Plan de continuité d'activité : recenser les activités critiques, fixer DMIA et PDMA, écrire les procédures de repli et tester le PCA chaque année.
Un plan de continuité d’activité décrit comment l’entreprise continue de fonctionner pendant une interruption majeure, puis revient à la normale. Il repose sur trois éléments : une liste d’activités critiques hiérarchisées, des délais de reprise chiffrés, et des procédures de repli écrites, testées au moins une fois par an.
PCA, PRA et gestion de crise : trois objets distincts
Le vocabulaire flotte dans beaucoup d’entreprises, et cette confusion produit des documents bancals.
Le plan de continuité d’activité couvre l’ensemble de l’organisation. Il répond à une question unique : comment continuons-nous à servir nos clients pendant l’incident ? Locaux, personnes, fournisseurs, processus métier entrent dans son périmètre, pas seulement l’informatique.
Le plan de reprise d’activité, souvent désigné par son sigle PRA, cible la remise en service technique du système d’information après un sinistre. Restauration des serveurs, bascule vers une infrastructure de secours, réinstallation des postes : ce plan constitue un sous-ensemble du PCA, jamais son équivalent.
Le plan de gestion de crise organise la décision : qui prend la main, à partir de quel seuil, avec quelles communications vers les salariés, les clients et les autorités. Une entreprise peut disposer d’excellentes sauvegardes et perdre trois jours parce que personne ne sait qui décide d’arrêter la production.
La directive NIS2, adoptée sous la référence (UE) 2022/2555, réunit ces trois volets dans une même exigence. Son article 21 impose aux entités essentielles et importantes des mesures de continuité couvrant la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. Les entreprises situées hors de ce périmètre y trouvent malgré tout une grille de lecture claire, gratuite et stable.
Le bilan d’impact, seul point de départ solide
Écrire un plan en partant des solutions techniques produit un document coûteux et mal ciblé. La méthode publique de référence en France, le guide pour réaliser un plan de continuité d’activité publié par le Secrétariat général de la défense et de la sécurité nationale en 2013, impose l’ordre inverse : analyser d’abord, équiper ensuite.
Recenser les activités qui ne supportent pas l’arrêt
Le bilan d’impact sur l’activité passe chaque processus au crible. Combien de temps peut-il rester interrompu avant que les conséquences deviennent intolérables, financièrement, contractuellement, humainement, juridiquement ?
L’exercice réserve des surprises. La paie, souvent absente des premières listes, devient critique à date fixe. L’accueil téléphonique pèse plus lourd que la comptabilité analytique dans une activité de service. Les activités critiques ne sont presque jamais celles que le comité de direction cite spontanément.
Chaque activité retenue reçoit ensuite ses dépendances : applications, données, personnes détentrices d’un savoir-faire, fournisseurs, locaux. Votre inventaire du parc informatique fournit la moitié de ce travail, à condition d’avoir été tenu à jour.
DMIA et PDMA, les deux curseurs qui commandent le budget
Deux indicateurs traduisent le bilan d’impact en exigences techniques.
La DMIA, durée maximale d’interruption admissible, correspond au délai au-delà duquel les conséquences deviennent inacceptables pour l’activité concernée. Le vocabulaire anglophone parle de RTO.
La PDMA, perte de données maximale admissible, mesure le volume de travail que l’entreprise accepte de perdre et de ressaisir, exprimé en temps. Une sauvegarde quotidienne lancée à vingt-deux heures fixe une PDMA d’environ vingt-quatre heures. Le sigle anglais correspondant est RPO.
Ces deux nombres commandent la facture. Une DMIA de quatre heures impose une infrastructure redondante et un contrat de support renforcé. Une DMIA de trois jours se satisfait d’une restauration classique. Fixer les curseurs activité par activité, au lieu d’un niveau uniforme appliqué à tout, divise souvent le budget par deux.
Choisir les scénarios, écarter les autres
Un plan de continuité ne traite pas des causes, il traite des effets. Cette bascule simplifie énormément le travail : inutile d’imaginer la liste exhaustive des catastrophes possibles, quatre pertes couvrent la quasi-totalité des situations.
- perte des locaux : incendie, dégât des eaux, périmètre de sécurité, coupure électrique longue ;
- perte du système d’information : rançongiciel, panne matérielle majeure, défaillance d’un hébergeur ;
- perte des personnes : épidémie, mouvement social, accident touchant une équipe entière ;
- perte d’un fournisseur clé : défaillance d’un prestataire, rupture d’approvisionnement, panne d’un opérateur télécom.
Le scénario informatique domine désormais les statistiques. Cybermalveillance.gouv.fr a enregistré plus de 504 000 demandes d’assistance sur l’année 2025, en hausse de 20 %, dont 7 % émanant de professionnels, et le nombre d’entreprises accompagnées y progresse de 73 % en un an, selon son rapport d’activité publié en 2026. Le rançongiciel reste le scénario qui immobilise le plus longtemps une organisation, parce qu’il atteint simultanément les données, les applications et les sauvegardes mal isolées.
Écartez explicitement les scénarios que vous ne traitez pas, en écrivant pourquoi. Un plan honnête sur ses limites vaut mieux qu’un document qui prétend tout couvrir et que personne n’ose ouvrir.
