--- title: "Blog de Internet Security Auditors: Diferencias entre la ISO22301:2012 y la ISO22301:2019" description: Noticias sobre la compañía y Ciberseguridad. image: https://blog.isecauditors.com/hubfs/Imported_Blog_Media/mapa-miembros-iso-1.png --- [![290x123px\_isecauditors](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/290x123px_isecauditors.png?width=290&height=91&name=290x123px_isecauditors.png) ![290x123px\_isecauditors](https://blog.isecauditors.com/hs-fs/hubfs/ISEC%20Media/Blog%20Media/290x123px_isecauditors.png?width=290&height=91&name=290x123px_isecauditors.png)](https://blog.isecauditors.com/) - [← www.isecauditors.com](https://www.isecauditors.com/) - [academy.isecauditors.com](https://academy.isecauditors.com/) - [← www.isecauditors.com](https://www.isecauditors.com/) - [academy.isecauditors.com](https://academy.isecauditors.com/) [Gestión de Riesgo](https://blog.isecauditors.com/tag/gestión-de-riesgo) [Continuidad de Negocio](https://blog.isecauditors.com/tag/continuidad-de-negocio) [Consultoría SGSI ISO 27001](https://blog.isecauditors.com/tag/consultoría-sgsi-iso-27001) # Diferencias entre la ISO22301:2012 y la ISO22301:2019 [Internet Security Auditors](https://blog.isecauditors.com/author/internet-security-auditors) 8 mar 2021, 6:00:00  La [Organización Internacional de Estandarización (ISO)](https://www.iso.org/about-us.html) es una entidad que nace en Londres en 1946, independiente y no gubernamental. Rápidamente se convierte en un referente a nivel mundial en compartición de conocimiento, desarrollo de estándares que soportan la innovación y que provee soluciones para los retos a escala global, con un total de [165 países miembros en el momento de la redacción de estas líneas, en diciembre de 2020](https://www.iso.org/members.html). [![](https://blog.isecauditors.com/hs-fs/hubfs/Imported_Blog_Media/mapa-miembros-iso.png?width=640&height=280&name=mapa-miembros-iso.png)](https://1.bp.blogspot.com/-1tEiGaTkaAM/YEYBSb-xVrI/AAAAAAAACPM/ynP9VnnVxIccN34eA_TTZQocVkzf8iBagCLcBGAsYHQ/s1154/mapa-miembros-iso.PNG) Destacan entre los estándares [más conocidos y adoptados por las compañías](https://www.iso.org/popular-standards.html), los siguientes: - La [familia ISO 9000 como estándar para la gestión de calidad](https://www.iso.org/iso-9001-quality-management.html). - La [familia ISO 14001 como estándar para la gestión medioambiental](https://www.iso.org/iso-14001-environmental-management.html). - La [familia ISO 27001 como estándar para los sistemas de gestión de seguridad de la información](https://www.iso.org/isoiec-27001-information-security.html). - La [familia ISO 31000 como estándar para la gestión de riesgos](https://www.iso.org/iso-31000-risk-management.html). La ISO 22301 es el estándar que se focaliza en los sistemas de gestión de continuidad del negocio. Publicado por primera vez el 15/05/2012 (ISO22301:2012), al cual se le aplicaron correcciones apenas un mes después. Se marcó como pendiente de revisión el 27/11/2017 y finalmente se publicó dicha revisión el 30/10/2019 (ISO22301:2019). Dicho estándar se encuentra estrechamente relacionado con otros estándares ISO enfocados a los sistemas de gestión como: [![](https://blog.isecauditors.com/hs-fs/hubfs/Imported_Blog_Media/relacion-estandars.png?width=640&height=470&name=relacion-estandars.png)](https://1.bp.blogspot.com/-5aRF4aYotFI/YEYBcxwnPBI/AAAAAAAACPQ/Jss5bXgq5FoK3WOadsq-s475o8mZyj_fwCLcBGAsYHQ/s716/relacion-estandars.PNG) En los próximos párrafos se analizarán las diferencias entre las revisiones de 2012 y 2019. ## Las diferencias entre ISO22301:2012 e ISO22301:2019 En su primera versión de 2012, el estándar ya estaba conforme a lo exigido en el Anexo SL de las directivas [ISO para la gestión de los sistemas de gestión](https://www.iso.org/sites/directives/current/consolidated/index.xhtml#_idTextAnchor535), por lo que su estructura en esencia es la misma respecto a su actualización de 2019, tal y como se observa en la siguiente imagen. | **ISO22301:2012** | **ISO22301:2019** | | | | --- | --- | --- | --- | | 