Continuidad de Negocio y NIS2: Qué Pide el Artículo 21.2.c
La continuidad responde a una pregunta sencilla: si un incidente paraliza tus sistemas, ¿qué haces, en qué orden y quién decide? NIS2 lo recoge como una de las áreas mínimas de gestión de riesgos, sin dictar cómo documentarlo.
Estado legal (20/09/2026): NIS2 es una Directiva y España aún no ha publicado la ley que la transpone; solo consta el anteproyecto de 14/01/2025. Si tu empresa está incluida depende de su sector y tamaño (cómo comprobarlo). Lo que sigue son buenas prácticas, no mandatos legales.
Lo que dice la Directiva
El artículo 21.2.c habla de “la continuidad de las actividades, como la gestión de copias de seguridad y la recuperación en caso de catástrofe, y la gestión de crisis”. La Directiva no dice cuántos documentos, con qué extensión, con qué objetivos de recuperación ni con qué frecuencia deben probarse. Esos valores salen de tu análisis de riesgos (cómo plantearlo).
Estructura mínima razonable (ilustrativa)
- Qué procesos son críticos para tu negocio y de qué sistemas y personas dependen.
- Objetivos de recuperación por proceso: cuánto tiempo puede estar parado y cuántos datos puedes permitirte perder. Los defines tú según el impacto, sin valores de referencia universales.
- Cómo se recupera cada proceso: copias (copias de seguridad), alternativas manuales, sitio o proveedor alternativo si procede, teletrabajo.
- Gestión de la crisis: quién declara la situación, quién comunica a clientes, empleados y proveedores, y cómo se coordina la respuesta.
- Contactos y accesos de emergencia disponibles aunque los sistemas normales no lo estén.
- Pruebas y revisión: simulacros o ejercicios sencillos, registro de lo aprendido y actualización cuando cambian sistemas o proveedores.
Que sean uno o dos documentos, un anexo del análisis de riesgos o un procedimiento corto es irrelevante para la Directiva; importa que sea utilizable y que se haya probado.
Ejemplos técnicos (opciones, no exigencias)
Un sitio alternativo en frío, en templado o en caliente, copias fuera de línea o un proveedor de recuperación son opciones con coste y complejidad distintos. Elegir una u otra depende de los objetivos que hayas fijado y de tu presupuesto; la Directiva no obliga a ninguna. Este artículo no incluye costes ni plazos porque no dependen de NIS2, sino de cada empresa.
Continuidad e incidentes: dos cosas distintas
Cuando ocurre un incidente significativo, el artículo 23 obliga a las entidades incluidas a notificarlo al CSIRT o a la autoridad competente que designe cada Estado, con alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. En España no hay canal ni autoridad NIS2 fijados por ley a fecha de revisión. Tu plan de continuidad debería prever quién hará esa notificación cuando exista el canal; los detalles están en gestión de incidentes.
Artículos relacionados
- Copias de seguridad y NIS2
- Checklist NIS2: las áreas del artículo 21
- Gestión de incidentes: qué dice el artículo 23
Fuentes oficiales
- Directiva (UE) 2022/2555 (NIS2), artículos 21 y 23, en EUR-Lex
- La Moncloa, 14/01/2025: anteproyecto de ley
- INCIBE: recursos para empresas
Siguientes pasos NIS2
Guías clave
Preguntas frecuentes
- ¿Cuándo entra en vigor NIS2 en España?
- La Directiva (UE) 2022/2555 exigía transponerla antes del 17 de octubre de 2024. En España, el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la ley que la transpondrá y, en las fuentes oficiales consultadas, no consta a 20 de septiembre de 2026 su publicación en el BOE. La fecha desde la que se exigirá a las empresas españolas no está fijada.
- ¿NIS2 exige un plan BCP y un plan DRP de una extensión determinada?
- No. El artículo 21.2.c incluye la continuidad de las actividades, la gestión de copias de seguridad, la recuperación en caso de catástrofe y la gestión de crisis, pero no impone formatos, número de páginas, valores de RTO o RPO, tipo de sitio alternativo ni frecuencias de prueba. Deben ser proporcionados al riesgo y al tamaño de la entidad.
- ¿Qué pasa si mi empresa no cumple NIS2?
- La Directiva obliga a los Estados a prever multas máximas de al menos 10 millones de euros o el 2 % de la facturación mundial (entidades esenciales) y al menos 7 millones o el 1,4 % (importantes). La sanción concreta y la autoridad que la impone las fijará la ley española, aún no publicada.
- ¿El plan de continuidad sirve para notificar incidentes?
- Son cosas distintas. La notificación de incidentes significativos (art. 23) se dirige al CSIRT o a la autoridad competente que designe cada Estado; en España esa designación depende de la ley pendiente. El plan de continuidad describe cómo mantener o recuperar tu actividad.
