Plan de continuité d'activité (PCA) : comment le rédiger pour votre PME

Un incendie dans vos locaux, un collaborateur clé absent pour une longue durée, un fournisseur qui cesse brutalement son activité, une coupure de courant de trois jours. Pour une PME, ce ne sont pas des catastrophes qu'une bonne sauvegarde suffit à éviter. Ce sont des questions qui relèvent d'un plan de continuité d'activité : un document qui décrit comment votre entreprise continue de tourner lorsque quelque chose de fondamental ne fonctionne plus. Dans cet article, nous expliquons ce qu'est un plan de continuité d'activité, comment il s'articule avec un plan de reprise après sinistre informatique, et comment une PME peut en rédiger un en six étapes, qui sert réellement au lieu de dormir dans un tiroir.

Qu'est-ce qu'un plan de continuité d'activité exactement ?

Un plan de continuité d'activité, souvent abrégé en PCA (ou BCP, pour Business Continuity Plan), est un guide opérationnel à l'échelle de toute l'organisation. Il réunit les procédures qui décrivent comment les processus critiques sont maintenus pendant et après une perturbation majeure. Ce n'est pas un document technique, mais un plan stratégique qui concerne à la fois les RH, le service client, la logistique, la finance et l'informatique.

Beaucoup de dirigeants confondent le PCA avec le plan de reprise après sinistre (PRA, ou DRP pour Disaster Recovery Plan). La différence est importante : un PRA est rédigé pour restaurer les systèmes informatiques après une panne. C'est donc un sous-plan technique du PCA, plus large. Le PCA répond à des questions comme « que faisons-nous si nos locaux sont inutilisables ? » ou « comment continuons-nous à livrer si notre principal fournisseur fait faillite ? ». Le PRA répond à « comment remettre nos serveurs, nos données et nos applications en service ? ». Les deux sont nécessaires, mais les confondre est un piège fréquent. Une entreprise qui ne dispose que d'un plan de reprise après sinistre ne couvre qu'une partie du risque.

La différence avec le bilan d'impact sur l'activité (BIA)

Avant de pouvoir rédiger un PCA, vous devez savoir ce qui est prioritaire. C'est le rôle du bilan d'impact sur l'activité (BIA, pour Business Impact Analysis). Le BIA établit, pour chaque processus, son degré de criticité, l'impact financier et opérationnel d'une interruption par heure ou par jour, ainsi que ses dépendances (personnes, fournisseurs, systèmes informatiques, site). Le BIA fournit ainsi les données d'entrée pour le RTO (Recovery Time Objective, durée maximale d'interruption admissible) et le RPO (Recovery Point Objective, perte de données maximale admissible) de chaque processus, et détermine sur quoi votre stratégie de continuité doit se concentrer.

Dans les PME, cette étape est souvent sous-estimée : on rédige un plan avant d'avoir clairement établi ce qui doit être protégé. Résultat : un PCA dans lequel tout semble aussi important et où rien n'est traité en priorité. Un bon BIA n'est pas un exercice académique, mais un arbitrage : qu'est-ce qui doit redémarrer en moins de 4 heures, qu'est-ce qui peut attendre un jour, qu'est-ce qui peut attendre une semaine ?

L'ISO 22301 comme cadre de référence

Pour savoir à quoi ressemble un PCA professionnel, la norme internationale de référence est l'ISO 22301. La version actuelle est l'ISO 22301:2019, en vigueur depuis le 31 octobre 2019 et complétée en février 2024 par un amendement relatif au climat. Aux Pays-Bas, la norme est disponible sous la référence NEN-EN-ISO 22301:2019. Les lignes directrices qui l'accompagnent figurent dans la NEN-EN-ISO 22313:2020.

Pour une PME, une certification ISO 22301 complète est rarement nécessaire ou abordable. La norme reste toutefois une excellente source d'inspiration. Elle impose une démarche structurée : comprendre le contexte, obtenir l'engagement de la direction, réaliser le BIA, analyser les risques, définir la stratégie, rédiger le plan, tester, tirer les enseignements, améliorer. Si vous êtes certifié ISO 27001 ou envisagez de l'être, vous reconnaîtrez la structure, et vous pourrez parfaitement utiliser les deux normes en parallèle.

