¿Qué diferencia hay entre un BCP y un DRP?

El BCP (Business Continuity Plan) cubre la continuidad de los procesos de negocio en su conjunto, incluyendo personas, comunicaciones, instalaciones y procesos manuales alternativos. El DRP (Disaster Recovery Plan) se centra específicamente en la recuperación de los sistemas de TI y la infraestructura tecnológica. El DRP es un componente del BCP, no un sustituto.

¿Cuánto tiempo lleva elaborar un BCP?

Un BCP básico para una organización mediana puede elaborarse en 4-8 semanas con el acompañamiento de una consultora. El tiempo depende del número de procesos críticos, la disponibilidad del equipo interno y la madurez previa en gestión de riesgos.

¿Es obligatorio tener un plan de continuidad de negocio en España?

No existe una obligación legal general. Sin embargo, sectores como el financiero (DORA), infraestructuras críticas (Ley PIC), sanidad y administración pública sí tienen obligaciones específicas. Muchos contratos corporativos y pliegos públicos también lo exigen.

¿El BCP necesita actualizarse?

Sí. Un BCP desactualizado puede ser peor que no tener uno, porque genera una falsa sensación de seguridad. Debe revisarse al menos anualmente, tras cualquier cambio organizativo significativo y siempre después de una activación real o un ejercicio de prueba que haya revelado deficiencias.

¿Qué es el RTO y el RPO en un plan de continuidad?

El RTO (Recovery Time Objective) es el tiempo máximo tolerable que un proceso puede estar interrumpido antes de que el impacto sea inaceptable. El RPO (Recovery Point Objective) es la cantidad máxima de datos que se puede perder, medida en tiempo, antes de que el daño sea inaceptable. Ambos parámetros se definen en el BIA y orientan el diseño de las estrategias de recuperación.