Chronique no 041 — 2026
Quand votre PCA rencontre le réel, ce que 2026 a cassé dans nos hypothèses
Black-out, cyberattaque en cascade, dépendance au cloud : cinq hypothèses du PCA que le réel a fait tomber, et une méthode pour en faire un document vivant.
Un PCA échoue rarement sur ce qu’il prévoit. Il échoue sur ce qu’il suppose sans l’écrire.
L’épisode 040 se refermait sur une question. Une culture se construit en années, les menaces se transforment en mois : comment une organisation se prépare-t-elle à ce qu’elle ne sait pas encore nommer ?
La réponse classique tient en trois lettres. Le plan de continuité d’activité est censé être l’outil de l’imprévu. Plan R lui a consacré une partie de son cycle 2025 : le PCA d’abord, puis le PRA, puis le « plan vitrine » qui rassure tout le monde jusqu’au jour où il doit servir.
Cette chronique assume le rappel et le confronte au terrain. Pas pour renier ces fondations : elles tiennent. Mais les rapports d’enquête publiés en 2026 sur les chocs récents convergent. Ce qui a cédé, ce ne sont pas les méthodes. Ce sont les hypothèses posées dessus.
Black-out ibérique sans cause unique, cyberattaque propagée à des milliers d’entreprises, approvisionnement coupé par une décision géopolitique, dépendance massive à quelques points de concentration du cloud. Aucun de ces événements ne tient dans un scénario « un risque, une réponse ».
👉 La vraie question n’est pas « avons-nous un PCA ? ». C’est : « sur quelles hypothèses repose-t-il, et qui vérifie qu’elles tiennent encore ? »
1. Le document le plus important que personne ne lit
Toute organisation structurée possède un PCA. Peu de collaborateurs l’ont ouvert. Il dort dans un espace documentaire, parfois imprimé dans un classeur que personne ne retrouverait dans un bâtiment privé d’électricité.
Ce paradoxe n’est pas de la négligence. Il tient à la nature du document. Un PCA est écrit pour un jour qui n’arrive pas. Tant que ce jour n’arrive pas, le laisser vieillir ne coûte rien de visible.
Le guide du SGDSN le posait dès 2013 : un PCA est nécessairement un plan évolutif. Les priorités changent, les fournisseurs changent, l’appréciation du risque change. Le document, lui, reste souvent figé à la version validée lors du dernier audit.
Le cycle 2025 de Plan R avait nommé ce travers : le plan vitrine. Bien rédigé, parfois certifié, inutilisable en situation réelle. La leçon retenue alors reste juste : la résilience n’est pas un livrable, c’est un muscle.
👉 Un PCA qui n’est pas relu ne décrit plus l’organisation. Il décrit celle qui existait le jour de sa signature.
2. Ce que le cycle 2025 avait posé, et qui tient toujours
Le rappel est utile, parce que la suite n’invalide rien. L’analyse d’impact (BIA) identifie les activités essentielles. La durée maximale d’interruption admissible (DMIA) et la perte de données maximale admissible (PDMA) fixent les seuils. Les tests, de l’exercice sur table à la bascule réelle, vérifient que le plan fonctionne.
La distinction entre PCA, PRA, PCI et PRI garde aussi toute sa valeur. Elle évite de confondre continuer et reprendre, le métier et l’informatique.
Ces outils forment le socle de la norme ISO 22301. Ils ne sont pas en cause.
Ce qui est en cause, c’est la manière de s’en servir. La plupart des PCA sont construits risque par risque : un scénario incendie, un scénario cyber, un scénario pandémie, un scénario perte de site. Chacun a sa fiche, ses délais, ses moyens. Chacun suppose, sans le dire, que les autres ne se produisent pas en même temps.
C’est précisément cette hypothèse que le terrain a fait tomber.
👉 Les fondations du PCA tiennent. Ce qui ne tient plus, c’est le découpage du monde en scénarios indépendants.
3. Cinq hypothèses que le réel a fait tomber
Les rapports publiés ces derniers mois permettent de mettre des faits sur ce constat. Chacun fait tomber une hypothèse que la plupart des PCA posent sans l’écrire.
