PCA et PRA : comment assurer la continuité de son activité

Le PCA permet de maintenir les activités essentielles pendant une perturbation, tandis que le PRA organise le rétablissement des systèmes et des données après l’incident. Complémentaires, ils se préparent en amont à partir des activités critiques, de leurs dépendances et des objectifs RTO et RPO.

Une coupure de fibre, un rançongiciel qui chiffre les serveurs ou un bâtiment inaccessible : en quelques minutes, une entreprise peut perdre l'accès à ses outils, à ses locaux ou à ses données. Le PCA (plan de continuité d'activité) et le PRA (plan de reprise d'activité) servent à préparer ce moment. Le premier maintient les activités essentielles pendant la perturbation, le second remet le système d'information en état. Ils se complètent : l'enjeu est de fixer, activité par activité, le niveau de continuité et de reprise nécessaire.

Qu'est-ce qu'un PCA (plan de continuité d'activité) ?

Le PCA décrit comment une organisation continue à fonctionner pendant un incident, souvent en mode dégradé, c'est-à-dire avec un service réduit mais suffisant. Concrètement, cela peut vouloir dire continuer à prendre les appels grâce à un second accès Internet, faire travailler une équipe à distance ou basculer temporairement sur un autre site.

Le plan prend en compte les principaux scénarios qui peuvent interrompre l'activité : panne, cyberattaque, sinistre, indisponibilité d'un site, d'un fournisseur ou de collaborateurs. Le Secrétariat général de la défense et de la sécurité nationale (SGDSN) publie un guide de la continuité d'activité pour structurer la démarche.

Qu'est-ce qu'un PRA (plan de reprise d'activité) ?

Le PRA organise la reprise du système d'information à la suite d'une interruption : restauration des données, relance des applications, retour à un fonctionnement acceptable. Ses procédures sont préparées à l'avance et peuvent être déclenchées dès l'incident.

Deux objectifs guident sa conception. Le RTO fixe la durée d'arrêt que l'entreprise peut supporter pour une application. Le RPO fixe la perte de données acceptable, exprimée en durée : l'écart maximal entre la dernière sauvegarde utilisable et l'incident. Une boutique en ligne qui ne tolère qu'une heure d'arrêt n'aura pas le même PRA qu'un outil de reporting consulté une fois par semaine.

Les objectifs de reprise se définissent notamment à partir du RTO et du RPO, qui permettent de cadrer le délai acceptable de restauration et la perte de données tolérable après un incident.

Cette réflexion s’inscrit plus largement dans la construction d’un plan de reprise d’activité, qui organise les étapes de restauration, les priorités et les tests nécessaires pour remettre les systèmes en fonctionnement.

Quelles différences entre PCA et PRA ?

Les deux plans se préparent avant l'incident. Leurs périmètres se recoupent souvent ; le tableau donne leur dominante.

PCA et PRA interviennent à des moments complémentaires : le PCA maintient l’activité pendant l’incident, tandis que le PRA organise la restauration des systèmes et des données. Le RPO et le RTO permettent de fixer les objectifs de reprise.

Ces moyens restent des exemples : un second accès Internet peut contribuer au PCA, une base de données restaurée peut faire partie du PRA, mais aucun des deux plans ne se résume à un outil.

En pratique : PCA ou PRA ?

Dans la plupart des entreprises, il ne s'agit pas de choisir entre PCA et PRA, mais de déterminer lequel doit prendre le relais en premier selon le scénario.

• Accueil téléphonique critique : le PCA doit prévoir un mode alternatif immédiatement disponible pour continuer à répondre aux clients
• Application métier indisponible : le PRA organise sa restauration, tandis que le PCA peut prévoir un fonctionnement temporaire en mode dégradé
• Perte ou corruption de données Cloud : le PRA devient prioritaire pour restaurer les données et les applications à partir d'une copie exploitable

Ces scénarios montrent que les deux plans sont complémentaires : le PCA maintient l'essentiel pendant l'incident, le PRA remet progressivement les systèmes en état.

