Crisis reputacional pública: quién habla en las primeras 72 h

En las primeras 72 horas de una crisis reputacional pública debe hablar una sola voz designada por escrito, respaldada por un comité que decide y deja constancia de cada decisión. Se publica lo verificado, se acota lo que sigue bajo investigación y se registra por qué se calló el resto. En el sector público la diferencia no está en comunicar mejor, sino en poder demostrar después, ante un órgano de control o ante un juzgado, por qué se comunicó lo que se comunicó y en qué momento se supo cada cosa.

Un plan de crisis reputacional para una institución pública que no produzca rastro auditable es un plan de comunicación privado aplicado a un entorno que no lo es. Y esa diferencia se paga en la fase de rendición de cuentas, no durante la crisis.

¿Qué cuenta como crisis reputacional en una institución pública?

No toda mala noticia es una crisis. Definimos crisis como el suceso que reúne tres condiciones a la vez:

1. Hay una acusación o un hecho que afecta a la confianza en la institución, no solo a su eficiencia.
2. La información circula más rápido de lo que la institución puede verificarla.
3. Alguien externo va a fijar el relato si la institución no lo hace.

Los desencadenantes habituales en el sector público son la filtración de datos de ciudadanos, la suplantación de la identidad digital de la institución, la difusión de un documento interno auténtico o falsificado, una acusación de irregularidad en un procedimiento, un incidente de seguridad en un servicio esencial y la publicación de contenido sintético que atribuye declaraciones a un cargo.

Cada uno tiene distinta carga probatoria, pero todos comparten el mismo problema operativo: en la hora cero nadie sabe todavía qué es cierto.

¿Por qué 72 horas y no otro plazo?

Conviene separar dos relojes que se confunden constantemente.

Reloj	Qué obliga	Destinatario	Base
Notificación regulatoria	Comunicar la brecha de datos personales	Autoridad de control	Artículo 33 del RGPD, sin dilación indebida y a más tardar 72 horas
Comunicación a afectados	Informar a las personas	Ciudadanos afectados	Artículo 34 del RGPD, cuando hay alto riesgo
Comunicación pública	Fijar el relato y sostener la confianza	Opinión pública y medios	No hay plazo legal general: es decisión institucional

Las 72 horas de este artículo son las del tercer reloj y se usan como marco operativo, no como obligación. La razón es práctica: es el intervalo en el que se decide si la institución es fuente del relato o su objeto. Pasado ese punto, el coste de corregir una versión ya asentada crece de forma desproporcionada.

Para el reloj técnico —contención, análisis y recuperación— la referencia metodológica es la revisión 3 de NIST SP 800-61, que integra la respuesta a incidentes dentro del ciclo de gestión de riesgo. A escala europea, ENISA mantiene el marco de respuesta a incidentes y gestión de crisis ciber que articula la coordinación entre estados y equipos de respuesta.

¿Quién habla y quién no habla?

La regla es una sola voz hacia fuera y muchas voces hacia dentro. La designación se hace por escrito antes del incidente, con suplente nombrado.

Rol	Decide	Habla en público	Nunca hace
Máximo responsable	Aprueba la posición institucional	Solo en hitos: primera comparecencia formal y cierre	Improvisar en pasillo
Portavoz designado	Ejecuta la posición aprobada	Sí, es la voz por defecto	Adelantar hipótesis
Responsable técnico	Aporta el hecho verificado	No	Hablar con medios
Asesoría jurídica	Marca qué no puede publicarse y por qué	No	Redactar el comunicado
Delegado de protección de datos	Valora riesgo para los afectados y notificación	Ante la autoridad, no ante medios	Confirmar alcance sin datos
Comunidad y redes	Escucha, registra y responde con mensaje aprobado	Solo mensaje aprobado	Discutir con usuarios
Personal en general	Nada	No	Comentar el caso, ni en privado

El punto más incumplido es el último. La instrucción interna de que nadie ajeno al comité comenta el caso debe emitirse en la primera hora y por escrito, porque un mensaje de un empleado en un grupo privado acaba siendo una captura de pantalla publicada.

¿Qué se publica y qué se reserva mientras hay investigación abierta?

Tipo de información	Publicable en 72 h	Condición
Que existe un incidente o una investigación	Sí	Casi siempre; la negación posterior es letal
Qué servicios están afectados y cuáles no	Sí	Solo lo confirmado por el equipo técnico
Qué debe hacer el ciudadano	Sí	Prioritario si hay acción de protección
Quién lleva la investigación	Sí	Órgano o unidad, no nombres de personas
Fecha del siguiente comunicado	Sí	Comprometerla y cumplirla
Causa raíz	No	Hasta análisis cerrado
Número exacto de afectados	No	Hasta cifra verificada; una cifra corregida al alza destruye credibilidad
Atribución del ataque	No	Casi nunca en 72 h
Datos personales de implicados	No	Con carácter general
Detalles que faciliten repetir el ataque	No	Nunca en fase abierta

La regla de redacción es la misma en los tres casos: se afirma lo verificado, se acota lo desconocido y no se especula. Una frase del tipo «todo apunta a que» no es información, es una hipótesis que quedará registrada como posición oficial.

