British Airways convirtió la recuperación eléctrica del centro de datos en una prueba de responsabilidad sobre la continuidad del pasajero

Resumen

• El sábado 27 de mayo de 2017, British Airways informó de un grave fallo en sus sistemas informáticos, afirmó que no había evidencia de un ciberataque y canceló todas las salidas restantes desde Heathrow y Gatwick. Posteriormente, la aerolínea describió el problema inicial como un fallo eléctrico en su centro de datos principal. Su posterior divulgación financiera indica que la pérdida de servicios informáticos en mayo causó más de 500 cancelaciones de vuelos; estimaciones operativas ampliamente difundidas sitúan el número de pasajeros afectados en aproximadamente 75.000.
• El relato público de la compañía fue cambiando en detalle a medida que se desarrollaba el incidente. Pasó de un problema genérico de suministro eléctrico a una dañina reanudación de la energía y un fallo del hardware de comunicaciones, y luego a la declaración del director ejecutivo de IAG, Willie Walsh, de que un ingeniero había desconectado una fuente de alimentación ininterrumpida y restablecido la energía de manera descontrolada. Estas son versiones atribuibles a la empresa, no un informe independiente forense publicado. Este artículo no presenta la acción de un individuo, su empleador ni la secuencia eléctrica precisa como hechos confirmados de forma independiente.
• El desencadenante se puede formular de forma conservadora: interrupción del suministro eléctrico al centro de datos principal. La causa raíz técnica, al nivel que respalda el registro corporativo publicado, fue la incapacidad de mantener disponibles los servicios informáticos críticos durante ese evento de energía y la restauración. Entre las condiciones contribuyentes se incluyeron una continuidad ineficaz en los planos de la energía, las comunicaciones, las dependencias de las aplicaciones y el procesamiento alternativo. La topología detallada de protección, el estado de las conmutaciones, el mecanismo del daño, los criterios de conmutación por error y el manual de recuperación siguen sin ser públicos.
• La interrupción no se limitó a inhabilitar un sitio web. BA declaró que el hardware de comunicaciones y la mensajería en unos 200 sistemas se vieron afectados. Los informes operativos contemporáneos registraron fallos o deficiencias graves en la facturación, la planificación de operaciones, los canales de atención al cliente y el procesamiento de equipajes. Las aeronaves, las tripulaciones, las posiciones de estacionamiento, las maletas y los pasajeros se desincronizaron, de modo que restablecer los servidores no pudo restaurar de inmediato un programa de vuelos viable.
• Gatwick se recuperó más rápido que Heathrow. BA esperaba una operación casi normal en Gatwick el 28 de mayo, mientras que Heathrow mantuvo cancelaciones y retrasos considerables. Para el 29 de mayo, la aerolínea operaba la mayoría de los servicios, pero aún estaba trasladando a pasajeros varados y equipajes retrasados. La diferencia demuestra que la recuperación dependía tanto de los horarios locales, la capacidad, el estado de las aeronaves y los pasajeros como de la restauración de los servicios técnicos.
• La causalidad de la interrupción y el cumplimiento de las obligaciones de atención al pasajero son cuestiones separadas. El Reglamento (CE) 261/2004 exigía reembolso o reubicación, asistencia durante las esperas que dieran derecho, información sobre los derechos y, cuando se cumplieran sus condiciones, compensación fija. Incluso las circunstancias extraordinarias solo eliminan la compensación fija en casos definidos; no borran los deberes de asistencia. Ninguna conclusión sobre la causa eléctrica, por sí sola, prueba o refuta el cumplimiento para un pasajero concreto.
• La correspondencia de la CAA posterior al evento constituye una evidencia más sólida que los informes genéricos sobre el caos aeroportuario. BA reconoció su obligación de reubicación, aceptó que muchos clientes no pudieron ser recolocados por la propia BA, afirmó que pagaría los gastos del Reglamento 261 con independencia del seguro de viaje, accedió a modificar la redacción pertinente de su sitio web y dijo que abonaría la compensación fija cuando fuera debida. La CAA solicitó más detalles sobre la reubicación en la primera oportunidad, otros transportistas, costes de traslado, folletos informativos y capacidad de reclamaciones. La correspondencia documenta un escrutinio regulador en tiempo real, no una sentencia judicial que afirme que cada reclamación se gestionó correcta o incorrectamente.
• Antes de la interrupción, BA ya se había comprometido con la CAA a informar de sus derechos a los pasajeros con retrasos superiores a dos horas. Una revisión de la CAA de febrero de 2017 calificó el enfoque de asistencia de BA como «Bueno». Esos registros muestran que existían políticas y procesos de supervisión. El evento de mayo puso a prueba si eran escalables cuando los mismos canales digitales y sistemas operativos necesarios para identificar, contactar, reubicar y apoyar a decenas de miles de personas estaban a su vez afectados.
• British Airways reconoció 56 millones de libras esterlinas en concepto de tasas de compensación adicionales y reclamaciones de equipaje en sus cuentas del primer semestre; IAG declaró la misma exposición como 65 millones de euros en su moneda de presentación. Esta es la cifra de coste del evento más defendible dentro del registro corporativo. No representa el coste social total, la pérdida de ingresos, el daño reputacional ni un recuento de reclamaciones exitosas.
• Las evidencias de reparación son heterogéneas. El informe anual de BA de 2017 indicaba que se había iniciado un programa integral de resiliencia energética y de TI y que se habían implementado acciones clave; el Comité de Auditoría y Cumplimiento de IAG recibió actualizaciones del presidente, el director financiero, el director de TI y el director de instalaciones de BA. Comunicaciones posteriores describen inversiones en resiliencia, migración de centros de datos, redundancia de red, planes de reversión y modernización de sistemas operativos críticos. Estas divulgaciones demuestran actividad de gobernanza y gasto, pero no publican escenarios de pruebas, objetivos de recuperación, resultados de conmutación por error ni una opinión independiente de cierre para las causas raíz de 2017.
• Por tanto, la conclusión sobre la rendición de cuentas es estratificada. La dirección de BA era responsable de la continuidad del servicio al pasajero y de la evidencia de que los sistemas críticos podían recuperarse; los responsables de instalaciones y TI eran responsables de las conmutaciones seguras de la energía, la restauración consciente de dependencias y el procesamiento alternativo probado; los proveedores eran responsables de los controles contratados dentro de su alcance; los aeropuertos eran responsables de las respuestas terminales y de los sistemas compartidos; y la CAA era responsable de la supervisión del derecho del consumidor. El control operativo no establece por sí mismo negligencia, culpa individual o violación legal.

