La ISO 22301 es la norma internacional de continuidad de negocio: define cómo preparar tu empresa para seguir operando ante una interrupción y recuperarse en los plazos que tú fijes.
Aquí tienes lo esencial: qué exige la norma, qué versión está vigente, qué leyes españolas y europeas piden capacidad de continuidad y cómo se obtiene el certificado. En Soluciones QES te acompañamos en todo el proceso; el certificado lo emite una entidad de certificación acreditada.
2019
Edición vigente de la ISO 22301, completada con la enmienda climática de 2024
Art. 32 RGPD
Toda empresa que trata datos personales debe poder restaurarlos con rapidez tras un incidente
3 años
Vigencia del certificado, con una auditoría de seguimiento cada año
¿Qué es la norma ISO 22301 y para qué sirve?
La ISO 22301 establece los requisitos de un sistema de gestión de la continuidad del negocio (SGCN): un conjunto de responsabilidades, análisis, planes y pruebas que permite a una organización anticiparse a una interrupción, responder de forma ordenada y recuperar sus actividades prioritarias dentro de unos plazos definidos de antemano.
Sirve para cualquier organización, pública o privada, sea cual sea su tamaño o sector. En la práctica, te ayuda a responder cuatro preguntas antes de que llegue el problema: qué actividades no pueden parar, cuánto tiempo puedes estar sin ellas, qué harás para recuperarlas y cómo sabes que tu plan funciona.
Puedes consultar la ficha oficial de la ISO 22301:2019 en la web de ISO y la versión española, la UNE-EN ISO 22301:2020, en el catálogo de UNE.
Conceptos clave: SGCN, BIA, RTO, RPO y plan de continuidad
- SGCN: el sistema de gestión completo, con su política, objetivos, responsables, planes, pruebas y mejora continua.
- BIA (análisis de impacto en el negocio): estudio que identifica tus actividades críticas, sus dependencias y el daño que causaría su interrupción a medida que pasan las horas o los días.
- RTO (tiempo objetivo de recuperación): plazo máximo en el que quieres recuperar una actividad o un sistema.
- RPO (punto objetivo de recuperación): cantidad máxima de información que puedes permitirte perder, medida en tiempo (por ejemplo, los datos de las últimas cuatro horas).
- MBCO (objetivo mínimo de continuidad): nivel mínimo de servicio que debes mantener mientras dura la interrupción.
- Plan de continuidad de negocio (PCN) y plan de recuperación ante desastres (DRP): el PCN organiza la respuesta del negocio en su conjunto; el DRP se centra en recuperar los sistemas tecnológicos.
Nuestros servicios en ISO 22301
Estos son los servicios más destacados que ofrecemos en relación a la ISO 22301. Te invitamos a pinchar en cada uno de ellos para poder ampliar información.
Te ayudamos en las dudas que tengas sobre la ISO 22301 para tu empresa
Versión vigente de la ISO 22301: edición 2019, enmienda de 2024 y nueva edición
La versión en vigor es la ISO 22301:2019, completada por una enmienda publicada en 2024. Este es su recorrido:
- 2007 · BS 25999-2: norma británica de continuidad de negocio, antecedente directo de la ISO 22301.
- 2012 · ISO 22301:2012: primera edición internacional, hoy retirada.
- 2019 · ISO 22301:2019: segunda edición y versión vigente. Simplificó los requisitos, redujo la documentación obligatoria y ganó coherencia con otras normas de sistemas de gestión.
- 2024 · Enmienda 1 (Amd 1:2024): incorpora el cambio climático al análisis de contexto de la organización.
- 2026 · ISO/CD 22301: borrador de comité de la futura tercera edición, todavía en desarrollo.
¿Existe la ISO 22301 en español?
Sí. En España se publica como UNE-EN ISO 22301:2020, idéntica a la ISO 22301:2019. La editó UNE el 14 de mayo de 2020 dentro de su comité técnico CTN 196, de gestión de riesgos, seguridad y resiliencia. La enmienda climática se adoptó como UNE-EN ISO 22301:2020/A1:2024, publicada el 25 de septiembre de 2024 y disponible en español. Es la referencia con la que certifican en España entidades como AENOR o Applus.
