Un plan de continuité d'activité (PCA) décrit comment l'entreprise continue de travailler quand son informatique s'arrête, par exemple après une cyberattaque. Voici un exemple rempli pour une PME fictive et une méthode en trois étapes pour bâtir le vôtre. Vous pouvez en rédiger une première version sans être expert, en commençant par une réunion avec vos responsables.
Plan de continuité d'activité exemple : la trame pour PME
Vincent Coderch8 min de lecture
Un plan de continuité d'activité dit comment continuer à travailler quand l'informatique s'arrête. Voici un exemple rempli et la méthode en trois étapes.
L'essentiel
Selon son ampleur, un rançongiciel peut paralyser l'activité d'une entreprise qui n'a pas les moyens d'y faire face. Le plan de continuité liste les activités vitales, le délai et la perte de données acceptables, et la façon de travailler sur papier et téléphone. Commencez par une réunion d'une heure pour classer vos activités.
Plan de continuité d'activité : à quoi ça sert ?
Une attaque par rançongiciel (un programme qui rend les fichiers illisibles et réclame une rançon) peut, selon son ampleur, paralyser complètement l'activité d'une organisation qui n'a pas les moyens d'y faire face. Un cabinet d'avocats victime raconte avoir mis plusieurs semaines pour retrouver un fonctionnement normal, ses sauvegardes ayant aussi été attaquées.
Le PCA répond à une question simple : pendant ce temps, comment continue-t-on de servir les clients, de facturer, de payer les salaires ? En cas d'attaque, Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, recommande de mettre en place des solutions de secours pour assurer les services indispensables, et d'activer ses plans de continuité et de reprise d'activité si l'on en dispose.
Pour les premiers gestes face à une attaque, voir aussi le plan de réponse à incident cyber. Votre conseil juridique ou votre fédération professionnelle peut vous dire si votre entreprise est tenue d'avoir un tel plan.
Étape 1 : lister vos activités critiques
Le guide « Comment piloter sa cybersécurité ? » invite à évaluer, pour chaque système recensé, sa criticité pour le fonctionnement de l'organisation s'il venait à être piraté ou détruit.
En pratique, réunissez une heure les responsables de chaque service et posez une seule question : « Si cela s'arrête, au bout de combien de temps l'entreprise est-elle en difficulté ? » Classez les réponses en trois niveaux :
- vital : à rétablir en premier (prise de commandes, production, paie en fin de mois) ;
- important : peut attendre quelques jours (facturation, relances) ;
- reportable : peut attendre plusieurs semaines (archives, statistiques).
Pour chaque activité vitale, notez les outils dont elle dépend : logiciel de gestion, messagerie, fichier clients, téléphone.
Étape 2 : fixer le délai de reprise et la perte de données acceptables (RTO, RPO)
Deux chiffres résument vos exigences pour chaque activité vitale.
- Le délai de reprise (en anglais RTO, Recovery Time Objective) : le temps maximal pendant lequel l'activité peut être arrêtée.
- La perte de données acceptable (en anglais RPO, Recovery Point Objective) : la quantité de travail que vous acceptez de ressaisir ou de perdre, exprimée en durée.
Le second chiffre décide de vos sauvegardes : leur fréquence dépend de votre risque admissible de pertes de données, et Cybermalveillance.gouv.fr suggère de vous demander quel serait l'impact de la perte d'un jour, d'une semaine ou d'un mois de commandes, factures ou rendez-vous. Si vous ne pouvez pas perdre plus d'une journée, il faut au moins une sauvegarde par jour.
Ces chiffres ne valent que si les sauvegardes survivent : les attaquants cherchent souvent à les détruire pour empêcher la restauration. Gardez-en une copie déconnectée, dans un lieu différent de celui des données originales, et vérifiez régulièrement qu'elle fonctionne en la restaurant. La règle 3-2-1 donne la méthode.
Étape 3 : prévoir le mode dégradé
Le mode dégradé, c'est travailler sans l'informatique habituelle, moins vite mais sans s'arrêter. Cybermalveillance.gouv.fr cite le fonctionnement dégradé parmi les plans de secours à préparer, avec l'annuaire de crise et la communication.
Pour chaque activité vitale, décidez à l'avance :
- le support papier : bons de commande vierges, carnet de livraison, dernière liste clients et fournisseurs imprimée ;
- le téléphone : quelques numéros clés notés à la main, un téléphone portable de secours ;
- les outils de secours : un ordinateur neuf ou tenu à l'écart du réseau, une adresse e-mail de secours chez un autre fournisseur ;
- le responsable : qui déclenche le mode dégradé et qui y met fin.
Attention au calendrier : les attaques sont généralement déclenchées la nuit ou le week-end. Le plan doit donc pouvoir être lancé par quelqu'un joignable un samedi.
