Fiche 11 — Continuité d’activité & résilience (PCA / PRA)

Domaine explicitement listé dans le périmètre du poste, et exigence directe de NIS2 (art. 21), DORA (pilier 1 & 3) et ISO 27001 (A.5.29, A.5.30, A.8.13, A.8.14).

1. Vocabulaire — les indicateurs clés ⭐

Sigle	Définition	Piège
RTO — Recovery Time Objective	Durée maximale acceptable d’indisponibilité	C’est un objectif, à distinguer du RTA (achieved) constaté en test
RPO — Recovery Point Objective	Perte de données maximale acceptable (fenêtre)	RPO 0 ⇒ réplication synchrone ⇒ coût majeur et propagation possible du chiffrement
MTD / DMIA	Maximum Tolerable Downtime / Durée Maximale d’Interruption Admissible	RTO ≤ MTD toujours
WRT	Work Recovery Time : temps pour resynchroniser les données/rattraper le retard	Souvent oublié : MTD = RTO + WRT
MTBF / MTTR	Fiabilité / temps moyen de réparation	Vocabulaire ingénierie
SDO	Service Delivery Objective : niveau de service en mode dégradé	Utile pour éviter le tout ou rien
PDMA	Perte de Données Maximale Admissible (= RPO en français)	Terminologie SGDSN/ANSSI

2. Les plans — ne pas les confondre

PCA / BCP (Plan de Continuité d’Activité) : maintenir les activités essentielles, y compris en mode dégradé. Périmètre métier (personnel, locaux, fournisseurs, SI).
PCI / PCA-SI : le volet SI du PCA.
PRA / DRP (Plan de Reprise d’Activité) : reprendre après sinistre, orienté SI.
PGC : Plan de Gestion de Crise (organisation de la crise, cf. fiche 09).
PCO : Plan de Continuité Opérationnelle / plans de secours métier (procédures manuelles).
Plan de reconstruction : spécifique cyber — reconstruire un SI compromis, pas seulement redémarrer (différence fondamentale avec le PRA « incendie/inondation »). ⭐

3. Le point qui distingue un senior : PRA classique ≠ résilience cyber

	Sinistre physique (incendie, panne)	Sinistre cyber (ransomware)
Le SI de secours	Sain, on bascule	Potentiellement compromis aussi (réplication du chiffrement, backdoor répliquée)
Les sauvegardes	Disponibles	Ciblées et détruites en premier
L’AD	Fonctionnel	Compromis → il faut le reconstruire d’abord
Durée	Heures/jours	Semaines à mois (médiane de retour à la normale souvent > 3 semaines)
Prérequis	Basculer	Investiguer, éradiquer, durcir, PUIS restaurer

Conséquences à savoir énoncer :

Il faut une base de confiance (clean room / green zone) : environnement neuf, isolé, pour reconstruire l’AD, la PKI et les services socles avant de restaurer les applications.
Ordre de reprise : réseau & sécurité → annuaire/identités → sauvegarde/restauration → postes de crise → applications par ordre de priorité issu du BIA → réouverture des accès externes.
La réplication synchrone n’est pas une protection contre le ransomware.
La sauvegarde doit être immuable et/ou hors ligne, avec des identifiants distincts de l’AD.

4. Démarche projet (ISO 22301 / ISO 27031)

Cadrage & politique de continuité : périmètre, sponsor, gouvernance, appétence.
BIA — Bilan d’Impact sur l’Activité ⭐ : par processus métier — impacts (financier, réglementaire, réputation, humain) en fonction du temps (1 h, 4 h, 1 j, 3 j, 1 sem), → MTD, RTO, RPO, ressources nécessaires (applications, données, personnes clés, locaux, fournisseurs), interdépendances, saisonnalité (ne pas oublier : un arrêt en période de clôture n’a pas le même impact).
Analyse de risques / scénarios de sinistre : indisponibilité du datacenter, du cloud, du réseau, des personnes (pandémie, grève), d’un fournisseur clé, cyber.
Choix des stratégies de continuité (arbitrage coût/RTO) : voir §5.
Rédaction des plans : procédures, fiches réflexes, annuaire de crise, critères de bascule, procédures de retour à la normale (souvent oubliées).