Conduire une analyse d'impact sur l'activité : la méthode et le modèle

Un plan de continuité répond à une question qu’il ne pose pas lui-même : que faut-il reprendre d’abord, dans quel délai, et à quel niveau ? L’analyse d’impact sur l’activité est l’étape qui pose cette question à ceux qui subiraient l’interruption, et qui consigne leurs réponses. Voici une méthode pour la conduire sans en faire une usine à gaz, et le modèle de document qui l’accompagne.

Introduction

Demandez à un directeur métier : « Si votre activité s’arrêtait demain matin, à partir de quand la situation deviendrait-elle grave ? » La réponse vient rarement tout de suite. Elle commence souvent par « ça dépend » : du moment de l’année, de ce qui s’arrête exactement, de ce que font les clients pendant ce temps. Posez ensuite la même question à la DSI : on vous donnera volontiers un chiffre, quatre heures, une journée, tiré d’un contrat de service ou d’une architecture. Reste à savoir si quelqu’un, côté métier, a un jour validé ce chiffre.

C’est dans cet écart que se loge une grande partie des difficultés de la continuité d’activité. Un plan de continuité peut être bien écrit, bien structuré, régulièrement mis à jour, et pourtant reposer sur des priorités que personne n’a arbitrées. Le jour où il sert, la cellule de crise découvre que trois directions considèrent chacune leur activité comme la première à relancer, et que le délai annoncé par l’informatique ne correspond pas à ce que les métiers pensaient avoir obtenu.

L’analyse d’impact sur l’activité, ou BIA (Business Impact Analysis), sert précisément à traiter ces questions à froid. La publication Construire une stratégie de sauvegarde la plaçait au point de départ de toute stratégie de sauvegarde, sans la détailler. Cet article la prend pour objet : à quoi elle sert, ce qu’en disent les référentiels, et comment la conduire de façon proportionnée.

Ce qui suit est une méthode, pas une norme. Les critères, les échelles, les horizons et les règles proposés sont des points de départ : chaque organisation qui la reprend les adaptera à sa taille, à son secteur, à ses obligations et à ce qu’elle a déjà en place.

1. À quoi sert une analyse d’impact

Ce qu’elle produit

Une analyse d’impact ne produit pas un rapport de plus. Elle produit quatre décisions, qui serviront de fondation à tout le reste du dispositif de continuité :

• des priorités : quels services et quelles activités l’organisation doit maintenir ou reprendre en premier ;
• des seuils : pour chacune de ces activités, la durée d’interruption au-delà de laquelle les conséquences deviennent inacceptables, le délai de reprise visé et la perte de données tolérable ;
• un niveau minimal : ce que « reprendre » veut dire concrètement, en mode dégradé (volume traité, délai de service, qualité) ;
• des besoins : les personnes, locaux, applications, données, prestataires et informations nécessaires pour tenir ce niveau minimal, et les dépendances entre eux.

Dans ISO 22301, l’analyse d’impact (§ 8.2.2) précède l’appréciation du risque (§ 8.2.3), et toutes deux alimentent le choix des stratégies et solutions de continuité (§ 8.3). Le règlement d’exécution (UE) 2024/2690, qui précise les mesures NIS 2 pour certaines entités numériques, suit la même logique : les résultats de l’analyse d’impact y fixent les exigences de continuité des systèmes d’information (annexe, point 4.1.3), et le traitement des risques doit en tenir compte (point 2.1.3).

Pourquoi le plan de continuité en a besoin

Trois raisons, très pratiques.

Parce qu’en crise, tout ne repart pas en même temps. Les ressources de reprise, qu’il s’agisse d’équipes, de capacité de restauration ou de postes de travail de secours, sont limitées. Quelqu’un décidera de l’ordre. Mieux vaut que ce soit la direction, à froid, avec les métiers, que la cellule de crise sous la pression des appels.

Parce que le délai visé détermine le coût de la solution. Reprendre une activité en quatre heures et la reprendre en trois jours n’appellent ni les mêmes architectures, ni les mêmes contrats, ni les mêmes budgets. Sans analyse d’impact, cet arbitrage économique se fait sur des impressions ou sur ce que l’infrastructure sait déjà faire.

Parce qu’un plan ne vaut que par ses dépendances. Une activité prioritaire qui repose sur un prestataire unique, ou sur une compétence détenue par une seule personne, ne repartira pas dans le délai prévu, quelle que soit la qualité du plan. L’analyse d’impact est souvent le premier exercice qui rend ces dépendances visibles.

Ce qu’elle n’est pas

Quelques confusions reviennent souvent. Les lever d’emblée évite de construire une démarche qui ne répond pas à la question posée.

