Resumen

  • Las copias de las colecciones digitales sobrevivieron, pero los servidores dañados y el software antiguo dificultaron volver a prestar los servicios.
  • ICO decidió no continuar investigando en abril de 2025. Por separado, la auditoría interna comprobó mejoras en la entrega de documentos, con un alcance limitado y explícito.

Un formulario digital no parece el gran desenlace de una crisis informática. En la British Library, sin embargo, ayuda a entender cómo se reconstruye un servicio: paso a paso, sin que una mejora concreta resuelva por sí sola todos los problemas.

Tras perder el acceso a su sistema de gestión bibliotecaria, la institución recurrió a procedimientos manuales para localizar y entregar materiales. La primera auditoría de ese trabajo ofreció una garantía parcial y señaló mejoras necesarias. Después llegaron una aplicación y formularios digitales, introducidos en septiembre de 2024. La revisión de seguimiento elevó la valoración a una garantía significativa, con oportunidades menores de mejora.

El informe anual 2024/25, páginas 75 y 76, deja constancia tanto del cambio como de su límite: era una solución intermedia hasta implantar el nuevo sistema de gestión. Se había probado el diseño y el funcionamiento de ese procedimiento, no la resistencia de toda la infraestructura frente a otro ataque.

Había copias, pero faltaba dónde utilizarlas

La magnitud del trabajo se entiende al volver al 28 de octubre de 2023, cuando se descubrió el ataque de ransomware. Los agresores cifraron o destruyeron servidores. La biblioteca conservaba copias seguras de sus colecciones digitales y de los registros que las describían, pero no disponía de una infraestructura operativa suficiente para devolverles su uso.

Además, parte de las aplicaciones antiguas no podía regresar tal como estaba. Algunas habían perdido el soporte del proveedor; otras no funcionaban en el nuevo entorno seguro. Restaurar archivos no iba a restaurar automáticamente el catálogo, las solicitudes y la entrega.

La revisión del incidente del 8 de marzo de 2024 es el relato de la propia institución, elaborado con aportaciones de asesores especializados. Explica que los edificios y las salas de lectura permanecieron abiertos, y que continuaron las exposiciones y los actos. Lo que sufrió fuertes restricciones fueron los servicios de investigación. El regreso de un catálogo consultable el 15 de enero de 2024 fue un avance, no el final de la recuperación.

También explica una diferencia en las defensas. La autenticación multifactor se había extendido a las aplicaciones en la nube, pero no al acceso al dominio y a los servidores locales, pendiente de renovar la infraestructura. No se pudo establecer con certeza el punto exacto de entrada. Más tarde, ICO sí señaló que la falta de autenticación multifactor en una cuenta administradora agravó el ataque.

Una investigación y una auditoría no contestan lo mismo

La declaración de ICO del 30 de abril de 2025 anunció que, dadas sus prioridades, continuar investigando no sería el uso más eficaz de sus recursos. El regulador elogió la transparencia de la biblioteca y le proporcionó orientación.

No fue la reprimenda formal de julio de 2024 que describía la versión anterior de este artículo. Tampoco fue una certificación de los sistemas reconstruidos. Decidir cómo emplear los recursos de una investigación no equivale a probar si un servicio puede recuperarse de otra interrupción.

El expediente de auditoría exige una lectura igualmente precisa. La opinión anual general sobre gobierno, riesgos y controles seguía ofreciendo garantía parcial, con mejoras necesarias; cuatro revisiones fundamentales obtuvieron garantía significativa. No hay contradicción en que un procedimiento mejore mientras siguen pendientes problemas más amplios.

El informe anual registraba la recuperación del acceso a las colecciones físicas y de las solicitudes a distancia, junto con retrasos de catalogación y lagunas en la recogida de material digital. Son datos del ejercicio 2024/25, no una comprobación actual de cada servicio. La información sectorial publicada en septiembre de 2026 volvió sobre la recuperación, pero los datos históricos que recoge siguen siendo históricos.

La biblioteca anunció el nombramiento de Paul Bate el 22 de septiembre, con incorporación prevista para el 4 de noviembre de 2026. A la fecha de publicación de este artículo aún no había asumido el cargo. El relevo permite plantear preguntas sobre servicios disponibles, soluciones provisionales y pruebas realizadas; no aporta por sí mismo las respuestas.

Para quien consulta la British Library Solo para el Círculo Estratégico, la medida más clara sigue siendo poder localizar un documento, pedirlo y utilizarlo. Un formulario mejor puede acercar ese resultado. Un titular que declare terminada toda la recuperación no lo sustituye.

Corrección del 20 de octubre de 2026: Retiramos la afirmación de una reprimenda formal de ICO en julio de 2024 y una referencia parlamentaria ajena al caso. La revisión del incidente se publicó en marzo, no en junio de 2024. También eliminamos una cifra no verificada de siete millones de libras y corregimos la afirmación de que no se habían comunicado trabajos de auditoría relacionados con la recuperación.