0 Introduction | | 0 Introduction | | | | 0.1 General | | 0.1 General | | | | | 0.2   Benefits of a business continuity management system | | | 0.2 The Plan-Do-Check-Act (PDCA) model | | | | | 0.3 Components of PDCA in this International Standard | | 0.3 Plan-Do-Check-Act (PDCA) cycle | | | | | 0.4   Contents of this document | | 1 Scope | | 1 Scope | | | 2 Normative references | | 2 Normative references | | | 3 Terms and definitions | | 3 Terms and definitions | | | 4 Context of the organization | | 4 Context of the organization | | | | 4.1 Understanding of the organization and its context | | 4.1 Understanding the organization and its context | | | 4.2 Understanding the needs and expectations of interested parties | | 4.2 Understanding the needs and expectations of interested parties | | | 4.3 Determining the scope of the business continuity management system | | 4.3 Determining the scope of the business continuity management system | | | 4.4 Business continuity management system | | 4.4 Business continuity management system | | 5 Leadership | | 5 Leadership | | | | 5.1 Leadership and commitment | | 5.1 Leadership and commitment | | | 5.2 Management commitment | | | | | 5.3 Policy | | 5.3 Policy | | | 5.4 Organizational roles, responsibilities and authorities | | 5.3 Roles, responsibilities and authorities | | 6 Planning | | 6 Planning | | | | 6.1 Actions to address risks and opportunities | | 6.1 Actions to address risks and opportunities | | | 6.2 Business continuity objectives and plans to achieve them | | 6.2 Business continuity objectives and plans to achieve them | | | | | 6.3 Planning changes to the business continuity management system | | 7 Support | | 7 Support | | | | 7.1 Resources | | 7.1 Resources | | | 7.2 Competence | | 7.2 Competence | | | 7.3 Awareness | | 7.3 Awareness | | | 7.4 Communication | | 7.4 Communication | | | 7.5 Documented information | | 7.5 Documented information | | 8 Operation | | 8 Operation | | | | 8.1 Operational planning and control | | 8.1 Operational planning and control | | | 8.2 Business impact analysis and risk assessment | | 8.2 Business impact analysis and risk assessment | | | 8.3 Business continuity strategy | | 8.3 Business continuity strategies and solutions | | | 8.4 Establish and implement business continuity procedures | | 8.4 Business continuity plans and procedures | | | 8.5 Exercising and testing | | 8.5 Exercise programme | | | | | 8.6 Evaluation of business continuity documentation and capabilities | | 9 Performance evaluation | | 9 Performance evaluation | | | | 9.1 Monitoring, measurement, analysis and evaluation | | 9.1 Monitoring, measurement, analysis and evaluation | | | 9.2 Internal audit | | 9.2 Internal audit | | | 9.3 Management review | | 9.3 Management review | | 10 Improvement | | 10 Improvement | | | | 10.1 Nonconformity and corrective action | | 10.1 Nonconformity and corrective action | | | 10.2 Continual improvement | | 10.2 Continual improvement | | Bibliography | | Bibliography | | | Leyenda | | | --- | --- | | | Diferencias principales | Con respecto al contenido, sí que se han presentado cambios: - Ya no es necesario comunicar las variaciones de los requerimientos legales a los empleados afectados (Cláusula 4.2.2). Aunque, sigue siendo una práctica más que recomendable. - Se realizan agrupaciones y cambios en los elementos de las cláusulas de determinación del alcance, aunque requieren la misma información. (Cláusulas 4.3.1 y 4.3.2). - Se agrupan las antiguas cláusulas 5.1 y 5.2 sobre las acciones que debe llevar a cabo la alta dirección para demostrar su liderazgo y compromiso. (Cláusula 5.1). - No se especifica que la Política de continuidad de negocio deba ser revisada a intervalos definidos o cuando existan cambios. (Cláusula 5.2.2). Por el contrario, se especifica de forma genérica que toda la documentación relativa al SGCN debe ser revisada y aprobada para asegurar su idoneidad y adecuación. (Cláusula 7.5.2). - Ya no será necesario tener en cuenta el mínimo nivel de productos o servicios aceptables