En pratique, les frontières sont moins nettes que ce tableau. Une analyse d’impact bien conduite nourrit l’analyse de risques, et l’inverse est vrai. La distinction reste utile pour savoir quelle question on pose à quel moment.

Le fait de raisonner sans présumer de la cause a d’ailleurs pris du relief. L’épisode 041 a montré combien de plans de continuité, construits scénario par scénario, supposaient que les crises arrivent une par une et que leur cause serait vite connue. L’analyse d’impact, qui part de ce que l’on perd plutôt que de ce qui l’a provoqué, est l’un des moyens de sortir de ce découpage.

2. Ce que dit l’état de l’art

Les référentiels

Trois remarques de lecture.

Le vocabulaire bouge, et c’est normal. En France, le sigle DMIA a longtemps circulé avec deux sens : la durée au-delà de laquelle l’interruption devient inacceptable, et, dans l’usage d’exploitation, le délai de reprise promis par l’informatique. Plan R l’a lui-même employé dans ses premières chroniques et dans son modèle de stratégie de sauvegarde. Le ReCyF, en s’appuyant sur ISO 22300:2025, retient le premier : la DMIA y est la durée maximale d’interruption admissible, équivalent du MTPD (maximum tolerable period of disruption) ; le PRD, point de rétablissement des données, équivaut au RPO. Cet article suit le ReCyF. Ce qui compte, au sein d’une organisation, c’est de choisir un sens, de l’écrire et de s’y tenir.

L’analyse d’impact est rarement nommée, mais souvent exigée. Parmi les textes européens récents, DORA et le règlement 2024/2690 la désignent en toutes lettres, ce dernier pour un périmètre limité (cloud, centres de données, services gérés, DNS, notamment). La directive NIS 2 parle de continuité des activités sans détailler (article 21). Le ReCyF ne la nomme pas, mais demander une DMIA et un PRD pour chaque activité et chaque service revient à demander ce qu’une analyse d’impact produit. À la date de rédaction, la loi française de transposition n’est pas adoptée et le ReCyF reste un document de travail ; il est néanmoins cohérent et utilisable dès maintenant à titre méthodologique.

Les référentiels convergent sur la logique. Partir des services rendus, descendre aux activités qui les rendent possibles, mesurer les impacts dans le temps, en déduire des seuils, recenser les ressources et les dépendances, faire valider. Les différences portent sur le vocabulaire et sur le niveau de détail, beaucoup moins sur le fond. C’est cette logique commune que la méthode ci-dessous cherche à rendre praticable.

Les notions à maîtriser

Le délai de reprise se compte à partir de l’incident. Il comprend donc tout ce qui précède la reprise : détecter, qualifier, décider de déclencher le dispositif, remettre en route les moyens, puis reprendre l’activité à son niveau minimal. ISO 22301 demande que les délais de reprise soient fixés à l’intérieur du délai au-delà duquel l’interruption devient inacceptable ; le guide de l’ENISA le rappelle en notant que la durée maximale admissible est généralement plus longue que le RTO. La marge entre les deux n’est donc pas une réserve pour la détection ou la décision : elle couvre les aléas de la reprise et laisse au métier le temps de résorber le retard accumulé avant que la situation ne devienne inacceptable. La publication sur la stratégie de sauvegarde décompose, côté informatique, la durée réelle d’une indisponibilité en six phases ; on s’y reportera pour la suite de la chaîne.

Quel écart prévoir entre RTO et DMIA ?

Aucune norme ne fixe de ratio. ISO 22301 exige seulement que le délai de reprise tienne à l’intérieur de la DMIA. Deux séries de repères permettent pourtant de poser un ordre de grandeur.

Ce que pratique le marché. Les guides de praticiens publiés en 2026 proposent des règles de travail convergentes : un RTO compris entre la moitié et les trois quarts de la DMIA pour l’un, au plus 50 à 60 % pour l’autre. Ce sont des usages de terrain, publiés par des éditeurs de solutions, et non des exigences ; leur convergence leur donne néanmoins une valeur indicative.