Y una regla de honestidad que conviene fijar antes de la crisis: no se promete que el incidente no volverá a ocurrir, ni que los sistemas son seguros en términos absolutos. Ese tipo de afirmación no resiste la primera pregunta técnica y compromete a la institución para siempre.

¿Cómo se deja rastro auditable de cada decisión de comunicación?

Aquí está el requisito específico del sector público. Una empresa privada puede permitirse decidir en una llamada. Una institución tiene que poder reconstruir, meses después, quién supo qué, en qué momento y con qué respaldo.

El mecanismo mínimo es una bitácora de decisiones de comunicación con cinco campos por entrada:

• Hora exacta con zona horaria.
• Hecho conocido en ese momento y quién lo aportó.
• Decisión tomada: publicar, no publicar, esperar.
• Motivo, incluida la restricción jurídica si la hubo.
• Aprobación: quién autorizó.

Esa bitácora vale poco si es un documento editable en una carpeta compartida, porque cualquiera puede reescribirla después. Lo que la convierte en prueba es sellarla: huella criptográfica de cada entrada o de cada cierre de jornada, con fecha demostrable e independiente del reloj de la institución. Es exactamente la función de Veritas UGC, nuestro producto de certificación probatoria: acredita que un documento existía en una fecha y que no ha cambiado desde entonces, con verificación pública y sin cuenta.

Lo mismo se aplica a cada comunicado publicado, a cada versión intermedia descartada y a las capturas de lo que circulaba en redes en cada momento. En una impugnación posterior, la pregunta no será qué dijisteis, sino qué sabíais cuando lo dijisteis.

El diseño de esa cadena de custodia documental es parte del trabajo que describimos en instituciones públicas e infraestructura crítica, y la parte de recuperación de relato, desindexación y defensa de identidad digital corresponde a reputación.

¿Cuál es la secuencia hora a hora?

Ventana	Objetivo	Entregable
0 – 2 h	Activar comité, congelar declaraciones, empezar bitácora	Instrucción interna de silencio y designación de portavoz
2 – 6 h	Verificar el hecho mínimo y preservar evidencia	Primer paquete de evidencia sellada
6 – 12 h	Primera declaración pública breve	Comunicado de reconocimiento con próxima actualización comprometida
12 – 24 h	Notificaciones regulatorias si proceden	Notificación a la autoridad de control y registro interno
24 – 48 h	Información de servicio al ciudadano	Página de estado permanente con qué hacer y qué no
48 – 72 h	Segunda actualización con alcance acotado	Comunicado con lo confirmado y lo que sigue abierto

La página de estado permanente es más útil que la nota de prensa. Concentra el relato en un dominio de la institución, se actualiza con marca de tiempo y evita que cada medio construya su propia cronología a partir de declaraciones dispersas.

¿Qué errores se repiten?

• Negar antes de verificar. El desmentido prematuro convierte un incidente en dos.
• Dar una cifra pronto. La corrección al alza se lee como ocultación.
• Cambiar de portavoz a mitad. Se interpreta como descoordinación o como cese encubierto.
• Responder a cada mención en redes. Alarga la vida del asunto y multiplica su alcance.
• Borrar publicaciones anteriores. Alguien tiene la captura. Se corrige con una nueva entrada fechada, no borrando.
• Prometer un plazo de resolución. Se promete un plazo de próxima información, que sí se controla.
• No documentar por qué se calló algo. Es el error que solo se paga después, y es el más caro.

¿Qué no puede prometer un plan de crisis?

No evita la crisis, no garantiza que el relato favorable prevalezca y no sustituye a la corrección del problema de fondo. Lo que hace es reducir el margen de improvisación, acortar el tiempo de reacción y dejar la institución en condiciones de justificar sus decisiones ante quien tenga que revisarlas. Cualquier oferta que prometa control total de la conversación pública o eliminación garantizada de contenido debe descartarse. Nuestro estado real de controles y marcos está publicado en /trust, y el trabajo previo de endurecimiento y respuesta técnica, en protección.

Qué hacer ahora

1. Designa por escrito portavoz y suplente, y hazlo hoy, no cuando ocurra el incidente.
2. Escribe la matriz de decisión con las tres columnas mínimas: qué se publica siempre, qué se publica bajo condición y qué no se publica en fase abierta.
3. Crea la plantilla de bitácora de decisiones de comunicación y decide cómo se sellará cada cierre de jornada.
4. Prepara la página de estado ahora, vacía y despublicada, en un dominio de la institución.
5. Ensaya un supuesto de dos horas con el comité real, no con una presentación.
6. Revisa quién tiene acceso a las cuentas institucionales y al dominio: en muchas crisis reputacionales el primer problema es que la institución no controla su propio canal.

Si quieres que revisemos vuestro plan actual y montemos la parte de rastro auditable —bitácora sellada, custodia de evidencia y página de estado—, escríbenos desde /contacto indicando el tipo de institución y si existe ya un comité de crisis constituido.