Qué es un plan de continuidad de negocio

Un plan de continuidad de negocio (BCP, del inglés Business Continuity Plan) es el conjunto de procedimientos que permiten a una empresa seguir operando o recuperarse en el menor tiempo posible tras un incidente grave: un ciberataque de ransomware, una caída de sistemas, un fallo del proveedor de nube, un incendio en las instalaciones o cualquier evento que interrumpa las operaciones normales.

No es un documento técnico. Es un documento de decisión directiva. Responde a preguntas que solo la dirección puede responder:

Las tres preguntas que define tu plan de continuidad

¿Cuántos datos puedes perder sin que el negocio se resienta? Eso tiene un número. No «los mínimos posibles». Se llama RPO (Recovery Point Objective) y lo tiene que acordar dirección, no IT. Si el RPO es 4 horas, significa que en el peor caso se pierden 4 horas de datos — y que la empresa puede absorber esa pérdida.

¿En cuántas horas tienes que estar operativo si falla todo? Eso también tiene un número. Se llama RTO (Recovery Time Objective). Si el RTO es 8 horas, alguien tiene que haber comprobado que los sistemas pueden restaurarse en ese tiempo — no suponerlo.

¿Quién activa el plan cuando falla todo — y ese alguien lo sabe? El plan más detallado del mundo no sirve si nadie sabe que existe o si la persona que tiene que activarlo no está disponible. El plan de continuidad tiene que definir roles, suplencias y protocolos de comunicación.

La diferencia entre tener el plan y que funcione

Hay dos tipos de empresas: las que tienen un plan de continuidad de negocio que existe en papel, y las que tienen un plan de continuidad que existiría en la realidad si mañana algo fallara.

La distinción no es teórica. Se hace visible en el momento del incidente.

Los 5 errores que hacen que tu plan de continuidad no sirva para nada

Estos son los patrones más frecuentes que encontramos al auditar planes de continuidad de negocio en PYMEs españolas:

1. Confundir tener backups con tener continuidad. Los backups son una condición necesaria pero no suficiente. Lo que importa no es si el backup existe, sino si los datos se pueden restaurar en el tiempo acordado y si alguien ha comprobado que eso es posible. Un backup que nunca se ha restaurado es una esperanza, no una garantía.
2. El plan lo «lleva IT» sin participación de dirección. Un plan de continuidad de negocio define prioridades de negocio: qué proceso se recupera primero, qué clientes se avisan, qué contratos se podrían ver afectados. Esas decisiones requieren criterio directivo, no criterio técnico. Si IT ha definido el RTO sin que dirección lo haya validado, el plan no es de continuidad de negocio — es de recuperación técnica.
3. El plan existe pero no está accesible cuando se necesita. Si el plan de continuidad está guardado en el servidor que acaba de fallar, no hay plan. El documento tiene que estar accesible desde fuera de la infraestructura habitual: en la nube, en dispositivos personales de los responsables, o en papel en una ubicación alternativa.
4. No hay protocolos de comunicación definidos. Durante un incidente grave, el CEO necesita saber a quién llamar, en qué orden y qué decirle. A clientes, proveedores, socios y, si aplica, a la autoridad competente (INCIBE-CERT en menos de 24 horas para incidentes NIS2). Si quieres ver cómo encaja este requisito en el marco completo de obligaciones NIS2, tenemos un checklist de una página para dirección que cubre este punto entre otros. Sin un guion de comunicación preparado, la improvisación genera más daño reputacional que el propio incidente.
5. El plan nunca se ha probado. Es el error más extendido y el más grave. Un plan no probado tiene una probabilidad de éxito desconocida — que en la mayoría de los casos resulta ser mucho menor de lo esperado. Los simulacros no son un ejercicio burocrático; son la única forma de saber si el plan funcionaría de verdad.

Qué debe incluir un plan de continuidad que funcione

Un plan de continuidad de negocio efectivo para una PYME no necesita ser un documento de 200 páginas. Necesita ser accionable en una situación de crisis, lo que significa que quien lo tenga que usar en ese momento pueda entenderlo y ejecutarlo sin llamar a nadie para que se lo explique.

