PCA entreprise : le plan de continuité d'activité expliqué aux PME

En bref : un plan de continuité d'activité (PCA) est l'ensemble des mesures et procédures préparées à l'avance pour que l'entreprise continue de fonctionner, au moins en mode dégradé, quand un incident grave survient : cyberattaque, incendie, inondation, panne informatique, absence d'une personne clé, défaillance d'un fournisseur. Il fixe les activités vitales, le délai d'interruption supportable pour chacune, les solutions de repli et l'organisation de crise. En PME, il n'est en général pas obligatoire, mais il réduit les pertes et rassure clients, assureurs et repreneurs.

Qu'est-ce qu'un plan de continuité d'activité ?

Le Secrétariat général de la défense et de la sécurité nationale (SGDSN), qui publie un guide gratuit sur le sujet, présente le PCA comme une stratégie pour réagir face à des risques et des menaces identifiés. Il repose sur des moyens et des procédures définis à l'avance. Son but : réduire l'impact d'un incident sur l'activité, puis revenir à un niveau d'activité comparable, ou à une « nouvelle normalité ».

Concrètement, un PCA répond à quatre questions. Quelles activités ne peuvent pas s'arrêter longtemps ? Combien de temps peut-on s'en passer ? Que fait-on à la place pendant l'interruption ? Qui décide et qui agit ?

PCA, PRA, plan de gestion de crise : les différences

Les trois se complètent. Le PRA est souvent présenté comme le volet technique du PCA. La gestion de crise fait l'objet de notre guide sur le plan de gestion de crise.

Pourquoi le PCA compte pour un dirigeant de PME

Une PME a rarement de redondance : un seul serveur, un seul fournisseur pour un composant critique, une seule personne qui sait faire la paie ou piloter une machine. Le jour où l'un de ces éléments manque, l'activité s'arrête, et avec elle la facturation. Le guide du SGDSN cite parmi les conséquences d'une absence de PCA des pertes humaines ou financières, une atteinte à la réputation et l'incapacité à remplir ses obligations légales.

Le PCA compte aussi pour la valeur de l'entreprise. Un repreneur cherche les points de fragilité : dépendance à une personne, à un client, à un fournisseur, à un outil. Un PCA tenu à jour montre que ces dépendances sont connues et traitées. C'est un argument concret pendant l'audit d'acquisition, et un moyen de limiter les protections que l'acheteur demandera.

Le PCA est-il obligatoire pour une entreprise ?

Pour la plupart des PME, non. Certaines activités y sont tenues par leur réglementation sectorielle. Deux sujets méritent votre attention :

• La directive européenne NIS 2 étend les obligations de cybersécurité à de nombreux secteurs. En France, sa transposition passe par le projet de loi dit « Résilience », dont l'examen en séance à l'Assemblée nationale était prévu à partir du 9 novembre 2026. Tant que la loi n'est pas promulguée, ces obligations ne s'appliquent pas en droit français. Vérifiez dès maintenant si votre secteur et votre taille vous font entrer dans le périmètre.
• Les données personnelles : en cas de violation présentant un risque pour les personnes, la CNIL doit être notifiée dans les meilleurs délais, avec une première notification dans les 72 heures si toutes les informations ne sont pas encore disponibles. Votre PCA doit prévoir qui s'en charge.

Vos clients ou votre assureur peuvent aussi vous demander comment vous garantissez la continuité de vos livraisons : un PCA écrit est alors la meilleure réponse.

Comment mettre en place un plan de continuité d'activité : la méthode en 7 étapes

La méthode suit la logique du guide du SGDSN, organisé en neuf unités, de la compréhension de la continuité au maintien du dispositif dans la durée.

1. Lancer la démarche et fixer le périmètre

Désignez un responsable, fixez le périmètre (toute l'entreprise ou un site) et le niveau d'ambition. En PME, le dirigeant porte la démarche, même s'il la délègue.

2. Déterminer les besoins de continuité

C'est l'analyse d'impact sur l'activité (en anglais BIA, business impact analysis). Pour chaque activité, estimez ce que coûte son arrêt au bout d'une heure, d'un jour, d'une semaine. Vous en déduisez la durée maximale d'interruption admissible et, pour les données, la perte maximale admissible (combien d'heures de saisie pouvez-vous perdre ?).

3. Évaluer les risques

Listez les scénarios plausibles : cyberattaque, incendie, inondation, panne d'électricité ou de réseau, défaillance d'un fournisseur, absence d'une personne clé, pandémie. N'oubliez pas les incidents banals, plus fréquents que les catastrophes. Croisez la probabilité de chaque scénario avec l'impact mesuré à l'étape précédente.

4. Choisir les solutions de continuité

Pour chaque activité vitale : travail à distance, site de repli, stock de sécurité, second fournisseur qualifié, binôme formé sur chaque poste critique, procédure manuelle de secours. Choisissez au regard du coût de l'arrêt : inutile de protéger à grands frais une activité qui peut attendre une semaine.

5. Organiser la gestion de crise

Qui déclenche le PCA, qui fait partie de la cellule de crise, où elle se réunit si les locaux sont inaccessibles, comment on joint les salariés, les clients et les fournisseurs. Prévoyez des coordonnées à jour accessibles hors des systèmes de l'entreprise.

6. Écrire le plan

Quelques pages lisibles valent mieux qu'un classeur. Une fiche par scénario majeur : déclencheur, premières actions, responsables, contacts, solutions de repli. Le plan doit pouvoir être lu sous stress, par quelqu'un qui ne l'a pas écrit.

