En resumen
Un plan de continuidad de negocio devuelve a la empresa a un nivel de operación predefinido tras una interrupción: abarca personas, instalaciones, proveedores y comunicación, no solo IT.
El análisis de impacto en el negocio identifica las actividades prioritarias y fija MTPD, RTO y RPO: el RTO siempre debe ser inferior al periodo máximo tolerable de interrupción.
Las estrategias se eligen por categoría de recurso y solo valen si te permiten volver a arrancar dentro del RTO con un coste sostenible.
El plan debe decir quién decide y quién hace qué en la primera hora, con criterios de activación claros y mensajes tipo ya preparados.
Un plan que nunca se ha probado es una hipótesis: los ejercicios de mesa y las pruebas de restauración lo convierten en una herramienta que funciona, y la ISO 22301 lo mantiene vivo en el tiempo.
¿Cuánto tiempo puedes permitirte estar parado? El BIA te da la respuesta; el plan te dice qué hacer en la primera hora. Un plan de continuidad de negocio sirve exactamente para esto: convertir una interrupción repentina (un ataque de ransomware, un almacén inundado, un proveedor que cierra de un día para otro) en una secuencia de decisiones ya tomadas, en lugar de una reunión de emergencia en la que todos hablan y nadie decide.
Muchas pymes piensan que la continuidad de negocio es cosa de bancos y grandes grupos. En realidad, es precisamente la empresa pequeña la que más sufre cuando se para: menos redundancias, menos personas que conocen los procesos, clientes que no esperan. En esta guía vemos qué es un plan de continuidad y qué no es, cómo se hace el análisis de impacto en el negocio, cómo se eligen las estrategias, qué debe contener el plan para la primera hora de crisis y cómo se pone a prueba con un ejercicio. Cerramos con su relación con la ISO 22301, la norma internacional sobre sistemas de gestión de la continuidad de negocio, y con los errores que vemos con más frecuencia.
¿Qué es un plan de continuidad de negocio y qué no es?
Un plan de continuidad de negocio es el conjunto de procedimientos documentados que te guían para responder, recuperar y reanudar las actividades tras una interrupción. La definición que utiliza la familia de normas ISO sobre continuidad habla de procedimientos que llevan a la organización a volver a un nivel de operación predefinido: no "todo como antes" de inmediato, sino el mínimo acordado, en los plazos acordados.
La palabra clave es "predefinido". El plan no improvisa: parte de decisiones tomadas con calma sobre qué actividades reactivar primero, con qué recursos y en cuánto tiempo. Por eso un buen plan es breve, operativo y está ligado a cifras precisas que salen del análisis de impacto.
Continuidad de negocio y recuperación ante desastres no son lo mismo
La recuperación ante desastres (disaster recovery) se ocupa de restaurar los sistemas informáticos: servidores, aplicaciones, datos, copias de seguridad. La continuidad de negocio abarca toda la empresa: personas, instalaciones, proveedores, clientes y comunicación, además de la parte IT. La recuperación ante desastres es, por tanto, una parte del plan de continuidad, a menudo la más técnica, pero no lo agota.
Un ejemplo aclara la diferencia. Si un ransomware cifra el ERP, el plan de recuperación ante desastres dice cómo restaurar los datos desde la copia de seguridad. El plan de continuidad dice además quién avisa a los clientes con entregas en curso, cómo se siguen sirviendo los pedidos urgentes mientras tanto, quién habla con la aseguradora y quién decide si parar la producción.
Tampoco es el plan de emergencia
El plan de emergencia y evacuación que exige la normativa de prevención de riesgos laborales protege a las personas en el momento del suceso: incendio, terremoto, fuga de gas. El plan de continuidad empieza cuando las personas están a salvo y la pregunta pasa a ser: ¿cómo volvemos a trabajar? Los dos documentos deben estar coordinados (quién coordina, dónde se reúne la gente, cómo se comunica), pero tienen objetivos distintos y uno no sustituye al otro.
