- Significado
- Sistema de gestión de la continuidad de negocio
- Finalidad
- Planificar, probar y mejorar la preparación ante emergencias
- Norma
- Suele basarse en la ISO 22301
- Relacionado
- BCP y plan de recuperación
- Actualizado
- junio de 2026
- Redacción
- Compliance Compass
¿Qué es un BCMS?
El BCMS (business continuity management system) es el marco organizativo que hay detrás del BCP. No es un documento suelto, sino un sistema de dirección en funcionamiento permanente, con responsabilidades, políticas y procesos claros. Su cometido es que los planes de emergencia no se redacten una vez y se olviden, sino que nazcan de un análisis de impacto en el negocio, se prueben con regularidad, se evalúen después de cada simulacro o incidente y se mejoren sin pausa. Con ello, el BCMS eleva la continuidad de negocio de una medida puntual al nivel de un programa dirigido y demostrable.
El ciclo
Igual que un SGSI , un BCMS sigue el principio de planificar, hacer, verificar y actuar propio de la mejora continua: planificar, aplicar, probar y corregir. Así la capacidad de respuesta sigue vigente aunque cambien los procesos, el mapa de sistemas o el panorama de amenazas. Los órganos de dirección asumen la responsabilidad general y fijan objetivos y recursos.
Un caso habitual: un hospital lleva su BCMS de modo que cada trimestre ensaya un escenario distinto, por ejemplo la caída del sistema de información clínica. Tras cada simulacro, las conclusiones se incorporan a los planes actualizados, se añaden al ámbito de aplicación las nuevas aplicaciones críticas y la dirección recibe un informe. Así la preparación ante emergencias sigue viva en lugar de quedarse obsoleta tras la primera auditoría.
El BCMS y la ISO 22301
La norma internacional ISO 22301 describe cómo se construye y se opera un BCMS. Las organizaciones pueden certificarse conforme a ella, igual que conforme a la ISO 27001 para la seguridad de la información, y obtienen así una prueba reconocida de su madurez ante emergencias frente a clientes y administraciones.
El BCMS y NIS2
La Directiva (UE) 2022/2555 exige en su artículo 21, apartado 2, letra c), medidas de continuidad de las actividades y de gestión de crisis. Un BCMS es la herramienta adecuada para cumplir esas exigencias de forma estructurada, repetible y demostrable, en lugar de repartirlas en medidas sueltas. España todavía no ha transpuesto la directiva y sigue rigiéndose por el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, de modo que no hay plazo español que cumplir; montar el sistema, en cambio, se puede empezar hoy.
Más información: ISO 22301 — requisitos de los sistemas de gestión de la continuidad de negocio
Preguntas frecuentes
¿Qué es un BCMS?
Un BCMS (business continuity management system) es el sistema de gestión que dirige la preparación ante emergencias y se ocupa de la planificación, las pruebas y la mejora continua de la capacidad de respuesta. No es un documento suelto, sino un sistema de dirección en funcionamiento permanente, con responsabilidades, políticas y procesos claros. El BCMS garantiza que los planes de emergencia nazcan de un análisis de impacto en el negocio, se prueben con regularidad y se mejoren después de cada simulacro o incidente.
¿En qué se diferencian el BCMS y el BCP?
El BCMS es el sistema de gestión superior, el que organiza responsabilidades, pruebas y mejora continua de la preparación ante emergencias. El BCP (business continuity plan) es, en cambio, un plan de emergencia concreto y documentado que nace y se mantiene dentro de ese sistema. Dicho de otro modo: el BCMS es el marco organizativo y el BCP es la instrucción operativa para el momento de la verdad.
¿Qué norma hay detrás del BCMS?
La referencia es la norma internacional ISO 22301, que describe cómo se construye, se opera y se certifica un sistema de gestión de la continuidad de negocio. Sigue el mismo principio de planificar, hacer, verificar y actuar que la ISO 27001 para la seguridad de la información. Las organizaciones pueden certificarse conforme a la ISO 22301 y obtener así una prueba reconocida y verificada por un tercero de su madurez ante emergencias frente a clientes, socios y administraciones.