Ce que fixent les régulateurs, quand ils chiffrent. Les seuls textes qui donnent un chiffre concernent les infrastructures des marchés financiers. Les principes CPMI-IOSCO pour les infrastructures de marché demandent que les systèmes critiques puissent reprendre dans les deux heures suivant un incident, et que le règlement des opérations soit achevé le jour même, y compris dans des circonstances extrêmes. Le droit européen reprend le plafond de deux heures pour les contreparties centrales (règlement délégué 153/2013, article 17) et les dépositaires centraux (règlement délégué 2017/392, article 78), et les normes techniques de DORA (règlement délégué 2024/1774) le reprennent, en l’étendant de façon plus souple aux plates-formes de négociation. Si l’on lit l’achèvement du règlement en fin de journée comme la limite de l’inacceptable, le délai de reprise imposé représente, selon l’heure de l’incident, de l’ordre du quart au tiers de la durée tolérable implicite. Pour les fonctions les plus critiques, les régulateurs laissent donc une marge proportionnellement plus large que la pratique courante.

Ce que l’on peut en retenir, à adapter. Une proposition cohérente avec ces deux séries de repères :

Dans tous les cas, la marge gagne à être confrontée à une question simple posée au métier : combien de temps vous faudra-t-il, une fois l’activité reprise, pour rattraper le retard accumulé ? Si la réponse dépasse la marge, c’est le RTO qu’il faut raccourcir.

Une réserve, enfin. Ces ordres de grandeur valent pour fixer un objectif. Ils ne disent rien de ce qui est tenable dans un scénario de cyberattaque étendue, où la reconstruction se compte souvent en jours. Le guide CPMI-IOSCO de 2016 sur la cyber-résilience des infrastructures de marché l’a reconnu à sa manière : il maintient l’objectif de deux heures, mais parle de reprise sûre, demande de juger si reprendre ne fait pas courir un risque plus grand, et de prévoir le cas où l’objectif ne serait pas tenu. Reprendre vite et reprendre sain ne vont pas toujours ensemble. C’est l’écart entre besoins et capacités, à l’étape 6, qui fera apparaître la distance entre l’objectif et la réalité.

3. La méthode en sept étapes

Une méthode, trois profondeurs

Une petite association et une banque n’ont ni les mêmes moyens ni les mêmes obligations. La méthode reste la même ; seule la profondeur change, et elle se choisit dès la première étape.

Les efforts sont donnés à titre indicatif ; ils dépendent surtout de la disponibilité des interlocuteurs métier.

Le format express n’est pas une version au rabais. Une première analyse d’impact sommaire, validée et utilisée, rend plus de services qu’une analyse exhaustive qui n’aboutit jamais.

Étape 1 — Cadrer

L’objet de cette étape est de décider ce que l’analyse couvre, qui la porte, à quelle profondeur, et à quelle échéance elle sera présentée à la direction.

Quatre points méritent d’être fixés par écrit :

• un commanditaire au niveau de la direction. C’est lui qui rendra les interlocuteurs disponibles et qui, à la fin, présentera ou fera valider les résultats ;
• le périmètre : entités, sites, services, et les exclusions, écrites comme telles ;
• le format retenu (express, standard, approfondi) ;
• l’existant à réutiliser : cartographie des processus, référentiel applicatif, contrats de service, analyses de risques, retours d’incidents. Une analyse d’impact part rarement de rien, et chaque document réutilisé est un entretien raccourci.

Le livrable tient sur une page.

Étape 2 — Fixer les règles d’évaluation avant la collecte

C’est l’étape qui fait le plus pour la qualité du résultat, et l’une des plus souvent sautées. Avant de demander à quiconque d’évaluer un impact, on se met d’accord sur la manière de le mesurer. Les éléments ci-dessous sont des propositions : la grille gagne à reprendre, quand elles existent, les échelles déjà utilisées dans l’organisation (gestion des risques, EBIOS RM, classification des incidents).

Deux hypothèses de travail. Pour que les évaluations soient comparables, tout le monde part des mêmes conditions. Les plus courantes sont celles-ci : on évalue la perte totale de la capacité à réaliser l’activité, quelle qu’en soit la cause ; et on se place au moment le plus défavorable plausible, en s’appuyant sur les périodes critiques. Une organisation peut en retenir d’autres ; l’important est de les écrire et de les rappeler en début d’entretien. Deux interlocuteurs qui ne partent pas des mêmes hypothèses produisent des durées qu’on ne peut pas consolider.

Des critères d’impact. Six suffisent dans la plupart des cas : les personnes (santé, sécurité) ; les clients et usagers ; les obligations légales, réglementaires et contractuelles ; les finances ; la confiance et l’image ; la capacité de l’organisation à se piloter. Certaines organisations y ajoutent l’environnement ou la mission de service public.

Une échelle par critère. Le modèle en propose quatre niveaux : mineur, significatif, grave, critique. L’absence de niveau médian oblige à trancher. Le niveau « grave » est celui à partir duquel la situation devient inacceptable pour l’organisation ; c’est lui qui servira à lire les durées. Les seuils financiers gagnent à être exprimés en proportion du chiffre d’affaires ou du budget, ce qui rend la grille transposable d’une organisation à l’autre.