Los componentes mínimos

• Análisis de impacto de negocio (BIA) — qué procesos son críticos, en qué orden de prioridad y cuál es el impacto económico y operativo de que cada uno falle
• RPO y RTO acordados por dirección — cuántos datos puede perder la empresa y en cuánto tiempo tiene que estar operativa, con validación formal de la alta dirección
• Plan de recuperación ante desastres (DRP) técnico — los pasos exactos para restaurar sistemas, con responsables nominados y suplencias definidas
• Protocolo de activación — quién declara la situación de crisis, qué criterios se usan para activar el plan y cómo se comunica internamente
• Guion de comunicación externa — qué se comunica a clientes, proveedores y autoridades, en qué plazos y quién lo firma
• Ubicación alternativa y acceso fuera de red — dónde están los documentos críticos si los sistemas principales no están disponibles
• Calendario de pruebas y simulacros — con fechas, responsables y registro de resultados de cada prueba
• Registro de revisiones — historial de actualizaciones del plan con fecha, responsable y cambios realizados

Cuánto puede costar una parada operativa sin plan

La pregunta que más directivos evitan hacerse es también la más importante: ¿cuánto le cuesta a mi empresa cada hora sin sistemas?

Divide la nómina bruta mensual total entre los días laborables del mes para obtener el coste por hora de recursos humanos detenidos. A eso añade los pedidos no procesados, los contratos con penalizaciones por SLA y el coste de la recuperación técnica.

El coste directo de la parada es solo una parte del problema. El coste reputacional — clientes que no renuevan, licitaciones perdidas, relaciones con socios deterioradas — puede superar con creces el daño técnico y extenderse durante meses.

Cómo saber si tu plan está realmente implantado

Hay cuatro preguntas que cualquier CEO debería poder responder sin consultar a nadie. Si alguna de ellas no tiene respuesta inmediata y concreta, el plan existe en papel pero no en la realidad:

1. ¿Cuándo fue la última vez que se restauró un backup de verdad? No «verificar que el backup existe» — restaurar datos reales en un entorno de prueba y comprobar que son recuperables. Si la respuesta es «no lo sé» o «nunca», los backups son una hipótesis.
2. ¿Quién activa el plan si el CTO no está disponible? El plan tiene que funcionar en el peor momento posible: fin de semana, festivo, vacaciones. Si solo una persona sabe cómo activarlo, no hay plan — hay una dependencia crítica.
3. ¿Dónde está el plan si los sistemas internos no están disponibles? Si el plan de continuidad está en el servidor que acaba de fallar, la respuesta es ningún sitio. El plan tiene que ser accesible desde fuera de la infraestructura habitual.
4. ¿Cuándo fue el último simulacro — y hay acta de resultados? Un simulacro sin acta no ha ocurrido desde el punto de vista de un auditor o de un cliente que exija evidencias. La prueba tiene que estar documentada con fecha, participantes, resultados y acciones de mejora identificadas.

Cómo puede ayudarte Mencar

Nuestro servicio de Continuidad as a Service no entrega un documento y desaparece. Implantamos, mantenemos y probamos tu plan de continuidad de negocio de forma continua — para que el día que algo falle, la respuesta sea un proceso conocido y entrenado, no una improvisación costosa.

Qué incluye el servicio desde 70€/mes

• Implantación de la estrategia del plan de continuidad — análisis de impacto de negocio, definición de RPO/RTO con dirección y diseño del plan completo
• Objetivos de recuperación acordados — RPO y RTO validados con la dirección, no impuestos por IT
• Implantación técnica completa — configuración del plan de recuperación ante desastres (DRP) y coordinación con el equipo IT o proveedor
• Prueba inicial de restauración — verificamos que los backups son restaurables de verdad antes de dar el plan por implantado
• Verificación diaria automática de backups — alertas si algo falla, sin esperar a que el incidente lo descubra
• Simulacros parciales y completos según plan — con actas de resultados y recomendaciones de mejora
• Reporting de continuidad — informe de estado para dirección, listo para presentar ante clientes, auditorías o licitaciones

Preguntas frecuentes sobre el plan de continuidad de negocio para PYMEs

• ¿Qué es exactamente un plan de continuidad de negocio?