para que la organización consiga sus objetivos, pero se incluye en la ecuación que deben ser comunicados y actualizados según sea necesario. (Cláusula 6.2.1). - Se incluyen las consideraciones a tener en cuenta por las organizaciones para realizar cambios en el SGCN cuando sea necesario. (Cláusulas 6.3, 8.1 y 8.6). - En el apartado de concienciación, se añade que las personas deben ser conscientes de sus funciones no tan solo durante una disrupción, sino también antes y después. (Cláusula 7.3). - Se precisa en el apartado de comunicación que no sólo se debe determinar qué, cuando y a quién se realizan las comunicaciones, sino también cómo y quién debe hacerlas. (Cláusula 7.4). - Se suprimen los apartados relativos al uso, acceso, preservación e información obsoleta de la documentación del SGCN (Cláusula 7.5.3.2), por ser redundantes con los mencionados en el apartado anterior. (Cláusula 7.5.3.1). - Se incluye la cadena de suministro dentro de los procesos tercerizados a tener controlados. (Cláusula 8.1). - Los documentos de Análisis de Impacto de Negocio (BIA, de sus siglas en inglés) y de Evaluación de Riesgo ya no se consideran información que se debe documentar obligatoriamente, si bien la organización sí deberá disponer de procesos sistemáticos correspondientes. (Cláusulas 8.2.1, 8.2.2 y 8.2.3). - Se da un mayor detalle de las tareas correspondientes al BIA. (Cláusula 8.2.2). - Se reagrupan las consideraciones que debe realizar la organización para al Análisis de Riesgos. (Cláusula 8.2.3). - Se especifica que se deben contemplar las estrategias que consideren opciones antes, durante y después de la disrupción. Además, también se especifica que las estrategias pueden comprender una o más soluciones. (Cláusula 8.3.1). - Se realiza una reestructuración de apartados para describir la identificación de estrategias y soluciones, la selección de dichas estrategias y soluciones. (Cláusulas 8.3.2 y 8.3.3). - Se redistribuyen los aspectos a tener en cuenta de forma colectiva para los planes y procedimientos de continuidad del negocio, así como el contenido mínimo individual para cada uno de ellos. (Cláusulas 8.4.4.2 y 8.4.4.3). - Las consideraciones de evaluación de la documentación relativa a la continuidad de negocio y sus capacidades pasan de estar en el dominio de Evaluación del Rendimiento para encontrarse en el dominio de Operación. (Cláusula 8.6). - En el apartado de monitorización, medidas, análisis y evaluación se añade la figura del quien, en línea con la importancia que se les da a los roles en esta revisión de la norma. (Cláusula 9.1). - Se agrupan las consideraciones de los datos de entrada para la revisión por parte de la dirección. (Cláusula 9.3.2). ## La documentación obligatoria La ISO22301 de 2019 también requiere cierta documentación obligatoria, aunque no tanta como la exigida en la anterior versión. En un [ejercicio similar al que ya se realizó en este mismo blog](https://blog.isecauditors.com/2017/12/documentacion-obligatoria-en-iso-22301.html?hsLang=es), se detalla a continuación la documentación obligatoria: - Proceso para: identificar, tener acceso y evaluar de los requerimientos legales y regulatorios relacionados con la continuidad de sus productos, servicios, actividades y recursos; también para asegurar que dichos requerimientos son tomados en cuenta en la implementación y mantenimiento del SGCN (Cláusula 4.2.2). - Alcance del SGCN (Cláusula 4.3.1). - Política de continuidad del negocio (Cláusula 5.2.2). - Objetivos de continuidad de negocio (Cláusula 6.2.1). - Determinación de las competencias necesarias para el personal y aseguramiento de que las adquieren, incluidas las acciones de formación y evaluación. (Cláusula 7.2). - Información documentada para demostrar que las actividades y/o procesos han sido llevados a cabo como estaban planeados. (Cláusula 8.1). - Planes y procedimientos de Continuidad del Negocio basados en las estrategias y soluciones seleccionadas. (Cláusulas 8.4.1 y 8.4.4). - Procedimiento de respuesta a incidentes (activación, operación, coordinación