Un ejercicio sin objetivos pactados de antemano siempre concluye que salió bien. Este programa le da el escenario, las inyecciones cronometradas, cinco medidas cronometradas contra sus propios objetivos y un expediente de evidencias pensado para entregarse sin necesidad de explicaciones.
Estructurado sobre las normas ISO 22361:2022 e ISO 22320:2018, que son documentos de directrices: nada es certificable frente a ellas, y no somos un organismo de certificación.
Pago seguro con Stripe. Factura con IVA emitida automáticamente.
Descarga inmediata tras el pago. El enlace sigue siendo válido.
Léalo con atención. El artículo 11(6) exige a las entidades financieras dos cosas distintas: someter a prueba los planes de continuidad de la actividad en materia de TIC y los planes de respuesta y recuperación al menos una vez al año, y someter a prueba los planes de comunicación de crisis establecidos de conformidad con el artículo 14. Una prueba técnica de recuperación no cubre la segunda.
Fíjese además en dónde están las palabras: «al menos una vez al año» rige únicamente la primera obligación. El Reglamento no fija ninguna frecuencia para los planes de comunicación de crisis. Probar ambos cada año es una decisión de política interna defendible, no un mínimo legal, y el libro de Excel la registra como decisión suya, no como exigencia del Reglamento. Para las entidades que no sean microempresas, los planes de prueba deben incluir además escenarios de ciberataque y de conmutación entre la infraestructura principal y la capacidad redundante. La pestaña plurianual lo comprueba todo año a año y señala el hueco cuando una de las dos obligaciones queda sin cubrir.
Seis documentos Word y un libro de Excel:
Dentro del libro: la biblioteca de escenarios con la obligación que evidencia cada uno, el diseñador que deriva el detalle al elegir escenario, el calendario de 60 inyecciones cronometradas, la pestaña de tiempos con objetivo frente a real, el registro de hallazgos con el mismo esquema que los hallazgos de incidentes reales, el programa plurianual de 12 trimestres con control de cobertura del artículo 11(6) y el generador de frases para el informe.
Los ejercicios han llegado a retrasar respuestas a incidentes reales porque nadie sabía distinguir lo simulado de lo real. Las reglas de seguridad del documento 03 existen para impedirlo: todo material con prefijo de ejercicio, ningún contacto real con clientes, ninguna notificación real al supervisor, ningún cambio en producción sin marcha atrás aprobada, y una frase de parada que todos los participantes conocen antes de empezar.
El registro de hallazgos comparte esquema con el de los incidentes reales a propósito: lo que el ejercicio descubre entra en el mismo circuito de cierre que lo que descubre un incidente. Si gestiona la notificación de incidentes con arreglo a DORA, reconocerá la estructura.
Ante su autoridad competente, que en España será el Banco de España, la CNMV o la DGSFP según la entidad, el objetivo es una carpeta que responda a la pregunta sin necesidad de una reunión: el plan del ejercicio aprobado, el escenario, los participantes, las actas de los observadores, los tiempos medidos, el informe posterior, los hallazgos y la evidencia de su cierre.
El documento 06 le da esa estructura, junto con la nota de presentación de una página que indica cuál de las dos obligaciones del artículo 11(6) evidencia cada ejercicio. Este programa pone a prueba los planes; si lo que necesita es construirlos, empiece por el pack de gestión de crisis.
Ver el pack de gestión de crisis →
Para la primera obligación, posiblemente. Para la segunda, no. El artículo 11(6) exige por separado someter a prueba los planes de comunicación de crisis, y una prueba técnica de conmutación no ejercita un comunicado de contención, un circuito de aprobación ni un portavoz. Prográmela por separado y la obligación pasa a ser trivial de evidenciar.
No, y nada puede estarlo. ISO 22361:2022 e ISO 22320:2018 son documentos de directrices, no normas de requisitos: no contienen cláusulas de conformidad y no hay nada que un organismo de certificación pueda auditar frente a ellas. El programa está estructurado sobre su proceso, y lo decimos en sentido literal.
No. La frecuencia «al menos una vez al año» del artículo 11(6) rige únicamente los planes de continuidad y de respuesta y recuperación. Para los planes de comunicación de crisis el Reglamento no fija ninguna frecuencia. Probarlos también cada año es una decisión de política interna defendible, y el libro de Excel la documenta como decisión suya, no como mínimo legal.
Un recorrido guiado o un simulacro de comunicación, sí. Un ejercicio de mesa, mejor no: el valor está en las inyecciones cronometradas, entregadas por alguien que no juega, y en un observador que tiene prohibido ayudar. La guía del facilitador está escrita para que alguien de la propia entidad pueda asumir el papel.
No si sigue las reglas de seguridad del documento 03: todo con prefijo de ejercicio, ningún contacto real con clientes, ninguna notificación real al supervisor, ningún cambio en producción sin marcha atrás aprobada y una frase de parada que todos conocen. Ha habido ejercicios que retrasaron la respuesta a incidentes reales porque nadie distinguía lo simulado de lo real; eso es exactamente lo que estas reglas impiden.
El objetivo es una carpeta que responda a la pregunta por sí sola: el plan del ejercicio aprobado, el escenario, los participantes, las actas de los observadores, los tiempos, el informe posterior al ejercicio, los hallazgos y la evidencia de que se cerraron. El documento 06 le da esa estructura y la nota de presentación de una página que indica qué obligación del artículo 11(6) evidencia el ejercicio.
Esta página es una ayuda profesional, no asesoramiento jurídico. · Versión en inglés