Exemple rempli : une PME frappée par un rançongiciel
Voici un exemple illustratif, pour une entreprise fictive de 40 salariés qui fabrique et livre des pièces. Les valeurs sont à adapter à votre cas, aucune n'est une norme.
| Activité | Niveau | Délai de reprise | Perte acceptable | Mode dégradé |
|---|---|---|---|---|
| Prise de commandes | Vital | 4 heures | 1 jour | Bons papier, commandes par téléphone |
| Production | Vital | 1 jour | 1 jour | Fiches de fabrication imprimées chaque semaine |
| Livraisons | Vital | 1 jour | 1 jour | Planning papier, transporteur prévenu par téléphone |
| Paie | Vital en fin de mois | 5 jours | 1 semaine | Reconduction des virements de salaire du mois précédent, à voir avec la banque |
| Facturation | Important | 1 semaine | 1 jour | Ressaisie à partir des bons papier |
| Archives | Reportable | 1 mois | 1 mois | Aucun |
Scénario : un lundi matin, plus aucun fichier ne s'ouvre. L'équipe de gestion de crise se réunit ; elle rassemble la technique, les RH, les finances, la communication et le juridique. Le responsable commercial bascule les commandes sur papier, l'atelier travaille sur les fiches imprimées, le prestataire isole les machines touchées, puis restaure en priorité le logiciel de commandes depuis la sauvegarde déconnectée, une fois les preuves conservées. Chaque décision est notée avec l'heure dans un registre, pour garder une trace utile aux enquêteurs et aux leçons à tirer.
Le modèle Plan de continuité d'activité (PCA/PRA) simplifié reprend cette logique : activités critiques, RTO/RPO, scénarios rançongiciel et sinistre, procédures de bascule.
Comment vérifier que votre plan tient la route ?
Cybermalveillance.gouv.fr recommande de réaliser des exercices pour s'assurer de l'efficacité des plans de secours. Une fois par an, réunissez les responsables deux heures autour d'une table et déroulez l'exemple ci-dessus avec vos propres activités.
Après l'exercice, cochez ces points :
- chaque activité vitale a un délai de reprise, une perte acceptable et un responsable ;
- les sauvegardes ont été restaurées pour de vrai au moins une fois dans l'année ;
- les bons papier et la liste des numéros existent, imprimés et à jour ;
- le plan est imprimé et rangé hors des ordinateurs, chez au moins deux personnes ;
- le prestataire informatique connaît l'ordre de restauration que vous avez choisi.
Ce qui a coincé pendant l'exercice devient votre liste d'actions pour l'année.
Questions fréquentes
Existe-t-il un modèle de plan de continuité d'activité à télécharger ?
Oui, la page ressources propose un modèle PCA/PRA simplifié. Le tableau de cet article peut aussi être recopié tel quel dans un traitement de texte ou un tableur. L'essentiel est de l'imprimer une fois rempli.
Combien de temps faut-il pour rédiger un PCA de PME ?
Comptez une réunion pour classer les activités, puis le temps de fixer les délais et le mode dégradé ; la première version s'améliore à chaque exercice.
Qui doit tenir le plan à jour ?
Désignez une personne, souvent le dirigeant ou le responsable administratif, chargée de le relire à chaque changement important : nouveau logiciel, nouveau prestataire, départ d'un responsable. Le prestataire informatique valide les délais de restauration annoncés.
Sources
- Que faire en cas de cyberattaque ? (Guide pour les dirigeants) — Cybermalveillance.gouv.fr, 25/01/2022
- Comment piloter sa cybersécurité ? (Dirigeants) — Cybermalveillance.gouv.fr, 22/05/2023
- Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ? — Cybermalveillance.gouv.fr, 04/02/2026
- Pourquoi et comment bien gérer ses sauvegardes ? — Cybermalveillance.gouv.fr, 18/08/2025
Comment Sedona peut aider
Fixer des priorités suppose de savoir d'abord ce qui est exposé. Sedona Radar fait l'audit de sécurité externe automatisé de votre domaine et en tire un rapport en français ; son Plan de traitement range ensuite les actions dans l'ordre. L'application présente chaque constat en langage clair pour la direction ou en détails techniques pour le DSI.
Parmi ce qu'il examine :
- Vos portes ouvertes : les services qui répondent depuis Internet, les logiciels qui les font tourner et leurs failles connues.
- Vos noms de domaine : les sous-domaines publics, la configuration DNS de votre messagerie, les sous-domaines qu'un tiers pourrait reprendre.
Le plan Discovery, gratuit, donne un premier Scan de Contrôle : score de risque, vos 3 vulnérabilités les plus graves, le décompte par sévérité et vos scores sur les 6 référentiels. Radar ne voit que ce qui est exposé sur Internet, pas l'intérieur de votre réseau ; il évalue votre exposition, il ne certifie rien. Pour en parler, nous contacter.
Article publié le 02/11/2026. Une erreur, une source à mettre à jour ? Nous contacter : nous corrigeons et datons la correction.
Passez de la théorie à votre situation réelle
Voyez ce que votre organisation expose aujourd'hui avec Sedona Radar, ou écrivez-nous : premier échange gratuit, sans engagement.
Sans carte bancaire · 1 Scan de Contrôle offert · Rien à installer · Sur un domaine que vous possédez ou pour lequel vous êtes mandaté.