  Un plan de continuidad de negocio (BCP) es el conjunto de procedimientos que permiten a una empresa seguir operando o recuperarse en el menor tiempo posible tras un incidente grave. Incluye la identificación de procesos críticos, los objetivos de tiempo de recuperación (RTO) y de punto de recuperación (RPO) acordados por dirección, los responsables de activar el plan, los protocolos de comunicación interna y externa, y el calendario de pruebas y simulacros. No es un documento técnico — es un documento de decisión directiva.

• ¿Qué diferencia hay entre un plan de continuidad y un plan de recuperación ante desastres?

  El plan de continuidad de negocio (BCP) cubre el conjunto de la organización: qué procesos son críticos, quién toma decisiones, cómo se comunica con clientes y proveedores y cómo se mantiene la operativa mínima durante la crisis. El plan de recuperación ante desastres (DRP) es la parte técnica del BCP: cómo se restauran los sistemas, los datos y la infraestructura. El DRP es un componente del BCP, no un documento independiente.

• ¿Qué son el RPO y el RTO y quién los tiene que definir?

  El RPO (Recovery Point Objective) es la cantidad máxima de datos que la empresa puede permitirse perder, expresada en tiempo. El RTO (Recovery Time Objective) es el tiempo máximo que la empresa puede estar sin operar. Ambos parámetros los tiene que definir y aprobar la alta dirección, no IT, porque responden a preguntas de negocio: ¿cuánta pérdida de datos es inaceptable? ¿cuántas horas de parada ponen en riesgo contratos o la relación con clientes clave?

• ¿Con qué frecuencia hay que revisar y probar el plan de continuidad?

  El plan debe revisarse al menos una vez al año y actualizarse cada vez que haya cambios significativos: nuevos sistemas, cambios de personal clave o modificaciones en procesos críticos. En cuanto a pruebas: verificación diaria automática de que los backups se están realizando, prueba de restauración real al menos una vez al año, simulacro parcial trimestral y simulacro completo anual con acta de resultados. Un plan que no se prueba deja de ser un plan de continuidad.

• ¿NIS2 obliga a las PYMEs a tener un plan de continuidad?

  Sí. El Artículo 21.2.c de la Directiva NIS2 exige a las entidades esenciales e importantes implementar medidas de continuidad de negocio, incluyendo gestión de copias de seguridad, recuperación ante desastres y gestión de crisis. Además, las empresas reguladas están exigiendo planes de continuidad a sus proveedores como parte del control de su cadena de suministro (Art. 21.2.d). Si tu PYME trabaja con clientes grandes o en sectores regulados, es probable que ya estés recibiendo esta exigencia de forma contractual.

• ¿Cuánto cuesta implantar un plan de continuidad de negocio?

  El servicio de Continuidad as a Service de Mencar — que incluye la implantación completa del plan, las pruebas de restauración, los simulacros y el reporting continuo — tiene un coste desde 70€/mes. Menos del coste de una hora de parada operativa para la mayoría de PYMEs. Si necesitas partir de cero con el diseño y la documentación del plan, el servicio de GRC/Compliance incluye esta fase y se coordina con Continuidad as a Service para que la base documental y la implantación técnica estén alineadas.

• ¿Cómo sé si mi plan de continuidad actual está realmente implantado?

  Hay cuatro señales concretas de que un plan está implantado de verdad: existe registro de una prueba de restauración real en los últimos 12 meses, el RTO ha sido validado con una prueba (no estimado), hay un simulacro documentado con acta de resultados, y cualquier miembro del equipo directivo sabe cómo activar el plan sin consultar a otra persona. Si alguna de estas condiciones no se cumple, el plan existe en papel pero no en la realidad.