Formation PCA / PRA
Continuité d'Activité
Comprendre et construire un plan de continuité : différencier PCA et PRA, savoir qui est réellement obligé, mener un BIA (RTO, RPO, MTPD), choisir une stratégie de secours, écrire les fiches réflexes, tester le dispositif. 4 modules, 12 chapitres, quiz et examen final — 5 h 30 de lecture.
Travail-Industrie n'est pas un organisme habilité à délivrer des certifications ISO ou professionnelles. Ce module fournit les connaissances théoriques fondamentales mais ne remplace pas une formation certifiante (parcours d'auditeur ou d'implémenteur ISO 22301) délivrée par un organisme de formation certifié Qualiopi ou un organisme de certification accrédité. L'examen final est auto-évaluatif et ne donne lieu à aucune attestation reconnue.
événements de sécurité traités par l'ANSSI en 2024 (+ 15 % sur un an), dont 1 361 incidents — Panorama de la cybermenace 2024, CERT-FR
compromissions par rançongiciel portées à la connaissance de l'ANSSI en 2024 — dont 37 % visant des TPE, PME et ETI et 17 % des collectivités
incidents de sécurité déclarés par les structures de santé et médico-sociales en 2024, + 29 % sur un an (Observatoire CERT Santé / ANS, juin 2025)
Programme complet de la formation
4 modules pour maîtriser la doctrine PCA/PRA et la mettre en œuvre.
Cadre & obligations PCA / PRA
Définitions et différences PCA / PRA / DRP, normes ISO 22301 et ISO 27031, cadre réglementaire (LPM 2013, NIS2 2024, DORA UE 2022/2554) et public concerné (OIV, OSE, banque/assurance, grands groupes).
- Différencier PCA, PRA, DRP, BCP : définitions et périmètres (ISO 22301)
- Cadre réglementaire : LPM 2013, NIS2 (UE 2022/2555), DORA (UE 2022/2554 — 17/01/2025)
- Public concerné : OIV, OSE, banque/assurance, grands groupes — qui est obligé, qui devrait
- Quiz du Module 1
Analyse des risques & BIA
Business Impact Analysis (BIA), indicateurs RTO/RPO/MAO/MTPD, cartographie des risques (cyber, naturel, humain, sanitaire) et stratégies de continuité (redondance, sites de secours, cloud, télétravail).
- Business Impact Analysis (BIA) : RTO, RPO, MAO, MTPD, criticité des processus
- Cartographie des risques : cyber, naturel, humain, technique, sanitaire (COVID-19)
- Stratégies de continuité : redondance, sites froid/tiède/chaud, cloud, télétravail
- Quiz du Module 2
Rédiger & déployer le plan
Structure d'un PCA, politique, équipes de gestion de crise, fiches réflexes, plan de communication, PRA technique (sauvegardes 3-2-1, restauration) et cellule de crise.
- Structure d'un PCA : politique, équipes, fiches réflexes, organigramme de crise
- Le PRA informatique : sauvegardes 3-2-1, restauration, RTO technique, immutabilité
- Communication de crise : cellules, porte-parole, médias, salariés, réseaux sociaux
- Quiz du Module 3
Tests, maintien & retours d'expérience
Types d'exercices (table top, fonctionnel, grandeur réelle), maintien en conditions opérationnelles, indicateurs et retours d'expérience (NotPetya/Saint-Gobain 2017, COVID-19, OVHcloud SBG2 2021).
- Types d'exercices : table top, fonctionnel, grandeur réelle & fréquences
- Maintien en conditions opérationnelles (MCO) : audits, mises à jour, KPI
- REX : NotPetya/Saint-Gobain 2017, COVID-19, OVHcloud SBG2 2021, Colonial Pipeline 2021
- Quiz du Module 4
Examen final : 25 questions
Validez vos acquis avec un examen blanc auto-évaluatif. Barème +2 / -1 / 0 abstention, 5 kill questions sur les fondamentaux PCA/PRA, seuil 33/50.
La continuité d'activité : une discipline qui ne tolère plus l'amateurisme
D'où vient la doctrine PCA / PRA ?
La continuité d'activité est née dans l'informatique bancaire des années 1970, quand les premiers systèmes centralisés sont devenus vitaux : à l'époque, seul le disaster recovery — l'ancêtre du PRA — était traité. Les attentats du 11 septembre 2001 ont marqué la bascule : la destruction des tours du World Trade Center a montré qu'un sinistre pouvait détruire à la fois les locaux, les systèmes et les équipes, et que la continuité ne pouvait donc pas se limiter à une affaire de serveurs. La discipline s'est normalisée dans les années 2000 (norme britannique BS 25999, puis ISO 22301 en 2012, révisée en 2019).
