Cyberattaque : avez-vous un Plan de Continuité d’Activité (PCA) ?

Qu'est-ce qu'un Plan de Continuité d'Activité ?

Le PCA est un dispositif qui permet à une entreprise de maintenir ou rétablir ses fonctions critiques en cas d'incident majeur. Contrairement au Plan de Reprise d'Activité (PRA), qui se concentre sur la remise en route des outils informatiques, le PCA adopte une vision globale :

• Quelles sont les activités vitales à court terme ?
• Quels sont les délais maximums d'interruption acceptables ?
• Quels moyens humains, techniques et logistiques mobiliser en cas de crise ?

Un PCA efficace est transverse : continuité opérationnelle, communication de crise, gestion RH, IT, conformité. Il doit être documenté, testé, mis à jour et adapté aux différents risques : incendie, grève, coupure réseau ou attaque informatique.

La référence internationale en la matière est la norme ISO 22301, qui définit les exigences d’un système de management de la continuité d’activité. Se certifier n’est pas indispensable pour une PME, mais s’appuyer sur sa méthodologie — identification des activités critiques, analyse d’impact, définition d’objectifs de reprise, tests réguliers — structure la démarche même sans viser la certification elle-même.

Bilan d’Impact sur l’Activité : l’étape qu’on saute trop souvent

Avant de rédiger le moindre plan, il faut savoir ce qui mérite d’être protégé en priorité. C’est l’objet du Bilan d’Impact sur l’Activité (BIA, ou Business Impact Analysis) : une analyse qui recense vos activités critiques, évalue les conséquences d’une interruption dans le temps
(financières, réglementaires, sur l’image), et hiérarchise ce qui doit redémarrer en premier. 

Un BIA correctement mené répond à des questions concrètes : si votre ERP tombe, combien de temps avant que l’impact devienne critique — deux heures, deux jours ? Si votre messagerie est indisponible, quelles activités s’arrêtent immédiatement, lesquelles peuvent attendre ? Sans cette hiérarchisation, un PCA risque de traiter tous les systèmes avec la même urgence, ce qui revient en pratique à n’en traiter aucun efficacement faute de ressources pour tout couvrir à la fois.

RTO et RPO : les deux indicateurs qui pilotent votre PCA

Deux notions structurent tout plan de continuité, qu’il s’agisse d’un grand groupe ou d’une PME de dix salariés :

• Le RTO (Recovery Time Objective), ou délai de reprise, est le temps maximum acceptable entre l’interruption d’un service et son rétablissement. Un RTO de 4 heures sur votre système de facturation signifie que vous acceptez une interruption allant jusqu’à 4 heures, mais pas au-delà.
• Le RPO (Recovery Point Objective), ou perte de données maximale admissible, mesure l’ancienneté maximale acceptable des données récupérées après incident. Un RPO de 24 heures signifie que vous acceptez de perdre au maximum une journée de données — ce qui détermine directement la fréquence à laquelle vos sauvegardes doivent être réalisées.

Exemple concret : une PME de e-commerce fixe un RTO de 2 heures et un RPO de 1 heure sur son site marchand (l’activité s’arrête sans lui, chaque minute compte), mais un RTO de 48 heures et un RPO de 24 heures sur son outil de gestion RH (moins critique dans l’urgence immédiate). Ces deux systèmes n’ont donc ni la même fréquence de sauvegarde, ni le même niveau d’investissement en redondance — et c’est précisément l’objet du PCA que de le formaliser plutôt que de traiter tous les systèmes de la même façon par défaut. 

Plus le RTO et le RPO visés sont courts, plus le dispositif technique nécessaire est coûteux (redondance, réplication en temps réel, site de secours). Fixer ces objectifs de façon réaliste, activité par activité, évite de sur-investir sur des systèmes secondaires et de sous-investir sur les systèmes réellement vitaux.

Pourquoi adapter votre PCA aux risques cyber ?