¿Por qué una pyme también necesita un plan de continuidad?
Una pyme necesita un plan de continuidad porque tiene menos margen para absorber una parada. Una gran empresa tiene varias sedes, varios proveedores y más personas capaces de sustituirse entre sí; una pyme a menudo tiene un solo almacén, un solo ERP y una sola persona que sabe cómo funciona la facturación electrónica.
Un escenario tipo
Piensa en un fabricante de componentes con 60 empleados y un gran cliente de automoción que recibe entregas cada día. Un lunes por la mañana el ERP no arranca: un ransomware ha cifrado el servidor. Sin plan, el día transcurre así: el responsable de IT intenta entender qué ha pasado, el propietario llama al proveedor informático, la producción se para porque no tiene las listas de materiales y el equipo comercial descubre a media tarde que el cliente esperaba un camión a las 14:00.
Con un plan, la misma mañana tiene otro ritmo. La persona de guardia activa el equipo de crisis en media hora, el responsable de IT aísla los sistemas e inicia la recuperación siguiendo un procedimiento ya escrito, producción trabaja en los pedidos prioritarios con las listas de materiales impresas o guardadas sin conexión y el equipo comercial avisa a los clientes con un mensaje preparado de antemano. La parada se produce igualmente, pero dura menos y, sobre todo, no se convierte en una pérdida de confianza.
Quién te lo pide: clientes, aseguradoras, normativa
Cada vez con más frecuencia, el plan de continuidad no es solo una elección interna. Los grandes clientes lo piden en los cuestionarios de homologación de proveedores, junto con las preguntas sobre copias de seguridad y seguridad de la información. También las aseguradoras de riesgo cibernético suelen valorar cómo reacciona la empresa ante un incidente.
Para las empresas incluidas en la Directiva NIS2, la continuidad es una obligación explícita. El artículo 21 de la Directiva (UE) 2022/2555 incluye entre las medidas mínimas de gestión de riesgos la continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis. Si quieres saber si tu empresa está afectada, empieza por nuestra página sobre la Directiva NIS2.
¿Cómo se hace el análisis de impacto en el negocio (BIA)?
El análisis de impacto en el negocio es el proceso con el que analizas las actividades de la empresa y el efecto que una interrupción tendría sobre ellas a lo largo del tiempo. Es la base de todo el plan: sin BIA, las prioridades de recuperación son opiniones; con el BIA, se convierten en decisiones fundamentadas. ISO no impone un método único, pero dedica al BIA una especificación técnica de directrices, la ISO/TS 22317, pensada para adaptarse a organizaciones de cualquier tipo y tamaño.
Identifica las actividades prioritarias
El primer paso es enumerar los productos y servicios que entregas a los clientes y remontarte a las actividades que los hacen posibles: recepción de pedidos, planificación, producción, expedición, asistencia, facturación, nóminas. Para cada una te preguntas qué pasa si se para una hora, un día, tres días, una semana. Los impactos que hay que considerar no son solo económicos: cuentan las penalizaciones y obligaciones contractuales, los daños reputacionales, las sanciones y los problemas de seguridad.
El resultado es una clasificación. Las actividades realmente prioritarias suelen ser pocas: en una pyme industrial pueden ser la producción para los clientes con entregas diarias, la expedición y el pago de las nóminas. Muchas otras pueden esperar unos días.
MTPD, RTO y RPO: las tres cifras que importan
Para cada actividad prioritaria, el BIA fija unos tiempos. El vocabulario ISO de la serie de seguridad y resiliencia los define con precisión, y conviene usarlos porque son los mismos que un auditor o un cliente espera encontrar.