Cronología inicial: 27-29 de mayo de 2017

Sábado 27 de mayo: un evento local de infraestructura se convierte en un fallo operativo en toda la red

El primer patrón de hechos públicos fue amplio y apropiadamente cauteloso. British Airways declaró que había experimentado un fallo importante en sus sistemas informáticos que provocaba graves interrupciones en todo el mundo. Afirmó que no había evidencia de un ciberataque. A medida que las terminales de Heathrow y Gatwick se saturaban, BA canceló primero las salidas hasta primeras horas de la tarde y luego canceló todas las salidas restantes desde ambos aeropuertos. Heathrow dijo que había desplegado personal adicional de atención al cliente y que estaba colaborando con la aerolínea para ayudar a los pasajeros que ya se encontraban en sus terminales, según elrelato contemporáneo de Reuters.

La distinción entre el impacto global en los sistemas y la cancelación global de vuelos es importante. El entorno operativo digital de BA prestaba servicio a estaciones de todo el mundo, por lo que un fallo cerca de Heathrow perjudicó la facturación, la mensajería y las decisiones operativas en otros lugares. Pero la decisión categórica de cancelación anunciada públicamente el 27 de mayo se aplicó a las salidas desde Heathrow y Gatwick. Las aeronaves de largo radio que ya estaban en ruta podían continuar hacia Londres en algunos casos, y los vuelos operados por otras aerolíneas no se vieron afectados por el centro de datos de BA.

El incidente fue global en cuanto al alcance de las dependencias, no una paralización del sistema de aviación.

La primera explicación de la aerolínea fue un «problema de suministro eléctrico». Un informe conservado de lasdeclaraciones del director ejecutivo de BA del 27-28 de mayorecoge tanto esa creencia como la ausencia de evidencias de ciberataque. Ese lenguaje no identificaba la fuente de la electricidad, el dispositivo de protección, la acción de conmutación ni el mecanismo del fallo. Era una hipótesis en la fase inicial del incidente, no un análisis de causa raíz completo.

Operativamente, el efecto ya era visible. Los procesos de facturación y entrega de equipaje se detuvieron o ralentizaron; los canales de atención al cliente no pudieron absorber la demanda; la información sobre vuelos y pasajeros se volvió más difícil de conciliar; y las terminales se llenaron de personas cuyas aeronaves y maletas ya no podían procesarse de manera predecible. El posteriorarchivo de datos aeroportuarios de la CAA de mayo de 2017proporciona la fuente del regulador sobre vuelos y cancelaciones. Es útil para una reconstrucción independiente, aunque un cuadro mensual por sí solo no asigna la causa a cada cancelación.

Domingo 28 de mayo: los sistemas vuelven, pero Heathrow no puede normalizarse de inmediato

El domingo, BA informó de que muchos sistemas se habían restaurado. Gatwick tendía hacia un horario casi normal, mientras que Heathrow seguía sufriendo cancelaciones, retrasos, colas y equipaje desplazado. Los informes contemporáneos registraron unas 40 cancelaciones adicionales en Heathrow a primera hora del día, pero el punto más importante es estructural: la restauración del servicio y la recuperación operativa no fueron simultáneas.

El horario de una aerolínea es un sistema físico con estado. Una primera ola cancelada deja aeronaves en aeropuertos equivocados, tripulaciones al borde de los límites de tiempo de servicio, posiciones de estacionamiento y franjas horarias desalineadas, pasajeros en conexión con itinerarios rotos y maletas separadas de sus dueños. Reabrir una base de datos o un intermediario de mensajería no permite deducir de forma segura dónde se encuentra cada recurso.

Los sistemas restaurados deben recibir y conciliar un trabajo atrasado mientras los planificadores deciden qué vuelos pueden despegar aún con tripulación legal, aeronaves disponibles, asistencia en tierra y capacidad en destino.

El director ejecutivo de BA reconoció que los clientes habían quedado varados, separados de sus maletas y abandonados en largas colas para obtener información. Los informes también registraron que los sistemas de respaldo no habían producido una continuidad rápida. Elrelato operativo del 29 de mayoatribuye a Alex Cruz un evento de energía por la mañana con un efecto catastrófico en el hardware de comunicaciones y la mensajería entre los sistemas operativos. También registra su declaración de que no hubo corrupción ni compromiso de los datos de los clientes. Son declaraciones de la empresa. Respaldan el análisis de la cascada de mensajería, pero no revelan registros de diagnóstico ni prueban la ruta exacta del daño.

Lunes 29 de mayo: se reanuda la mayor parte de los vuelos mientras continúa la recuperación de pasajeros y equipajes

Para el lunes, los servicios de largo radio en Gatwick y Heathrow funcionaban en gran medida con normalidad, y BA dijo que aproximadamente el 90% de los vuelos de corto radio de Heathrow estaban operando. La aerolínea seguía gestionando a los pasajeros varados. Cruz afirmó que poco más de dos tercios de los pasajeros afectados llegarían a su destino para el final del lunes, y al resto se les ofrecería una reprogramación posterior. Esa estimación es útil como medida de recuperación en la fase del incidente, no como un recuento final auditado de pasajeros.

El residuo operativo persistió más allá de la interrupción principal de los sistemas. El equipaje aceptado antes de la cancelación tuvo que ser localizado, clasificado y transportado por separado; los pasajeros tuvieron que ser vinculados a nuevos itinerarios; se tuvieron que abrir reclamaciones; y las rotaciones de aeronaves y tripulaciones tuvieron que rehacerse. Uninforme del 30 de mayo sobre maletas retrasadasrecogía la declaración de BA de que los sistemas estaban totalmente restaurados y que el martes se operaba con un horario completo. También registraba la continuación de la recuperación de equipajes. Por tanto, el 29 de mayo es un final razonable para la cronología de la recuperación aguda de vuelos, pero no para todas las consecuencias para el cliente.

El total corporativo posterior es deliberadamente menos granular que las estimaciones de la prensa. El prospecto de IAG de 2021 indica que la pérdida de servicios informáticos en mayo de 2017 provocómás de 500 cancelaciones de vuelos. Uninforme de Bloomberg difundido por centros de datos Knowledgeofrece una estimación diaria de 479 vuelos cancelados el 27 de mayo y 193 el 28 de mayo, más algunos el 29 de mayo. Dado que la divulgación formal de IAG y la taxonomía de la prensa pueden contabilizar los horarios de manera diferente, este análisis utiliza «más de 500» como la escala confirmada por la empresa y trata las cifras más detalladas como estimaciones reportadas.

