Une famille de plans, pas un document unique
Six plans, six usages
NIST SP 800-34 propose la typologie la plus claire. Elle évite la confusion permanente entre PCA, PRA et plan de crise.
| Plan | Déclencheur | Public | Horizon |
|---|---|---|---|
| Plan d'urgence / évacuation | Alarme, danger immédiat | Tous les occupants du site | Minutes |
| Plan de gestion de crise | Décision d'activation | Cellule de crise | Heures à jours |
| Plan de continuité d'activité | Indisponibilité d'une ressource | Métiers concernés | Jours à semaines |
| Plan de reprise informatique | Indisponibilité technique | Équipes techniques | Heures à jours |
| Plan de réponse à incident cyber | Détection d'une compromission | SOC, CSIRT | Heures |
| Plan de communication de crise | Activation de la cellule | Communication, direction | Heures à semaines |
Ces plans se déclenchent souvent ensemble, mais jamais dans le même ordre ni au même rythme. Les fusionner dans un document unique garantit que personne ne trouvera ce qu'il cherche.
La règle de non-redondance
Chaque information ne figure qu'à un seul endroit. L'annuaire de crise, en particulier, ne doit exister qu'en un exemplaire, référencé par tous les plans.
La raison est pratique : une information dupliquée dans cinq plans est mise à jour dans deux d'entre eux. Les trois autres deviennent des pièges — et c'est précisément le numéro de téléphone obsolète qui sera composé le jour J.
La règle des trois profondeurs
Un plan efficace se lit à trois niveaux, selon le temps dont dispose le lecteur.
Niveau 1 — la carte réflexe. Une page recto-verso, dix actions maximum, utilisable dans les cinq premières minutes sans rien lire d'autre.
Niveau 2 — la procédure. Trois à six pages, actions détaillées, critères de décision, interfaces. Utilisable dans la première heure.
Niveau 3 — le référentiel. Annexes, cartographies, contrats, coordonnées, historique. Consulté par ceux qui préparent, pas par ceux qui agissent.
Ce qui ne doit pas figurer dans un plan
- La justification des choix : elle appartient au dossier de décision, pas au plan d'action.
- Le rappel réglementaire : il alourdit sans servir. Une référence suffit.
- Les organigrammes complets : seuls les rôles de crise et leurs suppléants sont utiles.
- Les scénarios détaillés : un plan doit fonctionner pour des scénarios qui n'ont pas été anticipés.
Un plan de continuité opérationnel pour une activité tient rarement au-delà de douze pages, annexes exclues.
À retenir
- Chaque plan a un déclencheur, un public et une durée de vie propres
- Le plan unique de 300 pages n'est jamais ouvert
- Une information ne figure que dans un seul plan