Lo esencial en breve<\/p>\n
- \n
- Dos horas bastan.<\/strong> El tabletop entrena el cuadro de situaci\u00f3n, los acuerdos y el primer mensaje en la ca\u00edda, sin tocar los sistemas productivos.<\/li>\n
- Roles antes del incidente.<\/strong> Direcci\u00f3n, TI, \u00e1rea de negocio, protecci\u00f3n de datos y proveedor deben compartir el mismo estado.<\/li>\n
- Escenario en peque\u00f1o.<\/strong> Un camino de ca\u00edda cre\u00edble, con pocos fragmentos de informaci\u00f3n, obliga a decidir bajo incertidumbre.<\/li>\n
- El ejercicio deja encargo.<\/strong> Cada ronda cierra con medidas, nombres, fechas y una repetici\u00f3n en el calendario anual.<\/li>\n<\/ul>\n<\/div>\n
Relacionado:<\/strong> Desde cu\u00e1ndo corre de verdad el plazo de notificaci\u00f3n<\/a> \u00b7 Qu\u00e9 facultades de decisi\u00f3n del CISO (responsable de seguridad de la informaci\u00f3n) deben constar por escrito<\/a><\/p>\n
Qu\u00e9 entrena un tabletop de dos horas<\/h2>\n
Una ca\u00edda de TI en la mediana empresa golpea primero el trabajo que hay que cerrar el siguiente d\u00eda laborable. La toma de pedidos, la salida de mercanc\u00eda, la n\u00f3mina y la atenci\u00f3n al cliente dependen de sistemas que, en semanas tranquilas, se dan por sentados. Si la plataforma cae, la direcci\u00f3n exige un cuadro de situaci\u00f3n mientras las \u00e1reas quieren seguir entregando. Las primeras preguntas llegan de ventas, producci\u00f3n y jefatura, atentas a la capacidad de suministro y a la responsabilidad.<\/p>\n
\n\u00bfQu\u00e9 es un tabletop?<\/strong> Un tabletop es un ejercicio anal\u00f3gico en la mesa. Los sistemas productivos no se tocan. Quienes participan reciben informaci\u00f3n incompleta y, bajo presi\u00f3n de tiempo, deben formular la situaci\u00f3n, el acuerdo y la primera pauta de comunicaci\u00f3n. El objeto del ejercicio es el mando. Dos horas bastan si roles, escenario y acta est\u00e1n fijados de antemano.<\/p>\n<\/div>\n
Quien en ese minuto aclara por primera vez roles, v\u00edas de decisi\u00f3n y pautas de comunicaci\u00f3n no est\u00e1 dirigiendo el incidente. El c\u00edrculo capaz de dirigirlo nace entonces bajo presi\u00f3n. El tabletop<\/strong> sienta a ese c\u00edrculo a la mesa antes del incidente real. El ejercicio sigue siendo anal\u00f3gico y acotado. Bastan fichas, una hoja de escenario, un reloj visible y un acta.<\/p>\n
El an\u00e1lisis forense, el estado de los parches y el detalle de archivos de registro concretos no caben en este formato. Cada nuevo fragmento de informaci\u00f3n cambia las prioridades. La mesa debe valorar si los sistemas se a\u00edslan o se vuelven a arrancar, si aplica un bloqueo interno y si clientes o proveedores reciben una primera informaci\u00f3n.<\/p>\n
La recuperaci\u00f3n t\u00e9cnica queda en los planes de rearranque y en las pruebas de copia de seguridad. La sesi\u00f3n de dos horas entrena el cuadro de situaci\u00f3n<\/strong> compartido. Hace visible qui\u00e9n formula un encargo bajo incertidumbre.<\/p>\n
Qu\u00e9 roles se sientan a la mesa en dos horas<\/h2>\n
Sin roles fijados, el tabletop se disuelve en un debate t\u00e9cnico sin acuerdo. En la mesa se sienta la direcci\u00f3n como instancia de operaci\u00f3n, coste e imagen externa. La direcci\u00f3n autoriza si se para la producci\u00f3n, se cierra una sede o se lanza una compra de emergencia al proveedor. La direcci\u00f3n de TI responde del aislamiento, del rearranque y de la valoraci\u00f3n de las opciones t\u00e9cnicas. La persona responsable de seguridad fija la necesidad de protecci\u00f3n y la l\u00f3gica de defensa, para que la rapidez no reabra sistemas sin control.<\/p>\n
\nRoles en la mesa<\/p>\n
- \n
- ✓<\/span>Direcci\u00f3n, para operaci\u00f3n, coste e imagen externa<\/li>\n
