La mayoría de los planes de crisis describen una estructura. Este resuelve lo que cuesta tiempo cuando la crisis es real: quién puede decidir qué sin pedir permiso, qué umbral le hace subir de nivel, cómo se vuelve a bajar y qué se anota en el registro para que la decisión siga siendo defendible seis meses después. Quince documentos Word editables más una matriz de activación y notificación en Excel.
Estructurado sobre ISO 22361:2022 e ISO 22320:2018, ambos documentos de directrices: nada es certificable frente a ellos, y no somos un organismo de certificación.
Pago seguro con Stripe. Factura con IVA emitida automáticamente.
Descarga inmediata tras el pago. El enlace sigue siendo válido.
El artículo 11(7) exige a las entidades financieras que no sean microempresas una función de gestión de crisis que, cuando se activen los planes de continuidad de las TIC o los planes de respuesta y recuperación, establezca procedimientos claros para gestionar las comunicaciones de crisis internas y externas con arreglo al artículo 14. El artículo 11(8) añade el deber de conservar registros de las actividades antes y durante la perturbación.
Lo que el Reglamento no dice es cómo se dota de personal esa función ni cómo se separa del resto. Por eso el documento marco de este pack presenta la separación de roles como una decisión de control propia, no como una exigencia normativa. Documentar esa distinción es más sólido que dar por supuesta una obligación que no existe.
Gestión de crisis y notificación de incidentes son productos distintos que resuelven problemas distintos. Este pack decide si está usted en una crisis, quién manda, a quién hay que avisar y cuándo. Lo que deliberadamente no hace: no clasifica el incidente con arreglo al artículo 18 y no redacta el informe a la autoridad competente.
La matriz de activación le dice cuándo iniciar la evaluación del artículo 18 y se niega a realizarla: esa entrada es manual, porque pone en marcha el reloj regulatorio. Para la clasificación tiene el analizador de incidentes gratuito; para los informes inicial, intermedio y final, el generador de informes de incidentes y nuestra guía sobre la notificación de incidentes bajo DORA. Esa frontera es el compromiso de honestidad del producto, convertido en mecánica y no en promesa.
La biblioteca de comunicación cubre 14 escenarios de crisis y, para cada uno, un mensaje redactado para cada una de las cuatro audiencias: 56 mensajes en total, listos para adaptar en minutos en lugar de escribirse desde cero bajo presión. Se acompañan de la matriz de partes interesadas, que fija quién debe ser informado, por quién y en qué orden.
El pack incluye además el guion del portavoz con preguntas hostiles y sus respuestas. No le dirá si pagar un rescate, porque esa decisión implica control de sanciones, fuerzas de seguridad y asesoría jurídica; lo que sí hace es evitar que su portavoz responda mal a la pregunta.
La pieza más valiosa del conjunto es la escalera de escalado: el umbral en el que el responsable operativo del incidente traspasa el mando al comité de crisis estratégico, lo que el comité puede decidir y el responsable operativo no, y cómo se devuelve el mando en el cierre. Ese artefacto solo existe si ambos niveles están en el mismo paquete; separados, son dos mitades de una cadena rota, y la rotura cae exactamente donde fallan las organizaciones reales.
Los 15 documentos cubren el marco, el mandato del comité con titulares, suplentes y quórum, el procedimiento de activación y cierre, el ritmo de reuniones, seis playbooks de escenario, la revisión posterior a la crisis y el paquete de escalado al consejo de administración.
Aguas arriba, el análisis de impacto en el negocio le dice qué servicios importan y a qué velocidad deben recuperarse; este pack determina qué ocurre cuando uno de ellos se detiene. Aguas abajo, el artículo 11(6) exige probar los planes: los de continuidad y los de respuesta y recuperación, al menos una vez al año. Un plan que nadie ha ejercitado es una hipótesis sin contrastar, y para eso existe el programa de ejercicios de crisis. Si primero quiere medir la madurez de sus dispositivos actuales, los kits de evaluación lo hacen en 30 preguntas.
Ver el programa de ejercicios de crisis →
No, y nada puede estarlo. Ambos son documentos de directrices, no normas de requisitos: ninguno contiene una cláusula de conformidad, así que no hay nada que un organismo de certificación pueda auditar. Algunos proveedores no acreditados anuncian una "certificación ISO 22320 en siete días"; ese certificado no está reconocido por ningún organismo de acreditación. Lo que un profesional sí puede hacer es seguir el proceso que las normas describen. Eso es lo que hace este pack, y "estructurado sobre" está dicho en sentido literal.
Sí, para las entidades que no sean microempresas. El artículo 11(7) exige una función que, cuando se activen los planes de continuidad de las TIC o los de respuesta y recuperación, establezca procedimientos claros para gestionar las comunicaciones de crisis internas y externas con arreglo al artículo 14. Lo que no dice es cómo se dota de personal ni cómo se separa esa función, así que el documento marco presenta la separación de roles como una decisión de control propia, no como una obligación del Reglamento.
No, y es deliberado. Este pack decide si está usted en una crisis, quién manda y a quién hay que avisar. El contenido de los informes inicial, intermedio y final se rige por las normas técnicas de notificación y es un producto distinto. La matriz de activación le indica cuándo iniciar la evaluación del artículo 18, pero se niega a realizarla: esa entrada es suya.
No. Esa decisión implica control de sanciones, fuerzas de seguridad y asesoría jurídica, y queda explícitamente fuera del alcance. Lo que el pack sí hace es impedir que su portavoz responda mal a la pregunta.
Porque el artefacto más valioso de toda la línea es la escalera de escalado: el umbral en el que el mando operativo del incidente traspasa al comité de crisis estratégico, lo que el comité puede decidir y el mando operativo no, y cómo se devuelve el mando en el cierre. Ese artefacto solo existe si ambos niveles están en el mismo conjunto. Sepárelos y tendrá dos mitades de una cadena rota, y la rotura cae exactamente donde fallan las organizaciones reales.
Ni lo uno ni lo otro. Sin macros, y las fórmulas evitan las matrices dinámicas: el libro se comporta igual en LibreOffice Calc y en versiones antiguas de Excel.
Esta página es una ayuda profesional, no asesoramiento jurídico. · Versión en inglés