Qué cambia con la enmienda climática de 2024
La enmienda añade dos ideas. En el análisis de contexto (cláusula 4.1) debes determinar si el cambio climático es una cuestión relevante para tu organización, y entre los requisitos de las partes interesadas (cláusula 4.2) pueden aparecer algunos relacionados con el clima. No modifica el proceso de certificación ni obliga a fijar objetivos climáticos. En la práctica, conviene revisar si fenómenos como olas de calor, inundaciones o cortes de suministro afectan a tus actividades críticas. ISO ofrece la enmienda de forma gratuita.
¿Qué pasa con la nueva edición en preparación?
Tras su revisión periódica, ISO decidió en diciembre de 2025 actualizar la norma y en marzo de 2026 registró el borrador de comité ISO/CD 22301, que todavía no tiene fecha de publicación. Mientras tanto, la implantación y la certificación se hacen con la edición de 2019 y su enmienda. Cuando salga la nueva versión, lo habitual es que se abra un periodo de transición para adaptar los certificados: en el paso de la edición de 2012 a la de 2019, ese plazo fue de tres años.
Qué exige la ISO 22301: requisitos del sistema de continuidad
La ISO 22301 sigue la estructura común de las normas ISO de sistemas de gestión y el ciclo de mejora continua PDCA (planificar, hacer, verificar y actuar), por lo que encaja con normas como la ISO 9001 o la ISO 27001. Sus requisitos se agrupan en seis bloques:
- Contexto y alcance. Entender la organización, sus partes interesadas, sus obligaciones legales y contractuales y, desde 2024, la relevancia del cambio climático. Con eso se decide qué productos, servicios y sedes cubre el sistema.
- Liderazgo y política. La alta dirección aprueba la política de continuidad, asigna responsables y recursos y responde del funcionamiento del sistema.
- Análisis de impacto y evaluación de riesgos. El BIA fija prioridades y tiempos de recuperación; la evaluación de riesgos identifica qué puede provocar una interrupción. La especificación técnica ISO/TS 22317 orienta sobre cómo hacer el BIA.
- Estrategias y soluciones de continuidad. Las alternativas para mantener o recuperar cada actividad: personas, instalaciones, tecnología, información y proveedores.
- Planes y procedimientos. Respuesta al incidente, gestión de crisis, comunicación interna y externa y recuperación hasta volver a la normalidad.
- Ejercicios, evaluación y mejora. Un programa de pruebas y simulacros, auditoría interna, revisión por la dirección y corrección de las desviaciones.
La norma dice qué debes conseguir, no cómo hacerlo; para eso existe una guía de aplicación, la ISO 22313. Si quieres ver cómo lo llevamos a la práctica en una empresa, te lo contamos en nuestra página de consultoría ISO 22301.
Qué normas españolas y europeas te exigen continuidad de negocio
La ISO 22301 es voluntaria: ninguna ley obliga, con carácter general, a certificarse. Pero varias normas sí exigen a determinadas empresas capacidad para mantener o recuperar su actividad, y la ISO 22301 es la forma más reconocida de organizar esa capacidad y demostrarla. Ten en cuenta que certificarte no te exime de cumplir cada norma por separado.
| Norma | A quién afecta | Qué pide sobre continuidad | Estado (octubre de 2026) |
|---|---|---|---|
| RGPD (Reglamento UE 2016/679), art. 32 | Cualquier empresa que trate datos personales | Resiliencia de los sistemas y capacidad de restaurar con rapidez la disponibilidad y el acceso a los datos tras un incidente | En vigor |
| DORA (Reglamento UE 2022/2554) | Entidades financieras y, en España, operadores y procesadores de pagos (Real Decreto-ley 8/2023) | Política de continuidad TIC, planes de respuesta y recuperación y pruebas al menos una vez al año | Aplicable desde el 17 de enero de 2025 |
| Real Decreto-ley 12/2018 y Real Decreto 43/2021 | Operadores de servicios esenciales y proveedores de servicios digitales | Medidas de seguridad que incluyen la recuperación y la continuidad de las operaciones | En vigor |
| Esquema Nacional de Seguridad (RD 311/2022) | Sector público y empresas que le prestan servicios o soluciones tecnológicas | Medidas de continuidad del servicio: análisis de impacto, plan de continuidad, pruebas periódicas y medios alternativos | En vigor |
| Ley 8/2011 y RD 704/2011, de infraestructuras críticas | Operadores críticos | Planes de seguridad del operador y planes de protección específicos | En vigor; la Directiva CER (UE 2022/2557) está pendiente de transposición |
| Directiva NIS2 (UE 2022/2555) | Entidades esenciales e importantes de sectores como energía, transporte, sanidad o infraestructura digital | Continuidad de negocio, copias de seguridad, recuperación ante desastres y gestión de crisis, entre las medidas de gestión de riesgos | Pendiente de transposición en España |
| Ley 9/2017 de Contratos del Sector Público, arts. 93 y 94 | Empresas que licitan | Los pliegos pueden pedir certificados de sistemas de gestión, como la ISO 22301, para acreditar solvencia técnica, admitiendo certificados equivalentes | En vigor |
Si alguna de estas normas te afecta, te explicamos el detalle en nuestras páginas sobre el reglamento DORA, la directiva NIS2, el Esquema Nacional de Seguridad y el RGPD.