Des horizons de temps. À titre d’exemple : quatre heures, un jour, trois jours, une semaine, un mois. Les organisations dont certaines activités deviennent critiques en quelques minutes (paiement, réseaux, santé, production continue) ajouteront un premier horizon d’une heure, voire « immédiat ». Le dernier horizon surprend parfois. Il est pourtant devenu nécessaire : une crise d’origine cyber se mesure en semaines, le temps d’investiguer, de reconstruire les socles et de restaurer des données saines. Une analyse qui s’arrête à soixante-douze heures ne dit rien de ce qui se passe ensuite, qui est souvent le plus difficile.

Une règle de lecture. Une règle simple consiste à situer la DMIA d’une activité au premier horizon où l’un des critères atteint le niveau « grave ». Elle rend les résultats comparables d’une activité à l’autre, mais elle ne donne qu’une borne : entre quatre heures et un jour, ou entre un et trois jours, l’écart est large. L’entretien sert à la resserrer, en demandant à l’interlocuteur à quel moment, entre l’horizon précédent et celui-ci, la situation bascule.

Une ouverture au-delà de la disponibilité. Les analyses d’impact traitent traditionnellement de l’indisponibilité. Le NIST propose d’élargir le regard à l’intégrité et à la confidentialité (IR 8286D). Pour rester dans le périmètre d’une analyse d’impact, une question sur l’intégrité suffit en général : « Que se passerait-il si vos données étaient fausses sans que vous le sachiez, et depuis combien de temps pourraient-elles l’être ? » Elle éclaire directement la perte de données tolérable et le cas, fréquent en cyber, où la dernière sauvegarde réussie n’est pas la dernière sauvegarde saine. La confidentialité relève plutôt de la classification des données, à laquelle on peut renvoyer.

Une fois la grille établie, il est utile de la faire valider par le commanditaire. Une grille validée avant les entretiens est la meilleure protection contre la tendance naturelle à juger chaque activité critique.

Étape 3 — Identifier les services prioritaires

Premier niveau d’analyse : les produits et services que l’organisation rend à l’extérieur, à ses clients, usagers, partenaires ou autorités, ou qui portent l’une de ses missions. La question est simple à formuler, moins simple à trancher : qu’est-ce que l’organisation ne peut pas cesser de rendre, et pendant combien de temps ?

Pour chaque service, prioritaire ou non, on cherche :

• sa DMIA, lue sur la grille de l’étape 2 ;
• son PRD, même approximatif ;
• son niveau minimal de continuité ;
• ses périodes critiques : clôtures, pics saisonniers, échéances réglementaires, pendant lesquelles les seuils se resserrent.

Ce travail se fait de préférence en atelier avec la direction plutôt qu’en entretiens séparés : les arbitrages entre services sont plus faciles à faire autour d’une même table. L’équipe qui anime peut préparer une première liste pour que l’atelier se concentre sur les arbitrages.

Seuls les services retenus comme prioritaires passent à l’étape suivante. C’est le premier levier de proportionnalité de la méthode. Pour les autres, une règle d’héritage évite de laisser des trous : les activités d’un service non prioritaire prennent par défaut sa DMIA et son PRD, sans entretien, jusqu’à ce qu’un besoin particulier justifie de les analyser. C’est ce qui permet de répondre, à coût raisonnable, à une exigence comme celle du ReCyF, qui demande une DMIA et un PRD pour chaque activité et chaque service.

Étape 4 — Analyser les activités qui rendent ces services possibles

Deuxième niveau : pour chaque service prioritaire, les activités qui y contribuent. C’est ici que se déroulent les entretiens.

En pratique, le format qui donne les résultats les plus fiables est l’entretien court, de soixante à quatre-vingt-dix minutes, avec le responsable, pour l’ensemble de ses activités, sur la base d’une fiche préremplie à partir de l’existant. Le questionnaire envoyé par messagerie et rempli seul est plus rapide à diffuser, mais il produit en général des réponses moins discutées et des seuils plus confortables. Une solution intermédiaire, souvent suffisante : le questionnaire en préparation, l’entretien pour arbitrer.

Une règle d’arrêt allège l’exercice : on remplit la courbe d’impact jusqu’au premier niveau « grave », pas au-delà. Les horizons longs restent utiles pour une autre question, déjà posée dans la fiche : combien de temps le mode dégradé tient-il ?

