Par quoi commencer un plan de continuité informatique ?

Par la liste priorisée des services numériques critiques de l'entreprise, que l'ANSSI place parmi ses cinq mesures cyber préventives prioritaires. Tout le reste en découle.

Que faire en premier face à un poste qui semble compromis ?

Le guide d'hygiène de l'ANSSI conseille de le déconnecter du réseau sans l'éteindre ni le redémarrer, puis de prévenir la hiérarchie et le référent en sécurité.

Que prévoir si l'assistant IA est indisponible ?

Un mode dégradé écrit : où trouver l'information sans l'assistant, qui répondre aux questions, comment le signaler. L'ANSSI recommande de prévoir un mode dégradé des services métier sans système d'IA (R15).

Plan de continuité informatique d'une PME : par où commencer

Un plan de continuité informatique dit comment l'entreprise continue à travailler quand un service numérique tombe, et comment elle le remet en route. Pour une PME, commencez par la liste priorisée de ses services critiques, puis, pour chacun : la sauvegarde, le mode dégradé, qui décide et qui prévient qui. L'assistant IA du client y a sa ligne, avec un mode dégradé sans IA.

Les points de départ de l'ANSSI

Parmi ses cinq mesures cyber préventives prioritaires (17/05/2023), l'ANSSI, l'autorité nationale chargée de la sécurité des systèmes d'information, en cite trois qui forment l'ossature d'un plan de continuité :

« établir une liste priorisée des services numériques critiques de l'entité » ;
« sauvegarder hors-ligne les données et les applications critiques » ;
« s'assurer de l'existence d'un dispositif de gestion de crise adapté à une cyberattaque ».

L'ANSSI publie aussi des guides sur la gestion de crise cyber, son exercice et la communication de crise, listés sur MesServicesCyber (relevé le 15/11/2026).

Étape 1 : la liste priorisée des services critiques

Service	Ce qui s'arrête sans lui	Délai acceptable sans service	Mode dégradé	Responsable
Messagerie	Échanges clients	À fixer avec le client	Téléphone, liste de contacts imprimée	Infogérant
Logiciel de facturation	Émission des factures	À fixer	Facturation reportée, modèle hors ligne	Comptable
Fichiers partagés	Accès aux dossiers	À fixer	Copie locale des documents du jour	Infogérant
Assistant IA	Réponses rapides aux questions internes ou clients	À fixer	Fiches imprimées, renvoi vers un humain	Infogérant et client

Le délai acceptable n'est pas technique : c'est le dirigeant qui le fixe. Votre rôle est de dire ce que coûte chaque délai.

Étape 2 : les sauvegardes, testées

Chaque service critique a sa sauvegarde, avec au moins une copie hors ligne, et un test de restauration daté. Le détail est dans la politique de sauvegarde.

Étape 3 : les premiers gestes en cas d'incident

La règle 40 du guide d'hygiène informatique de l'ANSSI, « Définir une procédure de gestion des incidents de sécurité », donne les réflexes à écrire dans le plan :

Repérer les signes : connexion impossible, activité inhabituelle, fichiers créés ou supprimés sans autorisation, alertes répétées de l'antivirus.
Déconnecter la machine du réseau pour stopper l'attaque.
La laisser sous tension, sans la redémarrer, pour ne pas perdre d'informations utiles à l'analyse.
Prévenir la hiérarchie et le référent en sécurité.
Faire appel si besoin à un prestataire de réponse aux incidents.
Consigner l'incident dans un registre centralisé ; une plainte peut être déposée.

Ces gestes doivent être connus des salariés : affichez-les, et rappelez-les dans l'assistant helpdesk interne si le client en a un.

Étape 4 : qui décide, qui prévient

Écrivez les noms et numéros : le dirigeant, le référent sécurité (règle 39 du guide d'hygiène), l'infogérant, les éditeurs des services critiques, l'assureur si le client a une assurance cyber. Imprimez la page : pendant une attaque, la messagerie peut être indisponible.

Ce que l'assistant IA du client change

La recommandation R15 du guide de l'ANSSI pour les systèmes d'IA générative (29/04/2024) est directe : « Prévoir un mode dégradé des services métier sans système d'IA ». Pour un assistant chez un client, cela veut dire :

Si l'assistant est indisponible (panne de l'éditeur, coupure Internet) : les salariés savent où trouver les fiches de procédure sans lui, et qui appeler. Si l'assistant répond aux clients du client, un message d'attente et un contact humain sont prévus.
Si l'assistant est suspect (réponses anormales, document inconnu ajouté, connexion d'administration inhabituelle) : vous savez comment le couper, qui prévenir chez l'éditeur, et quels journaux consulter.
Pour le remettre en route : les documents sources et les réglages sont sauvegardés, et vous savez reconstruire la base.

Le délai d'alerte de l'éditeur, son contact pendant un incident et ses engagements de disponibilité se demandent avant de choisir l'outil : voir le questionnaire de sécurité.

Étape 5 : tester le plan

Une fois par an, simulez une panne, celle de l'assistant comprise. Mesurez le temps réel de reprise, notez ce qui manquait, corrigez. Le guide d'hygiène recommande au niveau renforcé un exercice de restauration annuel ; l'ANSSI publie aussi un guide pour organiser un exercice de gestion de crise cyber.

Points à vérifier

La liste des services critiques est validée par le dirigeant.
Chaque service a un mode dégradé écrit, assistant IA compris.
Les premiers gestes sont affichés.
Les contacts d'urgence existent sur papier.
Le dernier test a une date.