Plan de continuité d’activité PME :
le guide minimaliste pour ne pas
fermer après une cyberattaque
Près de 60% des PME qui subissent une cyberattaque déposent le bilan en France. Pas à cause de la perte de données — à cause de l’absence de plan pour continuer à fonctionner pendant la crise. Voici comment construire un PCA minimaliste, sans expert et sans gros budget, qui peut littéralement sauver votre entreprise.
Ce n’est pas la perte de données qui tue les PME — c’est l’absence de plan. Une entreprise qui sait exactement quoi faire dans les premières heures d’une crise survit. Une entreprise qui découvre l’urgence en même temps que l’attaque s’effondre. La différence entre les deux n’est pas le budget — c’est la préparation.
Pourquoi 60% des PME ferment après une cyberattaque
Le réflexe naturel est de penser que la fermeture est causée par la perte de données ou le paiement de la rançon. C’est rarement le cas. Le mécanisme réel est plus insidieux : une interruption d’activité non maîtrisée qui s’étend sur des jours, parfois des semaines, pendant que l’entreprise improvise sa réponse.
Pendant cette période d’improvisation, trois choses se produisent simultanément. Les clients ne sont pas livrés ou servis, et certains partent définitivement vers un concurrent. La trésorerie se tend, car les charges continuent de courir sans revenus entrants. Et la confiance — celle des clients, des partenaires, des fournisseurs et parfois des banques — s’érode rapidement, car personne en interne ne sait quoi communiquer ni à qui.
Le principal coût d’une cyberattaque est souvent l’interruption durable d’activité plutôt que la rançon elle-même. C’est précisément ce que le PCA cherche à éviter : pas en empêchant l’attaque, mais en évitant que l’attaque ne se transforme en arrêt total et prolongé de l’entreprise.
PCA et PRA : deux outils complémentaires, pas un seul document
La confusion entre ces deux sigles est très répandue. Pourtant la distinction est simple à retenir : le PCA permet de continuer à travailler, tandis que le PRA s’occupe de réparer et de redémarrer les systèmes.
PCA — Plan de Continuité d’Activité
“Comment je continue à fonctionner pendant la crise”
- Agit en continu, pendant l’incident lui-même
- Vise un fonctionnement en mode dégradé, pas optimal
- Couvre les aspects humains, organisationnels, commerciaux
- Objectif RTO proche de zéro pour les activités vitales
PRA — Plan de Reprise d’Activité
“Comment je restaure mes systèmes après la crise”
- Déclenché après le sinistre, une fois l’urgence gérée
- Concentré sur la restauration technique du SI
- Couvre les serveurs, données, applications
- Accepte un délai de reprise mesuré (RTO/RPO définis)
Pour une PME qui démarre, le PRA est souvent le point de départ le plus réaliste. Un PCA complet (norme ISO 22301) est un projet ambitieux. Un PRA simple — qui répond à “comment je restaure mes données et mes systèmes après une attaque” — est plus rapide à mettre en place et déjà extrêmement utile. Les deux sont complémentaires et doivent à terme figurer ensemble dans votre stratégie de résilience.
RTO et RPO : les deux chiffres qui structurent tout le reste
Avant de rédiger quoi que ce soit, votre PCA repose sur deux indicateurs à définir clairement. Ce sont eux qui transforment un document théorique en plan opérationnel et mesurable.
Recovery Time Objective — durée maximale d’interruption tolérée
Combien de temps votre entreprise peut-elle fonctionner sans son système d’information avant que les dégâts deviennent critiques ? Pour un commerce en ligne, ce délai peut être de quelques heures. Pour un cabinet de conseil, il peut être de 2 à 3 jours. Ce chiffre dépend uniquement de votre activité — pas d’une norme générique.
Recovery Point Objective — perte de données maximale acceptable
Si vos sauvegardes datent de la veille, vous pouvez perdre jusqu’à 24h de données en cas d’incident. Si vous sauvegardez toutes les heures, vous limitez la perte à 1h. Le RPO définit la fréquence de sauvegarde nécessaire selon ce que vous êtes prêt à perdre — et donc directement le budget à y consacrer.
Une fois ces deux chiffres définis pour votre activité, le reste du PCA en découle logiquement : la fréquence de vos sauvegardes (déterminée par le RPO) et la rapidité de votre dispositif de secours (déterminée par le RTO).
Avant de construire votre PCA
Connaissez-vous vos failles actuelles ?
Un PCA efficace part d’un diagnostic honnête de vos points de fragilité réels.
Rapport PDF immédiat · Conforme ANSSI
Construire votre PCA minimaliste en 5 étapes
Pas besoin d’un consultant ni de plusieurs semaines de travail. Une après-midi de réflexion structurée suffit pour produire un premier PCA opérationnel — imparfait, mais infiniment mieux que l’absence totale de plan.
Identifier vos activités vitales (Business Impact Analysis simplifiée)
Listez 3 à 5 fonctions sans lesquelles votre entreprise s’arrête littéralement : facturation, production, service client, paie. Pour chacune, demandez-vous : “Si ça s’arrête, en combien de temps ai-je un problème grave ?” C’est votre RTO par activité.
Lister vos dépendances critiques
Quels outils, prestataires ou accès sont indispensables à chaque activité vitale ? Votre logiciel de facturation, votre hébergeur, votre prestataire informatique. Si l’un d’eux tombe en panne, quel est votre plan de secours ? Une dépendance externe défaillante peut briser toute la chaîne.
Définir le mode dégradé pour chaque activité vitale
Si le système informatique est inaccessible, comment continuez-vous à facturer manuellement ? Comment communiquez-vous avec vos clients si la messagerie est compromise ? Prévoyez une solution alternative simple — même rudimentaire — pour chaque fonction vitale.