Parámetro | Qué mide | Pregunta que debes hacerte |
|---|---|---|
MTPD (periodo máximo tolerable de interrupción) | El tiempo a partir del cual los impactos de la parada se vuelven inaceptables | ¿A partir de cuánto tiempo el daño se vuelve insostenible? |
RTO (objetivo de tiempo de recuperación) | El tiempo en el que la actividad o el recurso debe volver a funcionar tras el incidente | ¿En cuánto tiempo debo estar operativo de nuevo? |
RPO (objetivo de punto de recuperación) | El punto al que debe restaurarse la información para que la actividad pueda reanudarse | ¿Cuántos datos puedo permitirme perder? |
La regla que hay que recordar es que el RTO debe ser inferior al MTPD: tienes que volver a arrancar antes de que el daño sea intolerable, con margen. El RPO, en cambio, marca la frecuencia de las copias de seguridad: si la última copia utilizable es de anoche y tu RPO es de una hora, el problema no es el plan, es la copia.
Los recursos de los que depende cada actividad
El último paso del BIA es entender qué necesita cada actividad prioritaria para funcionar: personas con competencias específicas, instalaciones, maquinaria, aplicaciones, datos, proveedores, servicios externos como la conectividad y la energía. Aquí aparecen los puntos únicos de fallo: el único técnico que sabe reprogramar una máquina, el único proveedor de un componente, el ERP en la nube sin alternativa. Cada uno de estos puntos se convierte en una entrada directa para la evaluación de riesgos y para las estrategias.
Del BIA a las estrategias: ¿cómo decides qué hacer?
Después del BIA sabes qué proteger y en cuánto tiempo volver a arrancar; las estrategias te dicen cómo. Antes de elegirlas, sin embargo, necesitas una evaluación de riesgos que te diga qué interrupciones son más probables y qué recursos están más expuestos.
Evaluar los riesgos de interrupción
La evaluación de riesgos cruza los recursos críticos identificados en el BIA con las amenazas que pueden afectarles: averías, ciberataques, fenómenos naturales, falta de personal, problemas de un proveedor. No hace falta un catálogo infinito de escenarios. Hace falta centrarse en los sucesos que afectarían a las actividades prioritarias y preguntarse, para cada uno, si las medidas actuales bastan. Si ya tienes un sistema de gestión ISO, puedes reutilizar la lógica que conoces de la gestión de riesgos y oportunidades, aplicándola a la disponibilidad de las actividades más que a la calidad del producto.
Estrategias para personas, instalaciones, tecnología y proveedores
Las estrategias de continuidad se construyen por categoría de recurso y deben respetar los tiempos fijados por el BIA. Algunos ejemplos típicos para una pyme:
Personas: formación cruzada de al menos dos personas para cada competencia crítica, instrucciones escritas para las operaciones poco frecuentes, lista de contactos actualizada.
Instalaciones: posibilidad de teletrabajo para las oficinas, acuerdos con otra sede o un socio para las actividades que requieren espacio físico.
Tecnología: copias de seguridad con al menos una copia aislada de la red y una restauración probada, accesos de emergencia, formularios en papel o sin conexión para las actividades esenciales.
Proveedores: proveedores alternativos homologados para los materiales críticos, existencias de seguridad, cláusulas contractuales sobre continuidad.
Para los proveedores, ISO también ha publicado directrices dedicadas a la continuidad de la cadena de suministro, la ISO/TS 22318. El criterio de elección es siempre el mismo: una estrategia vale la pena si te permite volver a arrancar dentro del RTO con un coste sostenible.
¿Qué debe contener el plan para la primera hora?
El plan de continuidad debe decir quién decide, quién hace qué y cómo se comunica en los primeros momentos del incidente. La primera hora es cuando más tiempo se pierde, porque nadie sabe si el suceso es lo bastante grave como para activar el plan ni quién tiene autoridad para hacerlo.
