistemas tecnológicos esenciales, las decisiones sobre esta dependencia forman parte de la forma en que se gobierna la empresa.

Las consecuencias pueden ir más allá de las pérdidas inmediatas

Un incidente que interrumpe la actividad puede afectar a distintos intereses vinculados a la sociedad.

Los socios pueden verse comprometido el valor de su inversión. Los clientes pueden sufrir las consecuencias de incumplimientos contractuales. Los proveedores pueden ver alteradas sus relaciones comerciales o expectativas de cobro.

Estas situaciones no generan necesariamente las mismas obligaciones ni responsabilidades.

Es necesario distinguir entre los perjuicios que puede tener que asumir la sociedad y aquellos que, en determinadas circunstancias, podrían dar lugar a responsabilidades personales de los administradores.

La distinción es esencial para evitar una lectura alarmista del ciberiesgo.

Pero también pone de manifiesto que las consecuencias de una interrupción empresarial pueden exceder ampliamente el coste inicial del incidente.

Una pérdida de existencia puede ser inmediata. La recuperación de la confianza comercial, la normalización de los suministros o la resolución de un conflicto contractual puede requerir mucho más tiempo.

Esto sitúa la continuidad empresarial en un ámbito en el que convergen decisiones tecnológicas, operativas, financieras y de gobernanza.

Gobernar el riesgo antes de que se materialice

La digitalización ha ampliado las posibilidades de las empresas, pero también ha transformado la naturaleza de determinadas exposiciones.

Un sistema conectado puede convertirse en una dependencia crítica. Una incidencia tecnológica puede provocar pérdida material. Y una interrupción operativa puede acabar comprometiendo resultados, patrimonio y compromisos comerciales.

La gobernanza del riesgo no consiste en garantizar que estas situaciones no se van a producir, sino en comprender las consecuencias de las decisiones adoptadas y el nivel de exposición que la empresa asume.

Pero esta reflexión abre otra cuestión: cuando un riesgo no puede eliminarse completamente, ¿hasta qué punto la empresa está preparada para asumir sus consecuencias económicas?

La respuesta no depende sólo de las medidas de protección tecnológica. También depende de las decisiones sobre la capacidad financiera de respuesta y la posible transferencia de una parte del riesgo.

Porque la continuidad empresarial no comienza cuando es necesario recuperar la actividad, sino en las decisiones que determinan hasta qué punto una empresa podrá soportar su interrupción.