- Significado
- Plan de continuidad de negocio
- Finalidad
- Mantener la actividad durante una interrupción
- Contenido
- Procesos críticos, papeles, reanudación
- Relacionado
- BCMS y plan de recuperación
- Actualizado
- junio de 2026
- Redacción
- Compliance Compass
¿Qué es un BCP?
El plan de continuidad de negocio (BCP) es el corazón operativo de la preparación ante emergencias: un guion concreto y documentado de cómo una organización mantiene sus procesos más importantes incluso ante perturbaciones graves, como un ciberataque, un corte de suministro eléctrico o la caída de un centro de datos o de un proveedor clave. Mientras que la continuidad de negocio describe el objetivo superior, el BCP lo traduce en instrucciones tangibles: fija quién hace qué y en qué orden, a qué soluciones alternativas se conmuta y cómo se comunica hasta que vuelve la normalidad.
Qué contiene un BCP
Un BCP sólido se apoya en un análisis de impacto en el negocio hecho de antemano y contiene por lo general estos elementos:
- Lista de los procesos críticos y de sus dependencias
- Tiempo máximo tolerable de interrupción de cada proceso
- Papeles, responsables y vías de comunicación de emergencia
- Orden de conmutación y de reanudación, con medidas inmediatas concretas
Ejemplo: en una compañía eléctrica regional cae el sistema central de facturación tras un ciberataque. El BCP entra en acción de inmediato: el centro de atención telefónica pasa a los procedimientos manuales previstos, un coordinador de emergencias designado prioriza la recuperación, y las plantillas de comunicación para los clientes y para la autoridad competente están listas para usarse. Así la compañía conserva su capacidad de actuar en lugar de improvisar en medio del caos.
BCP, plan de recuperación y BCMS
El BCP forma parte de un sistema mayor. El BCMS dirige la preparación ante emergencias en su conjunto y mantiene los planes al día; el Plan de recuperación ante desastres se ocupa en concreto de la recuperación técnica de los sistemas de TI. El BCP es, por tanto, más amplio que el plan de recuperación y más concreto que el BCMS.
El BCP y NIS2
La Directiva (UE) 2022/2555 exige en su artículo 21, apartado 2, letra c), medidas de continuidad de las actividades y de gestión de crisis. Un BCP probado y ensayado con regularidad es el núcleo práctico de esa exigencia, y una prueba de peso si la autoridad de supervisión examina la resiliencia. España todavía no ha transpuesto la directiva y sigue rigiéndose por el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, de modo que no hay plazo español que cumplir. Sobre las sanciones, el artículo 34 fija cuantías máximas mínimas: al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales, y los Estados miembros pueden fijar importes superiores.
Más información: ISO 22301 — norma internacional de gestión de la continuidad de negocio
Preguntas frecuentes
¿Qué es un plan de continuidad de negocio?
Un plan de continuidad de negocio (BCP) es un plan de emergencia concreto y documentado que mantiene en marcha los procesos críticos incluso ante perturbaciones como un ciberataque, un corte de suministro eléctrico o la caída de un centro de datos. Fija quién hace qué y en qué orden, a qué soluciones alternativas se conmuta y cómo se comunica hasta que vuelve la normalidad. Para ello se apoya en un análisis de impacto en el negocio hecho de antemano sobre los procesos más importantes.
¿Qué diferencia hay entre el BCP y el DRP?
El BCP (business continuity plan) protege la actividad entera, incluidas las personas, las sedes y los procesos, mientras que el DRP (disaster recovery plan), el plan de recuperación ante desastres, regula específicamente la recuperación técnica de los sistemas y los datos. El plan de recuperación es, por tanto, un plan parcial dentro de la planificación de continuidad, más amplia. Dicho de otro modo: el BCP es más amplio que el plan de recuperación y más concreto que el BCMS que está por encima de ambos.
¿Hace falta un BCP para NIS2?
La Directiva (UE) 2022/2555 exige en su artículo 21, apartado 2, letra c), medidas de continuidad de las actividades y de gestión de crisis, pero no menciona el BCP por su nombre. En la práctica, un plan de continuidad probado es la vía habitual y demostrable de cumplir esa obligación. España todavía no ha transpuesto la directiva y siguen vigentes el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, así que no hay plazo español. Sobre las sanciones, el artículo 34 fija cuantías máximas mínimas: al menos 10 millones de euros o el 2 % del volumen de negocios anual mundial para las entidades esenciales.