El artículo 8 letra c) obliga a contar con planes de continuidad operacional y ciberseguridad implementados, probados y sometidos a revisiones frecuentemente. "Implementado" es la palabra clave: el plan debe estar operativo, conocido por los responsables y probado.
La Gestión de Continuidad de Negocio (Business Continuity Management, BCM) es la disciplina que permite a una organización seguir operando ante eventos disruptivos: ciberataques, fallas de sistemas, desastres naturales, pérdida de personal clave. No es solo un plan — es un sistema de gestión completo con análisis, planes, pruebas y mejora continua.
La ISO 22301 es el estándar internacional para Sistemas de Gestión de Continuidad de Negocio (SGCN). Define:
Identificar qué servicios son críticos y cuánto tiempo puede tolerar su interrupción
Tiempo máximo aceptable de interrupción
Pérdida máxima aceptable de datos
Validar que los planes funcionan en la práctica
Un BCP (Business Continuity Plan) sin BIA no tiene base. Un BIA sin pruebas es teoría. ISO 22301 convierte la continuidad en un sistema gestionable y auditable.