Estructura de respuesta, funciones y activación
El núcleo del plan es la estructura de respuesta: un pequeño equipo de crisis con un responsable, un suplente y referentes para IT, producción o servicio, comunicación y relación con el personal. Para cada función hacen falta nombre, suplente y contactos localizables aunque el correo corporativo no funcione. El plan también debe indicar los criterios de activación: por ejemplo, una parada prevista superior al RTO de una actividad prioritaria, la indisponibilidad de la sede o un incidente informático que afecte a datos de clientes.
Comunicación interna y externa
Durante una interrupción, la comunicación suele ser el segundo incidente. El plan debe prever quién habla con los empleados, los clientes, los proveedores, la aseguradora y, si procede, las autoridades. Conviene preparar de antemano mensajes tipo breves y veraces, para adaptarlos en el momento. Si estás sujeto a NIS2 o tratas datos personales, el plan debe enlazar con los procedimientos de notificación de incidentes, que tienen sus propios plazos.
La checklist de la primera hora
Esta es una secuencia esencial que puedes adaptar a tu empresa:
Poner a salvo a las personas y, si es necesario, activar el plan de emergencia.
Evaluar rápidamente el suceso y decidir si se activa el plan de continuidad.
Convocar al equipo de crisis por un canal alternativo acordado de antemano.
Contener el daño: aislar los sistemas afectados, bloquear los envíos en riesgo.
Iniciar los procedimientos de recuperación de las actividades prioritarias en el orden fijado por el BIA.
Comunicar a los empleados y a los clientes clave con los mensajes tipo.
Registrar decisiones y horas en un diario de la crisis, útil para la recuperación y para el análisis posterior.
El plan no debe ser un manual: debe caber en unas pocas fichas operativas, una por escenario o por actividad, accesibles también sin conexión y conocidas por quienes tendrán que usarlas.
¿Cómo se comprueba que el plan funciona de verdad?
Un plan que nunca se ha probado es una hipótesis. La única forma de saber si funciona es ejercitarlo con regularidad, empezando por pruebas sencillas y aumentando la complejidad con el tiempo. La ISO 22301 convierte los ejercicios en una parte estructural del sistema: exige probar los procedimientos y usar los resultados para mejorarlos.
Tres niveles de ejercicio
El nivel más sencillo es la revisión de mesa: el equipo de crisis se sienta alrededor de una mesa y recorre un escenario paso a paso, comprobando que funciones, contactos y procedimientos estén claros. Le sigue la simulación de escenario, en la que alguien introduce imprevistos durante la prueba: el responsable no contesta, la copia de seguridad es más antigua de lo previsto, un cliente llama en directo. El tercer nivel es la prueba técnica: restaurar de verdad un sistema desde la copia de seguridad, midiendo el tiempo real frente al RTO.
Para una pyme, un ciclo realista incluye al menos un ejercicio de mesa y una prueba de restauración al año, más una prueba después de cada cambio importante: nuevo ERP, nueva sede, nuevo proveedor crítico. En cualquier caso, la frecuencia adecuada la decides tú en función de los riesgos y la justificas.
Después de la prueba: corregir y actualizar
Cada ejercicio debe producir un breve informe: qué ha funcionado, qué no, qué acciones hacen falta, quién las lleva a cabo y en qué plazo. Es aquí donde el plan mejora de verdad. Los errores típicos salen enseguida: contactos desactualizados, contraseñas de emergencia que nadie encuentra, procedimientos que dan por hecho un sistema que no está disponible. Trátalos como acciones correctivas reales, con un responsable y un plazo, y comprueba en la siguiente prueba que se han cerrado.
Plan de continuidad e ISO 22301: ¿cuándo tiene sentido certificarse?
Puedes tener un buen plan de continuidad sin estar certificado. La ISO 22301 sirve cuando quieres un sistema de gestión que mantenga vivo el plan a lo largo del tiempo y cuando quieres demostrarlo a terceros con un certificado emitido por un organismo acreditado.
