ISO 22301.
Organizar la continuidad del negocio como sistema de gestión: desde servicios priorizados y soluciones ensayadas hasta una acreditación adecuada.
- ISO 22301:2019 + Amd 1:2024
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 8 min.
Respuesta breve.
ISO 22301 es la norma internacional de requisitos para sistemas de gestión de continuidad del negocio, o SGCN. Ayuda a organizaciones de cualquier tamaño a prepararse para interrupciones, continuar servicios importantes y recuperar la actividad. ISO 22301:2019 conecta estas capacidades con evaluación y mejora continuas; la certificación independiente puede acreditar el sistema dentro de su alcance definido.
ISO 22301 y gestión de la continuidad del negocio.
ISO 22301 considera la continuidad de una organización como una tarea continua de gestión. La gestión de la continuidad del negocio, abreviada BCM en inglés, conecta prioridades funcionales con soluciones para interrupciones y la capacidad de aplicarlas. Un SGCN organiza las responsabilidades y el mantenimiento de este trabajo. La descripción pública de ISO presenta la preparación, la operación, la evaluación y la mejora del sistema como tareas conectadas.
La base publicada es ISO 22301:2019 con Amd 1:2024. La enmienda añade cambios relativos al clima; no constituye una nueva edición básica ISO 22301:2024. La página del producto de ISO recoge una revisión y un borrador de comité. Un borrador en desarrollo no sustituye la norma publicada ni establece aquí un nuevo plazo de transición.
Una copia de seguridad o un plan de emergencia es una parte del trabajo de continuidad. Un SGCN pregunta además qué servicio se necesita, qué personas y recursos lo sostienen, quién decide durante una interrupción y cómo se incorpora la experiencia a la siguiente planificación. Por ello, un archivo existente acredita inicialmente la planificación; si una solución funciona debe examinarse por separado.
A quién se dirige la norma de continuidad del negocio.
Según la descripción editorial de ISO, ISO 22301 es adecuada para organizaciones de distintos tamaños y sectores. El ámbito de aplicación puede referirse a partes claramente definidas de una organización. Son decisivos los servicios afectados y sus dependencias, además del número de empleados o los sistemas informáticos existentes.
Los clientes, socios contractuales o disposiciones sectoriales pueden exigir evidencias específicas de continuidad. Por ello, aclare primero qué unidad organizativa y qué servicio deben evaluarse. Las interfaces siguen siendo importantes incluso para actividades externalizadas: un proveedor puede planificar su propia recuperación, mientras que el servicio integral para sus clientes sigue necesitando decisiones adicionales.
Las áreas principales de un SGCN.
Un SGCN conecta prioridades empresariales, soluciones aplicables y operación verificable. Los ámbitos siguientes ofrecen una orientación general sobre ISO 22301; no representan una lista completa de cláusulas ni una estructura de proyecto prescrita.
Dirección y ámbito de aplicación.
Una dirección responsable proporciona orientación y recursos al trabajo de continuidad. El folleto ISO PUB100442 recomienda expresamente ese apoyo al comenzar. En la operación, deben encajar los servicios examinados, las áreas participantes y las facultades de decisión. Un alcance impreciso deja sin aclarar si un plan cubre solo un componente técnico o el servicio integral necesario.
Impactos y prioridades.
El análisis de impacto en el negocio examina las consecuencias de una interrupción a lo largo del tiempo y qué actividades necesitan prioridad. La descripción pública de ISO/TS 22317:2021 presenta el BIA como un proceso de análisis propio. Sus resultados deben ser comprensibles para las áreas funcionales competentes; un objetivo de recuperación técnicamente disponible todavía no es un requisito de negocio confirmado.
Riesgos y soluciones de continuidad.
Una solución de continuidad debe ajustarse a las interrupciones esperadas y los servicios necesarios. La comunicación editorial de ISO sobre la edición 2019 menciona distintas causas, incluidos los problemas de cadena de suministro y los ciberataques. Por ello, examine también personas, sedes y servicios externos, además de la tecnología. La decisión de una solución debe hacer visibles sus condiciones y límites.
Funciones y planes de respuesta.
Los planes comprensibles traducen una decisión de solución en trabajo ejecutable. La comunicación de ISO de 2019 destaca funciones claras y planes de respuesta aplicables. En la operación concreta, esto incluye activar la respuesta, decisiones autorizadas, contactos localizables y el traspaso entre el área funcional y tecnología. Una persona suplente debe poder identificar qué resultado se espera de ella.
Ejercicios y evaluación del desempeño.
Un ejercicio comprueba una afirmación determinada sobre la capacidad de continuidad. El folleto ISO recomienda realizar un ejercicio de recuperación ya para evaluar la situación inicial. Un ejercicio de simulación puede comprobar decisiones; una prueba técnica, la recuperación de sistemas seleccionados. Documente el alcance realmente comprobado para que un resultado limitado no se convierta en una afirmación no demostrada sobre toda la operación.
Mejora y cambios.
Un SGCN solo sigue siendo útil si evoluciona con la organización. La descripción pública de ISO 22301 conecta expresamente la evaluación continua con la mejora. Los cambios en servicios, proveedores, personal o vías de recuperación pueden invalidar supuestos anteriores. Por ello, los hallazgos requieren una gestión responsable y una comprobación trazable del resultado.
Aplicar ISO 22301 paso a paso.