Qué está confirmado, inferido, disputado y desconocido

La rendición de cuentas depende de rechazar la falsa precisión. Cuatro etiquetas de evidencia evitan que diferentes afirmaciones se fundan en una sola narrativa.

Registro confirmado de la empresa y el regulador.Las cuentas de BA de 2017 presentadas oficialmente indican que se produjo un fallo de energía en el centro de datos principal del grupo y que causó graves trastornos a clientes y vuelos. Las mismas cuentas dicen que la dirección identificó las causas raíz y comenzó un programa integral para mejorar la infraestructura y la resiliencia de la energía y la TI. El Comité de Auditoría y Cumplimiento de IAG afirma que recibió actualizaciones periódicas sobre el estado de la investigación, la identificación de causas raíz y la recuperación inmediata y a más largo plazo. La correspondencia de la CAA confirma que el regulador y la aerolínea estaban discutiendo la reubicación, la asistencia, la información y la compensación después del incidente. Estos registros establecen la clase del evento, el reconocimiento corporativo y la respuesta de gobernanza.

Inferencia respaldada.Un evento eléctrico local no debería haber eliminado un servicio crítico para el pasajero a esta escala si la protección eléctrica, las comunicaciones, el procesamiento alternativo, la coherencia de los datos y los procedimientos de recuperación hubieran proporcionado colectivamente una continuidad eficaz. Esto es una inferencia a partir del resultado y del propósito del sistema. No nos dice qué componente falló primero, si un sitio alternativo recibió tráfico, o si una salvaguarda diseñada estaba ausente, era defectuosa, se había puenteado o fue derrotada por una dependencia compartida.

Afirmaciones en disputa.El sindicato GMB argumentó que las reducciones de empleo y la externalización previas debilitaron la capacidad de TI de BA e hicieron que el evento fuera evitable. BA rechazó un vínculo causal y dijo que las partes implicadas en este evento local del centro de datos eran locales. Elregistro de ITV del 27 de mayoconserva la acusación del sindicato y la respuesta de BA. Ninguna de las dos posturas es una investigación técnica. La externalización es un contexto de gobernanza real, pero una asociación temporal entre un cambio de personal y una interrupción no prueba que un proveedor externo realizara la acción relevante sobre la energía o causara la recuperación fallida.

Algunos informes también alegaron que un contratista apagó el suministro. La empresa de instalaciones asociada en los reportajes de prensa con el lugar afirmó que las afirmaciones de que se había determinado la causa no se basaban en hechos. Elinforme del 2 de junio que contiene esa negaciónes la razón por la que este artículo no califica a la persona como contratista, no nombra a un empleador ni trata la acusación como un hecho probado.

Detalle técnico desconocido.Ningún informe de investigación independiente público revisado para este artículo proporciona un diagrama eléctrico unifilar, registro de eventos, estado del SAI, historial de interruptores, ajuste de protecciones, permiso de mantenimiento, instrucción de conmutación, topología de red, inventario de daños, resultado de la prueba del sitio alternativo, objetivo de tiempo de recuperación ni orden de restauración de aplicaciones. El registro público tampoco revela la identidad del investigador independiente ni su opinión final. Se desconoce si la interrupción inicial se debió a un fallo del equipo, a un mantenimiento autorizado, a una acción no autorizada, a instrucciones malinterpretadas o a una combinación de estos factores. También se desconoce exactamente por qué el procesamiento alternativo no preservó una operación mínima para los pasajeros.

Esta laguna es importante porque el relato de un alto ejecutivo puede ser sincero y aún así incompleto. El 5 de junio, Walsh declaró a los periodistas que un ingeniero desconectó la fuente de alimentación ininterrumpida y que la restauración descontrolada causó daños. También anunció una investigación independiente completa. Uninforme de Reuters sobre ese anuncioes una evidencia atribuible de lo que dijo el director ejecutivo de IAG. No es un sustituto del informe no publicado, los registros subyacentes, las entrevistas a testigos o los resultados de las pruebas.

Anatomía causal: desencadenante, causa raíz y condiciones contribuyentes

Desencadenante: interrupción de la energía del centro de datos

El desencadenante es el evento inmediato que forzó al sistema a un estado anormal. La formulación más estricta y defendible es una interrupción de la energía en el centro de datos principal de BA en la mañana del 27 de mayo. El informe anual de BA de 2017 habla de «fallo de energía», mientras que el informe semestral de IAG habla de «fallo de energía» o «corte de energía». Estas fuentes son más sólidas que las primeras referencias a una sobretensión en la red.

Esta distinción resuelve una aparente contradicción. Según informes, los proveedores locales de electricidad afirmaron no haber observado ninguna sobretensión en sus redes. BA se refirió posteriormente a un retorno descontrolado de la energía dentro de las instalaciones. Ambas cosas pueden ser ciertas si la condición dañina se produjo aguas abajo del punto de conexión con la red, pero la evidencia pública no demuestra esa topología. Por lo tanto, el artículo no afirma que una sobretensión externa de la red iniciara el evento.

Causa raíz técnica: los controles de continuidad no preservaron ni recuperaron el servicio de forma segura

Calificar la interrupción como «error humano» es demasiado superficial. Incluso si un operador realizó una acción incorrecta, una instalación crítica debería limitar la autoridad, exigir confirmación para conmutaciones peligrosas, preservar la evidencia, aislar los dominios de fallo y recuperarse mediante procedimientos probados. El evento afectó a los pasajeros porque el diseño combinado de continuidad de la energía, las comunicaciones y la TI no logró mantener disponibles los procesos esenciales de la aerolínea ni restaurarlos en un margen operativamente tolerable.

A un nivel más específico, BA dijo que la energía regresó de manera descontrolada y dañó físicamente el hardware de comunicaciones. Los reportajes especializados de la época subrayaban que la pregunta sin respuesta era por qué un segundo centro de datos no proporcionó una continuidad utilizable. Lareconstrucción de centros de datos Dynamicsrelata la versión de BA en dos fases, los dos centros de datos y la incertidumbre en torno a la conmutación por error. También califica las interpretaciones de los expertos como tales. Ese es el uso probatorio correcto: identifica preguntas técnicas, no respuestas dirimidas.