| Hypothèse implicite | Ce que le terrain a montré | Question à poser à son PCA |
|---|---|---|
| « Les crises arrivent une par une. » | Le 28 avril 2025, l’Espagne continentale et le Portugal perdent toute leur électricité, et avec elle les services qui en dépendent. Le rétablissement prend jusqu’à 16 heures. | Notre scénario « perte d’électricité » prévoit-il aussi la perte des télécoms, des transports et des équipes ? |
| « La cause sera vite identifiée. » | Le rapport final de l’ENTSO-E (mars 2026) conclut à une combinaison de nombreux facteurs en interaction, sans cause unique. | Nos procédures exigent-elles de connaître la cause avant de déclencher ? |
| « Mon périmètre s’arrête à mes contrats. » | L’attaque contre Jaguar Land Rover a stoppé la production pendant plus d’un mois. Le Cyber Monitoring Centre estime que plus de 5 000 organisations britanniques ont été touchées, pour environ 1,9 milliard de livres. | Savons-nous quels clients et fournisseurs, au-delà du rang 1, nous arrêteraient en s’arrêtant ? |
| « Les infrastructures de base seront là. » | Selon le même organisme (juillet 2026), plus de 60 % des entreprises britanniques dépendent du cloud pour des fonctions critiques, avec une exposition concentrée sur deux régions d’hébergement. | Savons-nous où tournent nos activités essentielles, y compris à travers nos services SaaS ? |
| « La géopolitique est un décor. » | À l’automne 2025, la prise de contrôle de Nexperia par l’État néerlandais entraîne un blocage des exportations depuis la Chine. Les constructeurs européens alertent sur des stocks de quelques semaines. | Un contrôle à l’export, une sanction ou un embargo figurent-ils parmi nos déclencheurs ? |
Aucun de ces événements n’est exotique. L’ENTSO-E qualifie pourtant le black-out ibérique d’incident sans précédent, le plus grave sur le réseau européen depuis plus de vingt ans. Le World Economic Forum, dans son Global Risks Report 2026, place la confrontation géoéconomique en tête des risques de l’année et consacre son analyse à la vitesse et à l’interconnexion croissantes des risques.
Le cyber ajoute sa propre opacité. Dans son panorama 2025, publié en mars 2026, l’ANSSI décrit des frontières qui s’érodent entre acteurs étatiques et cybercriminels, et des traces de plus en plus difficiles à interpréter. Une crise dont on ne connaît ni l’origine ni l’intention se gère sans savoir à quelle fiche du PCA elle appartient.
👉 Le réel ne choisit pas une fiche du PCA. Il en ouvre plusieurs à la fois, et souvent sans dire lesquelles.
4. Changer d’unité de compte : des causes vers les capacités perdues
Si les scénarios ne s’additionnent plus proprement, il faut changer la façon de les construire. La piste est connue, rarement suivie : raisonner en ressources perdues plutôt qu’en événements déclencheurs.
Le guide du SGDSN propose déjà une approche centrée sur les conséquences plutôt que sur les causes. Il distingue quelques familles de ressources critiques : personnes, locaux, systèmes d’information, ressources immatérielles, prestataires et flux externes.
Que l’électricité tombe à cause d’une tempête, d’un défaut de réseau ou d’un sabotage change peu de chose. La question utile est : que fait-on sans elle, et pendant combien de temps ?
Le même guide va plus loin, dans un passage souvent oublié. Il recommande de regrouper les risques en quelques scénarios dimensionnants, combinant des risques concomitants aux effets aggravants. Son exemple : une inondation coupe l’électricité, le groupe électrogène prend le relais, le fioul vient à manquer faute de livraison, puis le personnel ne vient plus faute de transports.
Ce n’est pas un scénario extrême. C’est une chaîne ordinaire, écrite noir sur blanc en 2013.
Le guide signale aussi un piège qui prend tout son sens en crise régionale. Certains prestataires de sites de repli signent le même contrat avec plusieurs clients et ne servent que le premier arrivé. Le jour où tout le monde arrive en même temps, la solution de secours devient une file d’attente.
Concrètement, cela se traduit par une grille simple : croiser les familles de ressources deux à deux.
- Systèmes d’information et télécoms.
- Site principal et fournisseur critique.
- Personnes clés et crise cyber.
- Électricité et prestataire d’hébergement.
Chaque croisement pose la même question : notre plan B repose-t-il sur la ressource qui vient de tomber ?
👉 Un bon scénario ne décrit pas ce qui arrive. Il décrit ce qui manque, et ce qui manque en même temps.
5. Rendre le PCA vivant : le registre d’hypothèses
Tout PCA repose sur des hypothèses. Le site de repli sera accessible. Le prestataire de secours honorera son contrat. Les équipes pourront se déplacer. Les télécoms fonctionneront assez pour activer la cellule de crise. Le problème n’est pas d’en poser. C’est de les laisser implicites.
Le SGDSN recommande de formaliser et d’enregistrer les hypothèses retenues lors de la définition des scénarios. Une recommandation discrète, presque administrative. C’est pourtant elle qui sépare un plan figé d’un plan vivant.
