Continuité & Reprise d’activitéCe qu’exigent NIS 2, DORA, ISO 27001 et HDS
Une cyberattaque par rançongiciel ne prévient pas. En quelques heures, un système d’information peut être intégralement chiffré, des données critiques rendues inaccessibles, et l’activité de l’organisation paralysée. Selon l’ANSSI, le nombre d’attaques par rançongiciel a augmenté de 30 % en 2023 par rapport à 2022, et la sortie de crise peut prendre plusieurs mois. Face à cette réalité, la question n’est plus de savoir si votre organisation sera un jour touchée, mais si elle sera capable de continuer à fonctionner et de se relever rapidement.
PCA, PRA : de quoi parle-t-on exactement ?
C’est précisément l’objet du Plan de Continuité d’Activité (PCA) et du Plan de Reprise d’Activité (PRA) : deux dispositifs complémentaires qui permettent à une organisation d’anticiper les crises, de maintenir ses activités essentielles pendant un incident, et de rétablir un fonctionnement normal dans les meilleurs délais. Associés à une stratégie de sauvegardes robuste, ils constituent la défense la plus efficace contre les ransomwares et les incidents majeurs.
La continuité et la reprise d’activité sont aujourd’hui des exigences explicites de la quasi-totalité des référentiels de cybersécurité : ISO 27001, NIS 2, DORA, RGPD, HDS, LPM… DSI, RSSI, responsables conformité ou membres de la direction : cette page vous présente les exigences clés à mettre en œuvre et leur articulation avec les grands référentiels en vigueur.
Le Plan de Continuité d’Activité (PCA) et le Plan de Reprise d’Activité (PRA) sont deux dispositifs distincts mais complémentaires, souvent confondus. Voici comment les distinguer.
Le Plan de Continuité d’Activité (PCA)
Le PCA est une démarche visant à assurer le maintien des activités essentielles de l’organisation en cas d’incident majeur, y compris en mode dégradé. Son objectif est de permettre à l’organisation de continuer à fonctionner, même partiellement, pendant la durée de la crise. Il définit les procédures de fonctionnement en mode dégradé, les ressources alternatives à mobiliser, et les seuils d’activation du dispositif de crise.
Selon service-public.fr, le PCA vise à réduire l’impact d’un sinistre sur le fonctionnement de l’entreprise et à rétablir rapidement un niveau d’activité stable. Ne pas en disposer expose l’organisation à des pertes financières, une dégradation de son image ou une impossibilité de répondre à ses obligations légales.
Le Plan de Reprise d’Activité (PRA)
Le PRA est un ensemble de mesures permettant de rétablir les activités après un incident, en particulier après une cyberattaque ou une attaque par rançongiciel. Il se concentre sur la restauration des systèmes d’information et des données à partir des sauvegardes, et définit les étapes techniques pour revenir à un état de fonctionnement normal.
L’ANSSI souligne qu’une sauvegarde non testée n’est pas une sauvegarde valide. Le PRA doit donc inclure des procédures de restauration régulièrement testées, avec des résultats documentés.
Les indicateurs clés : RTO et RPO
Deux indicateurs structurent toute démarche de continuité et de reprise d’activité :
- Le RTO (Recovery Time Objective) : le temps maximal d’interruption acceptable pour un processus ou un système. Il répond à la question « combien de temps peut-on se permettre d’être indisponible ? »
- Le RPO (Recovery Point Objective) : la perte de données maximale tolérable, exprimée en durée. Il répond à la question « jusqu’à quand peut-on remonter dans le temps pour restaurer les données ? »
Ces indicateurs doivent être définis et validés par les métiers, et non imposés par l’équipe IT. Ils constituent le socle sur lequel repose l’ensemble de la stratégie de continuité et de reprise d’activité.
La méthodologie Fidens
- Phase 1 = Audit de l’existant
- Phase 2 = Cartographie des services
- Phase 3 = BIA
- Phase 4 = Formalisation du PCA
- Phase 5 = Validation par la direction
- Phase 6 = Formation des collaborateurs
Les points de contrôle communs
Cinq exigences fondamentales structurent toute démarche de continuité et de reprise d’activité conforme aux standards reconnus.
