Seules 24 % des PME ont mis en place une véritable procédure pour réagir en cas de cyberattaque. Pourtant, la cybersécurité ne doit pas seulement être perçue comme une action préventive qui limite les risques liés aux menaces informatiques. Elle exige aussi de savoir réagir calmement et efficacement en cas d’incident de sécurité, ainsi que d’être capable de rétablir rapidement l’activité.
Pour développer une cyber résilience face aux cybermenaces, votre PME peut élaborer deux documents stratégiques qui décrivent la conduite à adopter en cas d’incident : le PCA (Plan de Continuité d’Activité) et le PRA (Plan de Reprise d’Activité).
Dans cet article, vous allez découvrir :
- ce que sont le PCA et le PRA,
- qui doit les élaborer et ce qu’ils doivent contenir,
- les bonnes pratiques pour garantir leur efficacité,
- si ces documents sont une obligation légale ou non pour votre PME.
1. Que sont le PCA et le PRA ?
1.1 Le PCA : maintenir l’activité pendant l’incident
Le Plan de Continuité d’Activité (PCA) désigne l’ensemble des mesures permettant de maintenir le fonctionnement des missions essentielles de votre entreprise en mode dégradé lorsqu’un incident survient.
Son objectif n’est pas de remédier à l’incident (ou à la cyberattaque), mais de limiter son impact en permettant à votre PME de continuer à servir ses clients, d’éviter une interruption totale de l’activité et de préserver ses engagements contractuels.
Le PCA ne couvre pas seulement les incidents cyber. Son périmètre est bien plus large et s’applique aux situations de sinistre matériel, de catastrophe naturelle, de crise sanitaire, ou encore la défaillance d’un fournisseur.
En pratique, il s’articule autour de quatre volets :
- Les personnes : identification des acteurs clés pour maintenir l’activité, des remplaçants prévus en cas d’absence, et des coordonnées à jour de chacun.
- Les locaux : solution de repli si le site habituel devient inaccessible.
- Les procédures : marche à suivre en cas d’incident, rôle de chaque collaborateur et prestataire, organisation du travail en mode dégradé…
- Le système d’information : infrastructures, applications et moyens de communication de secours qui permettent de continuer à fonctionner malgré l’incident.
1.2 Le PRA : reprendre le contrôle après l’incident
Le Plan de Reprise d’Activité (PRA) désigne l’ensemble de procédures techniques et organisationnelles à adopter pour remettre en route votre système d’information après qu’un incident majeur soit survenu.
Il repose sur deux notions à connaître :
- Le RTO (Recovery Time Objective), qui définit la durée maximale d’interruption tolérable par votre PME.
- Le RPO (Recovery Point Objective), qui définit la quantité de données que votre entreprise peut se permettre de perdre, mesurée en temps. Par exemple, si votre RPO est de 4 heures, vous devez pouvoir restaurer vos données telles qu’elles étaient au maximum 4 heures avant l’incident.
Le PRA découle généralement du PCA et s’appuie sur une stratégie de sauvegarde fiable et éprouvée.
2. Cyber résilience : pourquoi votre PME est-elle concernée ?
En 2025, 29 % des PME victimes d’un incident cyber ont subi une interruption d’activité.
Le PCA et le PRA jouent un rôle décisif dans cette période critique. Au lieu d’improviser dans l’urgence, votre PME applique une procédure déjà prévue et connue, ce qui réduit le stress et le risque d’erreur humaine. Vous savez qui contacter pour vous assister dans cette situation. Au lieu de tester la fiabilité de vos sauvegardes le jour de l’incident, vous savez déjà si elles fonctionnent. La prise de décision s’appuie sur un cadre défini à l’avance.
Le temps d’arrêt et le délai de rétablissement de votre système d’information s’en trouvent réduits de façon significative. Au final, le préjudice financier s’en trouve également amoindri.
Ces procédures facilitent aussi une obligation moins connue. Si des données personnelles sont compromises par l’incident de sécurité, votre entreprise est tenue de documenter la situation et de notifier la CNIL sous 72 heures. Une traçabilité préparée en amont rend cette démarche beaucoup plus simple à tenir dans les délais.
3. Comment élaborer le PCA et le PRA ?
3.1 Qui pilote la démarche ?
Le dirigeant de votre PME définit les priorités stratégiques et débloque les moyens nécessaires. Le responsable et / ou le prestataire informatique prend en charge le volet technique. Attention toutefois à ne pas externaliser l’intégralité de la démarche : un prestataire peut piloter la restauration technique, mais la responsabilité du plan reste celle de la direction.