Où en est vraiment la réglementation en 2026 ?
Trois régimes coexistent, et ils ne s'appliquent pas aux mêmes organisations. La loi de programmation militaire du 18 décembre 2013 impose depuis longtemps un dispositif de continuité aux opérateurs d'importance vitale (articles L1332-1 et suivants du Code de la défense). Le règlement DORA (UE) 2022/2554, d'application directe, s'impose aux entités financières européennes depuis le 17 janvier 2025. La directive NIS2 (UE) 2022/2555, elle, doit encore être transposée : le projet de loi relatif à la résilience des infrastructures critiques a été présenté en Conseil des ministres le 15 octobre 2024 et adopté par le Sénat en mars 2025, mais il n'était toujours pas promulgué à la mi-septembre 2026 — la Commission européenne a d'ailleurs saisi la Cour de justice de l'Union européenne en juillet 2026 pour défaut de transposition. Autrement dit : les obligations NIS2 sont connues et chiffrées (environ 15 000 entités visées, sanctions annoncées jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial), mais elles ne sont pas encore opposables en droit interne. Se préparer maintenant relève de l'anticipation, pas de la mise en conformité.
Pourquoi le sujet remonte au comité de direction
La continuité a changé de nature parce que ses déclencheurs ont changé d'échelle. Un incendie de centre de données (OVHcloud SBG2, mars 2021), un logiciel de sécurité mal mis à jour (juillet 2024), une attaque destructrice propagée par la chaîne d'approvisionnement logicielle (NotPetya, 2017) : dans les trois cas, l'origine est technique mais la conséquence est financière, contractuelle et réputationnelle. S'y ajoute la pression des tiers : les assureurs cyber et les grands donneurs d'ordre demandent désormais un PCA documenté avant de contractualiser, et DORA comme NIS2 font descendre l'exigence dans la chaîne de sous-traitance.
Les indicateurs clés : RTO, RPO, MTPD, MBCO
Tout le dimensionnement du PCA repose sur des indicateurs issus du Business Impact Analysis (BIA). Le RTO (Recovery Time Objective) est le délai maximal accepté avant la reprise d'un processus. Le RPO (Recovery Point Objective) est la quantité de données que l'on accepte de perdre, exprimée en durée. Le MTPD (Maximum Tolerable Period of Disruption, aussi appelé MAO) est le seuil au-delà duquel la survie de l'organisation est engagée. Le MBCO (Minimum Business Continuity Objective) décrit le niveau d'activité minimal à tenir en mode dégradé. Ces quatre valeurs se fixent processus par processus et commandent ensuite toute la technique : un RTO de 4 heures impose une infrastructure de secours active, un RTO de 48 heures se satisfait d'une restauration depuis sauvegarde.
La sauvegarde 3-2-1 face à la menace rançongiciel
Les rançongiciels modernes ciblent délibérément les serveurs de sauvegarde avant de chiffrer la production : une sauvegarde accessible depuis le réseau est une sauvegarde à la merci de l'attaquant. La règle historique 3-2-1 (3 copies, 2 supports, 1 hors site) s'est donc étendue en 3-2-1-1-0 : une copie immuable — verrouillée en écriture unique pendant une durée de rétention, y compris pour un administrateur — et zéro erreur constatée lors des tests de restauration. L'ANSSI rappelle dans ses guides que la sauvegarde hors ligne et testée reste la mesure la plus efficace pour survivre à un chiffrement généralisé.
Pour qui cette formation ?
Directions administratives et financières, risk managers, responsables sécurité des systèmes d'information, directions informatiques, responsables conformité, auditeurs internes, responsables QHSE et dirigeants de PME ou d'ETI qui engagent une démarche de continuité. Le contenu suppose une culture managériale ou technique de base, mais reste accessible sans prérequis formel.
Pour aller plus loin sur le site
Sensibilisations voisines
- Cybersécurité : phishing, mots de passe, MFA — les mesures qui évitent le sinistre que le PCA doit absorber.
- NIS2 & cybersécurité industrielle (OT) — le volet systèmes industriels du même cadre réglementaire.
- RGPD pour les salariés — l'article 32 et la notification d'une violation de données en 72 heures.
- ICPE & risque industriel majeur — POI, PPI : la continuité vue du site classé.
Outils et références
- Carte des risques industriels — vérifier l'environnement d'un site avant d'y localiser une activité critique.
- Simulateur d'indemnité de télétravail — le télétravail comme solution de repli a un cadre et un coût.
- Wiki du Code du travail — les articles cités dans les chapitres (télétravail, obligations de l'employeur).
- cyber.gouv.fr (ANSSI) — guides publics sur la continuité et la réponse à incident.