- Objet
- plan de continuité d’activité (plan d’urgence)
- Finalité
- maintenir l’activité en cas de perturbation
- Contenu
- processus critiques, rôles, redémarrage
- Voisins
- BCMS, DRP
- Mise à jour
- juin 2026
- Rédaction
- Compliance Compass
Qu’est-ce qu’un BCP ?
Le Plan de continuité d’activité est le cœur opérationnel de la préparation aux urgences : un scénario concret et documenté qui dit comment une entreprise poursuit ses processus essentiels même en cas de perturbation majeure — cyberattaque, coupure de courant, panne d’un centre de données ou défaillance d’un fournisseur clé. Là où la Continuité d’activité décrit l’objectif supérieur, le BCP le traduit en consignes tangibles : qui fait quoi et dans quel ordre, sur quelles solutions de repli on bascule et comment on communique, jusqu’au retour au fonctionnement normal.
Ce que contient un BCP
Un BCP solide s’appuie sur une analyse d’impact sur l’activité menée en amont et comporte en général les éléments suivants :
- Liste des processus critiques et de leurs dépendances
- Durées d’interruption maximales tolérables, processus par processus
- Rôles, responsables et voies de communication d’urgence
- Ordre de repli et de redémarrage, avec des mesures immédiates concrètes
Exemple : chez un fournisseur d’énergie régional, le système central de facturation tombe après une cyberattaque. Le BCP prend effet aussitôt : le centre d’appels bascule sur des procédures manuelles prédéfinies, un coordinateur d’urgence désigné hiérarchise le rétablissement, et les modèles de communication destinés aux clients et à l’autorité compétente sont prêts à l’emploi. Le fournisseur reste ainsi capable d’agir, au lieu d’improviser dans le désordre. En France, le signalement d’un tel incident va aujourd’hui au CERT-FR.
BCP, DRP et BCMS
Le BCP fait partie d’un ensemble plus vaste : le BCMS pilote la préparation aux urgences à un niveau supérieur et tient les plans à jour ; le DRP s’occupe spécifiquement du Rétablissement technique du système d’information. Le BCP est donc plus large que le DRP, mais plus concret que le BCMS.
Le BCP et NIS2
La directive NIS2 exige des mesures de maintien de l’activité et de gestion de crise. Un BCP testé et régulièrement joué en est le cœur pratique — et une preuve importante si l’autorité de contrôle examine la résilience. Sur les sanctions, l’article 34 fixe des plafonds minimaux : au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles ; les États membres peuvent prévoir des montants supérieurs. En France, ces règles ne sont pas encore opposables : la loi de transposition n’est pas promulguée.
Pour aller plus loin : ISO 22301 — norme internationale du management de la continuité d’activité
Questions fréquentes
Qu’est-ce qu’un plan de continuité d’activité ?
Un plan de continuité d’activité (BCP) est un plan d’urgence concret et documenté qui maintient les processus critiques même en cas de perturbation : cyberattaque, coupure de courant, panne d’un centre de données. Il fixe qui fait quoi et dans quel ordre, sur quelles solutions de repli on bascule et comment on communique, jusqu’au retour au fonctionnement normal. Il s’appuie pour cela sur une analyse d’impact des processus les plus importants, menée en amont.
Quelle différence entre BCP et DRP ?
Le BCP (plan de continuité d’activité) sécurise l’ensemble de l’activité, personnel, sites et processus compris, tandis que le DRP (plan de reprise d’activité) règle spécifiquement le rétablissement technique des systèmes et des données. Le DRP est donc un volet à l’intérieur de la planification de continuité, plus large. Le BCP est ainsi plus vaste que le DRP, mais plus concret que le BCMS qui les chapeaute.
Faut-il un BCP pour NIS2 ?
La directive NIS2 exige des mesures de maintien de l’activité et de gestion de crise, mais ne cite aucun BCP nommément. En pratique, un plan de continuité d’activité testé reste la façon courante et démontrable de remplir ces obligations. Sur les sanctions, l’article 34 fixe des plafonds minimaux : au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles ; les États membres peuvent prévoir des montants supérieurs. En France, ces règles ne sont pas encore opposables, faute de loi de transposition promulguée.