Pruebas periódicas

Qué exige, en claro

Realizar pruebas periódicas del plan de continuidad (op.cont.2): desde ejercicios de mesa que repasan roles y decisiones hasta pruebas técnicas reales de recuperación — restaurar sistemas, conmutar a medios alternativos, operar en modo degradado.

Que las pruebas sirvan para algo: resultados documentados, desviaciones frente a los objetivos de recuperación (RTO/RPO del análisis de impacto, op.cont.1) y acciones de mejora que actualizan el plan. La periodicidad se fija y se cumple.

Cuándo aplica y cómo escala

Exigible en categoría ALTA, ligada al plan de continuidad (op.cont.2). En cualquier categoría, si tienes plan y no lo pruebas, no sabes si tienes plan. Confírmalo en la valoración formal del sistema.

Ejemplos de implementación

• Ejercicio anual completo: caída simulada del CPD principal, activación del plan, conmutación al entorno alternativo y medición de tiempos reales frente al RTO comprometido.
• Prueba trimestral de restauración de copias sobre un entorno aislado (enlaza con mp.info.6): datos íntegros, tiempos anotados, dos incidencias detectadas y corregidas en el procedimiento.

Errores habituales

• El plan se aprobó hace tres años y jamás se ha ejecutado ni en simulacro.
• Probar solo lo fácil (restaurar un fichero) y nunca el escenario que da miedo (perder el CPD).
• Ejercicios sin cronómetro: si no mides tiempos, no puedes compararlos con el RTO.
• No documentar los fallos del ejercicio «para que no queden por escrito» — son justo lo que vale.
• Personas clave que nunca participan: el día real estarán igual de verdes.

Evidencias que suele ser razonable preparar

• Calendario de pruebas aprobado y su cumplimiento.
• Informes de cada ejercicio: escenario, participantes, tiempos medidos, desviaciones.
• Acciones de mejora derivadas y su reflejo en la versión siguiente del plan.
• Registros técnicos de las recuperaciones ejecutadas (restauraciones, conmutaciones).

Preguntas que debería hacerse el responsable

• ¿Cuándo se probó el plan por última vez y qué salió mal?
• ¿Los tiempos medidos caben en el RTO que el negocio necesita?
• ¿Quién dirigió el último ejercicio — y quién lo dirigiría si esa persona no está?
• ¿Qué cambió en el plan a raíz de la última prueba?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 804 · Implantación del ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.