Avec NIS2, la continuité devient obligatoire pour de nombreuses PME

La loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet), qui transpose la directive NIS2, a été adoptée par la Chambre basse du Parlement néerlandais (Tweede Kamer) le 15 avril 2026 et devrait entrer en vigueur aux alentours du 1er juillet 2026. Dans les secteurs désignés (notamment l'infrastructure numérique, l'énergie, les transports, l'eau potable, les marchés financiers, l'alimentation, les services postaux et la fabrication de certains biens), les organisations de taille moyenne et les grandes organisations doivent respecter une obligation de diligence couvrant dix catégories de mesures. L'une de ces catégories est la continuité d'activité : sauvegardes, dispositifs de secours, gestion de crise et tests périodiques. Pour les entités essentielles, l'amende maximale peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.

Le secteur financier est quant à lui soumis depuis le 17 janvier 2025 au règlement DORA (Digital Operational Resilience Act), qui impose des exigences comparables, mais plus strictes, en matière de résilience opérationnelle. Même pour les entreprises qui ne relèvent ni de NIS2 ni de DORA, les clients et les appels d'offres exigent de plus en plus souvent un PCA démontrable.

Quelles menaces le PCA d'une PME néerlandaise doit-il réellement couvrir ?

Un PCA n'est pas une liste de toutes les catastrophes imaginables, mais une attention portée aux scénarios pertinents pour votre entreprise. Voici quelques menaces réalistes pour les PME aux Pays-Bas :

• Cyberattaques. Selon une étude de la Haute École de La Haye (De Haagse Hogeschool), environ 12 % des PME ont déjà été victimes d'un ransomware ; en 2024, le NCSC (le centre national de cybersécurité néerlandais) a enregistré 121 incidents de ransomware distincts aux Pays-Bas.
• Coupures de courant. En avril 2025, Hans-Peter Oskam (directeur de Netbeheer Nederland, l'association des gestionnaires de réseaux néerlandais) a qualifié de scénario réaliste une panne de courant de 72 heures aux Pays-Bas, et le blackout ibérique du même mois a paralysé l'Espagne et le Portugal pendant environ 18 heures.
• Absence d'une personne clé. Des études montrent que 71 % des petites entreprises dépendent d'une ou deux personnes clés. Un burn-out, un accident ou un départ soudain devient alors une véritable crise opérationnelle.
• Fournisseurs et chaîne d'approvisionnement. Le BCI Horizon Scan 2025 place les tiers et les infrastructures critiques parmi les cinq principales préoccupations pour l'année à venir.
• Incendie, inondation, intempéries. Pas les plus probables, mais les plus perturbants : des locaux inutilisables pendant quelques semaines affectent chaque fonction de votre entreprise.
• Pannes informatiques et télécoms. Un risque plus important pour les postes de travail dans le cloud que pour des serveurs locaux, et donc un volet explicite de tout plan de continuité.

Le chiffre souvent cité (40 % des entreprises ne rouvriraient jamais après une catastrophe) ne peut être rattaché à aucune étude primaire. En revanche, une donnée est solide : selon Databarracks, seules 30 % environ des petites entreprises disposent d'un PCA, contre 73 % des grandes entreprises. Les PME sont donc structurellement plus vulnérables.

Rédiger un PCA opérationnel en six étapes

Le PCA d'une PME n'est pas un projet d'un an : en deux à trois mois, vous pouvez disposer d'une première version qui fonctionne. Voici la démarche en six étapes :

1. Bilan d'impact sur l'activité (BIA)

Recensez, service par service, les processus existants, leur fréquence, les personnes qui les exécutent, ainsi que les systèmes et les fournisseurs dont ils dépendent. Déterminez pour chaque processus la durée maximale d'interruption admissible (RTO) et la perte de données maximale acceptable (RPO). Pour une PME type, il est efficace de classer les processus en trois niveaux : critique (redémarrage en moins de 4 heures), important (en moins de 24 heures), différé (en moins d'une semaine).

