Une entreprise qui subit une cyberattaque affronte deux problèmes distincts, souvent confondus sous le terme générique de « gestion de crise ». Le premier est technique : détecter la compromission, la contenir, l’éradiquer, restaurer les systèmes. Le second est opérationnel : pendant que ce travail technique se déroule, souvent sur plusieurs jours, comment l’entreprise continue-t-elle à payer ses salariés, à facturer ses clients, à honorer ses commandes ?
→ Plan de réponse à incident : comment réagir face à une cyberattaque
Ce second problème est celui que traite le plan de continuité d’activité, ou PCA, souvent accompagné d’un plan de reprise d’activité, le PRA, qui en constitue le volet technique de restauration. Une entreprise peut disposer d’un excellent plan de réponse à incident sans avoir jamais réfléchi à cette question — et découvrir, en pleine crise, qu’elle ne sait pas comment continuer à fonctionner pendant que ses équipes techniques travaillent à résoudre le problème.
Pourquoi ces deux plans répondent à des questions différentes
Le plan de réponse à incident se concentre sur l’attaque elle-même : qui détecte, qui qualifie, qui isole, qui restaure. Le plan de continuité d’activité se concentre sur l’entreprise en tant qu’organisation : quelles activités doivent absolument continuer, sous quelle forme dégradée, et pendant combien de temps l’entreprise peut-elle tolérer que certaines fonctions restent interrompues sans mettre en péril sa survie.
Une entreprise industrielle dont l’ERP est chiffré par un ransomware peut, par exemple, avoir résolu techniquement l’incident en quarante-huit heures grâce à un plan de réponse bien rodé, tout en ayant perdu une semaine de production faute d’avoir prévu comment continuer à expédier des commandes en mode dégradé pendant la remédiation. Les deux plans ne se substituent donc pas l’un à l’autre : ils s’exécutent en parallèle, portés par des équipes différentes, avec des objectifs différents.
Identifier ce qui ne peut vraiment pas s’arrêter
Toutes les activités d’une entreprise ne tolèrent pas la même durée d’interruption. C’est le point de départ de tout plan de continuité, et c’est aussi celui que beaucoup d’entreprises n’ont jamais formalisé, se contentant d’une intuition générale plutôt que d’une analyse structurée.
Certaines fonctions ont une tolérance très faible à l’interruption : la paie, si elle tombe un jour critique du mois, la facturation dans un secteur où la trésorerie est tendue, ou le support client pour une entreprise dont l’activité repose sur des engagements de service contractuels. D’autres peuvent supporter plusieurs jours d’interruption sans conséquence grave : un projet de développement interne, une campagne marketing différée, une mise à jour d’outil non urgente.
Cette hiérarchisation permet de définir, pour chaque fonction critique, deux notions centrales à la conception d’un plan de continuité. La première est la durée maximale d’interruption acceptable : combien de temps l’entreprise peut-elle tenir sans cette fonction avant que les conséquences ne deviennent difficilement réversibles. La seconde est la perte de données maximale tolérable : jusqu’à quel point dans le passé l’entreprise peut-elle accepter de perdre des données en cas de restauration à partir d’une sauvegarde, ce qui dépend directement de la fréquence à laquelle ces sauvegardes sont réalisées.
→ Sauvegarde cloud : bonne ou mauvaise idée pour une PME
Ces deux repères ne sont pas les mêmes pour toutes les fonctions de l’entreprise, ce qui explique pourquoi un plan de continuité efficace ne traite jamais l’ensemble du système d’information comme un bloc uniforme.
Ce que signifie concrètement fonctionner en mode dégradé
Le mode dégradé n’est pas un concept abstrait : c’est un ensemble de solutions de contournement, définies à l’avance, qui permettent de maintenir une activité minimale pendant que les systèmes habituels sont indisponibles.
