Continuité d'activité : tenir quand l'informatique s'arrête

La vraie question : combien de jours sans informatique ?

La sécurité cherche à empêcher l'incident. La continuité part d'une hypothèse moins confortable : l'incident a eu lieu. Rançongiciel, panne d'un hébergeur, incendie, erreur de manipulation, compte d'administration piraté : la cause importe peu, la question est de savoir combien de temps l'entreprise peut encore produire, livrer et facturer.

Ce n'est pas un scénario réservé aux grands groupes :

Ce dernier écart résume le sujet : la plupart des entreprises ont des sauvegardes, très peu savent ce qu'elles devraient restaurer en premier, en combien de temps, et qui décide pendant la crise. Un plan de continuité répond précisément à ces trois questions.

Deux sigles reviennent partout. Le PCA (plan de continuité d'activité) décrit comment l'activité se poursuit pendant la perturbation, souvent en mode dégradé. Le PRA (plan de reprise d'activité) décrit comment les systèmes sont rétablis ensuite. Pour une PME, l'essentiel tient souvent en un document unique d'une dizaine de pages.

Se situer en six questions

Répondez honnêtement par oui ou par non. Un plan qui existe « quelque part » mais que personne ne sait retrouver vaut non.

1. La direction a-t-elle chiffré, par écrit, la durée d'arrêt que l'entreprise peut supporter ?

Non : c'est la décision dont tout découle (niveau de sauvegarde, budget, priorités). Sans ce chiffre, chaque investissement se discute à l'intuition. Oui : vérifiez qu'il est décliné par activité, pas seulement global.

2. Connaissez-vous les trois à cinq applications sans lesquelles l'activité s'arrête vraiment ?

Non : c'est l'objet de l'analyse d'impact sur l'activité (BIA). La liste est presque toujours plus courte qu'on ne le croit, et c'est une bonne nouvelle : c'est elle qu'il faut protéger en priorité.

3. Avez-vous défini, pour ces applications, un délai de reprise (RTO) et une perte de données acceptable (RPO) ?

Non : « notre ERP redémarre en 4 heures avec au plus une heure de données perdues » est un objectif vérifiable. « Le plus vite possible » ne l'est pas, et votre prestataire informatique ne peut pas s'engager dessus.

4. Une restauration complète a-t-elle été testée au cours des douze derniers mois ?

Non : une sauvegarde jamais restaurée est une hypothèse. Le test révèle les mauvaises surprises (copie incomplète, clé de chiffrement introuvable, durée de restauration de plusieurs jours) tant qu'elles sont encore sans conséquence.

5. L'annuaire de crise (direction, prestataire informatique, assureur, banque, avocat) existe-t-il hors du système d'information ?

Non : pendant un rançongiciel, la messagerie et les fichiers partagés sont souvent inaccessibles. Les numéros utiles doivent exister sur papier ou sur un téléphone indépendant.

6. Savez-vous ce que vous direz, et à qui, dans les premières heures d'un incident majeur ?

Non : salariés, clients, fournisseurs, CNIL si des données personnelles sont touchées, assureur, parfois la presse. Une communication improvisée aggrave presque toujours la crise.

Lecture : si les questions 1 et 4 sont à « non », commencez par elles, avant tout document formel. Si seules les questions 5 et 6 sont à « non », vous avez la partie technique : il vous manque l'organisation de crise, qui coûte surtout du temps de direction.

Les mesures prioritaires, dans l'ordre

Le Secrétariat général de la défense et de la sécurité nationale (SGDSN) publie un guide méthodologique pour réaliser un plan de continuité d'activité, et l'ANSSI une collection de trois guides sur la gestion de crise cyber. Ce qui suit en reprend la logique, ramenée à l'échelle d'une PME.

1. Chiffrer l'impact d'un arrêt

Réunissez la direction et les responsables métiers pendant deux heures. Pour chaque activité (production, ventes, livraisons, paie, facturation), posez trois questions : que perd-on au bout d'un jour, d'une semaine, d'un mois d'arrêt ? Quelles applications et quels fournisseurs sont indispensables ? Existe-t-il un moyen de continuer sans eux, même lentement ? Le résultat est une BIA simplifiée, et la liste des activités à protéger d'abord.

2. Fixer des objectifs de reprise réalistes

Traduisez ces impacts en RTO et RPO pour chaque application critique, puis confrontez-les à ce que vos sauvegardes et vos contrats permettent réellement. L'écart entre les deux est votre plan d'action technique.

3. Sécuriser les sauvegardes et tester la restauration

Au moins une copie hors ligne ou non modifiable, hors d'atteinte d'un attaquant qui aurait pris le contrôle du réseau ; des sauvegardes des configurations et des accès, pas seulement des fichiers ; un test de restauration daté, chronométré et consigné, au moins une fois par an. Le chronomètre compte : c'est lui qui dit si votre RTO est tenable.