2. Analyse des risques

Pour vos processus prioritaires : quelles menaces sont réalistes et quel serait leur impact si elles se concrétisaient ? Évaluez chaque risque selon sa probabilité et son impact. Une matrice n'a rien de scientifique, mais elle oblige à faire des choix. Aux Pays-Bas, le NCSC, le NCTV (coordinateur national de la lutte contre le terrorisme et de la sécurité) et le Digital Trust Center publient des listes de menaces utiles pour le contexte néerlandais, dont le rapport annuel Cybersecuritybeeld Nederland.

3. Stratégie de continuité

Pour chaque risque majeur, vous définissez votre stratégie. Une sauvegarde dans le cloud associée à un poste de travail de repli (par exemple grâce à un poste de travail moderne sur des ordinateurs portables qui fonctionnent aussi à domicile). Un fournisseur de remplacement pour vos approvisionnements critiques. Un accord avec un autre chef d'entreprise pour un stockage d'urgence. Documentez pour chaque stratégie son coût et le RTO qu'elle vous permet d'atteindre.

4. Plan et rôles

Rédigez le PCA proprement dit : des instructions courtes et claires pour chaque scénario, avec un nom derrière chaque rôle. Qui appelle le 112, qui informe les clients, qui organise les postes de travail de remplacement, qui assure la communication interne ? Un PCA opérationnel ne contient pas de longs développements théoriques, mais une liste de contrôle que l'on peut réellement suivre en pleine crise. Placez les coordonnées et les canaux de communication alternatifs en tête du document (l'e-mail ne fonctionne pas si le cloud est inaccessible).

5. Tests et exercices

Un PCA non testé n'est qu'un plan sur papier. Il existe plusieurs formes d'exercices :

• Exercice sur table (tabletop) : les personnes concernées déroulent un scénario autour d'une table. Peu coûteux, rapide, et dès la première fois, vous découvrez des lacunes.
• Revue pas à pas ou simulation : la même discussion, mais avec des actions concrètes (tester la chaîne d'appels téléphoniques, visiter le site de repli).
• Exercice fonctionnel ou test en parallèle : une partie des processus tourne réellement sur le dispositif de secours.
• Test d'interruption complète : le vrai test, qui consiste à basculer la production sur le site de repli. Pour la plupart des PME, un exercice sur table par an et une revue pas à pas tous les deux ans sont des objectifs réalistes.

6. Maintenance et révision

Bonne pratique selon l'ISO 22301 : un PCA est révisé au moins une fois par an, ainsi qu'à l'occasion d'événements déclencheurs comme une réorganisation, un déménagement, de nouveaux systèmes ou de nouveaux fournisseurs. Désigner un responsable est crucial. Sans responsable, le plan prend la poussière en moins d'un an.

PCA et assurance : comment se complètent-ils ?

Un PCA et une assurance perte d'exploitation ou une cyberassurance sont complémentaires. L'assurance couvre la perte financière ; le PCA vous permet de continuer réellement à travailler. Depuis 2025, les cyberassureurs exigent systématiquement, comme condition de couverture, un plan de réponse aux incidents testé, l'authentification multifacteur (MFA), une solution EDR et des sauvegardes régulières. Une entreprise dont le PCA et la cybersécurité sont au point obtient souvent une prime plus basse, voire tout simplement une couverture.

Combien coûte une démarche PCA pour une PME ?

Soyons honnêtes : il n'existe pas de statistiques publiques sur le coût moyen réel. À titre indicatif, selon des références américaines : entre 5 000 et 25 000 dollars pour une petite entreprise, entre 25 000 et 100 000 dollars pour une entreprise de taille moyenne, évaluation, élaboration du plan, formation et maintenance comprises. Aux Pays-Bas, des montants comparables sont réalistes, souvent en euros, et dépendent fortement de votre secteur, de votre taille et de vos ressources internes.

