Plan de continuité d'activité (PCA) pour une TPE : se préparer avant l'incident

Un ransomware bloque vos postes un lundi matin, ou une panne de serveur vous prive de tout accès pendant deux jours : dans les deux cas, la question qui compte n'est pas « comment réagir dans l'urgence » mais « avais-je préparé le coup avant qu'il n'arrive ». C'est exactement la différence entre un plan de continuité d'activité (PCA) et une procédure de crise improvisée. Notre article que faire après une attaque par rançongiciel traite l'urgence, les gestes immédiats, les contacts à prévenir une fois l'incident déclaré. Le PCA, lui, se construit avant : c'est le travail d'anticipation qui détermine si, le jour J, vous saurez quoi faire en dix minutes ou si vous improviserez pendant trois jours.

Pour une TPE sans service informatique dédié, un PCA n'a pas besoin d'être un document de cent pages conforme à une norme internationale. Il doit être court, concret, et surtout réellement utilisable par les deux ou trois personnes qui devront l'appliquer. C'est cette version minimaliste et réaliste que nous détaillons ici.

PCA et gestion de crise : deux moments différents

La confusion est fréquente, alors autant la lever tout de suite. Un article de gestion de crise (comme celui sur le ransomware) répond à la question « l'incident est là, que fait-on maintenant ? » : isoler le réseau, prévenir la banque, porter plainte, contacter un prestataire. Un plan de continuité d'activité répond à une question antérieure : « qu'avons-nous décidé de faire, par qui, et avec quelles ressources, pour que l'entreprise continue de fonctionner ou reprenne vite ? ». Sans ce travail préalable, chaque incident se traite dans la panique, avec les mêmes hésitations répétées à chaque fois : qui appelle qui, où sont les sauvegardes, qu'est-ce qu'on peut laisser attendre et qu'est-ce qui doit absolument repartir dans l'heure.

Un PCA bien construit ne remplace donc pas la procédure de réaction à un ransomware : il la rend beaucoup plus efficace, parce que les décisions difficiles (qui contacter, quelles données sont sauvegardées où, quel est le niveau de panne tolérable) ont déjà été prises à froid, loin de l'urgence.

Identifier ce qui doit absolument continuer

La première étape, et la plus importante, consiste à lister les activités réellement critiques de l'entreprise — pas tout ce qui existe, seulement ce qui, à l'arrêt, met l'activité en danger en quelques heures ou quelques jours. Pour un commerce, ce sera souvent l'encaissement et la prise de commande. Pour un artisan, la prise de rendez-vous et l'accès aux devis/factures en cours. Pour un cabinet de services, l'accès aux dossiers clients et à la messagerie.

Pour chaque activité critique identifiée, posez-vous deux questions simples, sans vocabulaire technique :

• Combien de temps peut-on tenir sans ce système avant que cela devienne grave pour l'entreprise ? Quelques heures, une journée, une semaine ? C'est ce que les professionnels appellent le RTO (temps de reprise acceptable) — mais il est inutile de retenir le sigle, seule la réponse en heures ou en jours compte pour vous.
• Combien de données peut-on accepter de perdre si l'incident survient entre deux sauvegardes ? Perdre les e-mails des deux dernières heures est gênant mais vivable ; perdre deux semaines de commandes non sauvegardées peut être catastrophique. C'est l'équivalent simplifié du RPO (perte de données acceptable).

Pas besoin de tableau Excel complexe : une feuille avec trois colonnes (activité, délai de tolérance, perte de données tolérable) suffit largement pour une TPE. L'essentiel est que ces délais soient réalistes et discutés à l'avance, pas inventés dans l'urgence.

Qui fait quoi : la répartition des rôles, même à deux ou trois

Dans une grande entreprise, le PCA mobilise une cellule de crise entière. Dans une TPE, il suffit souvent de clarifier, par écrit, trois rôles simples entre les personnes disponibles :

• Qui décide : en général le dirigeant, celui qui tranche (on ferme, on bascule sur le mode dégradé, on contacte l'assurance).
• Qui contacte les bonnes personnes : le prestataire informatique, l'assureur, éventuellement les clients ou fournisseurs concernés.
• Qui fait fonctionner l'activité en mode réduit : qui prend les commandes sur papier si la caisse est bloquée, qui répond au téléphone si les e-mails sont coupés.

Avec deux ou trois personnes, une seule peut cumuler ces rôles : l'important n'est pas la complexité de l'organisation mais le fait que chacun sache, sans avoir à y réfléchir sous le stress, ce qui lui revient.

Les coordonnées à avoir sous la main avant, pas pendant

Un incident informatique coupe souvent l'accès à l'ordinateur sur lequel ces coordonnées étaient enregistrées. Il faut donc une liste imprimée, ou stockée sur un support indépendant du système touché (téléphone personnel, document papier dans un tiroir), comprenant :

• Le contact de votre prestataire informatique ou infogérant, avec un numéro d'urgence si disponible.
• Le numéro et la référence de votre contrat de cyberassurance, si vous en avez une — l'assureur impose souvent un délai de déclaration très court après la découverte de l'incident.
• Le numéro d'urgence de votre banque, pour bloquer rapidement un moyen de paiement compromis.
• cybermalveillance.gouv.fr, le dispositif public gratuit d'assistance aux victimes de cyberattaque, qui oriente vers un prestataire de proximité référencé et fournit des fiches réflexes par type d'incident.
• Le numéro de l'assureur multirisque professionnel si le sinistre n'est pas cyber (incendie, dégât des eaux, vol de matériel).

Cette simple liste, préparée à froid, fait gagner un temps précieux au moment où chaque minute compte.

