- Significado
- Conducción de la organización en el caso real
- Componentes
- Comité de crisis, comunicación, vías de decisión
- Relacionado
- BCMS, respuesta a incidentes
- Relación con NIS2
- Medida exigida
- Actualizado
- junio de 2026
- Redacción
- Compliance Compass
¿Qué es la gestión de crisis?
Gestión de crisis es la conducción de una organización desde el nivel directivo cuando un suceso desborda la actividad diaria y exige decisiones rápidas y de largo alcance. Se ocupa de que la organización siga siendo capaz de actuar en una situación grave: con vías de decisión claras, un comité de crisis designado y una comunicación reglada hacia dentro y hacia fuera. A diferencia del tratamiento puramente operativo de los incidentes, mira el cuadro completo — reputación, obligaciones jurídicas, clientes, personal y continuidad del negocio — y toma las decisiones superiores que los equipos técnicos necesitan para trabajar con eficacia.
La técnica se encuentra con la dirección
Mientras que la Respuesta a incidentes se ocupa de resolver técnicamente el incidente, la gestión de crisis coordina desde el nivel directivo: decide prioridades, recursos y autorizaciones, por ejemplo si se apagan sistemas, si se recurre a proveedores externos o si se desalojan instalaciones. Está integrada en el BCMS, que define y ensaya de antemano la organización de crisis.
La comunicación es decisiva
En una crisis, comunicar bien suele ser tan importante como la técnica: ante el personal, las autoridades, los clientes, los socios y, algo especialmente relevante en NIS2, ante la autoridad competente. En España ese papel no está todavía atribuido por una ley de transposición: hoy los incidentes se comunican a INCIBE-CERT, CCN-CERT o ESPDEF-CERT conforme al Real Decreto-ley 12/2018. Unas plantillas preparadas y unos portavoces designados evitan contradicciones y retrasos cuando hay que hablar hacia fuera con el reloj en contra.
Un caso típico: en una empresa de logística, los sistemas centrales quedan cifrados durante la noche. El comité de crisis se reúne según el plan de alarma, decide apagar más sistemas, encarga un análisis forense informático y autoriza la comunicación acordada. En paralelo se ocupa de que la alerta temprana salga en 24 horas, la notificación del incidente en 72 y el informe final al cabo de un mes, dirigidos al organismo que corresponda; en España, mientras NIS2 no se transponga, ese organismo es INCIBE-CERT, CCN-CERT o ESPDEF-CERT conforme al Real Decreto-ley 12/2018.
La gestión de crisis y NIS2
La directiva NIS2 menciona expresamente la gestión de crisis, en su artículo 21, entre las medidas exigidas. Actúa allí donde la Continuidad de negocio y la resolución de incidentes confluyen en el nivel directivo, y está estrechamente ligada al cumplimiento de los plazos de notificación del artículo 23. España todavía no ha transpuesto la directiva y sigue aplicando el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, pero preparar la organización de crisis no depende de ese texto.
Más información: ISO 22301 – Gestión de la continuidad de negocio y organización de crisis
Preguntas frecuentes
¿Qué es la gestión de crisis?
La gestión de crisis es la organización y conducción de una empresa desde el nivel directivo en el caso real, para que las decisiones, la comunicación y las medidas funcionen. Con vías de decisión claras, un comité de crisis designado y una comunicación reglada, procura que la organización siga siendo capaz de actuar en una situación grave. A diferencia del tratamiento puramente operativo de los incidentes, mira el cuadro completo: reputación, obligaciones jurídicas, clientes, personal y continuidad del negocio.
¿Forma parte la gestión de crisis de NIS2?
Sí: el artículo 21 de la directiva NIS2 recoge expresamente la gestión de crisis entre las medidas obligatorias para la gestión de riesgos. Las entidades afectadas deben preparar las funciones de crisis y las vías de escalado y de comunicación, y atenerse a ellas. A ello se suma la cadena de notificación del artículo 23: alerta temprana en 24 horas, notificación del incidente en 72 horas e informe final al cabo de un mes. En España será exigible cuando la ley de transposición entre en vigor; hoy los incidentes se comunican a INCIBE-CERT, CCN-CERT o ESPDEF-CERT conforme al Real Decreto-ley 12/2018.
¿En qué se diferencia de la respuesta a incidentes?
La respuesta a incidentes es la resolución técnica de un incidente concreto en el plano operativo: analizar, contener y subsanar un ataque. La gestión de crisis es la conducción superior en el nivel directivo: decide prioridades, recursos, autorizaciones y comunicación externa mientras los equipos técnicos trabajan sobre la situación aguda. Ambas se engranan, porque la parte técnica necesita esas decisiones superiores para poder trabajar con eficacia.