Un plan de continuidad operacional responde una sola pregunta: si mañana se cae el sistema que factura, despacha o atiende a los clientes, ¿cómo sigue funcionando la empresa y en cuánto tiempo vuelve a la normalidad? La mayoría de las organizaciones tiene alguna respuesta. Pocas la han puesto a prueba.
Las causas de una interrupción son variadas: un ciberataque, un corte eléctrico, la caída de un proveedor en la nube, un error en una actualización o la ausencia de la única persona que sabe operar un sistema. En el primer semestre de 2026, la Agencia Nacional de Ciberseguridad de Chile recibió 324 reportes de incidentes con efecto significativo. De esos, 55 fueron incidentes operacionales, es decir, fallas sin un atacante detrás. Detener la operación no requiere un hacker.
Continuidad, recuperación y gestión de riesgos: No son lo mismo
Los tres conceptos se confunden con frecuencia:
- La gestión de riesgos identifica qué puede salir mal y con qué probabilidad.
- La recuperación ante desastres se ocupa de restaurar la tecnología: servidores, datos, redes.
- La continuidad operacional mira el negocio completo. Define cómo se mantienen los procesos críticos mientras la tecnología se recupera, incluso con procedimientos manuales, proveedores alternativos o equipos de reemplazo.
La norma internacional de referencia es la ISO 22301, dedicada a los sistemas de gestión de continuidad del negocio. La ISO 27001, en su versión 2022, también sumó un control específico sobre la preparación de la tecnología para la continuidad del negocio.
Los cinco componentes de un plan que funciona
1. Análisis de impacto en el negocio
El análisis de impacto en el negocio (BIA, por su sigla en inglés) define qué procesos son críticos y cuánto tiempo pueden estar detenidos. De ahí salen dos números que el resto del plan necesita:
- RTO (tiempo objetivo de recuperación): cuánto puede durar la interrupción antes de que el daño sea inaceptable.
- RPO (punto objetivo de recuperación): cuántos datos puede perder la empresa, medido en tiempo. Un RPO de 4 horas significa que el último respaldo no puede tener más de 4 horas.
Sin estos números, la empresa reparte recursos de forma pareja entre procesos que no valen lo mismo.
2. Evaluación de riesgos
El plan prioriza las amenazas más probables para cada área: fallas tecnológicas, cortes de energía o conectividad, desastres naturales, ciberataques, dependencia de proveedores y ausencia de personal clave. Listar cien riesgos genéricos no sirve; el plan necesita respuestas para los diez que más pesan.
3. Estrategias de continuidad
Para cada proceso crítico, el plan define cómo seguir operando: sitio alterno, trabajo remoto, procedimientos manuales, proveedor de respaldo, redundancia tecnológica o activación de respaldos. Cada estrategia debe calzar con el RTO que fijó el análisis de impacto.
4. Roles y comunicación
Durante una crisis, alguien decide, alguien ejecuta y alguien comunica. El plan nombra a cada uno, con reemplazos, y prepara mensajes para clientes, proveedores, empleados y autoridades. Una crisis mal comunicada se vuelve un problema de reputación aunque la operación se recupere rápido.
5. Monitoreo para detectar a tiempo
Un plan de continuidad depende de saber cuándo empieza el problema. El 2026 Global Threat Report de CrowdStrike midió que un atacante tarda en promedio 29 minutos en moverse desde el primer equipo comprometido hacia el resto de la red. Una caída de servicio también da señales antes de ocurrir: lentitud, errores, saturación. Las herramientas de monitoreo y observabilidad permiten verlas y activar el plan antes de que el cliente note la falla.
Cómo probar el plan
Un plan que nunca se probó es una hipótesis. Existen tres niveles de prueba, de menor a mayor exigencia:
- Ejercicio de mesa. El equipo de crisis recorre un escenario en una sala, paso a paso, y detecta vacíos: teléfonos desactualizados, decisiones sin responsable, proveedores que nadie sabe contactar.
- Simulacro parcial. Se activa una parte del plan, por ejemplo restaurar un sistema desde respaldo o atender clientes con el procedimiento manual, y se mide el tiempo real contra el RTO.
- Simulacro completo. Se simula la caída de un proceso crítico de punta a punta, en un horario controlado.
Cada prueba termina con un informe de brechas y una fecha para corregirlas. La recomendación habitual es probar al menos una vez al año y después de cada cambio importante: una migración a la nube, un nuevo sistema de facturación o la salida de una persona clave.
La regulación empuja en la misma dirección
En América Latina, la continuidad operacional empieza a aparecer en la ley. La Ley Marco de Ciberseguridad de Chile (Ley 21.663) exige a los Operadores de Importancia Vital mantener un plan de continuidad operacional, junto con un sistema de gestión de seguridad de la información y la obligación de reportar incidentes. En Colombia, la Circular Externa 007 de 2018 de la Superintendencia Financiera pide a las entidades vigiladas un ciclo de prevención, detección, respuesta y recuperación ante incidentes.
Para una empresa que no está regulada, el argumento es más simple: el costo de preparar el plan es conocido y acotado; el de una interrupción sin plan no lo es.
Quien quiera profundizar en los componentes del plan y en cómo se conecta con el monitoreo de la infraestructura puede revisar la guía de continuidad operacional que publica netprovider.com, con un enfoque práctico para empresas de la región.