Cela peut prendre des formes très concrètes selon les métiers concernés. Un service commercial peut basculer temporairement sur des outils de secours pour continuer à enregistrer des commandes, même sans accès à l’ERP habituel. Une production peut fonctionner sur un mode manuel préalablement documenté, moins efficace mais suffisant pour honorer les engagements les plus urgents. Un standard téléphonique peut être redirigé vers d’autres sites ou vers des collaborateurs en mobilité si l’infrastructure principale est affectée.
→ Téléphonie d’entreprise et travail hybride : ce qui change vraiment
Ce qui distingue une entreprise préparée d’une entreprise qui improvise, ce n’est pas l’absence de difficulté — le mode dégradé reste, par définition, moins efficace que le fonctionnement normal — mais le fait que ces solutions de contournement aient été pensées et documentées avant la crise, plutôt qu’inventées dans l’urgence par des équipes déjà sous tension.
Le plan de reprise d’activité : restaurer, pas seulement contourner
Le PRA, souvent présenté comme le volet technique du PCA, définit la manière dont les systèmes eux-mêmes reviennent à un fonctionnement normal une fois l’incident maîtrisé. Il s’articule directement avec le plan de réponse à incident, mais porte sur un horizon différent : non plus l’urgence de contenir l’attaque, mais la reconstruction méthodique des systèmes affectés, dans un ordre de priorité cohérent avec l’analyse des fonctions critiques établie en amont.
Cette reconstruction repose largement sur la fiabilité des sauvegardes disponibles. Une entreprise qui découvre, au moment de restaurer, que ses sauvegardes sont incomplètes, trop anciennes ou elles-mêmes compromises, transforme un plan de reprise théoriquement solide en improvisation forcée — ce qui souligne pourquoi la qualité des sauvegardes conditionne directement la crédibilité de l’ensemble du dispositif de continuité.
Pourquoi ce sujet devient un critère d’évaluation externe
La capacité d’une entreprise à maintenir son activité pendant un incident n’intéresse plus seulement ses propres dirigeants. Elle est devenue un critère explicitement examiné par plusieurs acteurs externes.
Les assureurs cyber intègrent de plus en plus cette dimension dans leur évaluation du risque avant de couvrir une entreprise, au même titre que les mesures de sécurité technique plus classiques.
→ Assurance cyber : ce qu’elle couvre vraiment pour une PME
La réglementation européenne NIS2 mentionne également explicitement la continuité d’activité parmi les mesures de gestion des risques attendues des entités concernées, ce qui en fait un sujet dont la portée dépasse désormais la seule prudence opérationnelle pour devenir, pour certaines entreprises, une véritable obligation.
→ NIS2 : quelles obligations pour les PME et comment s’y préparer
L’erreur la plus fréquente : un plan jamais confronté à la réalité
Comme pour beaucoup de dispositifs de gestion de crise, le principal risque n’est pas l’absence de plan, mais l’existence d’un plan qui n’a jamais été mis à l’épreuve. Un document qui décrit des solutions de contournement théoriques, sans qu’aucun exercice n’ait vérifié qu’elles fonctionnent réellement en pratique, offre une fausse assurance plutôt qu’une réelle capacité de résilience.
Ce constat rejoint celui déjà établi pour les plans de réponse à incident : seule une confrontation régulière à des scénarios réalistes révèle les failles d’un plan écrit à froid, avant qu’une véritable crise ne les révèle au pire moment possible.
Ce qu’il faut retenir
Un plan de réponse à incident et un plan de continuité d’activité traitent deux problèmes différents, qui surviennent pourtant simultanément lors d’une cyberattaque : l’un gère la compromission elle-même, l’autre garantit que l’entreprise continue d’exister pendant que ce travail se déroule. Négliger le second revient à résoudre parfaitement un incident technique tout en laissant l’activité de l’entreprise s’arrêter faute d’alternative organisée.
Construire ce plan suppose d’abord d’accepter une hiérarchie honnête entre les fonctions réellement critiques et celles qui peuvent attendre, puis de documenter des solutions de contournement concrètes plutôt que théoriques, et enfin de les tester régulièrement pour s’assurer qu’elles tiendront le jour où l’entreprise en aura réellement besoin.