Saltar al contenido
01 · Consultoría01 · Consulting

ISO 22301ISO 22301

Sistema de gestión de continuidad del negocio, certificable.Certifiable business continuity management system.

ISO 22301:2019ISO 22301:2019 1.2 · Consultoría Normativa y de Cumplimiento1.2 · Regulatory and Compliance Consulting

¿Qué es este servicio?What is this service?

Es la implementación de un sistema de gestión de continuidad del negocio conforme a ISO 22301:2019, certificable por una entidad acreditada. Es el paraguas formal sobre el análisis de impacto, los planes de continuidad y las pruebas.

Implementation of a business continuity management system in line with ISO 22301:2019, certifiable by an accredited body. It is the formal umbrella over impact analysis, continuity plans and exercises.

¿Para qué se usa?What is it used for?

Lleva a la organización de tener planes de continuidad sueltos a tener un sistema que se mantiene solo: con objetivos, responsables, indicadores, pruebas programadas y revisión por la dirección. La diferencia con hacer solo un BCP es que el sistema obliga a mantenerlo vivo.

It moves the organisation from scattered continuity plans to a system that maintains itself: with objectives, owners, indicators, scheduled exercises and management review. The difference from just writing a BCP is that the system forces the plans to be kept alive.

Qué beneficios traeBenefits it delivers

  • El certificado responde de una vez las preguntas de continuidad de los cuestionarios de clientes.
  • Obliga a probar los planes con periodicidad, que es lo que separa un plan real de uno de vitrina.
  • Se integra con ISO 27001 compartiendo estructura, auditorías y revisión por la dirección.
  • The certificate answers the continuity questions in client questionnaires once and for all.
  • Forces periodic testing of plans, which is what separates a real plan from a display piece.
  • Integrates with ISO 27001, sharing structure, audits and management review.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio por ley en Costa Rica.
  • El Acuerdo CONASSIF 5-24 exige gestionar la continuidad de las entidades supervisadas, aunque no impone esta norma en particular.
  • Se pide con frecuencia en contratos con clientes grandes y en licitaciones.
  • It is not legally mandatory in Costa Rica.
  • CONASSIF Agreement 5-24 requires supervised entities to manage continuity, though it does not impose this particular standard.
  • It is frequently requested in contracts with large clients and in tenders.

InternacionalInternational

  • No es obligatorio por ley con carácter general, pero DORA y NIS2 exigen capacidades de continuidad y resiliencia que esta norma estructura bien.
  • En algunos sectores regulados se acepta el certificado como evidencia de diligencia.
  • Not generally legally mandatory, but DORA and NIS2 require continuity and resilience capabilities this standard structures well.
  • In some regulated sectors the certificate is accepted as evidence of due diligence.

Requisitos mínimosMinimum requirements

  • Un análisis de impacto al negocio hecho, o presupuesto para hacerlo primero: es el cimiento de todo el sistema.
  • Definición de alcance: qué procesos y sedes entran.
  • Compromiso de las áreas de negocio, que son las que definen los tiempos objetivo de recuperación.
  • Disponibilidad para ejecutar al menos una prueba antes de la auditoría.
  • A completed business impact analysis, or budget to do it first: it is the foundation of the whole system.
  • A scope definition: which processes and sites are included.
  • Commitment from business areas, which define the recovery time objectives.
  • Availability to run at least one exercise before the audit.

Plazo típico de entregaTypical delivery time

5 a 10 meses 5 to 10 months rango habitual del mercado usual market range

El rango de mercado va de cinco a diez meses hasta la auditoría de certificación. Igual que en ISO 27001, hay un mínimo que no se comprime: el auditor necesita ver pruebas ejecutadas y una revisión por la dirección con registros.

The market range runs from five to ten months to the certification audit. As with ISO 27001, there is a floor that cannot be compressed: the auditor needs to see executed exercises and a management review with records.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

SGCNSGCN
Sistema de Gestión de Continuidad del Negocio, el conjunto que la norma certifica. Business Continuity Management System, the whole that the standard certifies.
RTORTO
Recovery Time Objective: cuánto tiempo puede estar caído un proceso antes de que el daño sea inaceptable. Recovery Time Objective: how long a process can be down before the damage becomes unacceptable.
RPORPO
Recovery Point Objective: cuántos datos se puede permitir perder, medido en tiempo. Recovery Point Objective: how much data can be lost without unacceptable harm, measured in time.
PruebaTest
Ejercicio para comprobar que el plan funciona. Puede ser de escritorio, funcional o real. An exercise verifying the plan works. It can be tabletop, functional or live.