Les équipes métiers doivent aussi être impliquées pour identifier les processus opérationnels critiques : elles sont les mieux placées pour mesurer les conséquences d’une interruption d’activité sur le terrain.
3.2 Un contenu pensé comme une marche à suivre
Le PCA et le PRA ne sont pas des documents d’intention. Ce sont des procédures à suivre pas à pas le jour de l’incident. Pour construire ces documents, l’ANSSI recommande une méthode en plusieurs étapes : cadrer le périmètre, analyser l’impact des différents scénarios, définir une stratégie de réponse, puis mettre en œuvre et tester le dispositif.
Ces deux documents doivent inclure une cartographie des processus et des systèmes critiques, ainsi qu’une analyse d’impact qui permet de prioriser les actions en cas d’incident.
Le PCA décrit également un protocole d’alerte qui indique l’ensemble des personnes à contacter, par quel moyen et dans quel ordre. Il explicite également des procédures détaillées à respecter pour poursuivre l’activité en mode dégradé, le temps que l’incident se termine.
De son côté, le PRA détaille une stratégie de sauvegarde et de restauration avec des RTO et RPO, ainsi que des modalités pour tester régulièrement ces mesures techniques.
4. Les bonnes pratiques pour garantir l’efficacité de votre PCA et de votre PRA
Pour garantir l’efficacité de votre PCA et de votre PRA en cas d’incident de sécurité, votre PME peut adopter plusieurs bonnes pratiques.
D’abord, le PCA et le PRA doivent être accessibles hors ligne. Si vous stockez ces documents sur un serveur ou sur une application affectée par l’incident, vous risquez de ne pas pouvoir y accéder… et donc de ne pas pouvoir les appliquer. Il convient donc de prévoir une version imprimée de chaque plan et de les conserver au format numérique sur un support (clé USB, disque dur externe) déconnecté du réseau.
Ensuite, il convient de former vos collaborateurs au contenu du PCA et du PRA. Chacun doit savoir où trouver ces documents et connaître son rôle si l’incident survient un jour où les responsables habituels sont indisponibles. C’est pourquoi les procédures doivent être rédigées dans un langage clair et si possible sans jargon technique.
Pour que les plans de continuité et de reprise d’activité soient efficaces, il est important de les tester régulièrement et de les adapter dans le temps, au fil de l’évolution de votre PME.
Pensez également à formaliser les engagements de vos prestataires informatiques. Si une partie du système d’information est hébergée ou gérée en externe, le plan doit préciser les délais d’intervention attendus et les responsabilités de vos partenaires.
5. Le PCA et le PRA sont-ils une obligation légale ?
Il n’existe pas d’obligation générale imposant à toutes les PME de produire un PCA ou un PRA à proprement parler. Mais plusieurs textes comportent des obligations qui tendent vers l’esprit de ces deux documents.
Le RGPD, dans son article 32, impose aux responsables de traitement de disposer de moyens permettant de rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident, ainsi que de tester régulièrement l’efficacité de leurs mesures de sécurité. Toute PME qui traite des données personnelles est donc soumise à une obligation très proche de celle d’un PRA.
La directive NIS2 impose aux entités concernées de mettre en place un PCA et un PRA, ainsi qu’une procédure de notification des incidents significatifs à l’ANSSI sous 24 heures. Consultez le détail des obligations légales de la directive NIS2 et vérifiez si votre entreprise est concernée.
Le règlement DORA, destiné à renforcer la résilience opérationnelle du secteur financier, impose explicitement l’adoption d’un PCA et d’un PRA.
En dehors de ces obligations, la CNIL recommande également la rédaction d’un plan de continuité et de reprise d’activité. Il s’agit avant tout d’une pratique de bon sens… qui peut devenir un argument de confiance commerciale auprès de vos clients et partenaires.
Conclusion
Le PCA et le PRA jouent un rôle complémentaire pour renforcer la résilience de votre PME face aux incidents de sécurité et aux menaces informatiques. Cependant, ces procédures ne vous protègent pas à elles seules des cybermenaces. L’idéal est d’agir en amont pour réduire votre surface d’exposition. Un audit de cybersécurité réalisé à distance (à partir d’un nom de domaine ou d’une adresse IP) permet d’identifier les principales vulnérabilités de votre PME afin de les corriger et de réduire le niveau de risque.
