Continuidad de negocio: ENS, ISO 22301 y la realidad de las PYMEs

Qué es la continuidad de negocio y por qué importa en el ENS

La continuidad de negocio es la capacidad de una organización para seguir prestando sus servicios esenciales durante y después de un incidente grave: un ransomware que cifra los servidores, un incendio en el CPD, un fallo masivo del proveedor cloud, o la indisponibilidad de personal clave. No se trata solo de recuperar los sistemas: se trata de mantener los procesos críticos del negocio funcionando, aunque sea de forma degradada, mientras se completa la recuperación.

En el ENS, la disponibilidad es una de las tres dimensiones de seguridad (junto con confidencialidad e integridad). Para sistemas que afectan a servicios públicos esenciales, garantizar la continuidad no es opcional: es un requisito normativo que los auditores de certificación verifican activamente.

Controles ENS de continuidad: op.cont.1 a op.cont.4

El Real Decreto 311/2022 establece cuatro controles específicos de continuidad dentro del marco operacional:

• op.cont.1 — Análisis de impacto: requiere identificar los procesos y servicios críticos del sistema, estimar el impacto de su interrupción a lo largo del tiempo y determinar los requisitos de recuperación. Es el fundamento del BIA (Business Impact Analysis). Aplica desde categoría MEDIA.
• op.cont.2 — Plan de continuidad: exige disponer de un plan documentado que establezca cómo continuar operando y cómo recuperar los sistemas ante distintos escenarios de interrupción. Aplica desde categoría MEDIA.
• op.cont.3 — Pruebas periódicas: el plan de continuidad debe probarse de forma regular para verificar que funciona en la práctica. Las pruebas deben documentarse y sus resultados utilizarse para mejorar el plan. Aplica desde categoría MEDIA.
• op.cont.4 — Medios alternativos: para sistemas de categoría ALTA, se exige disponer de medios alternativos que permitan prestar el servicio con un nivel de degradación controlado mientras se recuperan los medios principales. Esto puede incluir instalaciones alternativas, sistemas redundantes o acuerdos con terceros.

Para categoría BÁSICA, el ENS no exige formalmente un BCP documentado, pero sí se asume que la organización dispone de capacidades básicas de recuperación, especialmente en materia de copias de seguridad (op.exp.5 y op.exp.6).

RTO y RPO: definición práctica

Dos métricas son fundamentales en cualquier plan de continuidad:

• RTO (Recovery Time Objective): el tiempo máximo que puede estar interrumpido un servicio antes de que el impacto sea inaceptable para la organización. Si el RTO de un servicio de tramitación es de 4 horas, los sistemas de recuperación deben garantizar que en ese tiempo el servicio puede reanudarse.
• RPO (Recovery Point Objective): la cantidad máxima de datos que la organización puede permitirse perder, expresada en tiempo. Si el RPO es de 1 hora, las copias de seguridad deben realizarse como mínimo cada hora para garantizar que, en caso de pérdida, nunca se pierden más de 60 minutos de trabajo.

Estos dos valores deben definirse para cada proceso o servicio crítico, no de forma global. El servicio de facturación puede tener un RPO de 15 minutos, mientras que el archivo documental puede tolerar un RPO de 24 horas.

Análisis de impacto (BIA): identificar lo que realmente importa

El BIA (Business Impact Analysis) es el proceso que permite determinar qué procesos son críticos y cuánto tiempo pueden estar inactivos antes de causar daño irreparable. Para realizarlo, se entrevista a los responsables de cada proceso de negocio y se analiza el impacto de su interrupción en distintos horizontes temporales: primera hora, primeras 4 horas, primer día, primera semana.

El resultado del BIA es una lista priorizada de procesos críticos con sus RTO y RPO asociados. Esta priorización es fundamental para asignar recursos de continuidad: no todos los sistemas pueden recuperarse simultáneamente, y el BIA determina cuáles recuperar primero.

Cómo dimensionar el BCP según la categoría ENS

La complejidad del plan de continuidad debe ser proporcional a la categoría del sistema y al impacto de la interrupción:

• Categoría BÁSICA: procedimientos básicos de recuperación, gestión de backups con verificación periódica, contactos de emergencia actualizados. No se exige BCP formal pero sí capacidad de recuperación demostrable.
• Categoría MEDIA: BCP documentado con escenarios de interrupción, RTO/RPO definidos para procesos críticos, prueba del plan al menos una vez al año, actas de las pruebas realizadas.
• Categoría ALTA: BCP completo con medios alternativos físicos o tecnológicos, redundancia de sistemas críticos, pruebas más frecuentes (mínimo semestral), acuerdos con proveedores alternativos, capacidad de activación del plan en tiempo real.

Relación con ISO 22301

ISO 22301 es la norma internacional de sistemas de gestión de continuidad de negocio. A diferencia del ENS, que establece requisitos de seguridad de la información, ISO 22301 cubre la continuidad de negocio en sentido amplio: no solo los sistemas TI, sino todos los recursos necesarios para mantener las operaciones (personas, instalaciones, equipamiento, cadena de suministro).

Las organizaciones que ya cumplen ISO 27001 pueden extender su SGSI con los requisitos de ISO 22301 con un esfuerzo relativamente moderado, ya que comparten estructuras de gestión, la lógica basada en riesgos y muchos procesos de documentación. Para organizaciones que prestan servicios críticos a la Administración y tienen categoría ALTA en el ENS, la certificación ISO 22301 es una señal de madurez que refuerza la posición competitiva.

El error más común: el BCP en papel que nunca se prueba

El error más frecuente en continuidad de negocio no es la falta de documentación, sino la falta de pruebas. Muchas organizaciones elaboran un BCP detallado, lo guardan en una carpeta compartida y no vuelven a abrirlo hasta la siguiente auditoría. Cuando finalmente ocurre un incidente real, descubren que los procedimientos están desactualizados, que los contactos de emergencia han cambiado, que los backups no se restauran correctamente o que el sistema alternativo no tiene la capacidad necesaria.

Una prueba de continuidad no tiene por qué ser un ejercicio complejo y costoso. El objetivo es verificar que el plan funciona en la práctica antes de necesitarlo de verdad.

Cómo hacer una prueba de continuidad mínima viable

Para organizaciones de categoría MEDIA, una prueba anual básica podría incluir: revisión de los procedimientos de recuperación con los responsables técnicos (¿siguen siendo válidos?), verificación de que los backups se restauran correctamente en un entorno de prueba, confirmación de que los contactos de emergencia están actualizados, y un ejercicio de escritorio (tabletop exercise) en el que el equipo simula una interrupción y recorre los pasos del plan. Este tipo de prueba lleva medio día de trabajo y puede detectar la mayoría de los problemas antes de un incidente real.

Backups: la primera línea de continuidad

Independientemente de la sofisticación del BCP, los backups son la medida de continuidad más básica y más frecuentemente mal implementada. La regla 3-2-1 sigue siendo la referencia: mantener al menos 3 copias de los datos, en al menos 2 soportes diferentes, con al menos 1 copia fuera de las instalaciones principales (o en cloud). Los backups deben verificarse periódicamente: un backup que no se ha restaurado nunca no es una garantía de recuperación, es una ilusión de seguridad.