Une dominante plutôt qu'une séparation

Le PCA mobilise davantage la direction et les métiers : décisions, priorités, communication. Le PRA mobilise davantage les équipes informatiques. Mais un PCA peut demander beaucoup de moyens techniques, et un PRA implique des décisions métiers, par exemple l'ordre dans lequel relancer les applications.

Comment prioriser PCA et PRA selon ses activités ?

Le point de départ est l'analyse d'impact sur l'activité : pour chaque activité, elle mesure ce que coûte un arrêt et fixe la durée d'interruption tolérable et la perte de données acceptable.

• Continuité renforcée quand l'activité ne supporte presque pas d'arrêt : accueil téléphonique, centre de contact, prise de commande
• Reprise renforcée quand un arrêt court est supportable mais que les données doivent être restaurées fidèlement : gestion, comptabilité, base clients

Ces exemples varient d'une entreprise à l'autre : pour un cabinet comptable en période de clôture, la comptabilité devient l'activité qui ne peut pas s'arrêter. Souvent, les deux plans se combinent sur les mêmes activités.

Comment mettre en place un PCA et un PRA ?

Une démarche progressive, testée à chaque étape, évite que le plan reste uniquement documentaire. La CNIL recommande de préparer la continuité et la reprise d'activité, de prévoir un fonctionnement dégradé et de tester régulièrement les dispositifs prévus.

Les étapes clés

1. Recenser les activités critiques : celles dont l'arrêt a un impact commercial, financier, réglementaire ou opérationnel
2. Cartographier leurs dépendances. Une activité dépend rarement d'un seul système : opérateurs télécoms, services Cloud, prestataires, énergie, locaux, outils métiers
3. Choisir les scénarios à couvrir : panne d'accès, cyberattaque, perte d'un site, défaillance d'un fournisseur
4. Fixer le mode dégradé et les objectifs de reprise : niveau de service minimal pour le PCA, RTO et RPO pour le PRA
5. Organiser la crise : responsables, circuit de décision, communication interne et externe.
6. Tester et mettre à jour les deux plans à intervalles réguliers

5 bonnes pratiques pour articuler PCA et PRA

• Partir de la même analyse des activités critiques pour éviter deux plans construits séparément
• Aligner le mode dégradé avec les RTO et RPO : le PCA doit tenir jusqu'à ce que le PRA restaure les services nécessaires
• Cartographier les dépendances communes : accès Internet, Cloud, énergie, prestataires, locaux et outils métiers
• Tester les deux plans ensemble pour vérifier que le passage du mode dégradé au retour à la normale fonctionne réellement
• Mettre à jour PCA et PRA après chaque changement important : nouvelle application, déménagement, changement d'opérateur ou de fournisseur

Comment Sewan vous accompagne

PCA et PRA reposent sur une organisation, des processus et des décisions métiers que l'entreprise construit elle-même. Sewan intervient sur certaines briques techniques qui peuvent y contribuer.

La continuité des accès réseau fait partie des éléments à prévoir quand l'activité dépend fortement de la connectivité. Les offres d'accès Internet Sewan permettent d'ajouter un lien de secours 4G, 5G ou par satellite avec Starlink, ou une redondance multi-opérateurs, pour limiter l'effet d'une coupure sur l'activité.

Côté reprise, les offres Cloud s'appuient sur des datacenters situés en France, une architecture redondée sur plusieurs sites distants et une sauvegarde Veeam.

La gamme Sewan Cyber réduit enfin le risque d'interruption lié à une attaque, avec un pare-feu dans le Cloud et la protection des postes et serveurs par CrowdStrike, appuyée par un SOC, une équipe qui surveille les alertes 24 h/24 et 7 j/7.

A retenir

• Le PCA maintient l'activité pendant une perturbation, le PRA organise la reprise du système d'information
• L'analyse d'impact fixe, pour chaque activité, la durée d'arrêt tolérable et la perte de données acceptable
• Seuls des exercices réguliers montrent si un plan fonctionne