Ce que l’on cherche, pour chaque activité :

La question sur le mode dégradé mérite une attention particulière. Beaucoup d’activités déclarent un contournement, « on peut repasser au papier », « on peut traiter par téléphone ». Il est utile de noter si ce contournement a déjà fonctionné en conditions réelles ou en exercice. Un contournement jamais pratiqué reste une hypothèse ; l’analyse d’impact n’a pas à le juger, mais elle gagne à le signaler.

Deux vérifications de cohérence se font au fil de l’eau :

• une activité dont l’arrêt interrompt aussitôt le service n’a pas de raison d’avoir une DMIA plus longue que lui. Une DMIA plus longue reste possible quand l’arrêt de l’activité ne pèse sur le service qu’au bout d’un certain temps, comme la mise à jour d’un catalogue qui reste en ligne : elle se justifie alors, et la justification s’écrit ;
• une activité dont dépend une activité prioritaire (contrôle des encours avant une commande, relation avec un fournisseur, par exemple) n’a pas, en principe, une DMIA plus longue que celle de l’activité qu’elle alimente, sauf si un stock, un tampon ou un délai découple les deux. Les activités support ressortent souvent avec des délais confortables qui ne résistent pas à cette question.

Le livrable est une fiche d’une page par activité.

Étape 5 — Recenser les ressources et les dépendances

Pour chaque activité prioritaire, on recense ce dont elle a besoin pour fonctionner à son niveau minimal, et non en régime nominal. La nuance réduit sensiblement le volume de l’inventaire.

Pour chaque ressource, il est utile de noter aussi la capacité constatée et sa source : le résultat du dernier exercice, le plan de reprise existant, l’engagement contractuel du prestataire, ou « inconnue ». Sans cette colonne, la comparaison entre besoins et capacités de l’étape 6 n’a pas de matière.

Deux résultats ressortent de cette étape et intéressent directement la direction.

Les exigences sur les ressources. Une application utilisée par plusieurs activités hérite de l’exigence la plus forte : elle doit être disponible avant l’objectif de délai de reprise de l’activité la plus exigeante qui l’utilise. C’est ainsi que les besoins métier se traduisent en exigences pour l’informatique, et c’est l’entrée naturelle d’une stratégie de sauvegarde ou d’un plan de continuité informatique.

Les points de concentration. Une ressource utilisée par plusieurs activités prioritaires, sans solution de rechange, mérite d’être signalée comme telle : un prestataire unique, une personne qui détient seule un savoir-faire, un site sans repli. C’est souvent l’enseignement le plus utile de toute l’analyse. Le règlement DORA et le ReCyF insistent d’ailleurs sur la cartographie des tiers et des interdépendances ; la grille proposée dans l’épisode 023 peut servir de point de départ pour les dépendances numériques.

C’est aussi la logique du NIST SP 800-34 : la durée tolérable se fixe pour le processus métier, le délai de reprise pour chacune des ressources qui le servent, de façon que la durée tolérable ne soit pas dépassée.

Le livrable est un registre, qui vit naturellement dans un tableur.

Étape 6 — Consolider et arbitrer

Une collection d’entretiens ne fait pas encore une analyse d’impact. La consolidation en tire une vue d’ensemble que la direction pourra discuter.

Des classes de criticité. Regrouper les activités selon leur objectif de délai de reprise simplifie la lecture et prépare l’ordre de reprise. À titre d’exemple : classe 1 en deçà de quatre heures, classe 2 en deçà d’un jour, classe 3 en deçà de trois jours, classe 4 au-delà. Ces classes peuvent ensuite servir à organiser les vagues de restauration d’une stratégie de sauvegarde.

Un regard sur la répartition. Quand une large part des activités se retrouve dans la classe la plus exigeante, plus d’un tiers par exemple, il est probable que la grille soit mal calibrée ou que certains seuils aient été fixés par prudence. Mieux vaut alors revenir sur la grille avec le commanditaire que présenter à la direction une analyse où tout est prioritaire, donc rien ne l’est. C’est un signal à examiner, pas un couperet : une organisation dont l’essentiel du chiffre d’affaires passe par un service en ligne peut légitimement avoir beaucoup d’activités très exigeantes. L’exemple du modèle en donne un cas, où la répartition a été examinée puis maintenue.

L’écart entre besoins et capacités. Pour chaque activité, on compare l’objectif requis à la capacité constatée relevée à l’étape 5. Une capacité « inconnue » est déjà un résultat. Les écarts ne sont pas des défauts de l’analyse ; ils en sont le produit le plus utile. Ils deviennent l’entrée de la stratégie de continuité.