La declaración de la causa raíz debe, por tanto, seguir basada en el resultado: la arquitectura y los controles de recuperación de BA no toleraron ni se recuperaron de forma segura del evento de energía en el sitio principal. Sería extralimitarse afirmar que un modelo concreto de SAI falló, que ambos sitios perdieron la energía independiente o que un servidor específico resultó destruido. Esos detalles no figuran en el registro corporativo presentado.

Condición contribuyente 1: concentración en las comunicaciones y la mensajería

Cruz declaró que decenas de millones de mensajes se movían diariamente entre unos 200 sistemas y que el fallo de comunicaciones afectó a esos sistemas. Un tejido de mensajería puede convertir una pérdida de infraestructura local en una indisponibilidad sistémica cuando las aplicaciones dependen de intercambios puntuales para los registros de pasajeros, la carga de aeronaves, el equipaje, las tripulaciones, el control de salidas y el estado de los vuelos. Incluso si los servidores de aplicaciones siguen recibiendo energía, los mensajes obsoletos o faltantes pueden hacer que su salida no sea segura de usar.

Se trata de una inferencia de dependencia respaldada, no de una prueba de que un producto de middleware concreto fuera el punto único de fallo. BA no publicó un mapa de servicios, un trabajo atrasado de colas, un plan de conciliación de datos ni qué 200 sistemas estaban materialmente indisponibles. La pregunta sobre la rendición de cuentas es si la dirección sabía qué conjunto mínimo de mensajes se requería para despachar un vuelo y si esa ruta podía operar de forma independiente durante la recuperación.

Condición contribuyente 2: el procesamiento alternativo no proporcionó una operación mínima viable

La redundancia es una propiedad que se demuestra mediante el servicio, no por el recuento de activos. Dos salas, dos unidades de SAI o dos centros de datos no proporcionan continuidad si comparten dependencias de red, identidad, almacenamiento, gestión, mensajería, control de energía o recuperación. Tampoco sirve de nada un respaldo nominal si no se puede establecer la integridad de los datos, no se puede conmutar el tráfico o el personal carece de autoridad para declarar el sitio principal indisponible.

El incidente muestra que BA no obtuvo un procesamiento alternativo eficaz con la suficiente rapidez para evitar cancelaciones masivas. No muestra por qué. Las posibles explicaciones incluyen dependencias compartidas, capacidad insuficiente, comunicaciones indisponibles, replicación incompleta, secuenciación de la recuperación o una decisión de no conmutar porque no se podía confiar en el estado. Sin el informe independiente, elegir una convertiría una cuestión de control en un hecho inventado.

Condición contribuyente 3: la restauración fue un problema de aplicación, no solo una tarea eléctrica

La recuperación de la energía tiene al menos tres puertas. La instalación debe estar eléctricamente estable; la infraestructura y las comunicaciones deben restaurarse en un orden de dependencia controlado; y las aplicaciones deben conciliarse con un estado de negocio conocido. Encender todos los equipos a la vez puede crear corrientes de irrupción, inestabilidad en la red y contención simultánea de aplicaciones. Encenderlos demasiado despacio puede hacer que se pierda la ventana operativa. De cualquier modo, un indicador de energía verde no prueba que los mensajes de facturación, control de carga o equipaje estén completos.

Por eso una restauración segura requiere un gráfico de dependencias, un manual de procedimientos por etapas, una fuente de tiempo autoritativa, conciliación de colas y bases de datos, y una propiedad explícita de las decisiones de seguir/parar. El registro público respalda la conclusión de que la recuperación de la mensajería fue central. No revela si los manuales de procedimientos de BA contenían estos controles ni cómo funcionaron.

Condición contribuyente 4: el momento de máxima demanda amplificó las consecuencias

El incidente ocurrió el primer día de un fin de semana festivo en el Reino Unido y de vacaciones escolares de mitad de trimestre. Las altas cargas de pasajeros y la escasa capacidad alternativa significaron menos asientos libres, habitaciones de hotel y recursos aeroportuarios. El momento de máxima demanda no causó el fallo de energía. Aumentó el número de personas expuestas y dificultó la reubicación y la asistencia. Un plan resiliente debería utilizar un escenario de máxima demanda severo pero plausible, en lugar de suponer una tranquila ventana de mantenimiento.

Detección, respuesta y recuperación

Detección: la interrupción fue obvia, pero la evidencia del estado de control no es pública

Los síntomas orientados al vuelo fueron inmediatamente visibles: colas de facturación, procesos de equipaje fallidos, canales de atención al cliente indisponibles y un creciente retraso en las salidas. Lo que no es público es la ruta de detección interna. Un registro maduro mostraría la primera alarma de la instalación, la primera alarma de servicio, quién declaró un incidente, cuándo comenzó la gestión de crisis, qué telemetría sobrevivió y cuándo supieron los ejecutivos que la recuperación superaría la ventana operativa del día.

Esta distinción separa la detección del impacto del diagnóstico de la causa. BA detectó un fallo operativo grave con la suficiente rapidez para emitir avisos públicos y cancelar vuelos. Eso no prueba que los ingenieros conocieran inmediatamente el estado eléctrico, el alcance de los daños o la ruta de restauración segura. La cambiante explicación pública sugiere que el diagnóstico evolucionó, lo cual es normal durante un incidente complejo. La rendición de cuentas radica en preservar la evidencia y actualizar las afirmaciones a medida que cambia la certeza, no en exigir una certeza instantánea.

Respuesta: la cancelación contuvo el desorden en terminales y en la red, pero la comunicación se vio afectada

La cancelación de las salidas restantes de Heathrow y Gatwick fue una decisión de continuidad del negocio después de que la continuidad técnica hubiera fallado. Redujo el riesgo de retener indefinidamente a los pasajeros y de intentar despachar vuelos sin un procesamiento fiable. Sin embargo, la cancelación masiva creó una segunda carga de trabajo: notificación, reembolsos, reprogramación, asistencia, devolución de equipajes y protección de conexiones.

Los canales que se esperaba que realizaran ese trabajo formaban parte del ecosistema afectado. Los clientes informaron de dificultades para obtener actualizaciones, mientras que el personal se enfrentaba a información operativa cambiante y terminales abarrotadas. El despliegue de personal adicional por parte de Heathrow ayudó con la presencia física, pero el personal del aeropuerto no podía crear inventario de reservas de BA ni tomar todas las decisiones de las aerolíneas.

Esta es la lección sobre la continuidad del pasajero: una aerolínea necesita una forma fuera de banda para identificar a las personas afectadas, publicar un mensaje operativo estable, emitir información sobre derechos y autorizar la asistencia cuando los canales digitales principales están degradados.