Del plan al sistema de gestión
La ISO 22301 especifica los requisitos para planificar, implantar, supervisar y mejorar un sistema de gestión de la continuidad de negocio. Sigue la estructura común a todas las normas ISO de sistemas de gestión (contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño, mejora), que encontrarás explicada en la guía sobre qué son las certificaciones ISO. En su parte operativa, la norma exige precisamente lo que has leído hasta ahora: BIA, evaluación de riesgos, estrategias, planes y procedimientos, programa de ejercicios. La diferencia con un plan guardado en un cajón es que el sistema obliga a revisar y mejorar con regularidad.
La norma está pensada para organizaciones de cualquier tipo y tamaño, e ISO publica también una guía de aplicación, la ISO 22313. Como todas las normas ISO, se revisa periódicamente: antes de empezar, comprueba la edición vigente y las posibles modificaciones en la página oficial de la norma.
Cómo se integra con la ISO 27001 y otros sistemas
Si ya tienes un sistema ISO 27001, parte del trabajo está hecho: la norma de seguridad de la información incluye controles sobre la continuidad de los sistemas de información, las copias de seguridad y la gestión de incidentes. La ISO 22301 amplía la mirada a todas las actividades, no solo a las de IT. Para muchas pymes la solución más eficiente es un sistema integrado que comparte auditorías internas, revisión por la dirección y gestión documental. Encontrarás el panorama de la seguridad de la información en nuestra guía completa de la ISO 27001 y un punto de partida técnico en el artículo sobre medidas mínimas de ciberseguridad para pymes.
Qué hace Complaion en un proceso ISO 22301
En un proceso con Complaion, un Lead Auditor dedicado acompaña a la empresa desde el BIA hasta la auditoría de certificación: ayuda a fijar RTO y RPO realistas, a elegir estrategias proporcionadas y a redactar procedimientos que las personas usarán de verdad. La plataforma recopila las evidencias (informes de ejercicios, comprobaciones de copias de seguridad, actas del equipo de crisis), gestiona los documentos con las versiones actualizadas y mantiene el calendario de pruebas, revisiones y auditorías. Así, cuando llega el organismo de certificación, la auditoría está preparada y las evidencias ya están en orden. Encontrarás los detalles del servicio en la página dedicada a la certificación ISO 22301.
¿Cuáles son los errores más comunes?
El error más frecuente es redactar el plan sin haber hecho el BIA. El resultado es un documento que dice "restaurar los sistemas lo antes posible" sin decir cuáles, en qué orden ni en cuánto tiempo: inutilizable bajo presión.
El segundo error es dejarlo todo en manos de IT. Restaurar los servidores es esencial, pero si nadie ha pensado en cómo avisar a los clientes, quién puede firmar un pedido urgente o dónde trabajan las personas si la sede no es utilizable, la parada se alarga igualmente. La continuidad es una responsabilidad de la dirección, que debe aprobar las prioridades y poner a disposición los recursos.
El tercer error es dar por buenas las copias de seguridad. Muchas empresas descubren durante el incidente que la copia estaba incompleta, cifrada junto con los datos o nunca se había restaurado en una prueba. Una copia de seguridad solo vale si has verificado la restauración dentro de los tiempos que exigen el RPO y el RTO.
El cuarto error es no actualizar el plan. Personas que cambian de puesto, números de teléfono, nuevos proveedores, nuevas aplicaciones: en un año, un plan sin mantenimiento pierde gran parte de su valor. Vincula la actualización a hechos concretos (incorporaciones, cambios de proveedor, nuevos sistemas) y a una revisión periódica, y conserva el plan también fuera de los sistemas que podrían pararse.
