Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 248

D

O

C

T

R

I

N

E

CONTRATS INFORMATIQUES

Plans de continuité d'activité
et reprise après désastre
La pandémie de Covid-19 et les mesures mises en
place dans le cadre de l'état d'urgence sanitaire
rappellent la nécessité pour les entreprises
d'anticiper et de gérer contractuellement les
événements graves, en mettant en place des plans
de continuité d'activité et/ou de reprise après
désastre.

D

epuis plusieurs années,
les événements graves
(catastrophes naturelles,
attaques
terroristes,
sinistres, etc.) et la multiplication
des cyberattaques ont mis en
évidence la nécessité pour les
entreprises de mettre en place
des plans de continuité d'activité
(« PCA », ou « Business Continuity
Plan » en anglais) et/ou de reprise
après désastre (ou «  Disaster
Recovery Plan  » en anglais). La
pandémie de Covid-19 et les
mesures mises en place dans le
cadre de l'état d'urgence sanitaire
rappellent la nécessité pour les
entreprises de mettre en place de
tels plans, par anticipation, et de
les tester régulièrement.

Pour certaines industries, la mise
en place d'un Plan de continuité d'activité est une obligation
légale, comme par exemple pour
les établissements bancaires et
financiers, en vertu de l'arrêté du
3 novembre 2014 relatif au contrôle
interne des entreprises du secteur
de la banque, des services de
paiement et des services d'investissement soumises au contrôle de
l'Autorité de contrôle prudentiel et
de résolution. Ainsi, selon l'article

248

215 de ce texte, «  les entreprises
assujetties  : (a) Disposent de plans
d'urgence et de poursuite de l'activité ; (b) S'assurent que leur organisation et la disponibilité de leurs
ressources humaines, immobilières, techniques et financières
font l'objet d'une appréciation
régulière au regard des risques
liés à la continuité de l'activité ; (c)
S'assurent de la cohérence et de
l'efficacité des plans de continuité de l'activité dans le cadre d'un
plan global défini par l'organe de
surveillance et mis en œuvre par les
dirigeants effectifs ».
La
loi
n°
2018-133
du
26 février 2018 portant diverses
dispositions d'adaptation au droit
de l'Union  européenne dans le
domaine de la sécurité impose
également aux « opérateurs, publics
ou privés, offrant des services
essentiels au fonctionnement de la
société ou de l'économie » de mettre
en place des mesures appropriées
permettant « d'assurer la continuité
de ces services essentiels ».
Le code de la défense contient
également
des
dispositions
relatives aux plans de sécurité devant être mis en place
EXPERTISES Juin 2020

par les opérateurs d'importance
vitale comportant notamment
des mesures de réactions aux
menaces (articles R1332-1 et
suivants).
Pour d'autres industries, au-delà
d'une bonne pratique, la mise en
place d'un PCA apparaît nécessaire
à la continuité de l'activité de
l'entreprise en temps de crise. Un
PCA rassemble l'ensemble des
mesures, selon divers scénarios de
crise, permettant à une entreprise
de réduire les perturbations subies
en cas d'événement grave. Ces
mesures sont notamment destinées
à permettre la poursuite de l'activité
ainsi que la sauvegarde, la sécurité,
l'intégrité et la confidentialité des
données.
Dans le cadre de ses relations avec
ses prestataires et notamment dès
lors que l'activité d'une entreprise
en dépend, il est indispensable
d'assurer la continuité d'activité dans l'hypothèse où des
évènements graves empêcheraient
le prestataire d'exécuter normalement ses prestations. C'est par
exemple le cas lorsqu'une entreprise
confie ses données à un prestataire
ou externalise une partie de son
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