Recuperación: la disponibilidad técnica, la viabilidad de los vuelos y la finalización para el pasajero son hitos diferentes

Un registro de recuperación defendible haría un seguimiento de al menos tres relojes. El primero termina cuando la infraestructura y las aplicaciones principales son técnicamente estables. El segundo termina cuando se puede operar un horario viable sin crear nuevos desplazamientos. El tercero termina cuando los pasajeros y equipajes afectados alcanzan un estado resuelto y se procesan las reclamaciones.

La cronología de BA demuestra la brecha. Muchos sistemas volvieron el domingo, la mayoría de los vuelos se reanudaron el lunes, se informó de un horario completo el martes, y el trabajo de equipaje y compensación continuó. Un panel de incidentes que se detuviera en la disponibilidad del servidor subestimaría materialmente el daño. La rendición de cuentas sobre la continuidad del pasajero requiere medidas como pasajeros reubicados, provisión de hotel y comidas, retraso medio en la notificación, maletas reunidas, trabajo atrasado de reclamaciones y tiempo hasta la resolución final.

La prueba de los derechos de los pasajeros es independiente de la explicación de la interrupción

En el momento del evento, el Reglamento (CE) 261/2004 se aplicaba en el Reino Unido. Su estructura es deliberadamente modular. Según elReglamento oficial, la cancelación activa las opciones del artículo 8 entre reembolso y reubicación, la asistencia del artículo 9 y, potencialmente, la compensación fija del artículo 7. El artículo 5(3) ofrece a un transportista una defensa frente a la compensación fija si demuestra circunstancias extraordinarias que no podrían haberse evitado incluso con todas las medidas razonables. Esa defensa no anula los artículos 8 y 9.

Reembolso y reubicación

El artículo 8 ofrecía a los pasajeros afectados una opción: reembolso, reubicación en la primera oportunidad en condiciones comparables, o reubicación en una fecha posterior conveniente sujeta a la disponibilidad de asientos. Laguía formal de la CAA sobre la reubicación según el artículo 8dice que las aerolíneas deben proporcionar a los pasajeros información completa sobre las opciones de reubicación, incluidos los vuelos de otras aerolíneas, y asumir la carga de demostrar que la opción ofrecida era la más temprana posible. También espera que las aerolíneas conserven registros de las opciones identificadas y ofrecidas.

Esos requisitos convierten la reubicación en una cuestión de evidencia concreta en lugar de una garantía general de que la recuperación estaba en marcha. Para la interrupción de mayo de 2017, una evaluación defendible necesitaría evidencia a nivel de pasajero sobre la disponibilidad, los intentos de contacto, la urgencia, las condiciones comparables, las alternativas que BA identificó y lo que realmente ofreció. La guía posterior de la CAA establece el estándar de control; por sí sola no establece si BA cumplió ese estándar para cada itinerario afectado.

Asistencia y gastos razonables

La asistencia del artículo 9 incluía comidas y refrigerios en relación razonable con el tiempo de espera, alojamiento en hotel cuando fuera necesaria una estancia nocturna, transporte entre el aeropuerto y el alojamiento, y comunicaciones. Elinforme de cumplimiento CAP 1500 de la CAA de febrero de 2017hacía hincapié en la asistencia proactiva, la prioridad para los pasajeros con movilidad reducida y los menores no acompañados, y el reembolso de los gastos necesarios, razonables y apropiados cuando no se hubiera ofrecido asistencia.

La separación jurídica de la causa es decisiva. EnMcDonagh contra Ryanair, el Tribunal de Justicia sostuvo que el deber de asistencia continuaba incluso en circunstancias extraordinarias como el cierre del espacio aéreo por ceniza volcánica. Elregistro del asunto C-12/11 del TJUEconfirma que no existe una clase separada de evento particularmente extraordinario que elimine el deber de asistencia. Por lo tanto, si el evento de energía de BA era controlable afecta al análisis de la compensación fija; no determina si a un pasajero que espera durante la noche se le debía asistencia.

La correspondencia de la CAA muestra la fricción práctica. El regulador cuestionó el lenguaje del sitio web de BA que remitía a los clientes a las aseguradoras y excluía algunos costes de traslado al aeropuerto. BA dijo que pagaría los gastos del Reglamento 261 independientemente de si los clientes tenían seguro de viaje, que cambiaría las páginas pertinentes y que reembolsaría los gastos de traslado que correspondieran cuando BA reubicara a un cliente en otro destino. Esto es evidencia de corrección durante la recuperación. No es una prueba de que todos los clientes vieran el mensaje corregido o recibieran asistencia a tiempo.

Derechos de información y comunicación

El artículo 14 del Reglamento 261 exigía la notificación de los derechos de los pasajeros. Esto no era nuevo para BA en mayo de 2017. El 29 de julio de 2016, BA había dado a la CAA un compromiso de proporcionar información sobre derechos a los pasajeros con retrasos superiores a dos horas. Latabla de compromisos actual de la CAAexplica que los compromisos son voluntarios, no constituyen una admisión de infracción o responsabilidad, y solo un tribunal puede decidir si se ha producido una infracción.

La evidencia previa al evento tiene matices. El CAP 1500, publicado en febrero de 2017, calificó a British Airways como «Buena» en asistencia y atención. Describió el punto de referencia como asistencia proactiva en la mayoría de los casos, reembolsos rápidos de gastos, atención a los pasajeros vulnerables, procedimientos por escrito, formación y supervisión. Esto impide una afirmación simplista de que BA no tenía ninguna política.

También agudiza la prueba de control: ¿podían esas políticas funcionar a escala de una interrupción masiva cuando el contacto con el cliente, las reservas y la información aeroportuaria dependían de los sistemas fallidos?

La correspondencia posterior al evento dice que un representante de BA había visto folletos informativos distribuidos en la Terminal 5 y que la disponibilidad de folletos fue considerada por el Equipo de Gestión de Crisis. La CAA solicitó la revisión posterior a la interrupción de BA, los registros de distribución de Heathrow y otros aeropuertos, y ejemplos de cartas personalizadas a los pasajeros. Estas solicitudes muestran que el regulador buscaba pruebas de la ejecución en lugar de aceptar únicamente el lenguaje de las políticas. El expediente divulgado no contiene una auditoría final completa de cada ubicación.