- ✓<\/span>TI, para cuadro de situaci\u00f3n, rearranque y proveedor<\/li>\n
- ✓<\/span>\u00c1rea de negocio, para lo que exige el siguiente d\u00eda laborable<\/li>\n
- ✓<\/span>Protecci\u00f3n de datos, en cuanto entren datos personales o plazos<\/li>\n
- ✓<\/span>Recursos humanos o comunicaci\u00f3n interna, para el mensaje a la plantilla<\/li>\n
- ✓<\/span>Proveedor externo de TI, si la operaci\u00f3n o el rearranque dependen de \u00e9l<\/li>\n
- ✓<\/span>Moderador con cron\u00f3metro, que hace avanzar el escenario<\/li>\n<\/ul>\n<\/div>\n
La protecci\u00f3n de datos se suma en cuanto se tocan datos personales, obligaciones de informaci\u00f3n o el contenido de la comunicaci\u00f3n con plantilla y clientes. Recursos humanos o comunicaci\u00f3n interna lleva el mensaje a la plantilla y aclara si hay que involucrar al comit\u00e9 de empresa. Un \u00e1rea de negocio con un proceso cr\u00edtico ancla el ejercicio en la cadena de valor e impide que la mesa se quede solo en TI. Los anclajes habituales son ventas, producci\u00f3n, log\u00edstica o contabilidad, seg\u00fan qu\u00e9 proceso frena primero a la empresa. Ese rol no puede asignarse a quien solo conoce el proceso de o\u00eddas.<\/p>\n
El proveedor externo de TI pertenece a la misma mesa si la operaci\u00f3n, el hosting o el rearranque est\u00e1n por contrato en sus manos. Sin \u00e9l, la empresa ensaya una situaci\u00f3n que en el incidente real no domina sola. Un moderador controla el tiempo y aparta a la mesa de los detalles t\u00e9cnicos y la reconduce a las decisiones. Una persona ajena al \u00e1rea t\u00e9cnica redacta el acta. Fija acuerdos, preguntas abiertas y pautas de comunicaci\u00f3n antes de que se deshagan en la conversaci\u00f3n.<\/p>\n
Las suplencias forman parte de la ficha de roles. Vacaciones, bajas y agendas en paralelo son lo habitual en la mediana empresa. Cada rol necesita una suplencia nombrada y un canal que funcione sin el sistema primario ca\u00eddo. Listas de m\u00f3viles, copias en papel y una direcci\u00f3n localizable fuera de la red corporativa suenan sobrias. En la ca\u00edda marcan el ritmo de la primera hora.<\/p>\n
C\u00f3mo se arma el escenario en dos horas<\/h2>\n
El escenario tiene que ser cre\u00edble para la propia empresa. Sirven de armaz\u00f3n la ca\u00edda del sistema central de gesti\u00f3n de mercanc\u00edas, una extorsi\u00f3n sin artificio t\u00e9cnico, la ca\u00edda del servicio de inicio de sesi\u00f3n o una conexi\u00f3n con producci\u00f3n abierta demasiado tiempo. Cuanto m\u00e1s cerca est\u00e9 el caso de un proceso que la empresa nota en un d\u00eda laborable normal, m\u00e1s honestas ser\u00e1n las prioridades. Las crisis lejanas generan debate. Las situaciones cercanas generan acuerdos.<\/p>\n
El escenario nombra el efecto visible sobre los procesos. No especula sobre grupos de autores ni simula software malicioso. La preparaci\u00f3n va en las semanas previas a la cita. La direcci\u00f3n de TI y el responsable de seguridad formulan el detonante, unos pocos fragmentos de informaci\u00f3n y el objetivo visible al cabo de las dos horas. Ese objetivo puede ser una decisi\u00f3n de aislamiento, un primer aviso interno o un encargo escrito al proveedor.<\/p>\n
El moderador conoce los fragmentos. Los dem\u00e1s participantes solo conocen el estado de partida. Las dos horas siguen un marco de trabajo general. Al inicio van el objetivo, las reglas y la ficha de roles; despu\u00e9s, el impulso de arranque. En el centro hay nuevas vueltas de decisi\u00f3n con un fragmento nuevo. Hacia el final, la mesa formula una pauta de comunicaci\u00f3n y el siguiente encargo concreto. Un repaso breve cierra, mientras las impresiones siguen n\u00edtidas.<\/p>\n
