Digital Business & Future 03.06.2026

Plan de crisis en lugar de relaciones públicas de crisis: cuatro decisiones clave para las pymes

7 Min. de lectura

La mayoría de las pymes tienen un plan de comunicación de crisis en una carpeta y ningún plan de crisis en la cabeza. Esto se nota en cuanto se produce una filtración de datos, una interrupción del suministro o un cambio abrupto en la dirección. La diferencia entre una empresa que supera una crisis y otra que sucumbe rara vez reside en el equipo de comunicación.

Lo más importante en resumen

Los planes de crisis son operativos, no comunicativos: Quien ajusta primero el lenguaje de la comunicación antes de tener claro el panorama operativo, solo pospone el problema. Las primeras 48 horas deciden la reputación, no el comunicado de prensa.
La responsabilidad debe estar clara el día D: En demasiadas pymes no existe un comité de crisis definido. En su lugar, en caso de emergencia, deciden las disponibilidades y jerarquías sobre la marcha, lo que agrava el daño.
Los simulacros cuestan menos que un incidente: Un escenario de mesa de medio día por trimestre aporta más seguridad que cualquier concepto de 50 páginas. Quien no practica, no tiene un plan, sino un anexo para la solicitud del seguro.

Relacionado:La alianza que soporta más que cualquier adquisición / Productividad en lugar de programas de ahorro

Qué es un plan de crisis y qué no lo es

Un plan de crisis no es un documento. Un plan de crisis es una serie de decisiones tomadas con antelación porque, en caso de emergencia, no hay tiempo para ello. Quién decide qué, cuándo, con qué competencias y con qué presupuesto. Si estas cuatro preguntas están respondidas por escrito y el equipo las conoce, la empresa tiene un plan. Si hay un PDF de 80 páginas en la intranet y nadie sabe dónde está, solo se ha marcado la casilla de cumplimiento.

Parece obvio. No lo es. En los últimos años he trabajado con pymes que, tras un incidente cibernético, perdieron varias horas aclarando internamente quién podía contratar a un equipo forense externo. Varias horas en una fase en la que cada hora pueden seguir filtrándose datos. Este proceso podría haberse decidido el día anterior, el año anterior o cinco años antes. Pero no fue así.

La comunicación de crisis entra en juego obligatoriamente, pero más tarde. Un comunicado de prensa sin un panorama operativo claro es una afirmación que la siguiente pregunta periodística convertirá en escándalo. Quien comunica pronto sin saber realmente qué ha ocurrido, está escribiendo su propio escándalo.

Las cuatro decisiones que deben tomarse previamente

No existe una fórmula universal. Pero hay cuatro puntos que deben estar resueltos en toda preparación para crisis en una empresa mediana. Si falta uno, la preparación es incompleta.

¿Quién convoca al equipo de crisis? Una persona concreta, un sustituto y un segundo sustituto. No «la dirección», porque puede estar de viaje, enferma o en una reunión del consejo de supervisión. Esta es la única decisión que no puede delegarse.
¿Quién puede encargar qué? Análisis forense, abogados, forense en la nube, agencia de comunicación, proveedor de servicios informáticos. Con límites máximos y, cuando sea posible, con borradores de contratos previos. Quien en una crisis tiene que comparar primero abogados, ya ha perdido.
¿Qué datos son críticos? No todos los datos son iguales. En la mayoría de las pymes bastan tres categorías: datos de clientes, datos de personal y datos operativos técnicos. Cada una con una tolerancia de caída en horas, un tiempo de recuperación y un plan B.
¿Quién habla externamente? Una única voz hacia fuera, con un sustituto. Preguntas de prensa, solicitudes de autoridades, llamadas de clientes. Quien deja hablar a varias voces genera contradicciones que luego hay que corregir. Esa es la segunda ola de la crisis.

Estos cuatro puntos caben en una página. No hace falta más. Más bien estorba.

Lo que falta en caso de emergencia

62 por ciento de los incidentes cibernéticos en pymes de la región DACH se gestionan, según el análisis de Allianz 2024, sin un equipo de crisis claramente definido.
Las empresas afectadas pierden de media 2 a 4 horas antes de encargar un análisis forense externo, porque internamente no está claro quién tiene la autoridad.
La interrupción se prolonga una media de 11 días si falta un escenario de simulación (tabletop) preparado. Fuente: Informe de situación del BSI 2025.