7. Tester et maintenir

Un PCA jamais testé est une hypothèse. Faites au moins un exercice par an : restauration d'une sauvegarde, journée sans le serveur principal, simulation d'une cyberattaque sur table. Mettez le plan à jour après chaque exercice, chaque incident et chaque changement important (nouvel outil, départ d'une personne clé, nouveau site).

Le PCA informatique : le volet le plus urgent

Pour beaucoup de PME, l'informatique est la première dépendance. Le PCA informatique précise quels systèmes doivent repartir en premier, à partir de quelles sauvegardes, avec quels moyens de secours. Le dispositif national d'assistance cybermalveillance.gouv.fr recommande de sauvegarder à intervalles réguliers, de garder plusieurs copies sur des supports différents, de déconnecter le support de sauvegarde quand il n'est pas utilisé (un rançongiciel peut atteindre une sauvegarde connectée), d'en conserver une dans un autre lieu, et de vérifier régulièrement que la restauration fonctionne.

Exemple de PCA informatique pour une PME de services, à adapter à votre cas :

Si un incident cyber survient malgré tout, notre article sur la gestion d'une fuite de données ou d'un incident de cybersécurité détaille les premières heures.

Le PCA et la transmission de l'entreprise

Préparer un PCA oblige à faire l'inventaire de ce dont l'entreprise dépend. C'est le même inventaire qu'un acquéreur fera pendant son audit. Les dépendances humaines sont souvent les plus sensibles : le dirigeant lui-même, le commercial qui tient les grands comptes, le technicien qui seul connaît une machine. Un PCA qui prévoit des binômes et des procédures écrites pour ces postes répond par avance à une question du repreneur. Notre guide sur l'analyse des dépendances stratégiques avant une cession approfondit ce point.

Les erreurs fréquentes

• Réduire le PCA à l'informatique et oublier les personnes clés et les fournisseurs.
• Écrire un document épais que personne ne connaît.
• Stocker le plan et les contacts sur le serveur qui risque d'être indisponible.
• Ne jamais tester la restauration des sauvegardes.
• Protéger toutes les activités au même niveau, au lieu de se concentrer sur les vitales.
• Ne pas mettre à jour le plan après un départ ou un changement d'outil.

Comment nous abordons ce sujet

Un PCA solide repose d'abord sur une organisation claire : savoir qui fait quoi, avec quels moyens, et qui prend le relais. C'est le travail de notre accompagnement en structuration opérationnelle, dont l'idée est simple : ce n'est pas parce que ça tourne que c'est structuré. Structurer, c'est poser un cadre clair pour que l'entreprise fonctionne, même quand vous n'êtes pas là.

La méthode part de votre réalité, pas d'un organigramme idéal, en trois étapes. D'abord les points de friction : où les informations se perdent, où les décisions bloquent, où l'énergie fuit. Ensuite les rôles et périmètres : clarifier, répartir et sécuriser les responsabilités clés. Enfin les outils et rituels qui rendent visibles les priorités, les chiffres et les engagements. Le format combine un audit d'organisation express (cartographie des rôles et des flux), des ateliers de co-construction avec les équipes et les dirigeants, la mise en place d'outils et de routines adaptés à vos habitudes, et un suivi mensuel pour ancrer la structuration dans le réel.

Ce que nous ne faisons pas : pas d'organigramme figé sorti d'un PowerPoint, pas d'empilement d'outils sans logique d'usage, pas de structure plaquée sans tenir compte des personnes et de la culture, pas de disruption brutale. Le volet technique du PCA informatique relève de vos prestataires spécialisés.

Questions fréquentes

Quelle est la définition d'un PCA ?

Le plan de continuité d'activité est l'ensemble des mesures et procédures préparées à l'avance pour maintenir les activités vitales de l'entreprise pendant un incident grave, puis revenir à un niveau d'activité comparable.

Quelle différence entre PCA et PRA ?

Le PCA vise à continuer à fonctionner pendant l'incident, éventuellement en mode dégradé. Le PRA organise le redémarrage après un arrêt, le plus souvent celui des systèmes informatiques. Le PRA est en général un volet du PCA.

Quel exemple de PCA informatique pour une PME ?

Une liste des systèmes classés par priorité de redémarrage, des sauvegardes régulières dont une déconnectée et hors site, un test de restauration au moins annuel, un second accès internet, des procédures manuelles pour les opérations vitales et les coordonnées des prestataires accessibles hors réseau.

Le plan de continuité d'activité est-il obligatoire ?

Pas pour la plupart des PME. Il peut l'être dans certains secteurs réglementés, et la transposition française de la directive NIS 2 étendra des obligations de cybersécurité à de nouvelles entreprises une fois la loi promulguée. Vos clients ou votre assureur peuvent aussi vous le demander.

Combien coûte la mise en place d'un PCA ?

Le coût dépend surtout des solutions de continuité choisies (sauvegardes, accès de secours, site de repli, stocks) plus que du document lui-même. Pour juger un devis, comparez-le au coût d'une journée ou d'une semaine d'arrêt de vos activités vitales.

PCA et PV de continuation d'activité : quel rapport ?

Non. Le procès-verbal de continuation d'activité est une décision des associés, prise lorsque les capitaux propres sont devenus inférieurs à la moitié du capital social, de poursuivre l'activité plutôt que de dissoudre la société. Il n'a pas de lien avec le PCA.

Pour aller plus loin : Structuration opérationnelle · Structurer votre croissance pour passer un cap · Préparer votre cession · Le plan de gestion de crise · Analyser les dépendances avant une cession.