y comunicación de las respuestas). (Cláusula 8.4.2.4). - Procedimiento de comunicación: interna y externa; recepción, documentación y respuesta a las comunicaciones; aseguramiento de la disponibilidad de los medios de comunicación; estructura de comunicación; provisión de detalles, incluida la estrategia de comunicación; grabación de los detalles de la disrupción, acciones y decisiones tomadas. (Cláusula 8.4.3.1). Cuando aplique, también de las alertas a partes interesadas potencialmente impactadas y aseguramiento de la coordinación y comunicación entre las organizaciones. (Cláusula 8.4.3.2). - Proceso de recuperación y vuelta a la normalidad. (Cláusula 8.4.5). - Informes de realización de pruebas. (Cláusula 8.5). - Resultados de la monitorización, las medidas, los análisis y la evaluación. (Cláusula 9.1). - Plan de Auditoría. (Cláusula 8.2.2). - Resultados de las auditorías realizadas. (Cláusula 9.2.2). - Revisión por parte de la dirección. (Cláusula 9.3.3). - Documentación de las no conformidades y acciones subsecuentes llevadas a cabo. (Cláusula 10.1.3.a). - Resultados de las acciones correctivas. (Cláusula 10.1.3.b). - La documentación opcional - La organización debe determinar los aspectos internos y externos relevantes (Cláusula 4.1). En la versión anterior se requería como información documentada. - Plan de formación, capacitación y concienciación (Cláusulas 7.2 y 7.3). - Determinación de las comunicaciones internas y externas relevantes para el SGCN. (Cláusula 7.4). - Relación y control de la documentación relativa al SGCN, tanto interna como externa (Cláusula 7.5.3). - Aseguramiento de los procesos tercerizados y de la cadena de suministro, típicamente en forma de SLAs. (Cláusula 8.1). - Proceso de Análisis de Impacto de Negocio (BIA, de sus siglas en inglés). (Cláusulas 8.2.1 y 8.2.2). - Proceso de Análisis de Riesgos. (Cláusulas 8.2.1 y 8.2.3). - Plan de pruebas. (Cláusulas 8.5 y 8.6). - Revisión de resultados tras las pruebas. (Cláusula 8.5). - Plan de actualización de los documentos. (Cláusula 8.6). Como conclusión, en los aspectos revisados en esta norma de 2019 se refuerzan los aspectos enfocados a las soluciones como base de los escenarios, así como también a la importancia de las personas y los roles que desempeñan a lo largo del ciclo de vida de la gestión de la continuidad del negocio en las organizaciones. La adaptación de una versión antigua a su contraparte actual requiere de cierto esfuerzo, pero no se considera desproporcionado ni tampoco que no se pueda incluir dentro de las propias revisiones planificadas de la documentación y procesos. --- ***Autor: Jose Antonio Prieto - CISA, ISO 27001 L.A., ISO 22301 L.A., SFPC, CDPSE Dpto. Consultoría*** - [Tweet](https://twitter.com/share) --- ![author-image](https://blog.isecauditors.com/hubfs/Logo_isecauditors_contraccion_HP.png) [Internet Security Auditors](https://blog.isecauditors.com/author/internet-security-auditors) Expertos en #Ciberseguridad. Líderes en #HackingÉtico, normas #PCI, #ISO27001, #ISO27032 e #ISO22301, #ProtDatos, #RGPD, #Ciberinteligencia y #SeguridadSDLC --- [Legal Notice](https://www.isecauditors.com/aviso-legal) [Policy Privacy](https://www.isecauditors.com/politica-privacidad) [Cookie Policy](https://www.isecauditors.com/politica-cookies) --- Copyright © 2026 - All rights reserved ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Internet Security Auditors", "url" : "https://blog.isecauditors.com/author/internet-security-auditors" }, "dateModified" : "2023-06-14T16:40:19.086Z", "datePublished" : "2021-03-08T05:00:00.000Z", "headline" : "Blog de Internet Security Auditors: Diferencias entre la ISO22301:2012 y la ISO22301:2019", "image" : [ "https://blog.isecauditors.com/hubfs/Imported_Blog_Media/mapa-miembros-iso-1.png" ], "mainEntityOfPage" : { "@id" : "https://blog.isecauditors.com/2021/03/diferencias-entre-iso22301-2012-y-iso22301-2019.html", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.isecauditors.com/hubfs/isec_logo.png" }, "name" : "Internet Security Auditors, S.L." } } ```