4. Décrire le mode dégradé

Ce qui continue sur papier, par téléphone ou sur des postes de secours ; qui peut encore commander, livrer, encaisser ; pendant combien de temps ce fonctionnement est tenable. Quelques pages suffisent, à condition qu'elles soient imprimées.

5. Organiser la cellule de crise

Nommez un décideur et son suppléant, un responsable technique, un responsable de la communication. Préparez l'annuaire de crise hors ligne et une fiche réflexe : isoler les machines touchées du réseau sans les éteindre, prévenir le prestataire, prévenir l'assureur, déposer plainte dans les 72 heures (condition d'indemnisation par l'assurance, article L. 12-10-1 du code des assurances), évaluer la notification à la CNIL dans le même délai de 72 heures. Le guide de l'ANSSI Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique détaille ces rôles en fiches pratiques.

6. Préparer la communication de crise

Rédigez à froid des messages types pour les salariés, les clients et les partenaires, et désignez qui les valide. L'ANSSI consacre un guide spécifique à ce sujet : Anticiper et gérer sa communication de crise cyber.

7. Vérifier les contrats

Que prévoient vos contrats d'hébergement et d'infogérance en cas d'incident : délai d'intervention, restitution des données, réversibilité ? Que couvre votre assurance, et sous quels délais de déclaration ? Ces réponses se lisent aujourd'hui dans les contrats, pas pendant la crise.

8. S'exercer une fois par an

Un exercice sur table de deux ou trois heures, à partir d'un scénario réaliste (« lundi 8 h, les serveurs sont chiffrés »), révèle plus de failles qu'une relecture du plan. Le guide de l'ANSSI Organiser un exercice de gestion de crise cyber décrit la démarche. Mettez le plan à jour après chaque exercice.

Les erreurs fréquentes

Pour la préparation spécifique au rançongiciel, voyez aussi notre article se préparer à une attaque par rançongiciel.

Ce que ça coûte

Les fourchettes suivantes proviennent des prestations de la catégorie continuité du catalogue Lyyp. Ce sont des ordres de grandeur : le prix dépend du nombre de sites, d'activités et d'applications critiques.

Le catalogue propose aussi un exercice de crise cyber animé (3 000 à 8 000 €, environ 2 jours), utile une fois le plan écrit.

Une partie importante du travail ne coûte que du temps de direction : chiffrer l'impact d'un arrêt, nommer la cellule de crise, imprimer l'annuaire. Faites-la avant de consulter, le devis n'en sera que plus précis.

Ce que les textes imposent

RGPD : la disponibilité fait partie de la sécurité

L'article 32 du RGPD cite explicitement, parmi les mesures de sécurité attendues, les moyens de garantir « la disponibilité et la résilience constantes » des systèmes, les moyens de rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident, et une procédure pour tester régulièrement l'efficacité des mesures. Une perte de données personnelles sans sauvegarde exploitable est une violation de données au sens de l'article 33, à notifier à la CNIL sous 72 heures si elle présente un risque.

NIS2 : continuité et gestion de crise, dès la transposition

La directive (UE) 2022/2555 range la continuité des activités (gestion des sauvegardes, reprise après sinistre) et la gestion de crise parmi les mesures obligatoires de gestion des risques (article 21, paragraphe 2, point c). Elle n'est pas encore transposée en France au 13 septembre 2026 : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité attend son examen en séance publique à l'Assemblée nationale. Aucune obligation NIS2 n'est donc exigible aujourd'hui, mais un plan de continuité fera partie du socle attendu des entités concernées.

DORA : des exigences précises pour le secteur financier

Applicable depuis le 17 janvier 2025, le règlement (UE) 2022/2554 impose aux entités financières une politique de continuité des activités de TIC, une analyse des incidences sur les activités, et des tests des plans de continuité au moins une fois par an (article 11). Si vous fournissez des services informatiques à une banque, une assurance ou une société de gestion, attendez-vous à ce que ces exigences se retrouvent dans vos contrats.

HDS et PCI DSS

Les hébergeurs de données de santé pour le compte de tiers doivent être certifiés par un organisme accrédité (article L. 1111-8 du code de la santé publique) : un client du secteur de la santé vous interrogera sur la disponibilité et la reprise du service. PCI DSS, norme contractuelle imposée par les réseaux de cartes, prévoit de son côté un plan de réponse aux incidents. Dans les deux cas, attendez-vous à devoir fournir des preuves, pas des intentions.

Passer à l'action

Commencez par mesurer. Le diagnostic Lyyp ciblé sur la continuité et la résilience pose 5 questions : existence d'un PCA/PRA, tests réguliers, analyse d'impact, objectifs RTO/RPO, plan de communication de crise. Il est gratuit et vous situe en quelques minutes. Si vous hésitez sur le domaine à traiter en premier, voyez par où commencer.

Ensuite, consultez les prestataires spécialisés en plan de continuité référencés sur Lyyp, en leur transmettant vos réponses aux six questions ci-dessus : c'est le meilleur moyen d'obtenir des devis comparables.

Sources