Delimitar el servicio.
Como primer paso práctico, elija un servicio importante y documente qué partes de la organización, clientes e interfaces pertenecen al alcance examinado.
Confirmar las prioridades.
Pida a los responsables funcionales que evalúen los efectos de una interrupción y el nivel operativo necesario, en lugar de derivar los objetivos únicamente de las posibilidades técnicas existentes.
Evaluar las dependencias.
Registre las personas, la información, los sistemas, las sedes y los proveedores necesarios y examine qué condiciones pueden fallar simultáneamente durante una interrupción.
Implantar soluciones y funciones.
Acuerde vías viables de funcionamiento alternativo y recuperación con responsabilidades, facultades de decisión y los recursos realmente disponibles.
Ensayar con límites definidos y trazabilidad.
Planifique un ejercicio seguro con un escenario identificado y criterios de éxito, y documente los resultados, incluidas las partes omitidas y las ayudas necesarias.
Hacer seguimiento de los hallazgos.
Asigne las mejoras necesarias a una persona responsable y vuelva a comprobar la capacidad afectada antes de considerar resuelto el hallazgo.
Qué acredita la certificación ISO 22301.
La certificación ISO 22301 es una acreditación independiente del sistema de gestión dentro del ámbito indicado. El folleto ISO PUB100442 describe la certificación como una decisión voluntaria. Según la página de ISO sobre certificación, los organismos externos evalúan y certifican; ISO no emite certificados. Además, debe aclararse cualquier requisito contractual concreto de acreditación.
La acreditación concreta debe ajustarse a la organización y al servicio examinados. Compruebe el organismo emisor, el alcance indicado, la edición de referencia y el estado actual, incluida la fecha de validez. Una certificación no promete una operación ininterrumpida ni alcanzar todos los objetivos de recuperación en cualquier situación. Para la gestión propia, siguen siendo necesarios planes actualizados, resultados de ejercicios y hallazgos tratados.
ISO 22301 y otros marcos.
ISO 27001 organiza la seguridad de la información, mientras que ISO 22301 considera la continuidad de servicios priorizados; ambas tareas pueden afectar a las mismas dependencias operativas. IT-Grundschutz ofrece, con BSI-Standard 200-4, otro enfoque metodológico de continuidad, sin que ello haga equivalentes todas las acreditaciones. NIS2 contiene requisitos legales propios que no se satisfacen de forma general con un certificado de SGCN. ISO 9001 conecta objetivos de calidad con responsabilidad de procesos y evaluación; los procedimientos de gestión comunes pueden facilitar la colaboración, pero los objetivos especializados deben seguir examinándose por separado.
- ISO 27001Entender la seguridad de la información y el ámbito de un SGSI.
- IT-GrundschutzComprender la metodología del BSI y sus estándares de organización de la seguridad.
- NIS2Examinar por separado las obligaciones legales de las entidades comprendidas.
- ISO 9001Entender la gestión de la calidad y la responsabilidad compartida de procesos.
En Secani.
Secani incluye un catálogo editorial de trabajo ISO 22301 basado en la edición 2019 con Amd 1:2024. Los datos del perfil distinguen, entre otros aspectos, varias sedes, proveedores críticos y recuperación de TIC. El catálogo es una herramienta estructurada de trabajo con revisión normativa detallada pendiente. La organización responsable debe seguir implantando y ensayando sus soluciones de continuidad por sí misma.
Siguiente paso.
Empiece con un servicio importante y su responsable funcional. Acuerde qué debe seguir funcionando durante una interrupción y qué dependencias deben estar disponibles para ello. Elija después un ejercicio limitado que compruebe uno de esos supuestos. El resultado observado proporciona una base sólida para la siguiente decisión.
Fuentes.
- ISO 22301:2019: descripción pública del editor y estado
- ISO 22301:2019/Amd 1:2024
- Folleto ISO PUB100442: continuidad del negocio, 2019
- ISO 22313:2020: guía de implantación del SGCN
- ISO/TS 22317:2021: análisis de impacto en el negocio
- ISO: certificación y organismos de certificación externos
- ISO: Building resilience, comunicación editorial del 31 de octubre de 2019
Preguntas frecuentes.
No. Una copia de seguridad es solo una parte de la capacidad de recuperación; también deben considerarse las personas, los accesos, las aplicaciones y los procedimientos funcionales necesarios. Un SGCN organiza estas capacidades y su mantenimiento continuo.
No. El análisis de impacto en el negocio evalúa las consecuencias de una interrupción; RTO describe un objetivo de tiempo de recuperación, y RPO, la pérdida aceptable de datos recientes. Estas magnitudes están relacionadas, pero responden a preguntas diferentes.
No. Según el folleto ISO, la certificación es una decisión voluntaria de acreditación; deben examinarse además los requisitos de clientes o socios contractuales. Un SGCN también puede operarse sin certificado.
No puede afirmarse de forma general. La planificación de ejercicios debe ajustarse al alcance, los riesgos, los cambios y los requisitos aplicables. Una prueba limitada acredita únicamente la capacidad realmente examinada.
La continuidad requiere supuestos comprobados.
Hable sobre cómo estructurar su trabajo de continuidad en Secani.
Esta página presenta normas publicadas en términos generales. Son determinantes la edición pertinente de la norma y los requisitos aplicables a su organización.