La plus grosse économie ne vient pas d'une rédaction au rabais, mais d'une construction intelligente : partir d'un modèle pour PME basé sur l'ISO 22301, déployer par étapes et s'appuyer sur un partenaire externe qui connaît le contexte de votre entreprise. Une feuille de route IT vous aide à planifier les dépenses liées au PCA en même temps que vos autres investissements informatiques.

Questions fréquentes sur le plan de continuité d'activité

Quelle est la différence entre un PCA et un plan de reprise après sinistre ?

Un PCA couvre toute l'organisation et il est stratégique : il décrit comment l'entreprise continue de fonctionner en cas de catastrophe, quelle qu'en soit la cause. Un PRA est technique et vise à restaurer les systèmes informatiques après une panne. Le PRA est un sous-plan du PCA. Une entreprise qui ne dispose que d'un PRA couvre le volet informatique, mais laisse sans réponse les risques liés aux ressources humaines, aux fournisseurs et aux locaux.

Une PME doit-elle se faire certifier ISO 22301 ?

Presque jamais. Pour la plupart des PME, l'ISO 22301 est une excellente source d'inspiration et un cadre de référence, pas un certificat obligatoire. Si vous avez besoin d'une certification pour des appels d'offres ou des exigences sectorielles, vous pouvez lancer une démarche de certification. Sinon, un PCA élaboré en interne selon la structure de l'ISO 22301 offre la même valeur pratique pour une fraction du coût.

À quelle fréquence dois-je tester mon PCA ?

Bonne pratique : au moins un exercice sur table par an, complété par des tests supplémentaires lors de changements importants (nouveau site, nouveaux systèmes, fusion). Une revue pas à pas plus approfondie ou un exercice fonctionnel tous les deux à trois ans est réaliste pour une PME. L'essentiel est de tester quelque chose, pas de mener l'exercice le plus complexe possible.

Sommes-nous concernés par NIS2 ?

NIS2 s'applique aux organisations de taille moyenne et aux grandes organisations (50 ETP ou plus, ou plus de 10 millions d'euros de chiffre d'affaires) dans les secteurs désignés. Beaucoup de PME ne relèvent pas formellement de NIS2, mais elles y sont indirectement soumises via leurs clients dans la chaîne d'approvisionnement. Les clients vont répercuter contractuellement les mesures de continuité sur leurs fournisseurs, y compris sur les plus petites PME.

Qui rédige le PCA ?

La direction en est responsable. Un coordinateur PCA interne (souvent un responsable des opérations ou des RH) pilote la démarche. L'informatique fournit les éléments du PRA, les responsables fournisseurs apportent les informations sur la chaîne d'approvisionnement, et un partenaire externe peut accompagner la structure, la méthode de BIA et les exercices. Un PCA élaboré uniquement par l'informatique manque de vision d'ensemble.

Conclusion

Pour une PME, un plan de continuité d'activité n'est ni un luxe ni un simple « plus ». C'est une réponse honnête à la question : que faisons-nous si quelque chose de fondamental ne fonctionne plus ? Sans plan, vous dépendez de l'improvisation au moment précis où improviser est le plus difficile. Avec un PCA opérationnel, fondé sur un bon BIA et articulé avec votre plan de reprise informatique, vos assurances et vos accords fournisseurs, vous donnez à votre entreprise une vraie chance de surmonter une perturbation majeure et de s'en relever plus vite.

Vous souhaitez élaborer pour votre PME un plan de continuité d'activité aligné sur vos processus métier, les exigences de NIS2 et votre environnement informatique existant, plutôt qu'un classeur que personne n'ouvre ? Appelez TRON Group au +31 85 303 5869 ou consultez notre page infogérance. Nous réalisons le BIA avec votre direction et vos collaborateurs clés, concevons un plan que vous pouvez tester et articulons la technique, l'assurance et la gouvernance pour qu'il fonctionne vraiment le jour où cela compte.