Plan de continuité d'activité (PCA)

Définition simple : qu'est-ce qu'un plan de continuité d'activité (PCA) ?

Le plan de continuité d'activité désigne le document qui organise le maintien des services essentiels d'une collectivité pendant une crise, cyberattaque, panne, sinistre ou pandémie, afin de fonctionner en mode dégradé, protéger les usagers et les agents, et préparer le retour à la normale.

Il répond à une question simple : que fait la mairie lundi matin si tous les écrans sont noirs ? Payer les agents, enregistrer une naissance, accueillir au guichet, gérer un décès, verser une aide sociale : chaque activité essentielle reçoit une durée d'interruption maximale admissible et un mode dégradé, souvent des procédures papier et des contacts hors informatique. Le plan de reprise d'activité (PRA) en est le volet technique : l'ordre et le délai de remise en service des systèmes.

Les enjeux du PCA pour les collectivités

Les attaques par rançongiciel ont montré que des collectivités pouvaient rester plusieurs semaines sans informatique, avec des services publics rendus à la main. Le PCA réduit la durée et le coût de la crise : sauvegardes hors ligne testées, site de repli, prestataires identifiés, cellule de crise entraînée. Il garantit aux élus une chaîne de décision connue à l'avance, et aux usagers la continuité des services vitaux.

Le plan ne vaut que testé. Un exercice annuel, restauration réelle d'un serveur ou simulation de crise, révèle les procédures oubliées et les sauvegardes inutilisables. Les retours d'expérience de Numérique360 montrent des collectivités qui préparent leurs agents par le jeu et un Département qui bâtit un centre de données local pour sécuriser les données des communes rurales.

Définition technique : élaboration et paramètres d'un PCA

L'élaboration suit une méthode en cinq étapes. Bilan d'impact sur l'activité : lister les activités, classer leur criticité, fixer pour chacune la durée maximale d'interruption admissible (de quelques heures pour la téléphonie d'urgence à plusieurs jours pour l'urbanisme). Analyse des risques : scénarios (rançongiciel, incendie, crue, panne électrique, absence massive d'agents), vraisemblance, impact. Stratégies de continuité : mode dégradé par activité, site de repli, redondances, contrats. Organisation de crise : cellule, chaîne d'alerte, communication interne et externe. Tests et maintien : exercices, revue annuelle.

Le volet informatique fixe deux paramètres par système : le RTO (recovery time objective), délai de reprise cible, et le RPO (recovery point objective), perte de données admissible, qui détermine la fréquence des sauvegardes. La règle 3-2-1 (trois copies, deux supports, une hors site et hors ligne) protège contre le rançongiciel qui chiffre aussi les sauvegardes connectées. Un ordre de redémarrage définit les dépendances : annuaire, réseau, messagerie, puis applications métiers.

Les indicateurs de maturité sont la part d'activités essentielles dotées d'un mode dégradé, la date du dernier exercice, le taux de réussite des tests de restauration et le délai réel constaté lors du dernier test. Un PCA de commune tient en une trentaine de pages plus des fiches réflexes d'une page par activité, imprimées et disponibles hors informatique.

Définition juridique et réglementaire du plan de continuité d'activité

Les obligations générales

Aucun texte n'impose un PCA à toutes les collectivités, mais plusieurs obligations le supposent. Le Code de la sécurité intérieure (article L732-1) impose aux exploitants de services essentiels, dont certains services publics locaux, de prévoir les mesures nécessaires au maintien de la satisfaction des besoins prioritaires de la population en cas de crise. Le plan communal de sauvegarde, obligatoire dans les communes exposées à un risque naturel ou technologique important (article L731-3), organise la continuité de l'action communale.

La directive NIS 2 et la sécurité des systèmes d'information

La directive (UE) 2022/2555 du 14 décembre 2022 impose aux entités de son périmètre, dont une partie des collectivités selon la loi de transposition, des mesures de gestion des risques comprenant la continuité des activités, la gestion des sauvegardes et la reprise après sinistre. Le référentiel général de sécurité demande de traiter le risque d'indisponibilité dans l'homologation des téléservices.

La protection des données

L'article 32 du règlement général sur la protection des données exige des moyens pour rétablir la disponibilité et l'accès aux données à caractère personnel dans des délais appropriés en cas d'incident, ce qui revient à imposer un plan de reprise pour les traitements de données des usagers. Le guide du Secrétariat général de la défense et de la sécurité nationale de 2013 reste la méthode de référence pour les administrations.