Beneficios de implantar la ISO 22301
- Sabes qué proteger primero. Las prioridades se deciden con calma, no en mitad de la crisis.
- Recuperas antes y con menos coste. Tiempos de recuperación definidos, responsables claros y alternativas probadas.
- Demuestras resiliencia. Ante clientes, pliegos de licitación, supervisores y socios que te piden evidencias, no promesas.
- Reúnes obligaciones dispersas en un solo sistema. Lo que el RGPD, DORA o el ENS piden sobre continuidad se gestiona de forma coherente y con las mismas evidencias.
- Controlas a tus proveedores críticos. La norma te obliga a mirar fuera de tu empresa: de quién dependes y qué pasa si falla. La especificación ISO/TS 22318 orienta esta parte.
- Te da argumentos ante tu aseguradora. Un sistema de continuidad documentado y probado es un buen punto de partida para negociar coberturas por interrupción de actividad.
Además, comparte estructura con otras normas de gestión, así que se integra bien en una empresa que ya tenga la ISO 9001 o la ISO 27001. Te explicamos cómo hacerlo en la implantación integrada con ISO 27001.
Certificación ISO 22301: cómo se obtiene y quién la emite
La certificación es la comprobación independiente de que tu sistema cumple la norma y funciona. Antes de solicitarla necesitas evidencias: BIA, planes aprobados, pruebas realizadas, auditoría interna y revisión por la dirección. Después, la entidad de certificación hace una auditoría en dos etapas: primero revisa la documentación y después comprueba en tus instalaciones que el sistema funciona. Si todo está en orden, emite un certificado válido durante tres años, con auditorías de seguimiento anuales y una renovación al tercer año. Para llegar sin sorpresas, una auditoría ISO 22301 previa a la certificación te dice qué te falta.
El certificado lo emiten entidades de certificación acreditadas por ENAC, en cuya web puedes comprobar cuáles están autorizadas para la UNE-EN ISO 22301. Colaboramos con AENOR, SGS, Applus y Bureau Veritas. Soluciones QES no emite certificados: preparamos tu sistema y te acompañamos en las auditorías. Separar a quien implanta de quien certifica es lo que garantiza la imparcialidad del certificado.
Preguntas frecuentes sobre la ISO 22301
No. La ISO 22301 está protegida por derechos de autor y se compra en ISO o, en español, en UNE a través de la tienda de AENOR. Desconfía de las copias que circulan gratis: suelen estar incompletas o desactualizadas. Lo que sí es gratuito es la enmienda climática de 2024, que puedes descargar en la web de ISO.
La ISO 22301 contiene los requisitos y es la única de las dos que se certifica. La ISO 22313 es una guía que explica cómo aplicar esos requisitos; no es certificable.
No. El plan de autoprotección, regulado por la Norma Básica de Autoprotección (Real Decreto 393/2007), es obligatorio para determinadas actividades y centros, y se ocupa de la emergencia: prevenir riesgos, evacuar y proteger a las personas. El plan de continuidad empieza donde acaba la emergencia: cómo sigue funcionando el negocio y cuándo recupera la normalidad. Tener uno no cubre el otro.
Sí. Los requisitos de la norma son genéricos y se aplican en proporción al tamaño y la complejidad de cada organización. Una pyme puede limitar el alcance a sus servicios clave y construir un sistema sencillo, siempre que lo pruebe y lo mantenga al día.
¿Queires que SolucionesQES te ayude? Consúltanos sin problema