Un registre d’hypothèses tient en quatre colonnes :
| Hypothèse | Signal qui l’invaliderait | Propriétaire | Vérification |
|---|---|---|---|
| Le site de repli est disponible en moins de 4 h | Contrat mutualisé, changement de prestataire, travaux | Moyens généraux | Exercice de bascule |
| Le SaaS de paie n’est pas hébergé dans la même région que notre SI principal | Changement d’hébergeur ou de sous-traitant chez l’éditeur | Achats et DSI | Revue fournisseurs |
| Les équipes clés rejoignent le site de crise en 2 h | Grève des transports, intempéries, télétravail généralisé | DRH | Jamais vérifiée |
| Le fournisseur de composants dispose d’un second site de production | Tension géopolitique, contrôle à l’export, rachat | Achats | Questionnaire annuel |
La dernière colonne est la plus instructive. « Jamais vérifiée » est une réponse acceptable : c’est une information. Ce qui ne l’est pas, c’est d’ignorer qu’une hypothèse existe.
Ce registre prolonge l’épisode 038 : les hypothèses portant sur les tiers donnent un objet concret à leur audit. Il répond aussi au dialogue que l’épisode 004 jugeait trop immature entre direction et équipes techniques. On ne demande plus au comité de valider un document de cent pages. On lui demande quelles fragilités il accepte.
👉 Un PCA vivant n’est pas un PCA réécrit sans cesse. C’est un PCA dont on surveille les hypothèses.
6. Exercer l’inconfortable
Les tests restent le moment de vérité. Mais beaucoup d’exercices vérifient ce que le plan sait déjà faire : une bascule technique planifiée, un scénario unique, une cellule de crise réunie à l’heure, au complet, avec un réseau qui fonctionne.
Un exercice utile retire une hypothèse. La cellule se réunit sans la messagerie habituelle. Le fournisseur de secours ne répond pas. La décision doit être prise alors que la cause reste inconnue. Un deuxième incident survient pendant la gestion du premier.
Le black-out ibérique offre une leçon qui dépasse le monde électrique. Selon le rapport final, les automatismes de protection ont fonctionné comme prévu, sans parvenir à empêcher l’effondrement. Un dispositif peut faire exactement ce pour quoi il a été conçu et échouer quand même, parce que ce qu’il avait prévu n’était pas ce qui arrivait.
Les référentiels bougent dans le même sens. ISO 22301 a reçu en 2024 un amendement « action climatique », qui demande à l’organisation de déterminer si le changement climatique constitue un enjeu pertinent. Fin 2025, la norme elle-même a été placée en révision. Même le texte de référence admet que ses hypothèses de 2019 doivent être revues.
L’épisode 040 le rappelait : un exercice où seule l’informatique joue n’entraîne que l’informatique. On peut ajouter qu’un exercice où une seule chose casse prépare à un monde qui n’existe plus.
👉 Un exercice réussi n’est pas celui qui se déroule sans accroc. C’est celui qui fait tomber une hypothèse avant que la crise ne s’en charge.
7. Se situer : la grille de maturité
| Dimension | Réactif | Structuré | Natif |
|---|---|---|---|
| Scénarios | Un scénario par risque, repris d’un modèle | Scénarios par ressource perdue | Scénarios combinés, chaînes de dépendances explorées |
| Hypothèses | Implicites | Listées à la rédaction | Registre tenu, signaux d’invalidation suivis |
| Dépendances | Fournisseurs de rang 1 | Prestataires critiques et hébergement connus | Points de concentration identifiés jusqu’aux sous-traitants critiques |
| Révision | À l’audit ou après incident | Annuelle, à date fixe | Déclenchée par les signaux, en plus du cycle annuel |
| Exercices | Tests techniques planifiés | Exercices de crise avec les métiers | Exercices composés, hypothèses retirées sans préavis |
| Gouvernance | Document de la fonction continuité | Validé par la direction | Hypothèses arbitrées en comité des risques |
| Appropriation | Classeur et espace documentaire | Fiches réflexes par métier | Fiches connues, pratiquées et à jour |
La plupart des organisations se situent entre les deux premières colonnes. Ce n’est pas un échec : un PCA « Réactif » répond souvent à une exigence de conformité, ce qui était sa raison d’être. « Natif » ne veut pas dire exhaustif. Cela veut dire conscient de ses propres angles morts.
👉 Commencez par la ligne « Hypothèses ». C’est la moins coûteuse à faire progresser, et celle qui éclaire toutes les autres.
L’ESSENTIEL POUR AGIR
- Écrire les dix hypothèses qui portent votre PCA —
Réunissez pendant deux heures le responsable continuité, un représentant métier et un acheteur. Listez les hypothèses sans lesquelles le plan s’effondre, chacune avec un propriétaire et un signal d’invalidation. Notez honnêtement celles qui n’ont jamais été vérifiées.
