Quand une petite entreprise commence à réfléchir à un plan de continuité d’activité (PCA), elle imagine souvent des honoraires de cabinet impossibles à assumer, pourtant des documents publics, gratuits et récents, comme le guide du SGDSN et une simulation publiée dans un guide pratique, donnent déjà une trame complète. Il faut simplement accepter de lire, d’adapter et de tester. Voici comment transformer ces ressources en un plan utilisable dès le premier incident.
Des guides officiels qui ne demandent qu’à être lus
Le Secrétariat Général de la Défense et de la Sécurité Nationale a publié le 20 avril 2026 un guide de la continuité d’activité sur Service Public Entreprendre, un site édité par la Direction de l’information légale et administrative, qui héberge ce document gratuit et dont la définition remonte au règlement n°97-02 du Comité de la réglementation bancaire et financière, mis à jour en 2005. Pour une PME, les points à traiter sont listés sans jargon.
Le guide pratique « Plan de continuité d’activité pour PME et ETI » d’Alexia Moutier, publié en juillet 2026, complète ce premier document. Cette approche séquencée part donc des activités critiques. Beaucoup d’entreprises croient qu’il faut d’abord installer des logiciels coûteux, alors que la première étape consiste à réunir les bonnes personnes autour d’un tableau. Ce guide insiste sur les processus, les rôles et les décisions à préparer avant qu’un incident ne survienne.
MecaTech ou l’art de rendre la crise concrète
Rien ne vaut une simulation pour sortir du théorique. Le guide pratique d’Alexia Moutier met en scène une PME fictive nommée MecaTech, qui emploie 150 salariés, et face à une cyberattaque, cette entreprise reçoit une demande de rançon de 500 000 euros en cryptomonnaies sous 48 heures, un scénario qui impose des choix immédiats et expose les angles morts d’une organisation impréparée. Franchement, cette simulation vaut parfois mieux qu’un long chapitre théorique.
Les angles morts que la simulation MecaTech expose
Ce scénario pousse à se demander ce qui se passerait chez soi, avec ses propres effectifs et ses propres clients. Quelques points reviennent presque systématiquement quand on observe la manière dont MecaTech réagit. Ils concernent autant les salariés que la direction.
- La PME fictive emploie 150 salariés, mais aucun n’a de fonction dédiée à la sécurité.
- Un délai de 48 heures, ce n’est pas du temps pour réfléchir.
- Des sauvegardes testées trop rarement pour inspirer confiance.
- Et si le standard téléphonique se met à sonner sans relâche ?
Une cyberattaque n’est pas la seule interruption possible, mais elle révèle immédiatement les dépendances entre l’informatique, la production et la relation client. Les PME qui passent du temps sur ce scénario découvrent des failles plus larges (absence de coordonnées à jour, responsabilités floues). Le plan de continuité devient alors un ensemble de décisions à tester, réalisable en une session courte sans logiciel dédié.
Construire le plan sans budget cabinet
Une petite entreprise n’a pas besoin d’un cabinet pour structurer son plan, il lui faut une méthode et de la discipline, puis on liste les activités à redémarrer et on attribue à chacune une personne responsable et une solution de repli. Le guide officiel du SGDSN fournit des trames prêtes à remplir ; celui d’Alexia Moutier ajoute des exemples MecaTech. Sans retour terrain, une lecture extérieure comme jamm-saintlouis.com aide à repérer les oublis.
Le test ne demande pas un grand déploiement. Un exercice court, avec quelques collègues, suffit pour vérifier si les numéros de téléphone sont corrects et si les sauvegardes contiennent bien ce qu’on croit. Ce test révèle des oublis invisibles sur le papier. L’important n’est pas la complexité du document, mais la rapidité avec laquelle l’équipe peut basculer sur un mode dégradé. Les guides publics insistent beaucoup sur cette répartition des rôles.
On aurait tort de croire qu’un PCA doit rester figé après sa rédaction. Une entreprise qui change d’outil, de client principal ou de bâtiment devrait réviser ses scénarios. Le guide de 2026 invite à programmer des revues régulières. Ce cas fictif montre qu’une négociation de rançon suppose des arbitrages posés à froid, pas dans l’urgence.
Les pièges qui font déraper le projet
Le premier piège, c’est de commencer par la technique au lieu des activités. On installe un outil, on achète un logiciel, et on oublie qui décide. Le plan de continuité n’est pas un problème informatique : c’est un problème d’organisation, car la définition du règlement n°97-02, même ancienne, place la continuité au niveau des processus critiques ; si la direction ne s’implique pas, le document finit dans un tiroir.
Un autre piège consiste à confondre assurance et continuité. L’assurance indemnise après coup ; elle ne suffit pas à faire redémarrer les commandes ou les paies. Une entreprise couverte financièrement peut perdre ses clients parce qu’elle répond trop lentement. Le scénario MecaTech met cette tension en évidence : les 48 heures laissent peu de marge. Il faut préparer des messages, des listes de contacts et des procédures de repli avant d’en avoir besoin.
Enfin, on néglige souvent les petites interruptions, celles qui ne font pas la une mais qui coûtent cher sur la durée. Une panne de machine, un départ subit d’un salarié clé ou un fournisseur qui ferme peuvent bloquer l’activité autant qu’une cyberattaque. Le plan devrait donc couvrir plusieurs scénarios simples, pas uniquement l’attaque spectaculaire. Cette étude de cas sert de point d’entrée ; elle ne remplace pas l’analyse de ses propres fragilités.
Un document qui doit rester à portée de main
Un PCA ne vaut que si on peut le sortir en pleine nuit et le suivre avec des mains qui tremblent. Les documents publics de 2026 fournissent cette base sans demander de budget, à condition qu’on prenne le temps de l’adapter. Avant de chercher un prestataire, pourquoi ne pas ouvrir le document officiel et consacrer un moment à l’exemple MecaTech ? Que ferez-vous si, demain matin, la moitié de vos données devient inaccessible ?