Contrairement à un sinistre physique, une cyberattaque est souvent invisible au départ. Elle peut évoluer rapidement (rançongiciel, fuite de données), impacter vos systèmes, vos collaborateurs et vos partenaires, et engager votre réputation et votre conformité réglementaire (RGPD, NIS2).

Selon l’ANSSI, les attaques par rançongiciels, phishing, compromission de mails professionnels ou vols de données ciblent autant les grandes entreprises que les PME et ETI. Une cyberattaque peut avoir des effets en cascade : interruption des systèmes, impossibilité d’accéder aux outils métiers, atteinte aux données sensibles, obligation de notification CNIL.

Le constat le plus préoccupant vient du baromètre 2025 du CESIN (sondage OpinionWay, 11ᵉ édition, janvier 2026) : seulement 65 % des entreprises se disent prêtes en matière de reconstruction après un incident, et à peine 50 % ont défini des palliatifs métiers — c’est-à-dire un véritable PCA au sens propre, au-delà de la seule sauvegarde technique. Autrement dit, une entreprise sur deux n’a pas prévu comment continuer à fonctionner, même partiellement, le jour où ses systèmes tombent.

Une étude HarfangLab publiée en 2026 précise l’ampleur de l’impact business : près de la moitié des dirigeants interrogés estiment qu’une cyberattaque affecterait leur chiffre d’affaires dès le jour même de l’incident, et 31 % supplémentaires dans les deux jours suivants. En moyenne, les organisations interrogées estiment qu’il leur faut environ six jours pour retrouver un fonctionnement normal après une attaque — un délai qui peut sembler court en abstrait, mais qui représente une semaine complète d’activité dégradée ou arrêtée pour la plupart des PME.

Exemple concret documenté par une Chambre de Commerce et d’Industrie régionale : une entreprise victime d’une cyberattaque a pu reprendre une activité en mode dégradé quatre jours après l’incident, grâce à des sauvegardes régulières et non corrompues. Le bilan final : quinze journées de travail en mode dégradé, une perte d’exploitation d’environ 75 000 euros, et un coût de gestion de crise avec les prestataires informatiques d’environ 30 000 euros — pour une attaque que l’entreprise elle-même qualifie de circonstance favorable, faute d’avoir perdu ses sauvegardes. C’est cet écart entre un scénario “avec sauvegardes fiables” et un scénario sans que le PCA cherche justement à combler.
 

Ce que doit prévoir un PCA “cyber”

Un PCA cyber n'est jamais figé. Il s'appuie sur plusieurs piliers :

1. Identifier les systèmes critiques : ERP, outils de production, messagerie, CRM.
2. Lister les dépendances numériques : hébergeurs, API, fournisseurs IT, prestataires cloud.
3. Prévoir des scénarios de rupture informatique : indisponibilité de serveurs, chiffrement de données, coupure réseau.
4. Définir des solutions de secours : redondance, accès hors-ligne, procédures manuelles.
5. Former et sensibiliser les équipes : savoir qui alerter, comment isoler les systèmes.
6. Prévoir une cellule de crise cyber : IT, juridique, DPO, communication.
7. Simuler et tester régulièrement le plan : un PCA qui dort est un PCA inutile.

Tester son PCA : la clé d'un dispositif réellement opérationnel

Un plan documenté ne vaut rien s’il n’a jamais été mis à l’épreuve. Il existe plusieurs niveaux de test, à faire progresser dans le temps plutôt qu’à viser le plus complet dès la première année :

• Le test sur table (tabletop exercise) : la cellule de crise se réunit autour d’un scénario fictif et déroule les décisions qu’elle prendrait, sans toucher aux systèmes réels. C’est le format le plus léger et le plus accessible pour une PME qui débute — quelques heures suffisent, sans interruption de service.
• Le test partiel : une partie du plan est réellement activée — par exemple, la restauration d’une sauvegarde sur un environnement isolé, pour vérifier qu’elle fonctionne effectivement et dans le délai visé (le fameux RTO).
• Le test grandeur nature : le scénario est simulé en conditions quasi réelles, avec bascule effective sur les solutions de secours. C’est le niveau le plus exigeant, réservé aux organisations dont la maturité du dispositif le permet, mais aussi le seul à révéler les angles morts qu’un test sur table ne peut pas détecter.

