Las primeras 24 horas de una crisis de seguridad: qué debe estar decidido antes de que ocurra
CEASI advierte de que el fallo suele estar menos en la tecnología que en la organización: nadie tiene claro quién decide, a quién se avisa y qué se conserva.
Madrid. 09 de noviembre de 2026
Una empresa puede tener cámaras, alarma y un plan de emergencia y, aun así, perder la primera hora de una crisis sin saber a quién llamar. CEASI, consultora especializada en seguridad corporativa, resume qué debe estar decidido antes de una incidencia para actuar con orden durante las primeras 24 horas.
Un robo con fuerza, una fuga de información, un accidente grave, una intrusión en el centro de proceso de datos o un intento de extorsión pueden convertir una mañana normal en un problema operativo, laboral, penal y reputacional. Las consecuencias van más allá del valor de lo sustraído: paradas de producción, clientes que se enteran por otra vía, la intervención de la Inspección de Trabajo si hay un accidente o de la Agencia Española de Protección de Datos (AEPD) si se han visto comprometidos datos personales o imágenes.
Un procedimiento que ya existía
«Una crisis se gestiona bien antes de que ocurra. En las primeras 24 horas no se improvisa: se ejecuta un procedimiento que ya existía, con personas que saben qué les corresponde y con pruebas que nadie destruye por buena intención», señala Miguel Ángel Olmeda Moreno, director de CEASI.
Qué hacer en las primeras 24 horas
Mando único. Una persona con autoridad real que coordine operaciones, comunicación, asesoría jurídica, recursos humanos y tecnología. Si cada departamento actúa por su cuenta, se generan versiones distintas de los hechos en pocas horas.
Personas primero. Si hay riesgo para trabajadores, visitantes o instalaciones, se corta el acceso, se evacúa si procede y se garantiza la asistencia necesaria. La normativa de prevención de riesgos laborales obliga a analizar las situaciones de emergencia y a disponer de medios humanos y materiales para afrontarlas.
Preservar las pruebas. No se borran vídeos, no se reinician sistemas, no se tocan cerraduras forzadas y no se reenvían capturas por mensajería. Si hay grabaciones relacionadas con un delito, deben ponerse a disposición de la autoridad competente; la AEPD indica que, cuando procede, debe hacerse en un máximo de 72 horas desde que se conoce su existencia.
Datos personales. Si la incidencia los afecta, hay que evaluar de inmediato si procede notificar una brecha de seguridad a la AEPD, sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que se tiene constancia.
Comunicar a quien corresponde. Las empresas de seguridad privada y su personal tienen el deber de comunicar cuanto antes a las Fuerzas y Cuerpos de Seguridad los hechos delictivos de los que tengan conocimiento y de poner a su disposición las pruebas relevantes.
La comunicación, lo que menos se prepara
No se trata de contarlo todo ni de callar, sino de decidir quién habla, qué se dice, a quién se informa y cuándo. CEASI recomienda tener preparadas tres versiones del mensaje: una para empleados, otra para clientes y proveedores y otra para autoridades o medios, si llega el caso. Basta con decir la verdad, lo verificable y lo necesario.
También conviene revisar quién tiene acceso a las cámaras, a los partes de incidencia y a los sistemas de control de accesos. La videovigilancia trata imágenes de personas y exige informar, limitar la finalidad, controlar los accesos y conservar las imágenes un tiempo limitado: con carácter general, un máximo de un mes, salvo supuestos excepcionales vinculados a una investigación.
Una prueba sencilla
CEASI propone comprobar si el plan existe más allá del papel: preguntar al responsable de seguridad, sin avisar, quién decide, a quién avisa, dónde están las llaves de emergencia, qué grabaciones se preservan y quién se encarga de la comunicación. Si la respuesta es «ya lo veremos», queda trabajo por hacer. Si una empresa no ha ensayado una crisis de seguridad en el último año, tiene un documento, pero no un plan.
Sobre CEASI
CEASI (Consultoría Estratégica en Seguridad Corporativa) asesora a empresas en la protección de personas, activos e infraestructuras, tanto a organizaciones sin departamento de seguridad propio como a las que ya lo tienen y necesitan apoyo especializado.
Contacto de prensa:
Miguel Ángel Olmeda Moreno · Director de CEASI
www.ceasi.es · info@ceasi.es
Galería
