¿Qué es ISO 22301?
ISO 22301:2019 es el estándar internacional para Sistemas de Gestión de Continuidad del Negocio (SGCN). Especifica requisitos para planificar, establecer, implementar, operar, monitorear, revisar y mejorar un SGCN documentado — permitiendo a las organizaciones protegerse, prepararse, responder y recuperarse de incidentes disruptivos.
¿Quién necesita ISO 22301?
- Organizaciones de servicios financieros sujetas a DORA y requisitos de continuidad de supervisores bancarios
- Operadores de infraestructura crítica (energía, utilities, telecomunicaciones)
- Proveedores de nube y centros de datos con SLAs de disponibilidad
- Organizaciones de salud con obligaciones de seguridad del paciente
- Sector público y contratistas gubernamentales
- Cualquier organización que deba demostrar resiliencia en la cualificación de proveedores empresariales
DORA e ISO 22301
La Ley de Resiliencia Operativa Digital de la UE (DORA), obligatoria desde enero de 2025, requiere que las entidades financieras de la UE implementen políticas de continuidad del negocio TIC y planes de recuperación ante desastres. ISO 22301 proporciona un marco estructurado que aborda directamente los requisitos de resiliencia operativa de DORA, y los programas integrados de BALTUM mapean los controles de ISO 22301 a las obligaciones de DORA para minimizar la duplicación.
Elementos clave del SGCN
- Análisis de Impacto en el Negocio (BIA) — identificación de actividades críticas y objetivos de tiempo de recuperación
- Evaluación de riesgos — amenazas y vulnerabilidades que afectan la continuidad del negocio
- Planes de Continuidad del Negocio (BCP) — procedimientos de recuperación documentados para todos los procesos críticos
- Planes de Recuperación ante Desastres de TI (DRP) — procedimientos de recuperación de sistemas y datos
- Planes de Comunicación de Crisis — comunicación con las partes interesadas durante incidentes
- Programa de ejercicios y pruebas — ejercicios de mesa, simulación y ejercicios reales completos
Integración con ISO 27001
ISO 22301 e ISO 27001 son altamente complementarios. El programa integrado de BALTUM comparte la metodología de evaluación de riesgos, el ciclo de revisión de gestión, el programa de auditoría interna y la estructura de documentación, reduciendo el esfuerzo total de implementación en un 30–40% en comparación con certificaciones secuenciales.