L'entreprise dispose-t-elle d'un plan de continuité d'activité en cas de perturbation grave ?

La continuité de l'activité comme mesure isolée au titre de l'article 21, paragraphe 2

Cette question porte sur la gestion de la continuité de l'activité : l'entreprise dispose-t-elle d'un plan pour poursuivre ses opérations si un incident perturbe le fonctionnement normal. Il s'agit de l'une des dix mesures que cite l'article 21, paragraphe 2, de la directive NIS2, aux côtés notamment de l'analyse des risques, du traitement des incidents et de la politique d'accès. Le libellé de ce paragraphe mentionne explicitement la gestion des sauvegardes, la reprise après sinistre et la gestion de crise comme éléments de ce thème — il ne s'agit donc pas seulement d'un plan écrit, mais d'un ensemble cohérent de dispositions de rétablissement.

Une réponse entièrement affirmative suppose plus qu'une déclaration d'intention. Les demandeurs s'attendent généralement à ce qu'il existe un plan de continuité, qu'il ait été testé ou exercé, et qu'il contienne des éléments concrets : un site ou une infrastructure de secours, une stratégie de sauvegarde avec des points de récupération, et une organisation de crise avec des rôles et des chaînes d'escalade. Si l'un de ces éléments manque, « à déterminer » ou « partiel » est souvent une réponse plus honnête qu'un « oui » complet — d'autant plus que nombre de portails clients posent des questions de suivi en demandant de joindre le plan ou un résumé de celui-ci.

Ce qui est demandé comme preuve

La justification découle directement de l'article 21, paragraphe 2, point c), de la directive (UE) 2022/2555 : la continuité de l'activité, telle que la gestion des sauvegardes et la reprise après sinistre, ainsi que la gestion de crise. Il s'agit de l'une des dix mesures concrètes que la directive énumère comme faisant partie de la gestion des risques que les entités doivent mettre en œuvre. Celui qui justifie sa réponse le fait généralement par le plan de continuité lui-même, un rapport de test du dernier exercice, ou un aperçu des dispositions de sauvegarde et de secours. Cela correspond à la façon dont le secteur d'activité de l'entreprise influence ce qu'un demandeur considère comme « suffisant » : un secteur critique reçoit souvent des questions de suivi plus strictes qu'une entreprise qui livre seulement occasionnellement à des clients plus importants. La question relative à le nombre de salariés de l'entreprise joue également un rôle ici, car la taille de l'organisation pèse sur ce qu'un plan de continuité réaliste implique — une entreprise unipersonnelle avec un prestataire d'hébergement externe n'a pas les mêmes besoins de secours qu'une entreprise disposant de son propre parc serveur.