Le PCA ne vaut rien sans une sauvegarde qui marche vraiment

C'est le point le plus souvent négligé : un plan de continuité magnifiquement rédigé mais appuyé sur une sauvegarde absente, incomplète ou jamais testée ne protège de rien. Avant même de formaliser un PCA, assurez-vous que votre méthode de sauvegarde suit la règle 3-2-1 : trois copies de vos données, sur deux supports différents, dont une copie hors site. Sans cette base solide, le RTO et le RPO que vous aurez définis restent théoriques : si la seule sauvegarde disponible est elle-même détruite par le même incident (un ransomware qui chiffre aussi le disque de sauvegarde branché en permanence), votre délai de reprise explose et votre perte de données devient totale.

Le PCA et la sauvegarde 3-2-1 doivent donc être pensés ensemble : le PCA fixe les objectifs de délai et de perte acceptable, la sauvegarde est le moyen technique qui permet de les tenir.

Le lien avec votre cyberassurance

De plus en plus d'assureurs regardent, lors de la souscription ou du renouvellement d'un contrat de cyberassurance, si l'entreprise dispose de mesures minimales de préparation : sauvegardes régulières, procédure écrite en cas d'incident, contacts identifiés. Un PCA simple, même sommaire, peut donc avoir un effet concret sur l'acceptation du contrat, sur son tarif, ou sur la rapidité de traitement d'un sinistre déclaré. À l'inverse, l'absence totale de préparation peut, selon les clauses du contrat, être invoquée pour limiter une indemnisation si l'assureur estime qu'une négligence manifeste a aggravé les conséquences de l'incident. Vérifiez les clauses exactes de votre contrat avec votre assureur ou courtier plutôt que de vous fier à une règle générale : chaque police a ses propres exigences et exclusions.

Tester le plan : un PCA jamais testé ne marche pas le jour J

Rédiger un plan est une chose, vérifier qu'il fonctionne en est une autre. Le test n'a pas besoin d'être spectaculaire : il peut tenir en une demi-heure, une fois par an ou à chaque changement important (nouveau logiciel, nouveau local, changement de prestataire). Trois exercices simples suffisent pour une TPE :

• Restaurer réellement un fichier depuis la sauvegarde pour vérifier qu'elle est exploitable (pas seulement qu'elle « s'est lancée »).
• Appeler le numéro d'urgence noté dans le plan pour vérifier qu'il est toujours valide et qu'on obtient une réponse.
• Simuler oralement un scénario avec les personnes concernées : « si le serveur tombe en panne demain matin, que fait chacun dans la première heure ? » et noter ce qui bloque.

Chaque test révèle presque toujours un oubli : un contact qui a changé de poste, une sauvegarde qui échoue silencieusement depuis des semaines, une personne qui ne savait pas qu'elle devait appeler le prestataire. C'est justement l'objet du test : corriger ces failles tranquillement, plutôt que de les découvrir en pleine crise.

Checklist pratique de démarrage pour une TPE

Voici une version minimaliste et réaliste, pensée pour être complétée en une à deux heures, pas pour ressembler au plan d'une grande entreprise :

• Lister 3 à 5 activités vraiment critiques pour l'entreprise (pas toutes les tâches, seulement celles qui mettent l'activité en danger si elles s'arrêtent).
• Pour chacune, noter le délai de tolérance (heures/jours) et la perte de données acceptable.
• Vérifier que la sauvegarde 3-2-1 est bien en place et testée pour les données liées à ces activités.
• Écrire, sur une seule feuille, qui décide, qui contacte, qui fait tourner l'activité en mode réduit.
• Rassembler les coordonnées d'urgence (prestataire IT, assureur cyber et multirisque, banque, cybermalveillance.gouv.fr) sur un support papier ou un téléphone personnel.
• Fixer une date annuelle de test (restauration réelle, appel des contacts, simulation orale).
• Mettre à jour le plan après chaque changement notable (nouveau logiciel, nouveau prestataire, déménagement).

Ce plan tiendra probablement sur une ou deux pages. C'est volontaire : un document que personne ne lira jamais en situation de stress ne sert à rien. L'objectif n'est pas la perfection documentaire, mais la capacité réelle à réagir vite et sans improviser le jour où un incident survient.

Questions fréquentes

Faut-il viser une certification comme l'ISO 22301 ?

Pour une TPE, non : cette norme internationale de gestion de la continuité d'activité est pensée pour des organisations de taille importante, avec des ressources dédiées à la gestion des risques. Un plan simple, écrit, testé et régulièrement mis à jour apporte l'essentiel de la protection sans la lourdeur ni le coût d'une démarche de certification.

Le PCA remplace-t-il un contrat de maintenance informatique ?

Non, les deux sont complémentaires. Le contrat de maintenance définit ce que votre prestataire s'engage à faire et dans quels délais (voir notre article sur ce qui est couvert par un contrat de maintenance pour un site web, le principe est similaire pour l'infogérance). Le PCA, lui, définit ce que vous, en interne, devez savoir faire pendant que ce prestataire intervient.

Par où commencer si je n'ai jamais rien préparé ?

Par la sauvegarde : sans elle, aucun plan de continuité ne tient. Ensuite, listez vos deux ou trois activités vraiment critiques et notez simplement qui ferait quoi en cas de panne. Ce travail d'une heure vaut déjà beaucoup mieux que l'absence totale de préparation.

Mettre en place un PCA simple ne demande pas de compétence technique particulière, seulement un peu de temps et de méthode. Si vous voulez qu'on vous accompagne pour structurer ce plan, vérifier vos sauvegardes ou faire le point sur votre niveau de préparation face à une cyberattaque, contactez-nous : on en discute ensemble, sans jargon.