Logiciel d'exercice de crise et de test PCA : comparatif 2026 de 12 solutions

Un logiciel d'exercice de crise aide à préparer, animer et prouver les tests du PCA : exercices sur table (tabletop), simulations, tests techniques de PRA et exercices grandeur nature de la cellule de crise. Trois familles de produits répondent au besoin. Les logiciels PCA dotés d'un module d'exercices planifient le test, consignent le résultat et le relient à la BIA et aux plans. Les plateformes de simulation de crise font vivre l'exercice en direct, avec des injects, des médias simulés et des acteurs pilotés par l'IA. Les outils techniques automatisent les procédures de reprise informatique ou simulent des attaques.

Ce comparatif passe en revue 12 solutions et quatre outils voisins. Chaque information provient de la page de l'éditeur ou d'une source publique citée en fin d'article, consultée le 1er novembre 2026. Quand un éditeur ne publie pas une information (prix, hébergement), nous l'indiquons au lieu de l'estimer.

Transparence : cet article est publié par ResiPlan, qui figure dans la liste. Nous avons appliqué la même grille à tous, nous compris, et nous ne classons pas les solutions : le bon outil dépend de ce que vous devez tester, de qui participe et des obligations qui s'appliquent à vous.

L'essentiel en 30 secondes

• Un exercice PCA ne vaut que s'il boucle : les constats deviennent des actions correctives suivies, le plan est mis à jour, le test suivant vérifie la correction. L'article 24, paragraphe 5, de DORA demande aux entités financières de hiérarchiser, classer et résoudre tous les problèmes révélés par les tests.
• Les logiciels PCA (Fusion, Riskonnect, Everbridge, Preparis, Noggin, GlobalSuite, Continuity2, MAPSI, ResiPlan) se concentrent sur la planification, les preuves et le lien avec la BIA et les plans. Les plateformes dédiées (Conducttr, Exonaut, Immersive) se concentrent sur le réalisme pendant le jeu.
• Seules deux solutions de la liste principale publient un prix sur les pages consultées : Conducttr (licences annuelles d'équipe dès 11 950 £ hors taxes) et ResiPlan (dès 199 € HT par mois en annuel).
• L'hébergement est rarement indiqué : GlobalSuite et ResiPlan annoncent un hébergement européen ; Exonaut et Conducttr proposent une installation sur site.

Tableau comparatif des logiciels d'exercice de crise et de test PCA

« Non communiqué » signifie que nous n'avons pas trouvé l'information sur les pages de l'éditeur citées dans les Sources. « Non décrit » signifie que la page de l'éditeur ne présente pas la fonction ; elle peut exister.

Comment nous avons comparé

Nous avons retenu les critères qui distinguent un outil d'exercice d'un agenda partagé et d'une présentation :

1. Gamme d'exercices : des exercices de discussion (sur table, revue de plan) aux exercices opérationnels (simulation, exercice réel), techniques (test de PRA, bascule) et grandeur nature.
2. Animation en direct : bibliothèque de scénarios, injects minutés, canaux simulés, pilotage par l'animateur.
3. Bouclage : RETEX, constats transformés en actions correctives suivies, plan mis à jour, nouveau test.
4. Lien avec la BIA et les plans : quels plans l'exercice teste, et si les temps de reprise mesurés sont comparés aux objectifs fixés dans la BIA.
5. Transparence : prix publié, hébergement déclaré.

Le cadre réglementaire est le même pour tous. ISO 22301 traite des exercices et des tests dans sa clause 8.5. DORA (règlement (UE) 2022/2554) impose aux entités financières de tester leurs plans de continuité des activités de TIC et leurs plans de réponse et de rétablissement des TIC au moins une fois par an et en cas de modifications substantielles (article 11, paragraphe 6), de conduire un programme de tests de résilience opérationnelle numérique incluant des tests fondés sur des scénarios (articles 24 et 25) et, pour les entités identifiées par leur autorité compétente, des tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans (article 26). NIS2 (directive (UE) 2022/2555) cite à son article 21 la continuité des activités et la gestion des crises, ainsi que les procédures d'évaluation de l'efficacité des mesures, parmi les mesures minimales, sans fixer de fréquence de test.

Pour des scénarios prêts à l'emploi, voir nos 10 scénarios d'exercice de crise et notre exercice tabletop « blocage d'Hormuz ». Pour le marché des logiciels PCA dans son ensemble, voir notre comparatif des logiciels PCA.

Les logiciels PCA européens avec suivi des exercices

GlobalSuite

L'éditeur espagnol GlobalSuite présente des tests et exercices qui laissent une trace pour l'audit : on planifie les tests, on consigne les résultats et on conserve les preuves, avec trois catégories affichées (tests techniques, exercices sur table, exercices réels). BIA, plans, risques, tests et crises reposent sur les mêmes processus et actifs ; ISO 22301 et ISO 27031 sont préchargées, ainsi que les exigences de DORA. La page mentionne aussi des scénarios de crise préconfigurés. Le centre de confiance de l'éditeur indique une architecture répartie dans des régions situées dans l'espace européen. Prix non publié.

Continuity2

Continuity2 (bureaux à Glasgow, Dubaï et New York) planifie les exercices selon votre politique ou vos indicateurs, propose des exercices par défaut ou des scénarios construits à partir des données du système (perte de systèmes, de fournisseurs, de sites, de ressources), invite les participants par courriel et recueille les retours via des formulaires configurables. L'analyse post-exercice consigne observations, recommandations et actions. L'éditeur indique que les rapports, avec leurs actions d'amélioration, sont générés en 20 minutes après l'exercice, diffusés pour validation et conservés pour l'audit, avec un suivi des actions correctives. Prix et hébergement non publiés.

