¿Qué es ISO 22301?
Es la norma internacional que describe cómo se construye y se mantiene un sistema de gestión de continuidad del negocio. No te dice qué tecnología comprar: te dice qué tienes que entender, qué decisiones tienes que dejar escritas y con qué frecuencia hay que comprobar que siguen siendo válidas.
¿Qué relación tiene con ISO 27001?
Son hermanas y comparten esqueleto. ISO 27001 se ocupa de proteger la información; ISO 22301 de que el negocio siga operando cuando algo la interrumpe. Si ya tienes un sistema de gestión andando, buena parte del trabajo se reutiliza: el alcance, el análisis de riesgos, la auditoría interna y la revisión por la dirección.
¿Por dónde empieza una implementación de ISO 22301?
Por el análisis de impacto en el negocio. Es el ejercicio de poner en una tabla qué procesos sostienen la operación y qué cuesta, en dinero y en reputación, cada hora que estén caídos. De ahí salen los tiempos objetivo de recuperación, y con ellos el diseño y el presupuesto.
Después vienen las estrategias de recuperación para los procesos críticos, los procedimientos que la gente va a seguir durante el incidente, y el plan de continuidad propiamente dicho.
¿Qué es lo que más se atraviesa al implementar ISO 22301?
La evidencia. La norma pide que el sistema haya funcionado, no solo que exista en papel: pruebas de recuperación con su registro, incidentes documentados, revisiones hechas en su fecha. Eso no se puede improvisar la semana antes de la auditoría, y es la razón más común por la que un proceso se alarga.
¿Cómo te acompañamos con la ISO 22301?
Desde el análisis de impacto hasta la auditoría, y después de ella. Lo que aportamos que un consultor de escritorio no puede: operamos un centro de operaciones, así que los escenarios de interrupción que ponemos sobre la mesa salen de incidentes que atendemos, no de una plantilla.
Qué pasa después
El certificado no cierra el trabajo. Vienen las auditorías de seguimiento y, al cabo del ciclo, la recertificación. Entre una y otra el sistema tiene que seguir operando: las pruebas hechas, los incidentes registrados y el plan actualizado cuando el negocio cambia. Ahí es donde acompañamos.
Preguntas frecuentes sobre ISO 22301
¿Qué es la norma ISO 22301?
La norma internacional de sistemas de gestión de continuidad del negocio. Define cómo una organización se prepara para seguir operando ante una interrupción: qué analizar, qué documentar, qué probar y cada cuánto revisarlo.
¿En qué se parece a ISO 27001?
Comparten la estructura de los sistemas de gestión: alcance, análisis, controles, auditoría interna, revisión por la dirección y mejora. Cambia el objeto. ISO 27001 se ocupa de proteger la información; ISO 22301 de que la operación siga en pie. Por eso muchas organizaciones las implementan juntas y reutilizan buena parte del trabajo.
¿Es obligatoria?
No por sí misma. Se vuelve necesaria cuando un cliente grande, un contrato o un regulador te piden demostrar que estás preparado para una interrupción. Es el mismo camino que abrió ISO 27001 hace unos años.
¿Cuánto toma certificarse?
Depende del alcance y de qué tanto exista ya. La parte que no se puede acelerar es la evidencia: el sistema tiene que haber operado un tiempo y haber dejado registro de sus pruebas y revisiones. Conviene empezar antes de que aparezca el contrato que lo exige.
¿Qué pasa después del certificado?
Hay auditorías de seguimiento periódicas y una recertificación al cabo del ciclo. El sistema tiene que seguir vivo entre una y otra: pruebas hechas, incidentes registrados, plan actualizado cuando el negocio cambia.