1.2 Le PCA est-il obligatoire ? Ce que disent vraiment les textes

La Loi de Programmation Militaire 2013 (loi n° 2013-1168 du 18 décembre 2013) a marqué la naissance en France d'un cadre cybersécurité contraignant pour les Opérateurs d'Importance Vitale (OIV). Codifié aux articles L.1332-1 à L.1332-7 du Code de la défense, le dispositif identifie des entités jugées cruciales pour la nation.

Caractéristiques :

• ~ 300 OIV en France (chiffre 2024, mais liste classifiée).
• 12 secteurs d'activité d'importance vitale définis par décret : alimentation, audiovisuel et information, communications électroniques, énergie, espace et recherche, finances, gestion de l'eau, industrie, santé, transports, activités civiles de l'État, activités militaires de l'État.
• SIIV (Systèmes d'Information d'Importance Vitale) — sous-ensemble des SI de l'OIV identifié comme critique.
• Obligations :
  • Notification des incidents à l'ANSSI sans délai.
  • Audit cybersécurité régulier.
  • Mise en œuvre de règles techniques imposées par arrêtés (au moins 20 règles par secteur).
  • Plan de gestion de crise cybersécurité.
  • Plan de continuité d'activité (PCA) couvrant les SIIV.

Sanctions : l'article L1332-7 du Code de la défense prévoit une amende pénale de 150 000 € à l'encontre des dirigeants de l'opérateur qui, après mise en demeure, n'établissent pas le plan de protection, ne réalisent pas les travaux prévus, n'entretiennent pas les dispositifs existants ou ne satisfont pas aux obligations des articles L1332-6-1 à L1332-6-4 (règles de sécurité des systèmes d'information, détection, notification d'incident, contrôles). Les personnes morales encourent cette amende au quintuple, soit 750 000 €, selon l'article 131-38 du Code pénal.

La directive NIS2 (UE) 2022/2555 du 14 décembre 2022 remplace la directive NIS1 de 2016. Une directive n'est pas d'application directe : elle doit être transposée par chaque État membre. L'échéance de transposition était fixée au 17 octobre 2024, pour une application au 18 octobre 2024.

NIS2 élargit considérablement le périmètre :

• 18 secteurs d'activité couverts (10 sous NIS1) : énergie, transport, banque, finance, santé, eau potable, eau usée, infrastructures numériques, administration publique, espace, services postaux et de courrier, gestion des déchets, fabrication et distribution de produits chimiques, alimentation, fabrication industrielle, fournisseurs numériques, recherche.
• Deux catégories : entités essentielles (EE) et entités importantes (EI), selon la taille et le secteur.
• Critères généraux : organisations de moyenne taille (50 salariés et 10 M€ de CA) minimum dans les secteurs concernés.
• ~ 15 000 entités françaises visées selon l'estimation de l'ANSSI, contre quelques centaines sous NIS1.

Obligations prévues par la directive (à confirmer par la loi de transposition) :

• Mesures de gestion des risques cybersécurité : politique de sécurité, gestion des incidents, gestion des fournisseurs, sécurité des SI, formation, chiffrement, contrôle d'accès, multi-facteurs.
• Notification des incidents en 24 h (notification initiale) + 72 h (rapport intermédiaire) + 1 mois (rapport final) au CSIRT national (ANSSI en France).
• Plan de continuité d'activité (PCA) et de reprise (PRA) obligatoires.
• Gestion de la chaîne d'approvisionnement et des fournisseurs critiques.
• Tests et exercices réguliers.
• Responsabilité personnelle des dirigeants en cas de manquement.

Sanctions prévues par la directive (article 34) : jusqu'à 10 M€ ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les entités essentielles ; jusqu'à 7 M€ ou 1,4 % pour les entités importantes. La directive prévoit également l'engagement de la responsabilité des organes de direction.

Le volet cybersécurité industrielle de NIS2 (systèmes OT, automates, supervision) est traité en détail dans notre sensibilisation NIS2 & cybersécurité industrielle.

Le règlement DORA (UE) 2022/2554 du 14 décembre 2022 (Digital Operational Resilience Act) est applicable depuis le 17 janvier 2025. Il instaure un cadre uniforme et harmonisé de résilience opérationnelle numérique pour le secteur financier européen.

Entités concernées (~ 22 000 en Europe, ~ 2 500 en France) :

• Banques (établissements de crédit).
• Compagnies d'assurance et de réassurance.
• Sociétés de gestion d'actifs.
• Fintechs et établissements de paiement.
• Plateformes de trading et chambres de compensation.
• Fournisseurs de services en cryptoactifs.
• Prestataires TIC critiques des entités précédentes — supervision directe par les autorités européennes (AEMF, EBA, EIOPA, BCE).

5 piliers DORA :

1. Gestion des risques TIC — politique, gouvernance, identification des fonctions critiques, BIA.
2. Gestion, notification et classification des incidents — détection, notification rapide (4 h pour incident majeur).
3. Tests de résilience opérationnelle numérique — programme annuel de tests, dont des Threat-Led Penetration Testing (TLPT) tous les 3 ans pour les entités les plus critiques.
4. Gestion des risques liés aux prestataires TIC — contrats type, droits d'audit, registre des prestataires.
5. Partage d'information sur les cybermenaces — facultatif mais encouragé entre entités.

