ISO 22301 y continuidad de negocio: del plan al simulacro real

Un plan de continuidad de negocio que nadie ha probado es casi tan peligroso como no tener ninguno, porque genera una falsa sensación de seguridad. La norma ISO 22301 existe precisamente para evitar eso: convierte la continuidad en un sistema de gestión vivo, no en un documento que duerme en un cajón hasta el día del desastre.

Qué es la ISO 22301

La ISO 22301 es el estándar internacional para sistemas de gestión de continuidad de negocio. Define cómo una organización debe prepararse para responder y recuperarse ante incidentes disruptivos, desde un ciberataque hasta una catástrofe física. Su lógica es la mejora continua: planificar, probar, aprender y ajustar.

Lo que la diferencia de un simple plan es la exigencia de demostrar que funciona. No basta con tener procedimientos: hay que ejercitarlos y mejorarlos con la evidencia que aportan los simulacros.

Del análisis de impacto al plan

El análisis de impacto en el negocio

Todo parte del análisis de impacto, que identifica qué procesos son críticos y cuánto tiempo puede sobrevivir la organización sin ellos. Sin este análisis, los planes de continuidad protegen lo que no toca y descuidan lo esencial.

Estrategias y planes de recuperación

Con las prioridades claras, se definen estrategias de recuperación realistas y proporcionadas al riesgo. Esto enlaza con la gestión del riesgo de ciberseguridad: continuidad y seguridad son dos caras de la misma resiliencia.

ISO 22301, DORA y NIS2

En sectores regulados, la ISO 22301 encaja de forma natural con otras exigencias. El reglamento DORA exige resiliencia operativa en el sector financiero y NIS2 pide continuidad en servicios esenciales. Implantar la norma ayuda a demostrar el cumplimiento de ambos, aprovechando los controles comunes en lugar de duplicarlos.

El simulacro: la prueba de fuego

La parte que más se descuida y más valor aporta es el simulacro. Ensayar un escenario real revela los huecos que ningún documento muestra: contactos desactualizados, dependencias olvidadas, decisiones sin responsable. Cada simulacro es una inversión que paga con creces el día que ocurre el incidente de verdad.

Errores que arruinan un plan de continuidad

He visto planes de continuidad impecables sobre el papel fracasar el día que de verdad hacían falta. El error más común es escribir el plan y guardarlo en un cajón sin volver a tocarlo. La empresa cambia, los sistemas evolucionan y los contactos caducan, así que un plan de hace tres años suele estar lleno de teléfonos que ya no existen y de procedimientos que apuntan a servidores apagados. Un plan de continuidad solo vale si se mantiene vivo.

El segundo error es definir objetivos de recuperación irreales. Prometer que todo volverá en una hora suena bien en una reunión, pero si la infraestructura no lo permite, ese objetivo solo genera frustración y reproches cuando llega el incidente. Prefiero objetivos honestos y alcanzables, acordados con negocio y con tecnología, que cifras bonitas imposibles de cumplir.

Continuidad y notificación de incidentes van de la mano

Un plan de continuidad no opera en el vacío. Cuando ocurre una interrupción grave, muchas veces hay además obligaciones legales de notificar a reguladores o a clientes en plazos muy ajustados. Por eso conecto siempre la continuidad de negocio con el proceso de aviso, tal y como explico en mi artículo sobre la notificación de incidentes en 72 horas. Recuperar el servicio y comunicar el incidente son dos caras de la misma respuesta, y conviene ensayarlas juntas.

En la práctica, durante un simulacro compruebo no solo si los sistemas vuelven, sino si las personas saben a quién avisar y en qué orden. Esa coordinación entre lo técnico y lo regulatorio es donde más fallos detecto, y también donde más se gana cuando se ensaya con seriedad.

Mi conclusión es que la continuidad de negocio no se mide por el grosor del documento, sino por la calidad del último simulacro. Una organización que ensaya descubre sus puntos débiles en un entorno controlado, no en plena crisis. Esa es, al final, toda la filosofía de la ISO 22301: la resiliencia no se declara, se demuestra.

Algo que aprendí gestionando continuidad es que el plan que nadie ha probado no es un plan, es un documento. Por eso doy tanta importancia a los ejercicios de recuperación: simulacros donde se activa el plan en condiciones realistas y se cronometra cuánto tarda de verdad la organización en volver a operar. Esas pruebas casi siempre revelan supuestos erróneos —una copia de seguridad que no restauraba, un contacto desactualizado— que sobre el papel parecían resueltos. Repetirlas con regularidad es lo que convierte la norma ISO 22301 en resiliencia real y no en un archivo que se firma y se olvida.

Conviene además revisar el plan cada vez que cambia algo relevante en la organización: un nuevo proveedor crítico, una migración tecnológica o un cambio de sede. Un plan de continuidad desactualizado da una falsa sensación de seguridad que, llegado el momento crítico, puede salir muy cara.

Conclusión: continuidad que se demuestra

La ISO 22301 transforma la continuidad de negocio de buena intención en capacidad demostrable. Mi experiencia es tajante: la diferencia entre sobrevivir a una crisis y hundirse en ella no está en tener un plan, sino en haberlo probado. La norma obliga, con buen criterio, a probarlo.

Preguntas frecuentes sobre la ISO 22301