La norma no hace la continuidad. El proceso sí. Pero hay situaciones donde la norma es lo único que convence.
Miguel Ángel Carriazo
7 mayo 2026
7 min de lectura
El debate real
Lo que la mayoría plantea mal
La pregunta habitual es: ¿certificamos ISO 22301 o hacemos nuestra propia BIA y BCP? Es una pregunta mal formulada. No son alternativas — son niveles distintos del mismo objetivo.
Una BIA propia — Business Impact Analysis — es el análisis que identifica los procesos críticos, sus dependencias y el impacto de una interrupción. Es el corazón de cualquier plan de continuidad. Puedes hacerla con o sin ISO 22301.
ISO 22301 es el marco que estructura cómo se hace la BIA, cómo se construye el BCP, cómo se prueban los planes y cómo se mantienen. Y añade una capa de certificación externa que convierte todo eso en algo verificable por terceros.
La pregunta correcta es: ¿a quién le tienes que demostrar que tu continuidad funciona — y qué nivel de evidencia necesita?
Sistema de continuidad · Análisis de impacto
El BIA alimenta la estrategia; ISO 22301 gobierna el ciclo completo
La comparación es una herramienta de decisión. El solapamiento ayuda a reutilizar controles; las diferencias determinan qué debes gobernar y demostrar.
Ficha rápida
Los dos enfoques de un vistazo
ISO 22301
BIA / BCP propio
Tipo
Sistema de gestión de continuidad de negocio — certificable
Proceso interno — no certificable por sí solo
Validación externa
✓ Auditoría de tercera parte por organismo acreditado
✗ Solo validación interna
Estructura
Ciclo PDCA completo — con requisitos de liderazgo, planificación, soporte, operación y mejora
Variable — depende de la metodología elegida
Coste
Consultoría + auditoría + mantenimiento anual
Tiempo interno — sin coste de certificación
Reconocimiento
Internacional — clientes, reguladores, licitaciones
Solo interno o para audiencias que confían en tu criterio
Integración con ISO 27001
✓ Misma estructura Annex SL — certificación integrada posible
Compatible pero sin estructura común
Valor diferencial
Demuestra a terceros que la continuidad existe, funciona y se mantiene
Suficiente cuando el objetivo es solo operar — no demostrar
ISO 22301
Qué exige más allá de tener un BCP
Tener un Plan de Continuidad de Negocio no equivale a tener un SGCN certificado. ISO 22301 exige un ciclo de gestión completo que va mucho más allá del documento.
Requisito ISO 22301
Lo que exige en la práctica
Lo que falla en BCP propios
Análisis de Impacto de Negocio (BIA)
BIA formal con RTO, RPO y MTPD documentados por proceso crítico
Frecuente: RTOs teóricos nunca validados en prueba real
Estrategias de continuidad
Estrategias alternativas documentadas y viables para cada proceso crítico
Frecuente: estrategia única sin alternativa real si falla el plan A
Procedimientos de respuesta
Procedimientos operativos ejecutables bajo presión — sin depender del conocimiento de una sola persona
Frecuente: procedimientos que solo conoce quien los escribió
Ejercicios y pruebas
Programa de pruebas documentado con resultados, lecciones aprendidas y mejoras
Frecuente: plan nunca probado — o probado una vez en la implantación
Revisión por la dirección
Implicación formal y documentada de la alta dirección en el SGCN
Frecuente: la continuidad vive solo en TI — dirección no involucrada
Mejora continua
Ciclo formal de revisión y actualización tras cada prueba o incidente real
Frecuente: el BCP se actualiza solo cuando alguien recuerda que existe
¿Cuándo merece la pena certificarse?
La decisión en una tabla
Situación
ISO 22301
BIA / BCP propio
Cliente o regulador exige evidencia de continuidad verificada
✓ Única respuesta creíble
Insuficiente — no tiene validación externa
Entidad financiera bajo DORA
✓ ISO 22301 cubre el pilar de continuidad TIC de DORA
Insuficiente para demostrar cumplimiento al supervisor
Infraestructura crítica bajo NIS2
✓ Refuerza el cumplimiento del Art. 21C
Gap frente al regulador
Organización que ya tiene ISO 27001
✓ Certificación integrada muy eficiente — misma estructura
Inconsistencia con el nivel de madurez del SGSI
PYME sin obligación regulatoria ni exigencia de cliente
Coste probablemente no justificable a corto plazo
✓ BCP propio bien estructurado es suficiente — si se prueba
Primer paso — nunca has tenido continuidad
Demasiado ambicioso como punto de partida
✓ Empieza por la BIA — entiende tus procesos críticos primero
Quieres que la continuidad sobreviva a la rotación de personas
✓ El marco fuerza la documentación y la transferencia de conocimiento
Alto riesgo — el plan suele vivir en la cabeza de alguien
El error más frecuente
Tener el documento. No tener la continuidad.