Les solutions de repli, du poste de travail aux données
Chaque scénario retenu appelle une réponse écrite, dimensionnée sur la DMIA de l’activité concernée.
| Perte subie | Repli à préparer |
|---|---|
| Locaux | Site de repli, télétravail généralisé, accueil chez un partenaire |
| Système d’information | Bascule vers une infrastructure secondaire, restauration depuis sauvegarde |
| Réseau | Second opérateur, partage de connexion mobile, procédures dégradées |
| Personnes | Binômage sur les gestes critiques, modes opératoires écrits, intérim identifié |
| Fournisseur | Second fournisseur référencé, stock tampon, clause contractuelle de continuité |
Le plan de repli le plus économique reste le travail à distance, à condition que les accès, les licences et les habitudes existent avant l’incident. Une entreprise déjà rodée à ses outils collaboratifs bascule en quelques heures. Une entreprise qui découvre le sujet le jour du sinistre perd une semaine.
Les procédures dégradées méritent une attention particulière. Prendre une commande sur un bon papier, facturer manuellement, tenir un registre de caisse hors logiciel : ces gestes archaïques sauvent le chiffre d’affaires pendant l’interruption. Encore faut-il que les formulaires existent, imprimés, rangés à un endroit connu de plusieurs personnes.
Vérifiez ensuite ce que vos contrats promettent réellement. Un hébergeur qui garantit un taux de disponibilité mensuel ne s’engage pas pour autant sur un délai de remise en service après sinistre majeur, et une prestation d’infogérance facturée en heures ouvrées ne couvre pas un incident déclaré le vendredi soir. Confronter chaque DMIA à la clause correspondante fait apparaître les écarts que le budget devra combler, par avenant ou par un dispositif interne.
Sauvegardes : le dernier rempart
Aucune reprise n’est possible sans sauvegarde exploitable. La règle dite 3-2-1 fixe le socle : trois copies des données, sur deux supports de nature différente, dont une conservée hors site.
L’ANSSI insiste, dans son guide consacré aux attaques par rançongiciel, sur un point que cette règle ne dit pas à elle seule : au moins une copie doit être déconnectée du réseau. Un disque externe branché uniquement pendant la sauvegarde, une bande rangée dans un coffre, une copie immuable chez un hébergeur constituent trois formes valides de sauvegarde hors ligne. Un partage réseau permanent, lui, sera chiffré en même temps que la production.
Le test de restauration compte davantage que la sauvegarde elle-même. Restaurer réellement un système critique, chronométrer l’opération, vérifier l’intégrité des données restituées : ce contrôle révèle les jeux de sauvegarde incomplets, les clés de chiffrement absentes et les procédures périmées. La norme internationale ISO 22301, qui fixe les exigences d’un système de management de la continuité d’activité, structure précisément cette logique de vérification périodique.
Un site web public offre un terrain d’entraînement idéal, à enjeu limité : la méthode de restauration d’un site suit exactement la même mécanique qu’un serveur métier, avec des conséquences bien moindres en cas de fausse manœuvre.
Le plan écrit : qui décide, qui appelle, qui exécute
Un document utile tient en quelques dizaines de pages, dont une poignée seulement seront réellement consultées en situation d’urgence.
La cellule de crise ouvre le plan : composition nominative, suppléants désignés, seuil de déclenchement, lieu de réunion et solution de repli si ce lieu devient inaccessible. Nommer des fonctions sans nommer des personnes crée un vide au moment décisif.
Vient ensuite l’annuaire de crise : salariés, prestataire informatique, assureur, banque, opérateurs, fournisseurs critiques, autorités compétentes. Ce document existe sous forme imprimée, en plusieurs exemplaires. Un annuaire stocké uniquement dans la messagerie professionnelle devient inaccessible exactement le jour où il sert.
Les fiches réflexes forment le cœur opérationnel : une page par scénario, les dix premières actions dans l’ordre, un responsable et un délai visé pour chacune. Rédigez-les à l’impératif, sans renvoi vers un autre document que la personne devrait aller chercher.
Le volet communication ferme la marche. Messages types vers les clients, vers les salariés, vers les partenaires, avec la personne habilitée à les diffuser et le canal retenu. L’improvisation en communication de crise laisse des traces bien plus durables que l’interruption elle-même.
Un plan non testé n’existe pas
Le guide du Secrétariat général de la défense et de la sécurité nationale se montre catégorique : un plan de continuité jamais éprouvé reste une hypothèse. La recommandation retenue prévoit un exercice au minimum annuel.
Trois niveaux d’exercice se combinent sans immobiliser toute l’entreprise :
- le test technique ciblé, trimestriel, qui restaure un système et mesure le délai réellement obtenu ;
- l’exercice sur table, annuel, où la cellule de crise déroule un scénario pendant deux heures sans rien débrancher ;
- la bascule réelle, plus rare, qui fait tourner une activité sur son dispositif de repli pendant une journée.
Chaque exercice annuel produit un compte rendu et une liste d’écarts, avec un responsable et une échéance par écart. Sans cette boucle, le plan vieillit plus vite que le système d’information qu’il prétend protéger.
Un incident réel vaut tous les exercices du monde, à condition d’en tirer un compte rendu à froid. Notez ce qui a fonctionné, le délai constaté au regard de la DMIA visée, les informations qui manquaient et les décisions prises en dehors du plan. Cette relecture, menée dans les quinze jours qui suivent le retour à la normale, corrige plus de défauts qu’une année entière de simulations.
La mise à jour suit les événements plutôt que le calendrier : nouvelle application critique, changement de prestataire, déménagement, départ d’une personne clé. Le volet technique se coordonne avec votre plan de cybersécurité, les deux documents partageant les mêmes hypothèses de menace et les mêmes contacts d’urgence.
Prochaine étape : réunissez trois personnes une demi-journée et classez vos activités par durée d’interruption supportable. Ce tableau, même grossier, oriente toutes les décisions qui suivent. Comptez ensuite deux à trois mois pour produire un premier plan réellement testable.
