Dans la plupart des réunions où ces trois termes apparaissent, ils sont utilisés indifféremment. C’est un problème, parce qu’ils répondent à des questions différentes, mobilisent des personnes différentes et se testent différemment.
Le PCA : continuer malgré tout
Le plan de continuité d’activité répond à : comment maintenir les activités essentielles pendant une interruption ?
Il est métier avant d’être technique. Un PCA prévoit qu’un service facture manuellement pendant trois jours, qu’une équipe travaille depuis un autre site, qu’un processus fonctionne en mode dégradé. L’informatique en est un moyen, pas l’objet.
Son point de départ est le bilan d’impact sur l’activité (BIA) : pour chaque processus, combien de temps peut-on tenir sans lui, et à partir de quand les conséquences deviennent-elles irréversibles ?
Le PRA : remettre en marche
Le plan de reprise d’activité est le volet technique : comment remettre les systèmes en état de fonctionnement après un sinistre ?
Il se pilote par deux indicateurs issus du BIA :
- RTO (Recovery Time Objective) : la durée maximale d’interruption acceptable. Combien de temps sans le système.
- RPO (Recovery Point Objective) : la perte de données maximale acceptable. Combien de travail on accepte de refaire.
Ces deux valeurs ne se décident pas en salle serveur. Elles se décident par le métier, puis se traduisent en architecture — un RPO de quinze minutes et un RPO de vingt-quatre heures ne coûtent pas le même prix.
L’erreur la plus fréquente : un RTO annoncé à quatre heures, une sauvegarde quotidienne sur bande, et personne n’a jamais chronométré une restauration complète. L’écart se découvre le jour du sinistre.
La gestion de crise : décider dans le brouillard
C’est le dispositif humain et décisionnel. Qui est prévenu, qui décide, qui parle aux clients, aux salariés, aux autorités, à la presse.
Elle ne se confond ni avec le PCA ni avec le PRA : on peut avoir d’excellents plans techniques et une cellule de crise inopérante parce que personne ne sait qui tranche à deux heures du matin.
Trois éléments font la différence en situation réelle :
- Un annuaire de crise hors ligne. Si vos coordonnées sont dans l’annuaire d’entreprise chiffré par le rançongiciel, vous ne joignez personne.
- Des délégations écrites. Qui décide d’arrêter la production, de payer ou non, de couper l’accès Internet, quand le dirigeant est injoignable.
- Des moyens de communication de secours, indépendants du système compromis.
Comment les trois s’articulent
Une attaque par rançongiciel un vendredi soir :
- La cellule de crise se réunit, qualifie l’incident, décide d’isoler le réseau et désigne un porte-parole.
- Le PCA s’active : les équipes basculent en mode dégradé, on prévient les clients des délais.
- Le PRA se déroule : restauration depuis des sauvegardes saines, reconstruction, remise en service progressive.
Les trois tournent en parallèle, avec des acteurs différents. Confondre les trois revient à demander aux mêmes personnes de tout faire — ce qui, en pratique, signifie que rien n’avance.
Ce que demande ISO 22301
La norme ISO 22301:2019 décrit un système de management de la continuité d’activité. Elle n’impose pas un format de plan, mais un processus : comprendre l’organisation, déterminer la stratégie, mettre en œuvre, tester, améliorer.
Deux exigences sont regardées de près en audit :
Le bilan d’impact sur l’activité doit être fondé. Un BIA où tous les processus sont critiques avec un RTO de deux heures n’est pas un BIA, c’est une liste de souhaits.
Les plans doivent être testés. Un plan jamais exercé est considéré comme non opérationnel. Un exercice sur table annuel est le minimum ; un test de restauration réel vaut infiniment mieux.
Le lien avec la réglementation
La continuité n’est plus un sujet volontaire. L’article 21 de NIS 2 cite explicitement la continuité des activités et la gestion des sauvegardes parmi les mesures exigées. DORA impose au secteur financier des tests de résilience formalisés.
Côté ISO 27001, la révision 2022 a introduit la mesure 5.30 — préparation des TIC pour la continuité d’activité — qui fait précisément le pont entre les deux référentiels.
Par où commencer
Si rien n’existe : le BIA. Sans lui, vous dimensionnerez au hasard et dépenserez soit trop, soit sur les mauvais processus.
Ensuite, un exercice de crise sur table avec la direction. Deux heures suffisent pour révéler l’essentiel des angles morts — et pour obtenir le budget du reste.
Sources
- ISO 22301:2019 — systèmes de management de la continuité d’activité
- ANSSI — guides sur la gestion de crise cyber
- ISO/IEC 27002:2022, mesure 5.30 — préparation des TIC pour la continuité
- Directive (UE) 2022/2555 (NIS 2), article 21
Aller plus loin
Nos formations couvrent les trois niveaux : ISO 22301 Foundation pour les fondamentaux, Lead Implementer pour construire le dispositif, Lead Auditor pour le contrôler. En mission, ces chantiers relèvent de la gouvernance, risques et conformité.