PCA et PRA : quelle différence et comment les construire en PME ?

PCA et PRA : deux plans, deux objectifs

La confusion entre ces deux sigles coûte cher, parce qu'elle conduit souvent à croire qu'on est couvert alors qu'on ne l'est qu'à moitié.

• Le PCA (Plan de Continuité d'Activité) répond à la question : « comment continuer à travailler pendant le sinistre ? ». C'est un plan métier, qui couvre aussi bien la perte des locaux que celle des personnes ou d'un fournisseur critique.
• Le PRA (Plan de Reprise d'Activité) répond à : « comment remonter le système d'information après le sinistre ? ». C'est la composante informatique du PCA : restauration des sauvegardes, bascule sur un site de secours, remise en service des applications.

Autrement dit, le PRA est un sous-ensemble du PCA. Une PME qui possède uniquement un PRA sait redémarrer ses serveurs, mais n'a rien prévu pour facturer, répondre aux clients ou payer ses salariés pendant les trois semaines que dure la remise en route.

Les 3 indicateurs qui structurent tout le reste

L'erreur classique : laisser la DSI fixer seule ces valeurs. Le RTO n'est pas une performance technique, c'est un arbitrage économique. Un RTO de 4 heures peut coûter dix fois plus cher qu'un RTO de 48 heures — seule la direction peut trancher si l'écart se justifie.

Le BIA : l'étape que tout le monde saute (et qu'il ne faut pas sauter)

Le Bilan d'Impact sur l'Activité consiste à classer vos processus métier selon leur criticité réelle, avant de parler technique. C'est le socle du PCA : sans lui, vous protégez au hasard.

Un BIA honnête réserve généralement de bonnes surprises : beaucoup de processus qu'on croyait urgents peuvent en réalité attendre 48 heures, ce qui allège considérablement le budget du PRA.

La méthode en 5 étapes

1. Cadrage et sponsor

Un PCA sans sponsor au niveau de la direction générale ne survit pas au premier arbitrage budgétaire. Constituez un comité de pilotage restreint : direction, DSI (ou prestataire informatique), et un référent par métier critique.

2. Bilan d'impact sur l'activité (BIA)

Ateliers avec les responsables métiers pour cartographier les processus, leurs dépendances (applications, fournisseurs, personnes clés) et leurs seuils de tolérance. C'est ici que se joue la qualité de tout le plan.

3. Scénarios de sinistre

Quatre familles de scénarios couvrent l'essentiel des cas réels :

• Indisponibilité du SI — ransomware, panne majeure, corruption de données
• Indisponibilité du site — incendie, dégât des eaux, inaccessibilité des locaux
• Indisponibilité des personnes — épidémie, départ simultané de compétences clés
• Défaillance d'un prestataire critique — hébergeur, éditeur SaaS, fournisseur unique

Ces scénarios recoupent directement le travail d'une analyse de risques EBIOS RM : si vous en avez déjà mené une, vous disposez déjà de la matière première.

4. Stratégies de continuité

Pour chaque scénario, on définit la parade : site de repli, télétravail généralisé, procédures dégradées papier, sous-traitance d'urgence, sauvegardes hors ligne et immuables. Le mode dégradé est souvent la réponse la plus rentable pour une PME : savoir facturer sur tableur pendant trois jours coûte moins cher qu'un site de secours en temps réel.

5. Tests et maintien en condition

Un plan non testé est un document de conformité, pas un dispositif de survie.

« La question n'est pas de savoir si vos sauvegardes tournent. Elle est de savoir si quelqu'un les a déjà restaurées en conditions réelles, chronomètre en main. »

Ce que la réglementation impose désormais

La continuité d'activité n'est plus une bonne pratique optionnelle. Elle figure explicitement parmi les dix mesures obligatoires de l'article 21 de la directive NIS2, dont l'échéance de mise en conformité est fixée au 17 octobre 2026. Le secteur financier est soumis à des exigences encore plus strictes via le règlement DORA, applicable depuis janvier 2025.

Côté normes volontaires, ISO 22301 est le référentiel international du management de la continuité d'activité. Il s'articule naturellement avec l'ISO 27001, dont l'Annexe A comporte déjà des mesures de continuité : une PME certifiée ISO 27001 a donc une longueur d'avance, sans être pour autant dispensée d'un vrai PCA.

Les 6 erreurs qui rendent un PCA inutile

Combien de temps et quel budget prévoir ?

Pour une PME de 50 à 250 salariés, la construction d'un PCA/PRA structuré représente typiquement :

• Cadrage + BIA : 3 à 6 jours d'accompagnement, répartis en ateliers
• Rédaction du PCA et du PRA : 4 à 8 jours selon le nombre de scénarios
• Premier test sur table : 1 journée, direction incluse
• Maintien annuel : 2 à 4 jours (revue, tests, mise à jour)

À cela s'ajoutent les investissements techniques éventuels (sauvegarde immuable, réplication, site de secours), très variables selon les RTO retenus — d'où l'importance de faire le BIA avant de signer un devis d'infrastructure. L'ANSSI situe généralement l'effort de continuité entre 0,5 % et 2 % du budget informatique annuel pour une organisation de taille moyenne.

En résumé

Le PRA remet les serveurs en marche ; le PCA permet à l'entreprise de survivre entre-temps. Les deux se construisent dans cet ordre : d'abord le BIA pour savoir ce qui compte vraiment, ensuite les scénarios, enfin la technique. Et un plan qui n'a pas été testé au cours des dix-huit derniers mois doit être considéré comme inexistant — c'est d'ailleurs ainsi qu'un auditeur le traitera.

Vous souhaitez construire ou challenger votre PCA/PRA avec un regard extérieur ? Échangez 30 minutes avec Cyber-Estuaire, consultant en cybersécurité et GRC basé à Nantes.