Sanctions : amendes administratives jusqu'à 2 % du chiffre d'affaires (10 % en cas de manquement grave), sanctions personnelles pour les dirigeants, retrait d'agrément possible.

Le règlement général sur la protection des données (UE) 2016/679, dit RGPD, applicable depuis le 25 mai 2018, n'est pas un texte spécifique à la continuité d'activité. Mais son article 32 impose à tout responsable de traitement et à tout sous-traitant des « mesures techniques et organisationnelles appropriées » pour garantir, entre autres, la disponibilité des données à caractère personnel.

Les exigences indirectes en matière de continuité :

• Sauvegardes régulières pour pouvoir restaurer les données en cas d'incident.
• Procédures de gestion d'incident incluant la notification à la CNIL en 72 h.
• Tests réguliers de l'efficacité des mesures.
• Pseudonymisation et chiffrement des données sensibles.
• Notification aux personnes concernées en cas de violation à risque élevé.

La CNIL sanctionne régulièrement des manquements à l'article 32 : absence de mesures de sécurité proportionnées, défaut de gestion des incidents, conservation de données non chiffrées. Ses décisions sont publiées et constituent une source utile pour calibrer ses propres mesures — elles sont consultables sur cnil.fr.

Sanctions maximales RGPD (article 83) : 10 M€ ou 2 % du chiffre d'affaires mondial pour les manquements à l'article 32, et jusqu'à 20 M€ ou 4 % pour les manquements aux principes fondamentaux — le montant le plus élevé étant retenu.

Travail-Industrie propose une formation RGPD complète qui détaille ces obligations.

La directive CSRD (UE) 2022/2464 sur le reporting de durabilité intègre des exigences de résilience dans le rapport de gestion annuel. Son calendrier et son périmètre ont été profondément revus : après la directive « stop the clock » (UE) 2025/794 du 14 avril 2025, le paquet Omnibus publié au JOUE le 26 février 2026 a relevé les seuils et repoussé l'application.

Les ESRS (European Sustainability Reporting Standards) — normes techniques de la CSRD — imposent notamment :

• ESRS S1 (employés) : continuité de l'emploi et capacités à protéger les salariés.
• ESRS S4 (consommateurs et utilisateurs finaux) : continuité du service.
• ESRS G1 (conduite des affaires) : éthique, intégrité, lutte contre la corruption — incluant les processus de gestion d'incident.
• ESRS E1 (changement climatique) : adaptation et résilience aux risques climatiques physiques (inondation, canicule, tempête).

Périmètre issu du paquet Omnibus (février 2026) :

• Seuil relevé à plus de 1 000 salariés ET plus de 450 M€ de chiffre d'affaires net.
• PME cotées exclues du champ de la directive.
• Application aux exercices ouverts à compter du 1^er janvier 2027, soit un premier rapport publié en 2028.
• Normes ESRS sectorielles obligatoires abandonnées ; la charge demandée aux fournisseurs de moins de 1 000 salariés est plafonnée.

Pour les entreprises qui restent dans le champ, la résilience devient vérifiable par un tiers : la documentation de continuité et la preuve des exercices entrent dans le périmètre de l'assurance du rapport de durabilité.

Travail-Industrie propose une formation Bilan Carbone & CSRD qui approfondit ces exigences ESG.

L'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI), créée par décret du 7 juillet 2009, est l'autorité nationale en matière de cybersécurité. Rattachée au Secrétaire général de la Défense et de la Sécurité Nationale (SGDSN), elle a un rôle majeur dans le pilotage opérationnel des obligations PCA :

• Régulateur des OIV (LPM 2013) et des OSE/EE/EI (NIS1/NIS2).
• Émet des règles techniques obligatoires pour les OIV (arrêtés sectoriels publiés).
• Publie des guides méthodologiques gratuits : guide d'hygiène informatique, guides sur les sauvegardes et la reconstruction d'un système d'information après incident, panorama annuel de la cybermenace du CERT-FR.
• Centre opérationnel de cyberdéfense (CERT-FR) : monitore les menaces, émet des alertes, anime la réponse aux incidents.
• Certifie les produits (CSPN, Critères Communs) et les prestataires (PASSI, PDIS, PRIS).
• Sensibilise les administrations, les entreprises, le grand public.

Le Panorama de la cybermenace publié chaque année par le CERT-FR donne la mesure du phénomène : 4 386 événements de sécurité traités en 2024 (+ 15 % en un an), dont 1 361 incidents et 144 compromissions par rançongiciel portées à la connaissance de l'agence. Ces attaques ont visé pour 37 % des TPE, PME et ETI et pour 17 % des collectivités territoriales — la menace n'est pas réservée aux grands groupes.

Le référentiel méthodologique historique du PCA en France reste le Guide pour réaliser un plan de continuité d'activité publié par le SGDSN : il est gratuit et téléchargeable sur sgdsn.gouv.fr. Les guides de l'ANSSI sont, eux, sur cyber.gouv.fr.