Au-delà de ces exercices de simulation, des scans de vulnérabilités réguliers, idéalement continus, permettent de détecter les failles potentielles avant qu’un attaquant ne les exploite — une démarche complémentaire, en amont de l’incident plutôt qu’en préparation à sa gestion. 

Ces tests doivent nourrir l’amélioration continue du dispositif : chaque dysfonctionnement identifié lors d’un exercice doit se traduire par une action corrective sur le PCA, et non rester un simple constat archivé. Mettre en place des process pour se préparer au pire est indispensable, mais cela ne dispense pas des règles minimales de cyber-hygiène (mises à jour, sauvegardes, sensibilisation) qui restent la première ligne de défense.

Bon à savoir : même si le DSI pilote souvent ce sujet, la réponse à une cyberattaque est transverse. Les RH gèrent l'organisation du travail en cas d'indisponibilité d'outils, la communication assure la transparence interne/externe, les métiers adaptent leurs process, et la direction générale pilote les arbitrages critiques.

À lire aussi : DAF : pourquoi la cybersécurité est aussi votre responsabilité

BNP Paribas vous accompagne dans votre résilience cyber

Avec nos partenaires : Stoïk pour la couverture assurance cyber, Sis ID pour prévenir la fraude aux virements et Metsys pour l'accompagnement IT, nous vous aidons à identifier vos vulnérabilités, mettre en place des outils de détection, renforcer votre culture cyber et structurer vos dispositifs PCA-PRA. 

Pour aller plus loin, consulter notre page “Renforcer la cybersécurité”. 

Questions fréquentes

Quelle est la différence entre un PCA et un PRA ?

Le PRA (Plan de Reprise d'Activité) se concentre sur la remise en route technique des systèmes informatiques. Le PCA a une portée plus large : il couvre la continuité de l'ensemble des fonctions critiques de l'entreprise (RH, communication, relation client, conformité), pas seulement l'IT.

À quelle fréquence faut-il tester son PCA ?

Il n'existe pas de fréquence universelle, mais un PCA jamais testé perd rapidement sa pertinence face à l'évolution des menaces et de l'organisation. Une revue et un exercice de simulation au moins annuels sont recommandés, en complément de scans de vulnérabilité réguliers.

Une petite entreprise a-t-elle réellement besoin d'un PCA formalisé ?

Oui, à une échelle adaptée. Un PCA n'implique pas nécessairement un dispositif lourd : identifier ses systèmes critiques et ses solutions de secours est accessible à toute structure, quelle que soit sa taille.

Quelle est la différence entre RTO et RPO ?

Le RTO (Recovery Time Objective) mesure le temps maximum acceptable avant qu’un service ne soit rétabli. Le RPO (Recovery Point Objective) mesure la quantité de données que vous acceptez de perdre, exprimée en durée depuis la dernière sauvegarde valide. Les deux se fixent activité par activité, pas globalement pour toute l’entreprise.

Combien coûte la mise en place d’un PCA pour une PME ?

Le coût varie fortement selon le niveau d’exigence visé (RTO/RPO courts ou plus larges) et le degré d’externalisation. La phase de cartographie et de rédaction du plan repose surtout sur du temps interne mobilisé (RSSI ou référent IT, direction, prestataire) plutôt que sur un investissement technique lourd ; c’est la mise en œuvre des solutions de secours (redondance, site de repli, réplication en temps réel) qui représente le poste de coût le plus variable selon l’ambition retenue.

Faut-il faire appel à un prestataire externe pour construire son PCA ?

Ce n’est pas obligatoire, mais c’est recommandé dès lors que l’entreprise ne dispose pas de RSSI interne. Un prestataire ou un RSSI externalisé apporte une méthodologie éprouvée et un regard extérieur sur les angles morts qu’une organisation identifie rarement seule.