Consultoría ISO 22301: continuidad de negocio

El análisis de impacto de negocio identifica qué procesos son críticos y mide cómo crece el daño cuanto más tiempo llevan parados. De ahí salen el RTO, el RPO y el MTPD de cada proceso, que son los datos que después condicionan toda la estrategia técnica y el presupuesto. Sin BIA, cualquier plan de continuidad prioriza a ciegas.

El RTO (tiempo objetivo de recuperación) es cuánto se tarda en restablecer un proceso tras el incidente. El RPO (punto objetivo de recuperación) es cuánta información como máximo se puede permitir perder, medida en tiempo desde la última copia válida. El MTPD (periodo máximo tolerable de interrupción) es el límite absoluto a partir del cual el daño deja de ser asumible para el negocio. El RTO siempre tiene que quedar por debajo del MTPD, nunca al mismo nivel.

Casi siempre aparece tras haber sufrido un incidente grave, cuando la actividad está regulada y exige continuidad de negocio (banca, seguros, infraestructuras críticas, sector público), o cuando un cliente clave la pide como condición del contrato. También tiene sentido preventivo en empresas con un único proceso del que depende toda la facturación.

Si ya existe un plan interno, lo aprovechamos como punto de partida: no se reescribe desde cero. La ISO 22301 lo estructura conforme al estándar internacional, obliga a fijar RTO/RPO/MTPD con criterio y añade la disciplina de pruebas y auditoría periódica que la mayoría de planes internos no tiene.

Recomendamos un simulacro completo anual que active el plan de continuidad de principio a fin, complementado con ejercicios de mesa (tabletop) más ligeros y frecuentes para mantener al equipo entrenado entre medias. Un plan que nunca se prueba suele fallar precisamente en el detalle que nadie había anticipado.

El ENS exige, dentro de su Anexo II, la familia de medidas op.cont (continuidad del servicio): análisis de impacto desde nivel medio, y plan de continuidad, pruebas periódicas y medios alternativos desde nivel alto (en categoría básica no aplica ninguna). Son, en esencia, el mismo trabajo que pide ISO 22301. Si la empresa es pública o presta servicio a las administraciones con un sistema de nivel medio o alto, conviene diseñar ambos a la vez para no duplicar esfuerzo.

Las dos exigen capacidad de continuidad operativa como parte de su marco de gestión de riesgos: NIS2 la incluye entre las medidas mínimas de ciberseguridad que deben adoptar las entidades esenciales e importantes, y DORA obliga al sector financiero a hacer su propio análisis de impacto en el negocio y a probar los planes de continuidad de TIC al menos una vez al año. La parte normativa y de cumplimiento de ambas la lleva Summum Consultoría; nosotros construimos el sistema de continuidad que las sustenta.

Cuando el riesgo principal es informático, las dos normas se refuerzan: ISO 27001:2022 incluye en su Anexo A los controles 5.29 (seguridad de la información durante la disrupción) y 5.30 (preparación de las TIC para la continuidad del negocio), que se apoyan directamente en el BIA y el RTO/RPO fijados en ISO 22301. Muchas empresas certifican ambas de forma coordinada.

El plan de continuidad dice cómo seguir operando en modo degradado mientras dura el incidente; el plan de recuperación dice cómo se vuelve a la normalidad. Son distintos y complementarios, se construyen sobre las cifras del BIA (RTO, RPO y MTPD) y los dos se prueban, no se dan por buenos sobre el papel.