La documentaci\u00f3n se mantiene m\u00ednima, y el c\u00edrculo de participantes tambi\u00e9n. Bastan una p\u00e1gina de escenario, una de roles, una plantilla vac\u00eda para el cuadro de situaci\u00f3n y una plantilla para el primer aviso. Quien pone carpetas de normas sobre la mesa se pone a leer. Papel y bol\u00edgrafo siguen admitidos, porque en la ca\u00edda real ese camino suele ser el \u00fanico. Quien solo quiere escuchar recibe el acta y se queda fuera de la mesa.<\/p>\n
C\u00f3mo la mesa ensaya decisiones y lenguaje bajo presi\u00f3n de tiempo<\/h2>\n
El reloj visible es el verdadero instrumento del ejercicio. Sin \u00e9l, la mesa debate como si tuviera un turno de noche entero por delante. Con \u00e9l, cada pregunta abierta sale cara, porque se descuenta de la siguiente decisi\u00f3n. El moderador corta los debates que no cierran un acuerdo. Pregunta por la acci\u00f3n que en los pr\u00f3ximos minutos surte efecto en el rearranque o hacia el exterior.<\/p>\n
Cada decisi\u00f3n necesita una frase en el acta. Ah\u00ed consta qu\u00e9 rige, qui\u00e9n ejecuta, para cu\u00e1ndo llega un estado intermedio y qu\u00e9 se deja abierto a prop\u00f3sito. Lo incompleto es el estado normal de la primera hora de una ca\u00edda. El ejercicio hace visible qui\u00e9n convierte la incertidumbre en un encargo. Tambi\u00e9n hace visible qui\u00e9n espera un cuadro de hechos completo que en esta fase no llega.<\/p>\n
En este formato, la comunicaci\u00f3n es un entregable. La mesa redacta una primera informaci\u00f3n interna para la plantilla. Si el \u00e1rea de negocio considera realista la presi\u00f3n externa, se a\u00f1ade una formulaci\u00f3n contenida para clientes o proveedores. Nombres de afectados, causas t\u00e9cnicas y atribuciones de culpa quedan fuera. La protecci\u00f3n de datos comprueba si los datos personales o los plazos legales limitan el mensaje. La direcci\u00f3n libera la declaraci\u00f3n o la retiene.<\/p>\n
El correo como canal \u00fanico falla si el sistema de correo forma parte de la situaci\u00f3n. La mesa debe entonces nombrar otra v\u00eda, por ejemplo el m\u00f3vil, una lista de distribuci\u00f3n independiente o un aviso en el propio centro. Quien a las dos horas no puede mostrar una declaraci\u00f3n escrita solo ha hablado de la situaci\u00f3n. El incidente real exige frases que una persona de la plantilla pueda sostener por tel\u00e9fono sin especular. Esas frases nacen cuando la mesa las trata como un encargo.<\/p>\n
C\u00f3mo el ejercicio se convierte en un plan de medidas s\u00f3lido<\/h2>\n
El valor de las dos horas est\u00e1 en el plan de medidas<\/strong> que la mesa esboza todav\u00eda en la sala. Cada hueco que el juego dej\u00f3 a la vista pasa a ser una medida con una persona responsable, una fecha y una evidencia esperada. Los hallazgos t\u00edpicos en la mediana empresa afectan a cadenas de escalado sin la red corporativa, contactos vigentes del proveedor y reglas de suplencia de la direcci\u00f3n. Se suman plantillas para las primeras informaciones. A menudo queda abierta la secuencia en la que los procesos deben volver a funcionar de verdad.<\/p>\n
Cada medida se define lo bastante peque\u00f1a para que pueda arrancar sin un gran proyecto nuevo. Una ficha de roles impresa, una v\u00eda de llamada probada fuera de la red corporativa o una primera informaci\u00f3n ya autorizada aguantan m\u00e1s que una declaraci\u00f3n de intenciones. El plan se afina en los d\u00edas posteriores al ejercicio, mientras los roces siguen presentes. La direcci\u00f3n de TI comprueba qu\u00e9 es viable en lo t\u00e9cnico y en lo contractual. La direcci\u00f3n autoriza lo que afecta a dinero, proveedores o imagen externa.<\/p>\n
Las medidas sin fecha o sin nombre desaparecen en el d\u00eda a d\u00eda. Las medidas con evidencia reaparecen en el siguiente ejercicio como piedra de toque. El plan se mantiene corto. Un cuadro de pocas l\u00edneas aguanta mejor en la operativa diaria que un documento largo que nadie abre.<\/p>\n
