W lipcu 2024 roku wadliwa aktualizacja CrowdStrike zakłóciła pracę około 8,5 mln urządzeń z Windows. Technicznie problem dotyczył mniej niż 1 proc. globalnej bazy urządzeń z tym systemem. Biznesowo skala była zupełnie inna. Delta Air Lines w ciągu pięciu dni odwołała około 7 tys. lotów. Przewoźnik oszacował utracone przychody na 380 mln dolarów, dodatkowe koszty operacyjne na 170 mln dolarów, a wpływ incydentu na marżę operacyjną kwartału na 2,3 pkt proc.

To dobrze pokazuje problem, z którym mierzą się dziś CIO. Zarząd nie potrzebuje informacji, że „system jest krytyczny” albo że jego dostępność wynosi 99,9 proc. Potrzebuje wiedzieć, ile kosztuje godzina jego niedostępności, które procesy przestaną działać, jak długo firma może funkcjonować ręcznie i gdzie znajduje się punkt zależności od zewnętrznego dostawcy.

Ta różnica jest coraz bardziej materialna finansowo. Według Uptime Institute 57 proc. respondentów, którzy doświadczyli poważnej awarii, wyceniło koszt ostatniego takiego zdarzenia na ponad 100 tys. dolarów. Co piąty wskazał ponad milion dolarów. Jednocześnie około dwóch trzecich publicznie raportowanych awarii z ostatnich dziewięciu lat było związanych z zewnętrznymi dostawcami IT, centrów danych, telekomunikacji lub usług chmurowych.

To zmienia ekonomię odporności. Firma może mieć dobrze zabezpieczone własne środowisko i nadal ponieść duże straty przez awarię pojedynczego partnera technologicznego. Problemem przestaje być więc wyłącznie jakość infrastruktury. Staje się nim koncentracja zależności biznesowych.

Awaria systemu trafia do rachunku wyników

Cyberatak na Marks & Spencer w 2025 roku daje jeszcze wyraźniejszy przykład. Firma wyłączyła część systemów, zatrzymała zamówienia internetowe i przez pewien czas prowadziła część procesów magazynowych, zamówieniowych i logistycznych ręcznie. Początkowo szacowała wpływ incydentu na zysk operacyjny roku 2025/26 na około 300 mln funtów przed uwzględnieniem ubezpieczenia i działań ograniczających straty.

W wynikach za cały rok M&S wykazał ostatecznie 131,3 mln funtów bezpośrednich kosztów związanych z incydentem, w tym 109,3 mln na reakcję i odtworzenie systemów oraz 22 mln na zewnętrznych specjalistów, m.in. wsparcie prawne i profesjonalne. Firma otrzymała 100 mln funtów z ubezpieczenia. W tym samym roku jej skorygowany zysk przed opodatkowaniem spadł o 23,8 proc., a sprzedaż w segmencie Fashion, Home & Beauty o 7,7 proc.; spółka wskazywała na wstrzymanie handlu online i problemy z przepływem zapasów jako istotne skutki incydentu.

W tym miejscu kończy się rozmowa o „problemie IT”. Przerwa w działaniu technologii zmienia poziom sprzedaży, koszty logistyki, zapasy, obsługę klienta i przepływy pieniężne. W sektorach regulowanych dochodzą obowiązki raportowe i ryzyko sankcji.

Ryzyko technologiczne wchodzi na poziom zarządu

W Polsce nabiera to dodatkowego znaczenia po wejściu w życie 3 kwietnia 2026 roku nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa wdrażającej NIS2. Ministerstwo Cyfryzacji szacuje, że nowe przepisy mogą objąć około 38 tys. podmiotów. Ustawa wprowadza odpowiedzialność kierowników podmiotów kluczowych i ważnych za realizację zadań z zakresu cyberbezpieczeństwa. Firmy spełniające kryteria mają m.in. wdrożyć system zarządzania bezpieczeństwem informacji, zarządzać ryzykiem i raportować incydenty. Dla części przedsiębiorstw najbliższym terminem jest 3 października 2026 roku, kiedy upływa czas na złożenie wniosku o wpis do wykazu KSC.

Równolegle rośnie sama ekspozycja biznesu. W Allianz Risk Barometer 2026 cyberincydenty zajmują pierwsze miejsce wśród globalnych ryzyk biznesowych z wynikiem 42 proc. AI awansowała z dziesiątej na drugą pozycję i osiągnęła 32 proc., a przerwy w działalności zajęły miejsce trzecie.

Dlatego użyteczność CIO na poziomie zarządu coraz mniej zależy od liczby raportowanych podatności czy parametrów infrastruktury. Znacznie ważniejsza staje się zdolność do wyceny ekspozycji: przychodu zagrożonego w godzinę przestoju, maksymalnego akceptowalnego czasu niedostępności procesu, kosztu odtworzenia operacji oraz zależności, których firma nie jest w stanie szybko zastąpić.

Dopiero wtedy techniczne ryzyko staje się informacją, na podstawie której można zdecydować, ile odporności firma rzeczywiście chce kupić.