El plan puede existir y la prioridad no
Para Criterio APS, el error está en llegar a la interrupción sin una prioridad justificada, viable, aprobada y conocida por quien debe ejecutarla. Un plan de continuidad organiza la respuesta. La prioridad de recuperación es otra decisión, y puede quedar para el día en que la operación ya se detuvo.
Ese día la reunión reparte la atención entre quien está en la sala. Personas, un contratista, un corredor y un sistema compiten. Sin una prioridad conocida, lo urgente desplaza a lo que la organización necesitaba reanudar.
ISO/TS 22317:2021, confirmada en 2025, sostiene esa secuencia. La organización debería cerrar un ciclo de análisis de impacto antes de elegir estrategias de continuidad. El resultado que cuenta es una declaración de prioridades justificada y aprobada por la dirección.
Tres decisiones que se dejan para después
La primera es qué productos y servicios se reanudan antes que el resto. Sin esa lista, en la crisis gana lo que más ruido hace. La guía pide empezar por lo que la organización entrega, incluidos los servicios internos de carácter estratégico, y solo después identificar actividades, recursos y dependencias. Entra primero aquello de lo que depende un producto ya priorizado.
La segunda es mantener separados dos plazos. Uno marca cuándo el daño sobre el producto deja de ser aceptable: el periodo máximo tolerable de interrupción. El otro es el momento en que la organización se propone reanudar la actividad. Fundirlos en una sola cifra esconde si queda margen. Ese margen forma parte de la aprobación.
La guía pide que la entrega vuelva en un plazo determinado y a una capacidad definida. Reanudar de forma parcial, en un ejemplo hipotético, puede ser despachar solo los pedidos de un contrato que no admite espera, con un turno y un muelle, mientras la recepción y el resto de los pedidos siguen detenidos. No describe una operación real: muestra que volver a operar puede ser menos que el volumen de un día normal.
La tercera es explicitar qué puede esperar. Sin esa exclusión, todo parece urgente y la actividad prioritaria queda detrás de lo que podía diferirse.
Hay un sesgo que la propia guía describe: unas áreas inflan sus requisitos y otras los minimizan. La lista no puede ser la suma de los pedidos de cada departamento. Hace falta quien conduzca el análisis, un dueño por actividad y la aprobación de la dirección. Antes se acuerdan los tipos de impacto con los que se va a comparar: negocio, efecto financiero, obligaciones, reputación, operación, entorno y salud y seguridad de las personas.
La dependencia que el plan no nombra
La inteligencia de esta decisión está en lo que el documento no nombra. Una dependencia poco visible es aquello sin lo cual la actividad prioritaria no arranca dentro del plazo: la persona que tiene el acceso, el tramo de ruta, el dato que debe volver a un estado usable, la otra actividad de la que esta espera.
Si la información incompleta, reservada o no entregada se usa para posponer la aprobación, la prioridad sigue sin existir el día de la interrupción. La guía pide equilibrar calidad y oportunidad: registrar el vacío y cerrar con lo que ya se sabe.
El contexto también mueve las condiciones de esa prioridad. Una revisión de calendario deja de alcanzar si cambió el corredor, se concentró un proveedor o una exposición puede cortar acceso, energía o personas. La enmienda de 2024 a ISO 22301 pide determinar si el cambio climático es una cuestión pertinente. Cuando lo es, puede modificar los recursos, los plazos o la forma de cumplirlos aunque la secuencia de productos se mantenga. También puede cambiar qué se reanuda antes. Si ya altera alguna de esas condiciones y se archiva como nota de contexto, la prioridad aprobada queda desactualizada.
Cuando la interrupción es digital, el hueco se parece. El Marco de Ciberseguridad 2.0 del NIST pide seleccionar y priorizar las acciones de recuperación y considerar las funciones críticas de la misión. Esa consideración sirve si las prioridades ya están aprobadas y quienes recuperan las conocen. Si no, la respuesta tiene que construirlas durante el incidente.
Lo que la dirección firma
La aprobación deja las prioridades justificadas, viables y conocidas por quien las ejecuta.
- Qué productos y servicios se reanudan antes, y qué dependencia poco visible impide cada actividad prioritaria.
- Desde cuándo el daño es inaceptable, qué plazo se propone y qué margen queda entre ambos.
- Qué capacidad mínima es aceptable, hasta qué estado vuelve la información y qué recursos exige ese plazo: personas, sitios, proveedores, datos.
- Qué puede esperar.
- Qué información faltó y quedó registrada.
- Qué cambio de contexto obligaría a revisar recursos, plazos, soluciones o la propia prioridad.
Esas prioridades orientan la respuesta. En el incidente pueden ajustarse a lo ocurrido, en especial si está en juego la seguridad de las personas. El ajuste parte de una prioridad conocida.
Nota metodológica
Corte de investigación: 19 de octubre de 2026. ISO/TS 22317:2021 fue confirmada el 8 de octubre de 2025. El texto usado es la vista previa pública de esa guía, de pago en su versión completa: el ciclo previo a la estrategia, la prioridad de productos y servicios, los dos plazos, la capacidad definida, el sesgo entre áreas y el equilibrio entre calidad y oportunidad. ISO 22301:2019 sigue publicada y está en revisión; el borrador de la tercera edición cerró comentarios el 10 de mayo de 2026. La enmienda climática de febrero de 2024 añade la obligación de determinar si el cambio climático es pertinente y una nota sobre requisitos de las partes interesadas. Los plazos se usan en el sentido de la guía de 2021; no se comprobó el vocabulario de 2025 término a término. Cumplir el plazo es una decisión posterior. Un sector o un contrato pueden exigir tiempos más cortos. El ejemplo del muelle es hipotético. Este texto no describe un cliente.
La decisión
Si el plan existe y la prioridad no, la interrupción reparte la atención. Una prioridad aprobada, y conocida por quien la ejecuta, deja ese reparto resuelto antes y admite ajustarla cuando la seguridad de las personas lo exige.
Converse con APS sobre cómo aplicar estos criterios a su operación.