Le lien avec l’analyse de risques. Les services et activités prioritaires constituent de bonnes « valeurs métier » pour l’atelier 1 d’EBIOS Risk Manager, et la grille d’impact de l’étape 2 peut servir d’échelle de gravité. Les quatre niveaux proposés reprennent d’ailleurs les libellés de l’échelle de gravité du guide EBIOS RM (mineure, significative, grave, critique). Une organisation qui pratique déjà EBIOS RM peut donc partir de son échelle existante plutôt que d’en créer une seconde. Les deux démarches y gagnent en cohérence.

Étape 7 — Faire valider, puis entretenir

L’analyse d’impact prend sa valeur au moment où ses résultats sont reconnus par ceux qui en répondent.

Une synthèse courte pour la direction, deux pages environ : services prioritaires et leurs seuils, points de concentration, écarts majeurs, décisions proposées. La direction n’a pas besoin des fiches d’activité ; elle a besoin de savoir ce qui est prioritaire, ce qui ne tient pas, et ce qu’il faudrait pour que cela tienne.

Des seuils attribués. Il est utile que chaque seuil porte la fonction de la personne qui l’a fixé et la date de sa validation. En cas de désaccord ultérieur, ou lors de la revue suivante, on sait à qui reposer la question.

Des écarts assumés. Certains écarts ne seront pas traités, faute de moyens ou parce que le risque paraît acceptable. Il vaut mieux que ce choix soit écrit et accepté explicitement que découvert pendant une crise.

Une diffusion maîtrisée. Une analyse d’impact décrit, par construction, les points faibles de l’organisation : ses activités vitales, ses dépendances sans repli, ses écarts. Elle mérite une classification et une diffusion restreinte, au moins pour les fiches et le registre des dépendances.

Une revue prévue. Une revue annuelle est l’usage. S’y ajoutent des déclencheurs : nouveau service, réorganisation, changement de prestataire important, incident majeur, exercice qui révèle un écart.

Un raccordement aux documents qui en dépendent : stratégie de continuité, stratégie de sauvegarde, plan de continuité d’activité, plan de continuité informatique, dispositif de gestion de crise. L’analyse d’impact n’est pas une fin ; elle est la source de leurs priorités et de leurs seuils. Le règlement 2024/2690 en donne une bonne illustration : parmi les rubriques qu’il attend dans un plan de continuité figurent l’ordre de reprise des opérations, les objectifs de reprise, les ressources nécessaires et le retour depuis les mesures temporaires (annexe, point 4.1.2). Les quatre viennent directement de l’analyse d’impact : des classes de criticité, des seuils, du registre des ressources et des modes dégradés.

Correspondance avec les principaux textes

Lecture d’expert, à vérifier contre les textes en vigueur au moment de l’adaptation, et à compléter par les textes propres au secteur de l’organisation. Les mesures du ReCyF citées concernent les entités essentielles.

4. Le modèle mis à disposition

D’où il vient

Contrairement au modèle de stratégie de sauvegarde, tiré d’un document conçu en poste puis réécrit en marque blanche, ce modèle a été construit pour cette publication. Il s’appuie sur les sources ouvertes citées plus haut, notamment le guide de l’ENISA, le ReCyF, le gabarit du NIST et le formulaire du guide québécois, et sur la pratique. Les valeurs chiffrées qu’il contient (seuils, horizons, classes) sont des valeurs d’illustration, signalées comme telles.

Sa structure

Un classeur accompagne le document. Il reprend les paramètres de la grille, les registres (services, activités, ressources), une matrice des activités et des ressources, et une consolidation ; il calcule la DMIA lue sur la courbe d’impact, les contrôles de cohérence, les classes, les exigences héritées par les ressources, les points de concentration et les écarts. Il est livré avec les données de l’exemple fictif, pour montrer le fonctionnement des contrôles. L’expérience montre qu’une analyse d’impact se remplit plus facilement dans un tableur et se présente mieux dans un document : les deux formats se complètent.

Comment l’utiliser

Le document reprend les conventions du modèle de sauvegarde : {{…}} pour les éléments propres à l’organisation, [À VALIDER] pour une valeur proposée par défaut, [À COMPLÉTER] pour un contenu à produire.

L’ordre d’adaptation suggéré :

1. choisir le format (express, standard, approfondi) et nommer le commanditaire ;
2. adapter la grille d’évaluation (hypothèses, critères, échelle, horizons) à l’organisation, en reprenant ses échelles existantes quand il y en a, et la faire valider avant tout entretien ;
3. dresser la liste des services avec la direction ;
4. conduire les entretiens sur les seules activités des services prioritaires ;
5. consolider dans le classeur, puis rédiger la synthèse.