Los programas de simulaci\u00f3n a gran escala no son requisito para este fin en la mediana empresa. La ejecuci\u00f3n corresponde a la l\u00ednea habitual de direcci\u00f3n. Un punto fijo del orden del d\u00eda en las semanas posteriores al tabletop impide que el trabajo operativo tape los puntos abiertos. Lo cerrado se marca y queda en el acta de la direcci\u00f3n. Lo que se atasca vuelve a la direcci\u00f3n con la pregunta de si la necesidad de protecci\u00f3n o la fecha estaban mal fijadas.<\/p>\n
Qu\u00e9 plan de 12 meses mantiene el ejercicio en el calendario<\/h2>\n
Un solo tabletop tranquiliza un momento y envejece deprisa. Cambia el personal, los proveedores cambian de interlocutor y los procesos se desplazan con sistemas nuevos. El plan anual convierte el ejercicio en una rutina de direcci\u00f3n. El a\u00f1o se divide, a grandes rasgos, en encargo, primer ejercicio, ejecuci\u00f3n, segundo ejercicio y balance anual. Las fechas se fijan antes de que las olas de vacaciones y el cierre anual bloqueen el calendario.<\/p>\n
\n\nInicio de a\u00f1o<\/div>\nElegir escenario, fijar roles, fecha al calendario.<\/div>\n<\/div>\n\nTras el primer ejercicio<\/div>\nMedidas con nombres, fechas y responsable.<\/div>\n<\/div>\n\nSeis meses despu\u00e9s<\/div>\nSegundo ejercicio, dos horas, reloj visible.<\/div>\n<\/div>\n\nA fin de a\u00f1o<\/div>\nComprobar si planes, contactos y escalado a\u00fan aguantan.<\/div>\n<\/div>\n<\/div>\nAl inicio del a\u00f1o, la direcci\u00f3n de TI recoge el encargo de la direcci\u00f3n. Juntas nombran los procesos sin los cuales la empresa no puede entregar y los sistemas de los que esos procesos dependen. En las semanas siguientes nacen la ficha de roles, las suplencias, una v\u00eda de contacto localizable sin la red corporativa y el primer escenario. El primer ejercicio de dos horas se sit\u00faa, a prop\u00f3sito, pronto en el a\u00f1o. Solo as\u00ed el plan de medidas a\u00fan tiene recorrido para contactos, plantillas, escalado y la aclaraci\u00f3n con el proveedor.<\/p>\n
A mitad de a\u00f1o basta un estado breve en la direcci\u00f3n, con las columnas hecho, retrasado y bloqueado. En el segundo semestre el escenario se endurece. El segundo ejercicio comprueba, con una ca\u00edda m\u00e1s larga, una persona clave ausente o presi\u00f3n en paralelo, si el plan de primavera aguanta. El segundo ejercicio dura otra vez dos horas y usa los mismos roles. Solo cambia la situaci\u00f3n.<\/p>\n
El cierre del a\u00f1o deja constancia de qu\u00e9 medidas funcionan, qu\u00e9 roles hay que cubrir de nuevo y qu\u00e9 escenario toca al a\u00f1o siguiente. La propia cita en el calendario es una medida de seguridad. Quien no agenda las dos horas no las encontrar\u00e1 en la operativa. Quien las agenda y las repite puede, en la ca\u00edda, recurrir a decisiones ya ensayadas. Puede recurrir a un lenguaje que ya naci\u00f3 una vez en la mesa.<\/p>\n
Preguntas frecuentes<\/h2>\n
Cada pregunta est\u00e1 cerrada. Un toque abre la respuesta.<\/p>\n
\n\u00bfBastan dos horas si una ca\u00edda real durar\u00eda mucho m\u00e1s?<\/strong><\/summary>\n
Las dos horas entrenan las decisiones de mando de la primera hora. La recuperaci\u00f3n que se alarga queda en los planes de rearranque, las pruebas de copia de seguridad y el trabajo con el proveedor. El tabletop hace visible si esos planes se pueden empalmar y si la mesa puede decidir bajo presi\u00f3n de tiempo.<\/p>\n<\/details>\n
\n\u00bfTiene que sentarse a la mesa el proveedor externo?<\/strong><\/summary>\n
Si la operaci\u00f3n, el hosting o el rearranque est\u00e1n por contrato en sus manos, entra en el ejercicio. Si no, la empresa decide sobre opciones que no puede ejecutar sola. La ficha de roles lo nombra con suplente y con una v\u00eda de contacto fuera del sistema ca\u00eddo.<\/p>\n<\/details>\n