Por qué el ejercicio tabletop es más importante que el documento

Un escenario tabletop es un ejercicio de dos a cuatro horas en el que se simula un incidente realista. No hay actividad informática real, ni comunicados de prensa, ni intervención externa. Solo hay personas alrededor de una mesa que deben reaccionar a tarjetas de escalada. Quien pierde una hora buscando el directorio de contactos adecuado, ha tenido medio día productivo sin que se pierda ni un solo byte de datos.

Los ejercicios tabletop son incómodos. Revelan que el portavoz está localizable durante sus vacaciones, pero el responsable de TI no. Que el bufete de abogados tiene un servicio de guardia distinto al esperado los fines de semana. Que el segundo sustituto del jefe del equipo de crisis lleva dos años en otro departamento. Precisamente estos hallazgos son el resultado que se busca.

La mayoría de las pymes que he visto realizan dos ejercicios al año: uno antes del verano y otro en otoño. Es posible hacer más, pero dos son el mínimo realista para una empresa que se toma en serio lo que dice su plan de crisis.

Tres errores que aparecen en casi todos los planes

Supuestos ocultos sobre disponibilidad: «Avisamos inmediatamente a la dirección» no funciona si esta está en un vuelo sin cobertura. A menudo faltan por completo matrices de disponibilidad con franjas horarias y escalados.
Mezcla de gestión de reputación y aclaración de hechos: Si el equipo de comunicación tiene que redactar textos en la primera hora en lugar de escuchar primero lo que sabe el equipo forense, se hacen declaraciones que hay que rectificar dos horas después. Esto daña más que el silencio.
Planes sobrecargados: 80 páginas que nadie conoce son más débiles que dos páginas que todos los miembros del equipo de crisis tienen en mente. El cumplimiento normativo adora los documentos extensos. En una crisis, son inútiles.

Lo que queda después de una crisis cuando se estaba preparado

Las empresas preparadas se reconocen porque, tras un incidente, no necesitan impulsar una reforma fundamental. Corrigen detalles. Amplían el plan con observaciones del caso real. Practican el próximo escenario con el material actualizado. Las empresas no preparadas se reconocen porque encargan un informe interno, contratan consultoría externa y, seis meses después, presentan un nuevo concepto que acaba igual de inaplicado en un cajón que el anterior.

La verdad es incómoda: la gestión de crisis no es más cara que otras disciplinas en las pymes. Solo es menos visible. Nadie recibe un premio por que una crisis se haya resuelto bien si nunca llegó a hacerse pública. Quien invierte en preparación para crisis, invierte en un bien que permanece invisible en el día a día. Eso facilita prescindir de ello.

Si pudiera dar un consejo a las pymes: reducid el plan a dos páginas, practicad dos veces al año y aclarad las cuatro decisiones clave de antemano. El resto es cosmética.

Preguntas frecuentes

¿Quién debe formar parte de un comité de crisis en una pyme?

La dirección con su suplente, el responsable de TI, el departamento jurídico o un abogado externo, el responsable de comunicación y, según el incidente, un responsable operativo, por ejemplo, de producción o logística. En la práctica, más de seis personas rara vez resultan operativas.

¿Con qué frecuencia deben realizarse ejercicios de simulación (tabletop)?

Dos veces al año es un mínimo realista: una en primavera y otra en otoño. Quienes operan en entornos regulados deberían realizar cuatro ejercicios anuales y probar diferentes escenarios, desde incidentes cibernéticos hasta la baja de una persona clave.

¿Vale la pena contratar una consultoría externa de gestión de crisis?

Para la creación inicial de un comité de crisis y el primer ejercicio de simulación, el acompañamiento externo es útil porque aporta rutinas y descubre puntos ciegos. Después, el conocimiento debe permanecer en la empresa. Quien depende permanentemente de externos no tiene gestión de crisis, sino un contrato marco.

¿En qué se diferencia la gestión de crisis de la continuidad de negocio?

La continuidad de negocio aborda la recuperación de procesos. La gestión de crisis se centra en el control del propio incidente, incluyendo la comunicación y la toma de decisiones bajo incertidumbre. Ambas cosas van de la mano, pero no son lo mismo y deben regularse en planes distintos.

¿Cuánto cuesta una gestión de crisis adecuada en una pyme?

La implantación inicial con apoyo externo suele costar entre 15.000 y 40.000 euros para una sede de pyme, según su complejidad. A ello se suman dos a cuatro días de ejercicios al año, más honorarios de disponibilidad de servicios forenses y despachos de abogados, que suelen estructurarse como contratos de opción.