Un Plan de Continuité d’Activité (PCA) documenté
Le PCA doit être formalisé dans un document écrit, validé par la direction générale, et accessible à toutes les parties prenantes concernées. Il doit couvrir l’ensemble des processus critiques de l’organisation, définir les modes de fonctionnement en situation dégradée, et préciser les responsabilités de chaque acteur en cas d’activation du dispositif.
La CNIL recommande de s’assurer que le niveau de protection des données ne soit pas réduit par les modes de fonctionnement prévus dans le PCA, et que les utilisateurs, prestataires et sous-traitants sachent qui alerter en cas d’incident.
Le PCA doit également inclure une analyse d’impact sur l’activité (BIA), qui classe les processus selon leur criticité et définit les délais de reprise cibles pour chacun d’entre eux.
Un Plan de Reprise d’Activité (PRA) testé
Un PRA non testé est considéré comme invalide. L’ANSSI recommande des tests réguliers à plusieurs niveaux :
- Des tests sur table (simulation théorique) au moins trimestriellement
- Des tests de procédure (vérification des processus documentés) semestriellement
- Des tests techniques (restauration effective des systèmes) au moins annuellement
Ces tests doivent faire l’objet de comptes-rendus documentés, permettant d’identifier les écarts et d’améliorer le dispositif en continu. NIS 2 et DORA imposent que les plans soient testés régulièrement et que les résultats soient disponibles pour les autorités de contrôle.
Des sauvegardes 3-2-1 avec copies immuables
La stratégie de sauvegardes est le fondement du PRA. Face aux ransomwares, qui ciblent systématiquement les sauvegardes pour empêcher la restauration, l’ANSSI appelle à la mise en place d’une stratégie de sauvegarde robuste reposant sur la règle 3-2-1 :
- 3 copies des données (la donnée originale et deux sauvegardes)
- 2 types de supports différents (par exemple, disque et bande, ou cloud et local)
- 1 copie hors site, physiquement déconnectée du réseau principal
À cette règle s’ajoute désormais l’exigence de copies immuables : des sauvegardes qui ne peuvent être ni modifiées ni supprimées, même par un attaquant disposant de droits administrateurs sur le système. Cette protection est indispensable pour garantir la disponibilité d’une copie saine en cas d’attaque par rançongiciel.
Des tests de restauration réguliers
Disposer de sauvegardes ne suffit pas : encore faut-il être capable de les restaurer dans les délais définis par le PRA. La CNIL recommande explicitement de tester régulièrement la restauration des sauvegardes et l’application du plan de continuité ou de reprise de l’activité.
Ces tests de restauration doivent couvrir différents scénarios : restauration partielle de fichiers, restauration complète d’un serveur, restauration de l’environnement de production dans un environnement de test isolé. Ils doivent être planifiés, documentés et leurs résultats analysés pour identifier les axes d’amélioration.
Des RTO et RPO définis et mesurés
Les objectifs de temps de reprise (RTO) et de point de reprise (RPO) ne sont utiles que s’ils sont effectivement mesurés lors des tests. L’organisation doit être en mesure de démontrer, preuves à l’appui, que ses capacités de reprise sont conformes aux objectifs définis.
Ces mesures permettent également d’identifier les écarts entre les objectifs fixés et les capacités réelles, et d’orienter les investissements vers les points de faiblesse les plus critiques.
