# Caso práctico · Un lunes con un envío equivocado: aplicabilidad, riesgos, continuidad y brecha

Ruta: Consultor GRC. Empresa (ficticia): Laboratorio Rivalcanto Ejemplo, S. L.

## Antes de empezar

- Todo es ficticio: empresa, sistemas, sedes y proveedores. Las personas aparecen solo por su puesto.
- Las horas de la cronología son hora de Madrid. Los datos del paquete son los únicos hechos disponibles.
- Marca como «a confirmar» lo que dependa de la ley nacional o de un criterio profesional.
- Es una autoevaluación: no hay corrección ni certificado asociado, y este caso no tiene solución publicada.

## Encargo

Te contrata la gerencia de Laboratorio Rivalcanto Ejemplo, S. L., una empresa ficticia con 45 personas en dos sedes que hace análisis clínicos para clínicas privadas. Tiene un portal web donde las clínicas descargan resultados (datos de salud), un sistema de laboratorio (LIMS) alojado por un proveedor, una gestoría externa para las nóminas, copias nocturnas en un NAS de la misma sede, doble factor solo en el correo y un concierto con un hospital público. Algunas personas de laboratorio pegan a veces resultados en un asistente de IA público para resumirlos.

El sábado 3 de octubre de 2026 a las 10:15 un técnico envió por correo un lote de 38 resultados a una clínica que no era la destinataria. Se supo el lunes 5 a las 09:00, cuando la clínica correcta llamó para reclamarlo. Los hechos y las horas están en la cronología; qué hora cuenta como «constancia» es una decisión tuya que debes justificar.

Entrega a la gerencia un paquete de consultoría breve: qué normas le aplican (y cuáles no sabes todavía), qué riesgos son los importantes, si sus tiempos de recuperación son coherentes con sus copias, cómo gestionar la brecha y qué tres decisiones tiene que tomar. No es asesoramiento jurídico: lo que dependa de la ley nacional o de un criterio profesional se marca como «a confirmar».

## Qué hay que entregar

1. **Mapa de aplicabilidad normativa.** RGPD y LOPDGDD, ENS, NIS2, DORA, CRA y Reglamento de IA: criterio, conclusión y qué queda «a confirmar» con la fuente que consultarías. (Tabla (CSV o Markdown))
2. **Registro de riesgos.** Al menos 10 escenarios con causa, evento y consecuencia, la escala definida por escrito, tratamiento, responsable, plazo y riesgo residual. (Tabla (CSV o Markdown) y definición de la escala)
3. **BIA de 4 actividades.** MTPD, RTO y RPO de cuatro actividades, contrastados con la frecuencia y el estado de las copias. (Tabla (CSV o Markdown))
4. **Gestión de la brecha.** Cronología, hora de constancia que fijas y justificas, plazo, decisión sobre notificar a la autoridad y comunicar a las personas, y borrador de la notificación. (Documento breve en Markdown)
5. **Informe ejecutivo y plan de seis meses.** Una página con situación, hallazgos, riesgo y tres decisiones pedidas, más un plan de seis meses con responsable y fecha. (Una página + tabla)

Usa `plantilla-entrega.md` como punto de partida.

## Ficheros de este paquete

| Fichero | Qué es |
|---|---|
| `LEEME.md` | Encargo, reglas del caso y lista de ficheros. |
| `plantilla-entrega.md` | Plantilla vacía con la estructura de los cinco entregables. |
| `empresa.md` | Descripción de la empresa ficticia, sedes, personas y contratos. |
| `sistemas.csv` | Inventario de sistemas con datos que tratan y proveedor. |
| `entrevistas-continuidad.csv` | Tiempos de recuperación declarados en las entrevistas. |
| `copias.csv` | Estado real de las copias de seguridad. |
| `cronologia-incidente.csv` | Hechos y horas conocidos del envío equivocado (hora de Madrid). |
| `plantilla-mapa-aplicabilidad.csv` | Plantilla vacía del mapa de aplicabilidad. |
| `plantilla-registro-riesgos.csv` | Plantilla vacía del registro de riesgos. |
| `plantilla-bia.csv` | Plantilla vacía del análisis de impacto (BIA). |

Tiempo estimado: Entre 3 y 4 horas. Es una estimación nuestra, todavía sin medir con personas.

## Autoevaluación

La rúbrica con niveles de 0 a 3 y la autoevaluación guardada en tu navegador están en la página del caso (/rutas/ruta-consultor-grc/caso).