Cómo simplificar el proceso con Complaion
Un plan de continuidad eficaz nace de un BIA bien hecho, de estrategias proporcionadas y de ejercicios regulares, y solo sigue siendo útil si alguien lo mantiene actualizado. Complaion te ayuda a hacer las tres cosas sin sobrecargar a la empresa. Partimos de tus necesidades y te proponemos el camino más adecuado: un plan de continuidad sólido, un sistema integrado con la ISO 27001 o la certificación ISO 22301 completa. Un Lead Auditor dedicado te acompaña en cada fase, mientras la plataforma recopila las evidencias, gestiona los documentos, mantiene el calendario de pruebas y revisiones y prepara la auditoría con el organismo de certificación. Es el método con el que ya hemos acompañado a más de 1.000 clientes. El coste depende del tamaño, el número de sedes, la complejidad de los procesos y el punto de partida: contáctanos para un análisis inicial y un presupuesto a medida.
Preguntas frecuentes sobre el plan de continuidad de negocio
¿Qué es un plan de continuidad de negocio, en pocas palabras?
Es un documento operativo que dice cómo tu empresa sigue trabajando, o vuelve a arrancar, tras una interrupción grave. Indica qué actividades reactivar primero, en cuánto tiempo, con qué recursos y quién toma las decisiones. Se basa en el análisis de impacto en el negocio y debe probarse con ejercicios periódicos. No es un documento teórico: tiene que poder usarlo gente bajo presión.
¿Es obligatorio el plan de continuidad para una pyme?
En general no, pero hay excepciones importantes. Las empresas incluidas en la Directiva NIS2 deben adoptar medidas de continuidad de las actividades y gestión de crisis. Otras normativas sectoriales y muchos contratos con grandes clientes pueden exigirlo. Incluso cuando no es obligatorio, a menudo marca la diferencia entre una parada de unas horas y una de varias semanas.
¿Qué diferencia hay entre RTO y RPO?
El RTO es el tiempo en el que una actividad o un sistema debe volver a funcionar tras un incidente. El RPO indica hasta qué punto debes poder recuperar los datos, es decir, cuánta información puedes permitirte perder. Un RTO de cuatro horas y un RPO de una hora significan: volver a arrancar en cuatro horas, perdiendo como máximo la última hora de datos. El RTO siempre debe ser inferior al periodo máximo tolerable de interrupción.
¿Cada cuánto hay que probar el plan?
La ISO 22301 no fija una frecuencia única: exige un programa de ejercicios coherente con los riesgos y con los objetivos de continuidad. Para una pyme es razonable al menos un ejercicio de mesa y una prueba de restauración al año. Conviene añadir una prueba después de cada cambio relevante, como un nuevo ERP o una nueva sede. Cada prueba debe producir acciones de mejora con un responsable.
¿Basta una copia de seguridad en la nube para la continuidad de negocio?
No. La copia de seguridad es una medida técnica necesaria, pero solo cubre los datos, y solo si la restauración se ha probado. La continuidad de negocio abarca también personas, instalaciones, proveedores, comunicación con los clientes y decisiones. Además, una copia siempre conectada a la red puede verse afectada por el mismo ataque: hace falta al menos una copia aislada y un procedimiento de restauración verificado.
¿Hace falta la certificación ISO 22301 para tener un buen plan?
No, puedes construir un plan eficaz sin certificarte. La certificación sirve cuando quieres un sistema de gestión que mantenga el plan a lo largo del tiempo y cuando clientes, licitaciones o socios piden una prueba independiente. El certificado lo emite un organismo acreditado, tiene un ciclo de tres años con auditorías de seguimiento periódicas y exige demostrar que el BIA, las estrategias, los planes y los ejercicios están activos.
¿Cuánto cuesta un plan de continuidad de negocio?
No existe un coste estándar, porque depende de factores muy distintos. Cuentan el número de sedes y de actividades prioritarias, la complejidad de los sistemas informáticos, la dependencia de proveedores críticos y cuánto está ya documentado. También pesa la elección entre un plan sencillo y un sistema certificado ISO 22301. La forma más fiable de saberlo es partir de un análisis inicial y pedir un presupuesto.