Compensación fija y circunstancias extraordinarias

Para las cancelaciones notificadas con poca antelación y los grandes retrasos que dieran derecho, el Reglamento 261 establecía sumas fijas de 250, 400 o 600 euros en función de la distancia y otras condiciones. BA dijo a la CAA que pagaría la compensación fija «cuando fuera debida». La frase preservaba una evaluación jurídica caso por caso; no era una admisión de que todas las cancelaciones dieran derecho.

La cuestión de las circunstancias extraordinarias no debería decidirse únicamente por analogía. EnWallentin-Hermann contra Alitalia, el TJUE sostuvo que un problema técnico de una aeronave no es extraordinario a menos que se derive de eventos no inherentes a la actividad normal del transportista y que estén fuera de su control real. Elregistro oficial del asunto C-549/07sitúa la carga de la prueba en el transportista y exige medidas razonables. Lasdirectrices interpretativas de 2016 de la Comisión Europeaconsolidan esa jurisprudencia.

Esas autoridades se referían a fallos técnicos de aeronaves, no a un fallo de energía en un centro de datos empresarial. Hacen que el control y la actividad inherente sean pertinentes, pero no resuelven automáticamente todos los vuelos de BA de 2017. Un tribunal necesitaría pruebas sobre la causa, el control del transportista, las medidas razonables y el vínculo causal con la cancelación o el retraso específicos. La ausencia de un informe técnico público hace que las declaraciones jurídicas categóricas sean especialmente inseguras.

La correspondencia de la CAA no es una decisión sobre infracciones. Registra preguntas, expectativas y compromisos de BA durante la recuperación. Elarchivo de reclamaciones de pasajeros de 2017 de la CAAtambién advierte que el número de reclamaciones no equivale a decisiones o pagos, y que su Equipo de Asesoramiento y Reclamaciones de Pasajeros no tenía poder para obligar a una aerolínea en una indemnización individual. En consecuencia, este artículo no encuentra base en el registro citado para declarar un cumplimiento universal o un incumplimiento universal.

Impacto financiero y los límites de la cifra

El informe del primer semestre de 2017 de British Airways proporciona el coste reconocido más claro. Indica que los costes de manipulación, restauración y otros gastos operativos incluían56 millones de libras esterlinas en concepto de tasas de compensación adicionales y reclamaciones de equipajea raíz del corte de energía, y que BA siguió trabajando con los clientes para cumplir con las obligaciones de compensación. IAG declaró la misma provisión como 65 millones de euros en su moneda de grupo. Estas cifras no deben sumarse.

La provisión es evidencia de una compensación material a los pasajeros y de la exposición por equipajes. No incluye todos los efectos sobre los ingresos, los costes de personal, el arrendamiento con tripulación, los hoteles pagados directamente, la pérdida reputacional, el tiempo de los pasajeros, los eventos perdidos ni los costes posteriores para el negocio de los viajes. El reconocimiento contable tampoco establece que cada reclamación fuera legalmente exigible en lugar de un acuerdo comercial. Es una categoría de pasivo corporativo medida, no una estimación completa del bienestar.

Son necesarias tres conciliaciones antes de utilizar esa cifra en un análisis de rendición de cuentas. En primer lugar, la cifra de BA de 56 millones de libras y la de IAG de 65 millones de euros son presentaciones en la moneda de informe de la misma provisión, no pérdidas separadas. En segundo lugar, una provisión registra la estimación de la empresa en un período contable; no es ni un total final pagado en efectivo ni un recuento de pasajeros.

En tercer lugar, la compensación posterior de los proveedores es una recuperación reconocida en un período diferente y no puede netearse con la provisión para pasajeros sin el detalle no divulgado del acuerdo y la contabilidad. Mantener esos libros separados evita que un asiento contable grande pero delimitado se convierta en un coste total inventado o en una asignación jurídica implícita de culpa.

Las divulgaciones posteriores de IAG añaden dos señales de rendición de cuentas. Sus resultados de 2019 indican que los costes de propiedades, TI y otros se beneficiaron de una compensación puntual de proveedores relacionada con el fallo de 2017, aunque fueron compensados en parte por la inversión en resiliencia e infraestructura de TI. Elanuncio de resultados de 2019no nombra al proveedor, no revela los términos del acuerdo ni asigna una conclusión jurídica pública. Demuestra que se reconoció una recuperación de un proveedor, no que un contratista en particular causara el evento inicial.

Gobernanza: quién tenía el control práctico

Dirección ejecutiva de British Airways

BA vendió el itinerario, operó los vuelos y controló la respuesta al cliente. Por lo tanto, la dirección ejecutiva era propietaria del resultado integrado de continuidad: prioridades de inversión, definiciones de servicios críticos, gobernanza de proveedores, autoridad sobre incidentes, decisiones de horarios, comunicaciones y capacidad de reclamaciones. Esa propiedad se mantiene incluso cuando un proveedor especializado opera una instalación o un componente. La contratación transfiere tareas y remedios; no transfiere la relación con el pasajero.

El informe anual de 2017 de BA es franco en cuanto a las dependencias. Dice que BA dependía de la TI para los procesos empresariales principales, de la infraestructura de TI de los proveedores y de los operadores de equipaje de los aeropuertos. También dice que existían controles del sistema, recuperación ante desastres y planes de continuidad del negocio. El mismoinforme anual presentadodice que el evento llevó a la dirección a revisar las operaciones comerciales y los planes de continuidad. La pregunta sobre la rendición de cuentas, por tanto, no es si existían planes, sino qué garantía demostraba que podían sobrevivir a este modo de fallo.

Responsables del control de instalaciones, energía y TI

Los responsables del control de instalaciones tenían el control práctico sobre la autoridad de conmutación, los permisos de mantenimiento, la configuración del SAI y los generadores, las alarmas físicas, el aislamiento seguro y la restauración. Los responsables de TI controlaban los mapas de servicios, el orden de dependencias, la validación de datos, la declaración de conmutación por error y la puesta en producción de aplicaciones.

Cuando esos roles se cruzaban, un mando único de incidentes necesitaba autoridad para decidir si el sitio era eléctricamente seguro, si el estado de la infraestructura era fiable y si la aerolínea podía reanudar el procesamiento de vuelos.

Ninguna evidencia pública asigna estos controles a una persona concreta. Una buena rendición de cuentas examina el diseño de los roles, la autorización y la verificación antes que la conducta individual. Si una única acción podía desconectar un sitio principal en vivo y una restauración descontrolada podía dañar equipos críticos, la dirección tendría que demostrar por qué el doble control, los enclavamientos, la confirmación por pares, los registros de cambios y el servicio alternativo impidieron o no la escalada.

