ISO 22301 y continuidad del negocio en Honduras, El Salvador, Guatemala y Costa Rica

ISO 22301:2019 es la norma de ISO con los requisitos de un sistema de gestión de continuidad del negocio, que en la región se abrevia SGCN. Igual que ISO 27001 para seguridad de la información, describe un sistema de gestión: política, roles, análisis, planes, pruebas, revisión y mejora.

ISO escribe la norma y no certifica a nadie. La certificación la emite un organismo de certificación acreditado, después de auditar el sistema de su empresa contra la norma. Certificarse es una decisión voluntaria. Ninguna de las normas de Honduras, El Salvador, Guatemala o Costa Rica que revisamos para esta guía exige ISO 22301 por nombre.

Lo que sí exigen todas es un sistema o marco de continuidad con análisis de impacto, planes y pruebas documentadas. Por eso ISO 22301 sirve como estructura aunque nunca llame a un auditor.

Cada país lo pide con su propio texto. Este cuadro resume los artículos que más pesan en una revisión del supervisor:

La NRP-24 de El Salvador es la que más se parece a ISO 22301. Habla de un sistema de gestión, pide revisiones periódicas y usa los mismos términos de uso internacional: tiempo máximo tolerable de disrupción (MTPD), RTO, RPO y objetivo mínimo de continuidad (MBCO). Una entidad salvadoreña que ya tiene su SGCN bajo NRP-24 tiene buena parte del camino hecho.

En Guatemala la JM-98-2025 se concentra en la parte tecnológica: el DRP, sus pruebas y el sitio alterno. El plan de continuidad del negocio aparece como el documento con el que el DRP debe estar alineado. Si su plan de continuidad es delgado, ISO 22301 le da una forma ordenada de completarlo.

La certificación pesa más del lado de los proveedores. El Art. 40 a) de la JM-98-2025 pide al banco verificar que quien procesa o almacena su información tenga certificaciones vigentes en tecnología, seguridad, ciberseguridad, continuidad de negocio o gestión de servicios. El Art. 20 de la NRP-24 pide a los proveedores una declaración jurada o certificación de su gestión de continuidad, con pruebas y resultados. Un centro de datos o un procesador de pagos que vende a bancos de la región puede usar ISO 22301 para responder esas preguntas de una vez.

El BIA define qué procesos importan y cuánto tiempo pueden estar caídos. Todo lo demás depende de él. La NRP-24 pide considerar todos los productos y servicios, cuantificar el impacto en términos financieros, reputacionales, operativos, legales y de tiempo, y fijar MTPD, RTO, RPO y MBCO con sus dependencias. La CNBS pide considerar daños a la viabilidad financiera, a la reputación, incumplimientos regulatorios y daños al personal o al público.

Un error común en el BIA: los RTO los escribió TI sin preguntar al negocio, o el negocio los pidió sin preguntar cuánto cuesta lograrlos. Un RTO de cuatro horas para el core bancario no vale nada si la última restauración completa tardó dos días.

La NRP-24 pide actualizar el BIA cuando cambia el plan estratégico, se lanza un producto nuevo o cambia la infraestructura tecnológica. Una migración a la nube cuenta.

La Circular 025/2022 da cinco tipos de estrategia que el banco puede combinar: acciones diferidas, procedimientos manuales, soluciones internas, degradación del servicio y acuerdos recíprocos o servicios comerciales de recuperación. Pide que la Junta las apruebe con base en un análisis costo beneficio y en el RTO y RPO de cada proceso.

El DRP es la parte tecnológica del plan. La JM-98-2025 le pide, entre otros puntos, identificar servicios y procesos críticos, procedimientos y tiempos de recuperación, roles del personal clave, la lista de proveedores críticos y mecanismos de salida si un proveedor que procesa o almacena información falla. Si su DRP se escribió antes de la JM-98-2025, revise ese punto primero.

La NRP-24 reconoce varios tipos de prueba: de escritorio, simulaciones, pruebas de funciones de un área y pruebas completas de toda la organización. Las completas necesitan aprobación previa de la Junta Directiva, y las completas o no anunciadas deben avisarse a la Superintendencia con 30 días de anticipación. Toda prueba termina en un informe con resultados, recomendaciones y acuerdos de mejora.

En Guatemala la prueba del DRP es anual, con escenarios de distinta severidad que consideren las amenazas tecnológicas y un cronograma con responsables. En Honduras la CNBS pide pruebas periódicas, también cuando hay cambios significativos, con resultados y acciones documentadas.

Un ejercicio de escritorio barato y bien documentado vale más ante el supervisor que una prueba completa sin informe. Toukan facilita ejercicios de escritorio con escenarios de ciberataque y ejecuta pruebas de recuperación independientes de quien instaló la infraestructura: mide cuánto tarda la restauración real contra el RTO y el RPO escritos. El precio se fija después de la llamada de alcance y la entrega toma de 2 a 6 semanas.

Revise estos puntos antes de decidir si va por la certificación o solo por la norma local:

• Hay una unidad o persona responsable de continuidad que reporta a la Junta.
• El BIA cubre todos los productos y servicios, no solo los sistemas de TI.
• Cada proceso crítico tiene RTO y RPO aprobados por el dueño del proceso.
• Alguien comparó esos RTO con el tiempo real de la última restauración.
• El DRP incluye proveedores críticos y un mecanismo de salida para cada uno.
• Existe un programa de pruebas anual con escenarios de distinta severidad.
• Al menos un escenario simula un ciberataque, como ransomware.
• Cada prueba tiene un informe con resultados, recomendaciones y responsables.
• Los hallazgos de la última prueba tienen fecha de cierre y alguien verificó la corrección.
• Sus proveedores críticos entregaron evidencia vigente de su propia continuidad.
• En Guatemala, el DRP actualizado está aprobado y comunicado a la SIB.