PCA (Plan de Continuidad de Actividad)
Plan de Continuidad de Actividad: conjunto de medidas organizativas y técnicas que permiten a una empresa mantener sus actividades esenciales durante un siniestro mayor.
El PCA (Plan de Continuidad de Actividad, en inglés BCP — Business Continuity Plan) es el conjunto de dispositivos organizativos, técnicos y humanos que permiten a una empresa mantener sus actividades esenciales, incluso parcialmente, durante un siniestro mayor: avería de TI, ciberataque, incendio, inundación, pandemia, conflicto social. Es un tema de gobernanza del SI.
Con la entrada en aplicación de DORA en enero de 2025 en finanzas y de NIS2 en 18 sectores críticos, el PCA ya no es opcional. Según una encuesta Gartner 2024, el 65 % de las empresas que han sufrido un siniestro mayor sin PCA probado han tardado más de seis meses en recuperar su nivel anterior — una cuarta parte nunca se recupera del todo.
PCA vs. [PRA](/es/glossary/pra)
- •El PCA es amplio: cubre toda la empresa — TI, recursos humanos, locales, comunicación.
- •El PRA (Plan de Recuperación de Actividad, DRP) es un subconjunto técnico del PCA, enfocado a la restauración del SI.
Las etapas de construcción de un PCA
El proceso normalizado (ISO 22301) sigue cinco etapas:
- Análisis de impacto de negocio (BIA): identificar los procesos críticos, su tolerancia a la parada (RTO), su tolerancia a la pérdida de datos (RPO).
- Análisis de los riesgos: recensión de las amenazas.
- Definición de las estrategias de continuidad: sitios de repliegue, teletrabajo, modos degradados, RTO objetivo.
- Documentación del plan: procedimientos, organigramas de crisis.
- Pruebas y mejora continua: ejercicios regulares, actualización mínimo anual.
Contenido tipo de un PCA
- •La célula de crisis: .
- •Los procesos críticos: .
- •Los modos degradados: .
- •Los sitios de repliegue: .
- •El plan de comunicación: .
- •Los árboles de llamada: .
- •Los anexos técnicos: .
Probar su PCA: disciplina no negociable
- •Tabletop exercise: .
- •Walkthrough: .
- •Simulación: .
- •Test parcial: .
- •Test completo (Full failover): .
DORA exige un test mínimo anual para las instituciones financieras y un test completo de resiliencia cada 3 años.
Las normas y referenciales
- •ISO 22301: norma internacional.
- •ISO 22313: guía de aplicación.
- •ITIL 4: práctica de Service Continuity Management.
Kabeen conecta automáticamente aplicaciones, usos de negocio y costos para construir un BIA basado en datos vivos.
Questions fréquentes
¿Qué es el PCA?
El PCA (Plan de Continuidad de Actividad) es el conjunto de medidas organizativas, técnicas y humanas que permiten a una empresa mantener sus actividades esenciales durante un siniestro mayor: avería de TI, ciberataque, incendio, pandemia. Cubre el conjunto del funcionamiento — TI, RH, locales, comunicación, proveedores — y no únicamente la dimensión informática.
¿Diferencia entre PCA y PRA?
El PCA cubre toda la empresa (TI, negocios, logística, comunicación) con el objetivo de mantener la actividad. El PRA (Plan de Recuperación de Actividad) es un subconjunto técnico del PCA, enfocado a la restauración del sistema de información tras un siniestro. El PCA es más amplio y estratégico; el PRA es más técnico y operativo. Los dos son indisociables.
¿El PCA es obligatorio?
Sí en numerosos sectores regulados. DORA (Digital Operational Resilience Act), entrado en aplicación en enero de 2025, impone un PCA probado a las instituciones financieras europeas. NIS2 extiende esta exigencia a 18 sectores críticos (energía, salud, transportes, agua, administración pública). Para los otros sectores, el PCA sigue siendo una buena práctica fuertemente recomendada por los aseguradores y reguladores.
¿Con qué frecuencia probar su PCA?
La frecuencia depende del sector y la criticidad. DORA impone un test mínimo anual para las instituciones financieras, y un test completo de resiliencia cada 3 años. Para las otras organizaciones, la ISO 22301 recomienda como mínimo un ejercicio tabletop anual y un test parcial cada 12 a 24 meses. Un PCA no probado es un PCA inútil.