¿Qué es ISO 22301?
ISO 22301 es la norma internacional para sistemas de gestión de continuidad de negocio (SGCN o BCMS). Establece cómo una organización identifica sus actividades críticas, analiza el impacto de las interrupciones, define objetivos de recuperación e implanta planes, recursos y una estructura de respuesta a incidentes para seguir operando cuando algo falla.
La edición vigente, ISO 22301:2019, sigue la misma estructura de alto nivel (capítulos 4–10) que ISO 27001 e ISO 9001, por lo que el SGCN puede integrarse con los sistemas de gestión existentes. El certificado lo emite un organismo de certificación acreditado tras una auditoría en dos etapas y tiene validez de tres años con auditorías de seguimiento anuales.
¿Quién necesita la certificación ISO 22301?
- Bancos, fintech y aseguradoras, a quienes DORA y NIS2 exigen capacidades documentadas de continuidad y recuperación
- Centros de datos, proveedores SaaS y empresas de hosting cuyos clientes dependen de su disponibilidad
- Empresas de logística y fabricantes en cadenas de suministro críticas
- Proveedores del sector público y operadores de infraestructuras críticas
- Cualquier organización que deba demostrar a clientes, reguladores o aseguradoras que puede recuperarse de una interrupción en los plazos acordados
Qué revisa la autoevaluación ISO 22301
- Contexto, partes interesadas, requisitos legales y alcance del SGCN (capítulo 4)
- Liderazgo, política de continuidad de negocio, roles y responsabilidades (capítulo 5)
- Análisis de impacto en el negocio (BIA), evaluación de riesgos y RTO y RPO de las actividades críticas (capítulos 6 y 8)
- Estrategias y soluciones de continuidad, planes y procedimientos, estructura de respuesta a incidentes, alerta y comunicación (capítulo 8)
- Programa de ejercicios y pruebas y evaluación de los planes (capítulos 8–9)
- Seguimiento del desempeño, auditoría interna, revisión por la dirección y mejora (capítulos 9–10)
Brechas típicas antes de la auditoría ISO 22301
- No hay análisis de impacto en el negocio, o el BIA tiene varios años y ya no refleja la empresa
- El tiempo objetivo de recuperación (RTO) y el punto objetivo de recuperación (RPO) no están definidos o no se han acordado con el negocio
- Los planes de continuidad existen sobre el papel, pero nunca se han ejercitado
- No se ha evaluado la continuidad de los proveedores clave y de los servicios externalizados
- No existe un plan de comunicación de crisis para empleados, clientes, reguladores y medios
De la autoevaluación a la certificación
La autoevaluación muestra su situación actual. Con el informe de brechas planifique el trabajo, actualice el BIA y los planes, realice ejercicios y practique la entrevista en el simulador de auditoría BALTUM AI. La certificación la realiza un organismo de certificación acreditado de su elección. BALTUM es un software independiente y no emite certificados.