Proveedores

Los proveedores poseían los controles de instalaciones, ingeniería, red o software que les asignaban sus contratos. También debían a BA una evidencia completa del incidente dentro de esos límites. Pero los alcances contractuales públicos no están disponibles. Por lo tanto, es inapropiado inferir que un proveedor de software externo controlaba la conmutación eléctrica local, o que un proveedor de instalaciones controlaba la conmutación por error de las aplicaciones. La compensación de proveedores reconocida posteriormente por IAG indica un remedio contractual sin revelar su base fáctica.

BA seguía siendo responsable de integrar los controles de los proveedores. El propio informe anual de la organización reconocía que la externalización y las cadenas de suministro complejas aumentaban la dependencia de proveedores críticos. Una gobernanza eficaz asignaría cada objetivo de recuperación a un propietario responsable, una medida de nivel de servicio, una fuente de evidencia y un ejercicio multiproveedor.

Heathrow, Gatwick y los sistemas aeroportuarios compartidos

Los aeropuertos controlaban el acceso a las terminales, la gestión de multitudes, las instalaciones compartidas, las posiciones de estacionamiento y parte de la infraestructura de equipajes; BA controlaba sus vuelos, los registros de pasajeros y las decisiones de la aerolínea. Heathrow desplegó personal adicional de atención al cliente. La recuperación más rápida de Gatwick hacia un horario casi normal de BA indica que las condiciones operativas locales importaron. Según la evidencia pública, ninguno de los dos aeropuertos causó el fallo de energía en el centro de datos principal de BA.

El límite seguía requiriendo planes conjuntos. Un vuelo cancelado puede dejar maletas dentro de un flujo gestionado por el aeropuerto mientras que la propiedad de la notificación y la reubicación del pasajero sigue siendo de la aerolínea. Los ejercicios entre el aeropuerto y la aerolínea deben probar esa transferencia, incluyendo cómo dejar de aceptar maletas, devolver las ya aceptadas, proteger a las personas vulnerables y publicar una instrucción coherente.

Supervisión del consejo de IAG y la CAA

El Comité de Auditoría y Cumplimiento de IAG recibió actualizaciones periódicas del presidente y el director financiero de BA, así como de sus directores de TI e instalaciones. Elinforme del comitédice que las actualizaciones abarcaban la investigación, las causas raíz y la recuperación inmediata y a más largo plazo. Esto es evidencia de supervisión de alto nivel. No es una garantía técnica independiente porque los datos divulgados procedían de la dirección y el informe no proporciona criterios de cierre.

El control práctico de la CAA era la supervisión del derecho del consumidor, no la operación de los centros de datos o los vuelos de BA. Su rápida correspondencia aclaró las expectativas sobre reubicación, asistencia, información y compensación. Un regulador puede exigir pruebas y emprender acciones colectivas; no puede operar el tejido de mensajería de una aerolínea ni decidir al instante miles de reclamaciones basadas en hechos específicos. Mantener clara esta frontera evita que el fallo técnico se etiquete erróneamente como causalidad regulatoria.

Qué contaría como reparación de la resiliencia verificable

El incidente generó promesas, gastos y actividad de gobernanza. Una rendición de cuentas duradera requiere evidencia de que la ruta de fallo específica está controlada. Son necesarias cinco clases de pruebas.

1. Prueba del control de la energía

BA debería poder producir diagramas unifilares actualizados, registros de pruebas de protecciones y SAI, evidencia de la capacidad de los generadores y baterías, permisos de conmutación, autoridad basada en roles, confirmación dual para acciones de alta consecuencia y registros de eventos inmutables. Los procedimientos de restauración deberían definir la carga por etapas, las comprobaciones de comunicaciones y los criterios de aborto. Un ejercicio de mantenimiento debería demostrar que la ruta primaria se puede aislar sin eliminar el servicio esencial y que la restauración no puede eludir la verificación necesaria.

Esto no es un invento a posteriori. La guía de continuidad del negocio del gobierno del Reino Unido dice que los planes no son fiables hasta que se ponen en práctica e identifica específicamente las pruebas de sistemas como lafuente de alimentación ininterrumpida. El estándar es la prueba de un control viable, no la posesión de un documento.

2. Prueba del procesamiento alternativo

Un sitio alternativo debe demostrar independencia del dominio de fallo inicial y capacidad suficiente para una aerolínea mínima viable. Las pruebas deben demostrar la disponibilidad de identidad, red, datos, mensajes y aplicaciones; objetivos medidos de tiempo de recuperación y punto de recuperación; y un orden declarado para los servicios críticos para el pasajero. La interrupción total puede no ser siempre segura, pero la conmutación por error controlada en producción, el ensayo aislado y la eliminación de componentes pueden proporcionar evidencia en conjunto.

Laguía de planificación de contingencias SP 800-34 del NISTrecomienda el análisis de impacto en el negocio, las estrategias de recuperación, las pruebas y el mantenimiento de los planes. Su guía de pruebas contempla expresamente la retirada de la energía de un sistema o componente y el uso de criterios de éxito cuantificables. Loscontroles de contingencia SP 800-53 del NISTexigen la realización de pruebas de los planes, la revisión de los resultados y la adopción de medidas correctivas, incluidas pruebas en centros de procesamiento alternativos. No se trata de deberes legales impuestos a BA por esas publicaciones estadounidenses; son puntos de referencia autorizados sobre cómo es una recuperación basada en la evidencia.

3. Prueba de aplicación consciente de las dependencias

BA necesita un inventario que vincule los resultados del negocio con las aplicaciones, los mensajes, las bases de datos, las redes, las instalaciones y los proveedores. Una prueba debería demostrar que la facturación, el control de salidas, la planificación de vuelos, las tripulaciones, el control de carga, las interfaces de equipaje, la notificación al cliente y la reprogramación pueden funcionar de forma segura o fallar de manera controlada. La recuperación debe demostrar la conciliación de colas y la integridad de los datos, no solo el tiempo de actividad del proceso.

El Centro Nacional de Ciberseguridad del Reino Unido plantea el mismo punto general en elPrincipio B5 sobre redes y sistemas resilientes: las organizaciones deben comprender las dependencias, planificar las mejoras físicas, como los cambios en el suministro eléctrico, para evitar interrupciones no planificadas, y diseñar para el fallo del sistema. El principio abarca la resiliencia cibernética y del sistema; citarlo no recalifica el evento de 2017 como un ciberataque.