Ce qu’en disent les référentiels
La continuité et la reprise d’activité constituent l’une des familles d’exigences les plus transversales de l’ensemble des référentiels de cybersécurité. En structurant une seule fois cette démarche, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Les contrôles A.5.29 et A.5.30 couvrent respectivement la sécurité de l’information lors d’une perturbation et la préparation des TIC pour la continuité d’activité. Les contrôles A.8.13 et A.8.14 traitent de la sauvegarde des informations et de la redondance des équipements de traitement de l’information. La couverture est explicite et constitue le socle structurant pour l’ensemble de la démarche.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel Hébergeur de Données de Santé impose des exigences spécifiques de continuité des activités pour les systèmes hébergeant des données de santé. La disponibilité des données de santé est une exigence critique, et les plans de continuité doivent être dimensionnés en conséquence.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLes arrêtés sectoriels applicables aux Opérateurs d’Importance Vitale imposent la mise en place de PCA et PRA pour les Systèmes d’Information d’Importance Vitale (SIIV). Ces plans doivent être documentés, testés régulièrement et conformes aux exigences de l’ANSSI.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORALes articles 11 et 12 du règlement DORA imposent aux entités financières de définir et mettre en œuvre une politique de continuité des activités TIC, incluant des plans de réponse et de reprise, des objectifs de temps de reprise et de point de reprise, et des tests réguliers de résilience opérationnelle numérique. DORA impose des tests de résilience tous les trois ans pour les grandes entités financières.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(c) de la directive NIS 2 impose aux entités essentielles et importantes de mettre en place des mesures de continuité des activités, incluant la gestion des sauvegardes, la reprise des activités après sinistre et la gestion des crises. Cette exigence est explicite et son non-respect expose à des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC7.5 évalue la capacité de l’organisation à répondre aux incidents et à restaurer les opérations. La catégorie A1 (Availability) évalue l’ensemble du dispositif de disponibilité, incluant les plans de continuité, les sauvegardes et les tests de restauration. Une démarche documentée et testée y répond de façon explicite.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSL’exigence 12.10.1 du standard PCI DSS v4 porte sur la mise en place d’un plan de réponse aux incidents incluant des procédures de continuité d’activité pour les environnements de données de cartes de paiement. La couverture est partielle : elle se concentre sur les environnements CDE (Cardholder Data Environment).
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Les exigences héritées de l’ISO 27001 en matière de PCA et de PRA s’appliquent intégralement dans une dimension protection des données à caractère personnel. L’organisation doit s’assurer que les données personnelles restent disponibles et récupérables en cas d’incident, conformément aux principes du RGPD.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 32.1(c) du RGPD impose au responsable du traitement de garantir la disponibilité et la résilience constantes des systèmes et services de traitement, ainsi que des moyens permettant de rétablir la disponibilité des données à caractère personnel en cas d’incident physique ou technique. La couverture est partielle : le RGPD n’impose pas de méthode spécifique mais exige que des moyens de rétablissement soient en place et régulièrement testés.
Continuité & Reprise d’activité en 4 questions
Quelle est la différence entre un PCA et un PRA ?
Le PCA (Plan de Continuité d’Activité) vise à maintenir les activités essentielles de l’organisation pendant la durée d’un incident, en mode dégradé si nécessaire. Le PRA (Plan de Reprise d’Activité) vise à restaurer les systèmes et les données après un incident pour revenir à un fonctionnement normal. Les deux sont complémentaires : le PCA gère la crise dans l’instant, le PRA organise le retour à la normale.
Qu’est-ce que la règle de sauvegarde 3-2-1 et pourquoi est-elle recommandée ?
La règle 3-2-1 consiste à conserver 3 copies des données sur 2 types de supports différents, dont 1 copie hors site. Elle garantit qu’en cas de sinistre, qu’il s’agisse d’une attaque par rançongiciel, d’un incendie ou d’une panne matérielle, au moins une copie des données reste disponible et intacte. L’ajout de copies immuables renforce cette protection contre les attaques qui ciblent spécifiquement les sauvegardes.
À quelle fréquence faut-il tester son PRA ?
L’ANSSI recommande des tests à trois niveaux : des tests sur table trimestriels, des tests de procédure semestriels, et des tests techniques annuels incluant des restaurations effectives. NIS 2 et DORA imposent que les plans soient testés régulièrement et que les résultats soient documentés et disponibles pour les autorités de contrôle. Un PRA non testé est considéré comme invalide.
Comment définir le RTO et le RPO de mon organisation ?
Le RTO et le RPO doivent être définis par les métiers, en fonction de l’impact d’une interruption sur l’activité de chaque processus critique. Une analyse d’impact sur l’activité (BIA) permet de classer les processus par criticité et de définir des objectifs réalistes et proportionnés. Ces objectifs doivent ensuite être validés par la direction et vérifiés lors des tests réguliers du PRA.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