- Tester un scénario combiné avant la fin de l’année —
Choisissez deux ressources critiques, par exemple les systèmes d’information et les télécoms, ou le site principal et un fournisseur clé. Organisez un exercice sur table où elles tombent ensemble. Mesurez ce qui manque, pas ce qui fonctionne.
- Inscrire la revue des hypothèses au comité des risques —
Une fois par trimestre, présentez les hypothèses dont le signal a bougé : un prestataire racheté, une tension sur une zone d’approvisionnement, un changement d’hébergement. Le comité ne valide plus un document. Il arbitre des fragilités.
CONCLUSION
Le PCA n’est pas dépassé. Il est mal employé. Conçu comme une réponse, il gagnerait à être tenu comme un ensemble de paris : explicites, datés, surveillés.
Le cycle 2025 avait posé les fondations. 2026 a montré, rapport après rapport, ce qui se passe quand les crises arrivent ensemble, sans cause claire, par des chemins que les contrats ne décrivent pas. Rien de cela n’était imprévisible. Une partie figurait même dans les guides depuis plus de dix ans.
Reste une question. Un registre d’hypothèses ne sert que si quelqu’un voit bouger les signaux. Qui, dans l’organisation, regarde au-delà de l’horizon du plan, et comment ce regard devient-il une décision avant d’être une alerte ?
La résilience ne consiste pas à avoir prévu le bon scénario. Elle consiste à savoir sur quoi l’on a parié, et à le vérifier avant que le réel ne s’en charge.
Bibliographie
« Guide pour réaliser un plan de continuité d’activité » - Secrétariat général de la défense et de la sécurité nationale (SGDSN), édition 2013
https://www.sgdsn.gouv.fr/files/files/Nos_missions/guide-pca-sgdsn-110613-normal.pdf
Référence méthodologique publique en français. Il qualifie le PCA de plan nécessairement évolutif, propose une approche par conséquences, recommande des scénarios dimensionnants combinant des risques concomitants et l’enregistrement des hypothèses, et alerte sur les sites de repli mutualisés. Socle des sections 1, 4 et 5.
« ISO 22301:2019 - Sécurité et résilience - Systèmes de management de la continuité d’activité - Exigences » - Organisation internationale de normalisation (ISO)
https://www.iso.org/standard/75106.html
Norme de référence du management de la continuité. La fiche officielle mentionne l’amendement 1:2024 « action climatique » et indique que la norme est au stade « à réviser » depuis le 5 décembre 2025, une nouvelle version étant en développement. Appui des sections 2 et 6.
« Global Risks Report 2026 » - World Economic Forum, 14 janvier 2026
https://www.weforum.org/publications/global-risks-report-2026/
21e édition, fondée sur l’avis de plus de 1 300 experts. Le rapport examine comment la résilience relative actuelle pourrait céder sous l’effet de l’ampleur, de l’interconnexion et de la vitesse des risques, et place la confrontation géoéconomique en tête des risques pour 2026. Contexte de l’introduction et de la section 3.
« 28 April 2025 Blackout - Final Report of the Expert Panel » - ENTSO-E, 20 mars 2026
https://www.entsoe.eu/publications/blackout/28-april-2025-iberian-blackout/
Rapport final d’un panel de 49 experts sur le black-out de l’Espagne continentale et du Portugal : combinaison de nombreux facteurs en interaction, incident le plus grave en Europe depuis plus de vingt ans et premier de son genre. Fonde les sections 3 et 6.
« Panorama de la cybermenace 2025 » - ANSSI, 11 mars 2026
Bilan annuel de l’agence : menace élevée, érosion des frontières entre acteurs étatiques et cybercriminels, difficulté croissante à détecter et interpréter les traces des attaquants. Appui de la section 3.
« Cyber Monitoring Centre Statement on the Jaguar Land Rover Cyber Incident – October 2025 » - Cyber Monitoring Centre, 22 octobre 2025
Classement de l’attaque en événement systémique de catégorie 3 sur l’échelle à cinq niveaux du centre. Impact estimé à 1,9 milliard de livres (fourchette modélisée de 1,6 à 2,1 milliards), plus de 5 000 organisations britanniques touchées, production arrêtée environ cinq semaines. Données de la section 3.
« New analysis from the Cyber Monitoring Centre and Parametrix provides insights into the UK’s growing reliance on cloud services » - Cyber Monitoring Centre, 9 juillet 2026
Plus de 60 % des entreprises britanniques dépendent du cloud pour des fonctions critiques, avec une exposition concentrée sur deux régions d’hébergement. Organisme indépendant à but non lucratif, également auteur du classement de l’attaque contre Jaguar Land Rover en événement systémique de catégorie 3 (octobre 2025). Étude coécrite avec un assureur spécialisé : chiffres à lire comme des ordres de grandeur. Données de la section 3.