\n\u00bfHace falta un programa de simulaci\u00f3n caro para el plan anual?<\/strong><\/summary>\n
Para el tabletop en la mediana empresa basta un marco anal\u00f3gico con hoja de escenario, ficha de roles y acta. Los programas de simulaci\u00f3n a gran escala no son un requisito.<\/p>\n<\/details>\n
<\/p>\n
Selecci\u00f3n editorial<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/incident-response-tabletop-uebung-notfallplan-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>El plan de emergencia que nadie ha puesto en pr\u00e1ctica<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/ransomware-incident-response-2026-250x167.jpg\")
<\/span>Recomendado<\/span>Ransomware 2026: Respuesta a incidentes en los primeros 60 minutos<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-incident-response-cover-hero-250x143.jpg\")
<\/span>Recomendado<\/span>\u00bfQu\u00e9 es la respuesta a incidentes? El plan para emergencias<\/span><\/span><\/a><\/p>\nM\u00e1s de la red MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-nis2-umsetzung-mittelstand-pflichten-bus-5121759-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>Transposici\u00f3n NIS2: lo que las pymes a\u00fan deben hacer<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-it-resilienz-bcm-cio-dora-nis2-iso-22301-36056664-250x167.jpg\")
<\/span>Digital Chiefs<\/span>Resiliencia TI 2026: Por qu\u00e9 DORA, NIS2 e ISO 22301 deben integrarse en un marco \u00fanico<\/span><\/span><\/a><\/p>\nFuente de la imagen: generado por IA (septiembre 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Dos horas en anal\u00f3gico, roles fijos y un calendario anual permiten ensayar el incidente real antes de que la operaci\u00f3n se detenga.","protected":false},"author":10,"featured_media":23999,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"tabletop ca\u00edda de TI","_yoast_wpseo_title":"Ensayar la ca\u00edda de TI antes de que ya nadie pueda decidir","_yoast_wpseo_metadesc":"Dos horas de tabletop, ficha de roles y calendario anual: as\u00ed ensaya la empresa la situaci\u00f3n y el lenguaje antes de que ya nadie decida.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/it-ausfall-ueben-bevor-niemand-mehr-entscheidet-cover-hero.png","_yoast_wpseo_opengraph-image-id":23999,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/it-ausfall-ueben-bevor-niemand-mehr-entscheidet-cover-hero.png","_yoast_wpseo_twitter-image-id":23999,"_evm_slot_owner":"codex-st-translation-261001|2026-10-01T10:07:36Z|translate-sweep owner-go 01.10.2026 11:57|ttl=120","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[257],"tags":[],"class_list":["post-24114","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-es"],"evm_reading_time_minutes":14,"wpml_language":"es","wpml_translation_of":23539,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/24114","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=24114"}],"version-history":[{"count":18,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/24114\/revisions"}],"predecessor-version":[{"id":24391,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/24114\/revisions\/24391"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/23999"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=24114"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=24114"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=24114"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- ✓<\/span>TI, para cuadro de situaci\u00f3n, rearranque y proveedor<\/li>\n
- Roles antes del incidente.<\/strong> Direcci\u00f3n, TI, \u00e1rea de negocio, protecci\u00f3n de datos y proveedor deben compartir el mismo estado.<\/li>\n