Continuité d’activité : le plan minimal d’une petite structure
Une panne de logiciel, l’indisponibilité d’un local ou l’absence d’une personne clé peuvent interrompre une petite structure plus vite qu’une grande organisation. Un plan de continuité d’activité aide à décider quoi préserver, avec quels moyens et qui peut activer les mesures prévues.
Le dispositif doit rester proportionné aux activités, aux dépendances et aux obligations applicables, plutôt que recopier un modèle générique. Quelques décisions documentées et testées permettent déjà de protéger les activités essentielles ; les priorités pratiques sont les suivantes.
A retenir :
- Priorités métiers validées avant toute décision technique
- Scénarios réalistes couvrant locaux, personnes et systèmes
- Solutions de secours accessibles pendant une crise
- Exercices suivis d’actions correctives vérifiables
Plan de continuité d’activité : fixer les priorités
Ces priorités prennent forme lorsque la direction et les équipes déterminent ce qui doit continuer malgré une interruption. Selon le guide du SGDSN consacré à la réalisation d’un PCA, la démarche relie besoins métiers, dépendances, moyens de secours et décisions de crise.
Identifier les activités essentielles d’une petite structure
Pour chaque service, le responsable métier décrit le niveau minimal acceptable, les périodes sensibles et les conséquences d’un arrêt prolongé. Il valide aussi le délai maximal d’interruption et la perte de données tolérable, sans laisser l’informatique fixer seule ces objectifs.
Une PME fictive qui vend des pièces détachées peut maintenir la réception des commandes tout en suspendant temporairement leur préparation. Cette distinction évite de confondre continuité commerciale et fonctionnement intégral de l’entreprise.
Les termes voisins désignent des périmètres différents, ce qui aide à répartir les responsabilités avant la rédaction des procédures.
| Dispositif | Rôle principal | Périmètre |
|---|---|---|
| PCA | Maintenir les activités prioritaires | Organisation, métiers et informatique |
| PRA | Redémarrer les systèmes après un sinistre | Systèmes d’information |
| Continuité informatique | Préserver les services techniques | Applications et infrastructures |
| Gestion de crise | Coordonner les décisions et communications | Personnes et fonctions désignées |
Selon l’ANSSI, une crise d’origine cyber peut aussi rendre indisponibles les outils habituels de communication et l’annuaire. Le scénario doit donc prévoir des consignes accessibles hors du système touché.
Risques et dépendances à examiner :
- Perte des locaux, du courant ou des télécommunications
- Indisponibilité de l’ERP, des sauvegardes ou des accès
- Absence simultanée de plusieurs personnes clés
- Défaillance d’un fournisseur ou prestataire critique
Plan de continuité : préparer des réponses réalistes
Une fois les priorités clarifiées, l’équipe peut choisir des réponses adaptées aux interruptions les plus crédibles. Selon le guide de l’ANSSI sur la gestion opérationnelle et stratégique d’une crise cyber, l’organisation doit anticiper les décisions autant que les gestes techniques.
Choisir des solutions de secours proportionnées
Un site de repli, le télétravail, un fournisseur alternatif ou des formulaires papier peuvent préserver une partie du service. Chaque option a un coût de préparation, d’utilisation et de retour au fonctionnement normal, que le métier doit accepter.
Une procédure manuelle n’est utile que si les équipes savent où trouver les formulaires et comment rapprocher les demandes après la reprise. La sauvegarde des données doit également être vérifiée dans les conditions prévues, plutôt que supposée disponible.
Pour une petite structure, la première version peut rester courte, à condition d’indiquer clairement les décisions et les personnes responsables.
Éléments à consigner dans le plan :
- Personne autorisée à activer le dispositif
- Contacts d’urgence accessibles en dehors des outils habituels
- Procédure de fonctionnement dégradé par activité prioritaire
- Étapes de rapprochement avant la reprise complète
| Interruption envisagée | Réponse possible | Point à vérifier |
|---|---|---|
| ERP indisponible | Enregistrer les demandes sur un support de secours | Éviter pertes et doublons à la reprise |
| Locaux inaccessibles | Activer le télétravail ou un site de repli | Tester accès, matériel et coordination |
| Prestataire défaillant | Contacter un fournisseur alternatif identifié | Vérifier contrat et délais mobilisables |
| Équipe réduite | Répartir les tâches entre personnes formées | Confirmer compétences et disponibilités |
« Dans notre scénario fictif, nous recevons les commandes, mais nous différons leur confirmation tant que les stocks ne sont pas vérifiés. Cette règle évite de promettre un délai que l’équipe ne peut pas tenir. »
Cas pédagogique fictif
Tester le plan et organiser la gestion de crise
Des procédures bien rédigées ne prouvent pas qu’elles fonctionneront sous pression ; les exercices révèlent les dépendances oubliées. Selon la directive NIS 2, l’article 21 vise notamment la continuité, les sauvegardes et la gestion des incidents pour les entités concernées.
Exercer les décisions et corriger les écarts
Un exercice sur table peut simuler une panne d’ERP au début d’une journée, sans toucher aux systèmes réels. Les participants vérifient qui décide, comment informer les clients et où consigner les commandes reçues.
Dans cet exemple fictif, l’équipe découvre que l’annuaire de secours se trouve uniquement dans l’ERP. Elle attribue donc une action précise : rendre une copie actualisée accessible aux personnes autorisées, puis rejouer l’appel.
« Pendant l’exercice fictif, nous avons découvert que le numéro du prestataire était dans un dossier inaccessible. Nous avons déplacé le contact vers une copie de secours contrôlée. »
Retour d’expérience fictif
Le rythme des tests dépend des risques, des changements et des exigences applicables ; une modification importante peut justifier un nouvel exercice. NIS 2 et DORA ne s’appliquent pas indistinctement à toutes les entreprises : il faut vérifier le statut et le périmètre de l’entité.
Attribuer les rôles et tenir le plan à jour
La cellule de crise peut réunir direction, métiers, informatique, communication et conseil juridique, selon le scénario. Une personne coordonne les décisions, tandis qu’une autre tient le journal des événements et des actions engagées.
La communication d’urgence doit préciser qui informe les salariés, les clients et les partenaires, avec quels moyens alternatifs. Après chaque exercice ou changement important, le responsable du plan actualise les contacts, les consignes et les actions correctives.
« Dans notre cas fictif, j’ai suivi les décisions et les demandes reçues pendant la simulation. Ce relevé a permis de repérer les doublons avant la reprise normale. »
Retour d’expérience fictif
« À mes yeux, un plan utile tient d’abord dans des consignes accessibles et comprises. Un document plus volumineux ne compense pas une procédure jamais testée. »
Avis pédagogique fictif
Sources : SGDSN, guide pour réaliser un plan de continuité d’activité ; ANSSI, « Crise d’origine cyber, les clés d’une gestion opérationnelle et stratégique », 2021 ; directive NIS 2, article 21.
