Tabla de Contenidos
Qué es ISO 22301
ISO 22301:2019 — Security and resilience · Business continuity management systems · Requirements es la norma internacional certificable que establece requisitos para implementar y mantener un Sistema de Gestión de Continuidad del Negocio (BCMS · Business Continuity Management System).
Su objetivo: que una organización pueda seguir operando o recuperarse rápido ante cualquier interrupción significativa — sea un ataque cibernético, corte energético prolongado, desastre natural, pérdida de un proveedor crítico, ausencia masiva de personal, o crisis sanitaria como la pandemia de 2020.
Cuándo es prioridad para una PyME
ISO 22301 sube a prioridad cuando concurren al menos dos de estas condiciones:
- Sus clientes B2B le piden evidencia de continuidad en cuestionarios de proveedores (típico en banca, fintech, multinacionales).
- Tiene SLAs contractuales con compromiso de uptime / tiempo de respuesta.
- Su negocio depende de pocos proveedores críticos (1 datacenter, 1 plataforma SaaS, 1 supplier de materia prima).
- Una interrupción de 24 horas tendría costo financiero superior a 5% de la facturación mensual.
- Está sujeta a regulación específica (banca, salud, infra crítica, energía, telecomunicaciones).
El BIA · pieza central de ISO 22301
El Business Impact Analysis (BIA) es el corazón de la implementación. Es donde la organización mapea cada proceso crítico y responde 4 preguntas:
- ¿Qué pasa si este proceso se detiene? Impacto financiero, operativo, reputacional, legal.
- ¿Cuánto tiempo puede estar detenido sin daño irreversible? → RTO (Recovery Time Objective).
- ¿Cuántos datos / volumen puede perder? → RPO (Recovery Point Objective).
- ¿Qué recursos mínimos necesita para reanudar? Personal, sistemas, datos, infra física.
Sin BIA bien hecho, todo el resto del sistema (plan de respuesta, plan de recuperación, ejercicios de simulación) queda construido sobre suposiciones. Una NC mayor frecuente en auditoría de ISO 22301 es "BIA superficial · sin entrevistas a operativos · sin RTO/RPO definidos por proceso".
Errores típicos en planes de continuidad
- Plan en PDF sin nadie capacitado para ejecutarlo. Si el plan vive en una carpeta y nadie sabe que existe, no es plan.
- Foco solo en TI. ISO 22301 cubre TODO el negocio, no solo informática. RRHH, finanzas, operaciones, comunicación con stakeholders también necesitan plan.
- RTO sin validación contractual. Si su SLA con el cliente es 4 horas y su RTO interno es 24 horas, hay incoherencia. El BIA debe alinearse con compromisos externos.
- No hacer ejercicios reales. ISO 22301 cláusula 8.5 exige ejercicios y pruebas. Un plan no probado es ficción. Ejercicios mínimos: 1 simulación de escritorio + 1 simulación operativa por año.
- Plan único sin escenarios. Un plan genérico no cubre todos los riesgos. Mínimo 3 escenarios: pérdida de TI, ausencia de personal, pérdida de instalación física.
Costos típicos LATAM
| Tamaño | Implementación | Certificación G-CERTI | Plazo total |
|---|---|---|---|
| PyME (≤50 empl.) | USD 4.000-8.000 | USD 5.500-7.500 | 7-9 meses |
| Mediana (50-200) | USD 8.000-18.000 | USD 9.000-14.000 | 9-12 meses |
| Corporativa (200+) | USD 20.000+ | USD 18.000+ | 12 meses |
Conclusión
ISO 22301 no es para todas las PyMEs. Es para aquellas cuya operación es crítica para terceros y donde una interrupción significativa tendría costo financiero, reputacional o legal alto. Si su negocio entra en esa categoría, postergar la implementación es jugar a la ruleta rusa con el cliente B2B que le pidió continuidad demostrada.
La combinación más fuerte para empresas tecnológicas es ISO 27001 + ISO 22301 + ISO 42001: protege la información, fortalece la continuidad y gobierna IA. En G-CERTI llamamos a este combo "Ruta Resiliencia Digital".
— Fernando Arrieta, Director Técnico G-CERTI.
Compartir este artículo
Auditor líder
Auditor líder en 6 normas ISO. Representante regional de G-CERTI para el mercado hispanohablante y miembro del International Accreditation Center (IAC). Columnista y voz pública en certificación, cumplimiento, IA y calidad.
