Plan de continuité d'activité (PCA)
Ensemble des mesures qui permettent à l'entreprise de maintenir ses activités essentielles pendant une crise, y compris une cyberattaque.
Définition complète
Le plan de continuité d'activité (PCA) décrit comment l'entreprise continue de fonctionner, éventuellement en mode dégradé, lorsqu'un sinistre la frappe : cyberattaque, panne majeure, incendie, indisponibilité d'un fournisseur. Il se distingue du plan de reprise d'activité (PRA), centré sur le redémarrage des systèmes après l'interruption.
Le guide du SGDSN décrit une démarche en étapes : identifier les processus critiques, fixer pour chacun un délai maximal d'interruption acceptable (DMIA) et une perte de données maximale admissible (PDMA), analyser les risques, puis définir les moyens de secours (site de repli, procédures manuelles, solutions de remplacement) et l'organisation de crise.
Un PCA n'a de valeur que s'il est tenu à jour et exercé : le SGDSN insiste sur les exercices et les retours d'expérience pour vérifier son réalisme.
Source : SGDSN, Guide pour réaliser un plan de continuité d'activité
Exemple concret
Un distributeur alimentaire de 120 salariés est victime d'un rançongiciel qui bloque son logiciel de gestion. Grâce à son PCA, les commandes du jour sont prises sur des bons papier préimprimés, les listes de clients et de tarifs sont disponibles sur une copie hors ligne, et les livraisons prioritaires (restaurants scolaires) sont assurées. Le PRA prend ensuite le relais pour restaurer les systèmes.
Comment se protéger
- Identifier avec les métiers les activités qui ne peuvent pas s'arrêter plus de quelques heures
- Fixer pour chacune une durée d'interruption et une perte de données acceptables (DMIA, PDMA)
- Prévoir des modes dégradés qui fonctionnent sans informatique
- Conserver les contacts et procédures de crise hors du système d'information
- Tester le plan au moins une fois par an par un exercice
- Mettre le PCA à jour après chaque changement d'organisation ou d'outil
Questions fréquentes
Le PCA vise à maintenir les activités essentielles pendant la crise. Le PRA organise la remise en service des systèmes et le retour à la normale après l'interruption. Les deux sont complémentaires.
Aucune obligation générale ne s'applique à toutes les PME, mais certains secteurs et certains clients l'exigent. Une version courte, centrée sur trois ou quatre activités vitales, suffit souvent à éviter l'arrêt complet.
Termes liés
Analyse d'impact sur l'activité (BIA)
Étude qui mesure les conséquences d'une interruption sur chaque activité pour fixer les priorités de continuité et de reprise.
Exercice de crise cyber
Simulation d'une cyberattaque qui entraîne la direction et les équipes à prendre les bonnes décisions avant qu'une vraie crise survienne.
Plan de reprise d'activité
Procédures pour restaurer les systèmes après un incident majeur.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Vous avez besoin d'un expert en Plan de continuité d'activité (PCA) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.