Définir la chaîne de décision et de communication
Qui décide quoi en cas de crise ? Qui contacte les clients ? Qui appelle l’assureur, le prestataire IT, l’ANSSI si nécessaire ? Désignez des responsables précis par tâche, avec leurs coordonnées directes — pas seulement “le service informatique”.
Documenter, imprimer, et rendre accessible sans ordinateur
Un PCA stocké uniquement sur le serveur compromis ne sert à rien. Imprimez une version papier, donnez-en une copie à chaque responsable clé, et stockez une copie numérique sur un support totalement séparé du réseau principal (cloud personnel sécurisé, par exemple).
Le modèle de fiche de crise — une page, prête à imprimer
Voici la structure minimale que doit contenir votre fiche de crise. Adaptez les champs en italique à votre situation réelle.
Modèle — Fiche de crise cyberattaque
FICHE D’URGENCE — CYBERATTAQUE [NOM DE L’ENTREPRISE]
1. Constat de l’incident
Date et heure de détection : _______
Personne ayant détecté l’incident : _______
Description rapide : _______
2. Premières actions (dans l’heure)
☐ Déconnecter les postes concernés du réseau (sans les éteindre)
☐ Ne pas payer de rançon sans validation de la direction
☐ Alerter le responsable désigné : [Nom + téléphone]
3. Contacts d’urgence (dans l’ordre d’appel)
1. Cybermalveillance.gouv.fr — assistance technique : 3018
2. Assureur cyber, cellule sinistres : [Numéro dédié]
3. Prestataire informatique : [Nom + téléphone]
4. Gendarmerie / commissariat pour dépôt de plainte (délai LOPMI 72h) : [Coordonnées]
4. Activités vitales et mode dégradé
Activité 1 : [ex: facturation] → Solution dégradée : _______
Activité 2 : [ex: service client] → Solution dégradée : _______
5. Communication
Responsable communication clients : [Nom]
Notification CNIL si données compromises (72h) : notifications.cnil.fr
Cette fiche, une fois imprimée et distribuée, transforme une situation de panique en une séquence d’actions claires. C’est exactement ce qui manque à 80% des PME françaises, qui se déclarent non préparées face aux cyberattaques malgré une conscience croissante du risque.
Renforcez votre préparation
Votre PCA repose-t-il sur des fondations solides ?
Notre rapport identifie vos points de fragilité avant qu’une crise ne les révèle.
Conforme ANSSI · Résultat immédiat
Tester son plan — l’étape que tout le monde oublie
Un PCA non testé donne une fausse impression de sécurité. Pour qu’il soit réellement efficace, il faut au contraire qu’il soit régulièrement mis à jour et réévalué — la mise en place du plan relève d’une démarche continue, pas d’un exercice ponctuel.
🧪 Comment tester votre PCA sans perturber votre activité
- Exercice de simulation sur table — réunissez les responsables désignés et déroulez un scénario fictif d’attaque pendant 1h. Identifiez les zones d’incertitude dans votre fiche de crise.
- Test de restauration de sauvegarde — vérifiez concrètement que vos données peuvent être récupérées dans le délai RTO que vous avez défini, pas seulement en théorie.
- Vérification des coordonnées — les numéros de téléphone, contacts d’assurance et prestataires listés sont-ils toujours à jour ? Un point trop souvent négligé.
- Revue après tout changement majeur — nouveau prestataire IT, nouveau logiciel critique, croissance de l’équipe : mettez à jour le PCA en conséquence.
La fréquence recommandée est d’au moins une fois par an, idéalement deux fois. C’est un investissement de quelques heures qui peut faire la différence entre une entreprise qui traverse une crise et une entreprise qui ferme.
Questions fréquentes
Quelle est la différence entre un PCA et un PRA ?
Le PCA (Plan de Continuité d’Activité) vise à maintenir les fonctions essentielles de l’entreprise en mode dégradé pendant la crise elle-même. Le PRA (Plan de Reprise d’Activité) intervient après le sinistre pour restaurer complètement les systèmes et données. Le PCA agit en continu, le PRA est déclenché après l’incident. Pour une PME qui démarre, un PRA simple est souvent le point de départ le plus réaliste avant de construire un PCA complet.
Un PCA est-il obligatoire pour ma PME ?
Légalement obligatoire uniquement pour certains secteurs réglementés (banque, santé, assurance). Mais la directive NIS2, pleinement applicable en France à partir d’octobre 2026, impose aux entités essentielles et importantes de démontrer leur capacité de continuité — ce qui inclut de fait un PCA documenté et testé. Pour toute autre PME, il reste vivement recommandé compte tenu du taux de fermeture après cyberattaque.
Combien coûte la mise en place d’un PCA pour une PME ?
Un PCA minimaliste peut être construit en interne sans coût direct, en quelques heures de travail de réflexion structurée — c’est exactement l’objet de cet article. Les coûts apparaissent surtout dans les mesures techniques associées (sauvegardes externalisées, solutions de secours) plutôt que dans le document lui-même. Un accompagnement par un consultant externe pour un PCA plus complet coûte généralement entre 2 000 et 8 000 euros pour une PME, selon la complexité.
À quelle fréquence faut-il tester son PCA ?
Au minimum une fois par an, idéalement deux fois par an. Un PCA non testé donne une fausse impression de sécurité : beaucoup de plans non testés échouent lors de leur premier déclenchement réel, faute d’avoir anticipé un détail opérationnel critique — un numéro de téléphone obsolète, un prestataire qui a changé, une sauvegarde qui ne se restaure pas comme prévu.
La préparation commence aujourd’hui
Identifiez vos failles avant qu’elles ne deviennent une crise
Score de maturité · Plan d’action · Rapport PDF immédiat.
Conforme ANSSI · Résultat immédiat · Sans engagement