El error más extendido en continuidad de negocio no es no tener ISO 22301. Es tener un BCP que nadie ha leído, con RTOs que nadie ha validado, con procedimientos que dependen de personas que ya no están, y con un plan que se actualizó por última vez cuando se aprobó.
Un plan que no se prueba no es un plan. Es una hipótesis. Y las hipótesis fallan exactamente cuando más las necesitas — bajo presión, con tiempo limitado, con las personas equivocadas en la sala.
ISO 22301 no resuelve esto mágicamente. Pero sí fuerza a resolverlo — porque el auditor va a pedir las actas de las pruebas, los resultados, las lecciones aprendidas y la evidencia de que la dirección está involucrada.
La certificación no hace la continuidad. Pero la auditabilidad externa es el mejor incentivo que existe para que la continuidad deje de ser papel mojado.
Cómo decidir
Un BIA puede ser suficiente para una decisión concreta; no sustituye un sistema de continuidad
El BIA es una pieza esencial de continuidad porque ayuda a entender impactos, prioridades, tiempos y dependencias. Pero por sí solo no diseña estrategias, no mantiene planes, no asigna todas las responsabilidades, no ejecuta ejercicios ni establece un ciclo completo de evaluación y mejora.
ISO 22301 define requisitos para un sistema de gestión de continuidad de negocio. Incluye contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Dentro de la operación, el análisis de impacto y la evaluación de riesgos alimentan la selección de estrategias y soluciones de continuidad.
La pregunta correcta no es “ISO 22301 o BIA”. Es si necesitas entender impacto para una decisión puntual o gobernar de forma continua la capacidad de continuidad de la organización.
Ref.
Qué revisaría
Qué necesito demostrar
DEC-01
BIA vigente
Procesos, impactos, tiempos y dependencias validados por negocio.
DEC-02
Estrategias
Cómo se alcanzarán los objetivos de recuperación definidos.
DEC-03
Planes
Procedimientos, roles, comunicación y criterios de activación.
DEC-04
Ejercicios
Escenarios, resultados, desviaciones y acciones correctivas.
DEC-05
Gobierno
Revisión, cambios del entorno y mejora del sistema.
Mi enfoque
No certificaría por reflejo. Tampoco llamaría “programa de continuidad” a un BIA en Excel.
GRCREAL
En una organización pequeña con necesidades acotadas puede tener sentido empezar por un BIA serio y construir capacidad operativa sin buscar certificación inmediata. Pero exigiría continuidad entre el impacto identificado y la estrategia elegida. Si el RTO es cuatro horas y la recuperación nunca se ha probado por debajo de dos días, el BIA no está gobernando nada.
En entornos complejos, regulados o con múltiples unidades, el valor del sistema de gestión aumenta porque obliga a mantener coherencia, responsabilidades y revisión continua.
La norma no recupera el servicio. El BIA tampoco. La capacidad aparece cuando impacto, estrategia, plan y prueba cuentan la misma historia.
Veredicto GRCREAL
El proceso primero. La certificación cuando hace falta.
La BIA y el BCP propio son el punto de partida correcto para cualquier organización. Sin entender tus procesos críticos, sus dependencias y el impacto real de una interrupción, la certificación no tiene base sobre la que construir.
ISO 22301 tiene sentido cuando necesitas demostrar a terceros — clientes, reguladores, auditores — que tu continuidad existe, funciona y se mantiene. Y especialmente cuando ya tienes ISO 27001, porque la integración es muy eficiente y el trabajo documental se reutiliza en gran parte.
Si eres una PYME sin obligación regulatoria ni exigencia de cliente: haz la BIA, construye un BCP real, pruébalo al menos una vez al año y documenta los resultados. Es el 80% del valor con el 20% del coste.
Lo que no puedes hacer es tener el documento y asumir que tienes la continuidad. Eso es exactamente lo que descubrirás cuando lo necesites de verdad.
¿Cuándo fue la última vez que probaste tu plan de continuidad?
Si la respuesta es "nunca" o "no lo sé" — hay trabajo por hacer antes de que llegue el incidente real.
Sobre el autor
Miguel Ángel Carriazo · vCISO
vCISO · Arquitecto de Soluciones de Infraestructura y Ciberseguridad | Gobierno, Riesgo y Cumplimiento (GRC) | Gobierno de IA · ISO 42001 | Fundador de GRCreal