Il est proposé en trois formats, à télécharger en tête de cette page : un fichier Word à modifier, un PDF à consulter, un classeur pour les registres. Il est publié sous licence Creative Commons Attribution – Pas d’utilisation commerciale – Partage dans les mêmes conditions : vous pouvez le copier, l’adapter et le diffuser, en citant la source, sans usage commercial, et en conservant la même licence.

L’Essentiel pour Agir

1. Poser la question aux métiers : demandez, pour vos principaux services, à partir de quand une interruption devient grave, et qui l’a décidé. Si la réponse vient de l’informatique, l’analyse d’impact reste à faire.
2. Choisir une profondeur réaliste : une première analyse en format express, validée et utilisée, vaut mieux qu’une analyse exhaustive qui n’aboutit pas.
3. Fixer la grille avant les entretiens : hypothèses de travail, critères, échelle, horizons et règle de lecture, adaptés à l’organisation et validés par le commanditaire.
4. Aller jusqu’à un mois : une crise d’origine cyber se mesure en semaines ; l’analyse doit dire ce qui se passe au-delà des premiers jours.
5. Chercher les points de concentration : prestataire unique, personne unique, site sans repli. C’est souvent le résultat le plus utile pour la direction.
6. Assumer les écarts : ce qui ne sera pas traité gagne à être écrit et accepté plutôt que découvert en crise.
7. Partir du modèle : téléchargez-le, adaptez la grille, et commencez par la liste des services.

Conclusion

L’analyse d’impact a une réputation d’exercice fastidieux, fait de questionnaires et de tableaux. Elle l’est parfois, quand on cherche l’exhaustivité avant la décision. Conduite de façon proportionnée, elle est au contraire l’une des démarches les plus économes de la continuité d’activité : quelques ateliers, quelques entretiens, et une organisation qui sait, à froid, ce qu’elle protège en premier et pourquoi.

La méthode proposée ici n’invente rien. Elle reprend la logique sur laquelle convergent les référentiels et y ajoute quelques choix de praticien : la grille avant la collecte, le service avant l’activité, le niveau minimal avant le nominal, et un horizon assez long pour que la crise cyber y trouve sa place. Le modèle qui l’accompagne est un point de départ, à adapter, à simplifier si besoin.

Le jour où il faudra choisir quoi relancer d’abord, la question aura déjà été posée. C’est tout ce qu’on demande à une analyse d’impact, et ce n’est pas rien.

Bibliographie

Liens consultés le 25 octobre 2026.

ISO/TS 22317:2021 — Security and resilience — Business continuity management systems — Guidelines for business impact analysis

https://www.iso.org/standard/79000.html

Spécification technique consacrée à la conduite de l’analyse d’impact. Deuxième édition, novembre 2021, revue et confirmée en octobre 2025.

ISO 22301:2019 — Business continuity management systems — Requirements, et amendement 1:2024

https://www.iso.org/standard/88412.html

Norme d’exigences du système de management de la continuité d’activité. L’amendement de février 2024 porte sur le changement climatique. Une troisième édition est en préparation (ISO/CD 22301).

ISO 22300:2025 — Security and resilience — Vocabulary

https://www.iso.org/standard/85749.html

Quatrième édition, novembre 2025, qui remplace l’édition 2021. Source des définitions reprises par le ReCyF.

ANSSI — Référentiel Cyber France (ReCyF), version 2.5, 17 mars 2026 (document de travail)

https://messervices.cyber.gouv.fr/documents-ressources/20260317_NIS_V2_ReCyF_v2.5.pdf

Objectif 13, « Continuité et reprise d’activité » : mesure 13.4 (DMIA et PRD par activité et par service), 13.6 (PCA et PRA adaptés aux crises d’origine cyber), 13.7 (appui sur la cartographie de l’écosystème). Glossaire aligné sur ISO 22300:2025.

ENISA — NIS2 Technical Implementation Guidance, version 1.0, 26 juin 2025

https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance

Guide de mise en œuvre du règlement 2024/2690. Section 4.1 : plan de continuité et de reprise, analyse d’impact (point 4.1.3), définitions des objectifs de reprise, preuves attendues. Citations traduites de la version anglaise.

Règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024 — annexe, section 4.1

https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj

Modalités techniques et méthodologiques de NIS 2 pour certaines catégories d’entités numériques.

Règlement (UE) 2022/2554 (DORA) — article 11

https://eur-lex.europa.eu/eli/reg/2022/2554/oj

Politique de continuité des activités de TIC ; le paragraphe 5 demande une analyse des incidences sur les activités.

