Plan de continuidad informática para oficinas

Qué es un plan de continuidad informática y qué piden las normas

Un plan de continuidad responde a una pregunta que casi nadie se hace hasta que ocurre: si mañana a las nueve el servidor no arranca, o el correo no funciona, o los ficheros aparecen cifrados con una nota de rescate, ¿quién hace qué, en qué orden y cuánto tiempo puede aguantar la oficina así? No es un documento de cincuenta páginas. En una oficina de 5 a 40 puestos cabe en cuatro o cinco hojas, siempre que esté actualizado y que alguien lo haya leído antes del día malo.

Las normas lo piden con nombres distintos, pero la idea es la misma:

ISO 22301 es la norma de gestión de la continuidad de negocio. No es específica de informática, pero define el método: analizar el impacto, fijar objetivos de recuperación, preparar planes y probarlos.
ISO/IEC 27001:2022 lo aterriza en el Anexo A con el control 5.29 seguridad de la información durante una interrupción y el 5.30 preparación de las TIC para la continuidad. El segundo es el que más se parece a lo que vas a hacer aquí: que los sistemas se puedan recuperar en los plazos que el negocio necesita. Lo acompañan 5.24 a 5.28 (gestión de incidentes) y 8.13 (copias de seguridad).
ENS (Real Decreto 311/2022) incluye la medida op.cont continuidad del servicio, con tres piezas: op.cont.1 análisis de impacto, op.cont.2 plan de continuidad y op.cont.3 pruebas periódicas. Según el anexo II del BOE, el análisis de impacto se exige desde el nivel de disponibilidad medio, y el plan y las pruebas en el nivel alto. Afecta a la Administración y a las empresas privadas que le prestan servicios.
RGPD, en su artículo 32, pide capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente. Y si hay una brecha de datos, el artículo 33 marca 72 horas para avisar a la AEPD.

Si además tu empresa está dentro del ámbito de la Directiva NIS2 (UE 2022/2555), la continuidad es una de las medidas de gestión de riesgos que enumera. La trasposición a la ley española todavía estaba en trámite cuando escribimos esta guía, así que conviene comprobar su estado antes de dar nada por obligatorio. Y DORA (Reglamento 2022/2554) solo afecta a entidades financieras y a sus proveedores TIC.

Análisis de impacto: qué no puede parar y cuánto aguanta

El análisis de impacto (en inglés BIA) es el ejercicio más útil y más barato del plan. Consiste en listar los servicios que usa la oficina y, para cada uno, decidir dos cosas con quien conoce el negocio, no con el técnico:

RTO (objetivo de tiempo de recuperación): cuánto tiempo puedes estar sin ese servicio antes de que el daño sea serio. Si la agenda de una clínica está caída tres horas, hay pacientes en la sala de espera sin saber a quién atender. Si lo está un día entero, hay que llamar a todos para reprogramar.
RPO (objetivo de punto de recuperación): cuánto trabajo puedes permitirte perder, medido hacia atrás desde el fallo. Si la última copia es de anoche y el disco muere a las 17:00, has perdido toda la jornada. Si tu RPO es de una hora, necesitas copias o sincronización mucho más frecuentes.

Una tabla así, rellenada para una gestoría de 15 puestos, es el corazón del plan. Los valores son un ejemplo, ajústalos a tu caso:

Servicio	RTO	RPO	Qué lo sostiene
Correo y calendario (Microsoft 365)	4 horas	1 hora	Servicio en la nube, acceso desde el móvil o webmail si falla un PC
Programa fiscal y contable	4 horas	24 horas	Copia nocturna y licencia reinstalable en otro equipo
Carpetas compartidas de clientes	8 horas	4 horas	Servidor de ficheros o SharePoint con versiones y copia externa
Telefonía	2 horas	No aplica	Desvío a móviles desde el panel del operador
Conexión a Internet	2 horas	No aplica	Línea de respaldo 4G/5G con router de conmutación
Impresión y escáner	2 días	No aplica	Equipo de reserva o servicio de copistería cercano

Fíjate en que un RTO corto cuesta dinero: cuanto menos puedas esperar, más redundancia necesitas. Por eso conviene discutirlo con gerencia. A veces descubres que algo que el equipo técnico trataba como crítico puede esperar un día, y que algo olvidado (la línea de teléfono de citas, el certificado digital para presentar impuestos) no puede esperar nada.

Cuatro escenarios que debes tener ensayados en papel

No hace falta prever todas las catástrofes posibles. Con cuatro escenarios cubres casi todo lo que le pasa a una oficina pequeña, porque la causa cambia pero el efecto es siempre el mismo: pierdes datos, equipos, conexión o local. Elige uno para ver el primer tramo de la respuesta.

Ransomware Corte de fibra Incendio o inundación Servidor averiado

Ransomware en PC-ADMIN-01

Desconecta el equipo de la red (cable y wifi) sin apagarlo, y avisa al responsable de informática o al soporte.
Cambia las contraseñas desde otro dispositivo limpio, empezando por la cuenta de administración de Microsoft 365, y activa o revisa la doble verificación.
Antes de restaurar nada, comprueba qué copias están intactas. Una copia que estaba conectada a la red puede haberse cifrado también.
Si hay datos personales afectados, empieza a contar las 72 horas del artículo 33 del RGPD y valora con tu delegado o asesor si hay que notificar.
Reinstala los equipos afectados desde cero, restaura los datos y no reconectes hasta verificar que están limpios.