4. Prueba de continuidad del pasajero

Los ejercicios técnicos deben incluir las consecuencias para el cliente de una interrupción prolongada. ¿Puede BA identificar a los pasajeros afectados a partir de una extracción de datos independiente? ¿Puede enviar un aviso estable sin la plataforma principal? ¿Pueden los equipos del aeropuerto emitir información sobre derechos y autorizar comidas y hoteles? ¿Pueden los agentes reubicar a los pasajeros en otros transportistas? ¿Puede la aerolínea dejar de aceptar equipaje y conciliar las maletas ya introducidas? ¿Puede la capacidad de reclamaciones escalar sin ocultar un trabajo atrasado creciente?

Los criterios de éxito deberían incluir el tiempo de notificación, la cobertura de contacto, la finalización de la reubicación, el apoyo a los pasajeros vulnerables, la conciliación de equipajes y la antigüedad de las reclamaciones. Aquí es donde las grandes empresas y las pequeñas agencias de viajes comparten un interés de continuidad. Los agentes de viajes, hoteles, operadores de traslados y gestores de viajes corporativos dependen de un estado preciso de la aerolínea; una interrupción que lo oculta transfiere el trabajo de recuperación y la presión del flujo de caja a la cadena de servicios más amplia.

5. Evidencia de cierre independiente y de no recurrencia

La prueba final debería asignar cada causa raíz y contribuyente a una acción correctiva, un propietario, una fecha de vencimiento, una prueba, un resultado, un riesgo residual y la aceptación del consejo. Un revisor independiente debería verificar una muestra representativa e indicar las limitaciones. La publicación puede omitir la topología sensible por motivos de seguridad, pero aún puede revelar el alcance de las pruebas, los objetivos de recuperación alcanzados, las excepciones materiales y el cierre de la gobernanza.

El registro público no alcanza ese nivel. El informe anual de BA de 2017 afirma que se inició un programa integral y que ya se habían implementado acciones clave. El informe anual de IAG de 2021 describió posteriormente tres programas de migración de centros de datos que trasladaban sistemas a infraestructura alojada en la nube para mejorar la resiliencia y el rendimiento. Elinforme de 2021es una evidencia de modernización, no una prueba de que todas las brechas de control de 2017 se hubieran cerrado.

El informe de BA de 2023 añade controles continuos más específicos: migración a la nube desde centros de datos locales, corrección y redundancia de la red, controles del sistema, recuperación ante desastres, continuidad del negocio y planes de reversión para las migraciones de infraestructura crítica. Elinforme anual de BA de 2023hace esas afirmaciones en primera persona. No publica los resultados de los ejercicios, y las interrupciones posteriores de BA significan que la modernización no debe interpretarse como una inmunidad permanente.

El informe más reciente de IAG ofrece una señal observacional. Suinforme anual de 2025afirma que BA modernizó los sistemas críticos de facturación, planificación de vuelos, gestión de vuelos y control de carga con plazos críticos, mejoró la puntualidad en 2025 y se recuperó más rápidamente después del corte de energía en el aeropuerto de Heathrow en marzo de 2025. Ese fue un evento diferente, externo al centro de datos de BA, y no puede servir como una repetición controlada del escenario de 2017. Sin embargo, muestra que IAG ahora informa de la resiliencia en términos de resultados para el cliente y las operaciones, no solo de la actividad de infraestructura.

Matriz de rendición de cuentas

La tabla asigna el control operativo, no la culpa legal. Un proveedor puede controlar un interruptor sin controlar la comunicación con el pasajero; una aerolínea puede deber asistencia sin operar un hotel del aeropuerto; y un regulador puede hacer cumplir las obligaciones de información sin controlar el diseño de los centros de datos. La responsabilidad legal requeriría el deber aplicable, el incumplimiento, la causalidad, el daño y el historial procesal.

Conclusión

La interrupción de British Airways en mayo de 2017 no fue importante porque las aerolíneas nunca deban perder un servidor o sufrir un corte de energía. Fue importante porque un solo evento de infraestructura eliminó una parte suficiente del tejido operativo digital de la aerolínea como para cancelar una gran parte de su horario, separar a los pasajeros de sus maletas y desbordar los mecanismos destinados a explicar y reparar la interrupción.

La evidencia pública respalda una conclusión firme pero delimitada. El centro de datos principal de BA sufrió un fallo de energía. Los controles de continuidad y recuperación no preservaron el servicio crítico para el pasajero. Las dependencias de comunicaciones y mensajería extendieron el efecto a muchos sistemas. Las operaciones de Heathrow y Gatwick se recuperaron a ritmos diferentes, y la recuperación de pasajeros y equipajes duró más que la restauración técnica.

BA reconoció 56 millones de libras en compensaciones adicionales y costes de reclamaciones de equipaje, inició un programa de resiliencia y puso la investigación en conocimiento del Comité de Auditoría y Cumplimiento de IAG.

La misma evidencia no respalda una afirmación definitiva sobre la acción de una persona concreta, un proveedor externo, la secuencia exacta del SAI o la ruta física del daño. Esos detalles permanecen tras una investigación no publicada. Las afirmaciones corporativas de que se identificaron las causas raíz no equivalen a una prueba técnica pública.

La rendición de cuentas sobre los pasajeros se basa en un registro separado. El Reglamento 261 exigía reubicación o reembolso, asistencia e información sobre los derechos con independencia de si la compensación fija era pagadera. La correspondencia de la CAA muestra a BA aceptando las obligaciones fundamentales y cambiando parte de la información al cliente, mientras que el regulador presionaba para obtener evidencia sobre la reubicación en otros transportistas, los traslados, los folletos y la capacidad de reclamaciones. Ese registro demuestra una recuperación y un escrutinio activos; no produce un veredicto de cumplimiento universal.

La lección duradera es probatoria. La resiliencia no es el recuento de centros de datos, la existencia de un plan de respaldo o un programa de capital posterior. Es una prueba medida de que la energía se puede aislar y restaurar de forma segura, el procesamiento alternativo puede soportar una operación mínima, las aplicaciones pueden conciliarse con un estado conocido, y la asistencia a los pasajeros puede continuar a través de canales degradados. Los informes posteriores de British Airways muestran una modernización sostenida y atención de la gobernanza.

Hasta que el alcance de las pruebas, el rendimiento de la recuperación, las excepciones y la evidencia de cierre sean visibles, siguen siendo señales de reparación creíbles en lugar de una prueba completa de que todas las vías de fallo de 2017 han sido eliminadas.