Règlement délégué (UE) 2024/1774 de la Commission du 13 mars 2024 (normes techniques de réglementation DORA)

https://eur-lex.europa.eu/eli/reg_del/2024/1774/oj

Contenu de la politique de continuité des TIC, des tests et des plans de rétablissement ; plafond de deux heures pour les contreparties centrales et les dépositaires centraux. Cité ici pour la logique ; chaque entité financière se reportera au texte pour ses propres obligations.

CPMI-IOSCO — Principles for financial market infrastructures (avril 2012), principe 17

https://www.bis.org/cpmi/publ/d101a.pdf

Reprise des systèmes informatiques critiques dans les deux heures et achèvement du règlement le jour même, y compris en circonstances extrêmes. Exigence rappelée par la revue de mise en œuvre du 21 juillet 2021 et, pour le cyber, par le guide CPMI-IOSCO de juin 2016.

Règlement délégué (UE) n° 153/2013 (contreparties centrales), article 17, et règlement délégué (UE) 2017/392 (dépositaires centraux), article 78

https://eur-lex.europa.eu/eli/reg_del/2013/153/oj · https://eur-lex.europa.eu/eli/reg_del/2017/392/oj

Plafond de deux heures pour la reprise des fonctions ou opérations critiques ; achèvement des procédures de fin de journée en toutes circonstances (contreparties centrales).

eResilient — How to conduct a business impact analysis (2 mai 2026) et Fortiv — BIA metrics explained (18 septembre 2026, mis à jour le 20 octobre 2026)

https://eresilient.com/insights/how-to-conduct-a-business-impact-analysis · https://www.fortiv.io/blog/rto-rpo-mtd-mao

Guides de praticiens publiés par des éditeurs de solutions. Règles de travail sur l’écart entre RTO et durée tolérable (50 à 75 % pour le premier, au plus 50 à 60 % pour le second). Cités comme indicateurs de pratique, non comme références.

Jayanth R. Varma — Finally, a more responsible 2-hour recovery mandate (18 juillet 2016)

https://www.jrvarma.in/blog/Y2016-17/responsible-2h-recovery.html

Commentaire, par un universitaire, du guide CPMI-IOSCO de juin 2016 sur la cyber-résilience : l’objectif de deux heures est maintenu, mais assorti d’une exigence de reprise sûre et d’un plan pour le cas où il ne serait pas tenu. Source secondaire ; le guide lui-même reste à lire au texte.

Directive (UE) 2022/2555 (NIS 2) — article 21

https://eur-lex.europa.eu/eli/dir/2022/2555/oj

Mesures de gestion des risques, dont la continuité des activités (§ 2 c).

BCI — Good Practice Guidelines, édition 7.0 (novembre 2023)

https://www.thebci.org/news/good-practice-guidelines-7-0-analysing-business-continuity-requirements.html

Présentation de la pratique « Analyse » : analyse d’impact et appréciation du risque, trois niveaux d’analyse, suppression de l’analyse d’impact « initiale » de l’édition 2018.

DRI International — Professional Practices for Business Continuity Management (2023)

https://drii.org/resources/professionalpractices/EN

Pratique professionnelle n° 3, Business Impact Analysis.

NIST — SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems (2010)

https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-34r1.pdf

Analyse d’impact en trois temps et gabarit en annexe.

NIST — IR 8286D, Using Business Impact Analysis to Inform Risk Prioritization and Response (novembre 2022)

https://nvlpubs.nist.gov/nistpubs/ir/2022/NIST.IR.8286D.pdf

Extension de l’analyse d’impact à l’intégrité et à la confidentialité, au service de la gestion des risques d’entreprise.

SGDSN — Guide pour réaliser un plan de continuité d’activité (2013)

https://armement.defense.gouv.fr/sites/default/files/2022-04/20130612_NP_SGDSN_guide_pca.pdf

Guide public français ; étape « Identifier et formaliser les besoins de continuité », fiches pratiques. Document ancien, toujours diffusé.

Gouvernement du Québec — Guide de gestion de la continuité des activités pour les PME (avril 2018)

https://cdn-contenu.quebec.ca/cdn-contenu/adm/min/economie/contenu/continuite_activites/GM_guide_gestion_continuite_activites.pdf

Démarche en quatre temps, formulaire d’analyse d’impact modifiable et deux exemples remplis.

ANSSI — Guide EBIOS Risk Manager, version 1.5 (2024)

https://cyber.gouv.fr/sites/default/files/document/20240901_Guide-EBIOS-RM-V1.5.pdf

Atelier 1 : valeurs métier, événements redoutés, échelle de gravité. Point d’articulation avec l’analyse d’impact.