Se cae la fibra una mañana de lunes

Comprueba si es la oficina o es el operador: mira el router y llama a la línea de averías con el número de contrato a mano.
Activa la línea de respaldo 4G/5G si la tienes, o comparte datos desde un móvil para los dos o tres puestos que no pueden parar.
Desvía el teléfono fijo a los móviles de recepción desde el panel del operador.
El resto del equipo trabaja en local con lo ya sincronizado de OneDrive o SharePoint y deja el resto para cuando vuelva la conexión.

El local no se puede usar

Con la seguridad de las personas resuelta, decide dónde se trabaja: casa, un coworking o la oficina de un socio.
Los portátiles que se llevaron a casa permiten arrancar. Los sobremesas quemados se sustituyen por equipos nuevos o de reserva, con Windows 11 reinstalado y la cuenta de Microsoft 365 de cada usuario.
Los datos salen de la copia externa o de la nube, nunca del servidor que estaba en el local.
Llama al seguro con el inventario de equipos y números de serie en la mano.

El servidor de ficheros no arranca

Mira la causa antes de tocar nada: disco, fuente de alimentación, sistema operativo. Un reinicio repetido puede empeorar un disco dañado.
Si tienes una copia de las carpetas en la nube, publica un acceso temporal para que el equipo trabaje en SharePoint mientras se repara.
Restaura primero lo que tiene el RTO más corto de la tabla anterior, no todo a la vez.
Anota cuánto tardaste de verdad. Ese dato vale más que cualquier estimación.

El plan de respuesta: quién, qué y a quién llamar

Cuando algo se rompe hay estrés y poca cabeza, así que el plan debe estar hecho para leerse con prisa. Este es el contenido mínimo, ordenado:

Roles con nombre y suplente. Quién declara la incidencia (normalmente gerencia), quién coordina la parte técnica (tú o tu proveedor de soporte) y quién habla con clientes. Si la persona responsable está de vacaciones, ¿quién la sustituye?
Lista de contactos fuera del sistema afectado. Móviles de todos, operador de Internet, proveedor del programa de gestión, seguro, soporte informático. Si esa lista está en el servidor que se ha caído, no sirve. Imprímela y guarda otra copia en el móvil.
Inventario de equipos y licencias. Sin saber qué tenías, no puedes reponerlo ni reclamarlo al seguro. Ver la guía de inventario de equipos y la de control de licencias.
Dónde están las copias y cómo se restauran. Con los pasos reales, no con «restaurar desde la copia». La guía de copias de seguridad y la de copias inmutables entran en detalle.
Criterios de escalado y de comunicación. A partir de qué punto avisas a los clientes, a la AEPD o a la aseguradora, y quién redacta el mensaje.

Una comprobación sencilla en Windows 11 te da una pista del estado de las copias del historial de archivos y los puntos de restauración del equipo. Cópiala en PowerShell:

Windows PowerShell (como administrador)

Get-ComputerRestorePoint | Select-Object -Last 5 CreationTime, Description

Un punto de restauración no sustituye a una copia de seguridad externa, pero si el comando no devuelve nada en un equipo que debería tenerlos, ya sabes por dónde empezar a revisar.

La prueba anual, el paso que casi todos se saltan

Un plan que nunca se ha probado es una hipótesis. El ENS lo recoge en op.cont.3 (pruebas periódicas) y la ISO 22301 en su ciclo de ejercicios, pero aunque nadie te lo exija, una vez al año merece la pena dedicarle media jornada. Tres formatos, de menos a más esfuerzo:

Simulacro en papel (una hora). Reúne a gerencia y administración, elige un escenario de los anteriores y recorre el plan en voz alta: ¿quién llama a quién? ¿dónde está el contacto del operador? Anota lo que no sabéis responder.
Restauración real de un fichero y de una carpeta. Pide a quien gestiona las copias que recupere un documento concreto de hace una semana y mide cuánto tarda.
Restauración completa de un equipo en otro hardware. Es la más reveladora. Si un PC-RECEP-02 tiene que volver a funcionar en una máquina distinta, verás pronto si faltan licencias, claves o instaladores.

Al terminar, apunta la fecha, quién participó, qué tiempo real salió frente al RTO previsto y qué se corrige. Esa hoja es también la evidencia que te pedirá un auditor de ISO 27001 o ENS, y la que justifica ante un cliente que tu continuidad no es solo papel.

Revisa además el plan cuando cambie algo importante: nuevo programa de gestión, cambio de operador, mudanza o paso a teletrabajo (ver guía de teletrabajo). Un plan desfasado confunde más que ayuda.

Fuentes oficiales

Cómo lo hacemos en Inventariamos

Te ayudamos a preparar y mantener las evidencias técnicas que sostienen el plan según el alcance acordado: el inventario de equipos y licencias al día en la app Inventariamos, la revisión de seguridad de copias y accesos desde sistemas y redes, y atención remota en horario de lunes a viernes de 8:00 a 22:00 para actuar cuando algo se rompe. No certificamos ni auditamos: la certificación la emite una entidad acreditada por ENAC. Si quieres revisar tus tiempos de recuperación con alguien que conozca tu oficina, escríbenos o llama al 634 649 590.

Volver a todas las guías