MAPSI

MAPSI, édité par OLING (Issy-les-Moulineaux), documente les exercices, leurs résultats, les écarts et les plans d'actions, reliés aux risques, scénarios, plans PCA et PRA qu'ils testent, et conserve les preuves d'exécution pour les revues. La page ne décrit pas d'animation en direct (injects, chronogramme). Prix et hébergement non indiqués.

ResiPlan

ResiPlan, édité par une société belge, intègre l'exercice au modèle de continuité au lieu d'en faire un outil à part :

• Huit types d'exercices : exercice sur table, revue pas à pas, simulation, exercice d'entraînement, test parallèle, test technique de reprise, exercice grandeur nature et exercice terrain, les plans testés étant rattachés à l'exercice.

• Modèles : des modèles d'exercice bilingues (français, anglais) avec objectifs, injects minutés et grille d'évaluation ; vos propres exercices peuvent devenir des modèles. Un assistant IA peut rédiger un premier jet du scénario et des objectifs à partir de votre secteur, de vos processus critiques et de vos principaux risques, que vous modifiez avant d'enregistrer.

• Salle de pilotage de l'exercice : cadrage, chronogramme des injects, main courante, grille d'évaluation de 0 à 3 et RETEX, avec un dossier d'animation et un rapport de RETEX exportés en PDF.

• Bouclage : les constats deviennent des actions correctives suivies dans le module Actions ; la clôture de l'exercice met à jour la date et le résultat du dernier test des plans concernés ; les RTO et RPO mesurés sont comparés aux objectifs de la BIA, et les plans jamais testés sont signalés.

• Crisis Gaming, inclus dans toutes les formules : parties en solo ou exercice sur table animé, sur une horloge partagée (du temps réel jusqu'à ×8), avec des décisions qui ont des conséquences ; le débriefing inscrit le score, l'évaluation et les constats dans la même fiche d'exercice.

• Vue programme : une recommandation du niveau d'exercice suivant, de la discussion à l'activation complète, selon l'historique noté, et un calendrier des tests avec rappels dans l'application.

• Prix : dès 199 € HT par mois en facturation annuelle (formule Essentials, jusqu'à 10 utilisateurs) ; essai gratuit de 7 jours sans carte bancaire.

• Hébergement : base de données en Irlande (déploiement européen de Convex sur AWS), serveurs web chez OVHcloud en France.

• À savoir : les injects arrivent sous forme de messages identifiés par leur source (presse, régulateur, SOC) ; il n'y a pas de fil de réseaux sociaux simulé ni de bureau virtuel comme sur les plateformes de simulation dédiées. Un logiciel structure et trace l'exercice ; il ne remplace pas l'animateur.

Détail des modules : logiciel PCA ResiPlan.

Les suites internationales pour grands comptes

Fusion

Fusion (siège à Chicago) présente son logiciel de continuité comme conçu pour les organisations complexes et régulées. Les plans y sont testés par des exercices, des revues de plan, des tests de scénarios et des rapports de préparation ; les exercices sont reliés aux données de BIA, de risques, de reprise, d'applications, de fournisseurs, de sites et de plans, avec le suivi des remédiations et des problèmes dans le même outil. Deux produits lancés le 31 juillet 2024 complètent l'ensemble : Scenario Simulation and Intelligence, qui fait tourner des milliers de variantes d'un scénario sur les plans à partir d'une bibliothèque d'événements générée par IA et vise à rendre les exercices sur table plus productifs, et Enterprise Exercise Management, qui orchestre les grands programmes de tests de la préparation à l'analyse post-exercice. Le centre de confiance de Fusion présente la plateforme comme gérée sur Salesforce. Prix non publiés ; une visite guidée du produit est proposée. ResiPlan et Fusion comparés.

Riskonnect

Riskonnect (siège à Atlanta) permet de lancer des simulations par scénarios à partir de données de renseignement sur les menaces pour éprouver les plans, et cite des tests de résilience pour valider les plans avant d'en avoir besoin. Sa page annonce un alignement ISO 22301 incluant actions correctives et revues de direction, ainsi qu'un agent IA (Business Resilience Agent) qui recommande des actions correctives pour les plans fragiles. BIA et plans de continuité dynamiques sont dans le même produit. La page ne décrit ni animation d'exercice sur table ni injects. Le prix dépend de la taille et de la complexité du projet ; l'hébergement n'est pas précisé. L'ancien site de Castellan redirige désormais vers Riskonnect. ResiPlan et Riskonnect comparés.

Everbridge BC in the Cloud

BC in the Cloud, désormais présenté comme « BC in the Cloud with Everbridge 360 AI », permet de conduire des exercices sur table, des revues post-exercice et des comparaisons (benchmarking), et d'automatiser des exercices métier, technologie, fournisseur ou site suivis de bout en bout, axes d'amélioration compris. Ses pages citent aussi des rapports post-exercice détaillés, des analyses de réponse et des tableaux de bord. Ni prix ni hébergement sur les pages produit consultées. ResiPlan et Everbridge comparés.

Mitratech Preparis

Exercise Manager est inclus dans Preparis Incident Manager ; Mitratech a racheté Preparis en octobre 2024. On planifie les exercices au même endroit, on charge des modèles de scénarios prédéfinis ou on rédige les siens, puis on lance le scénario dans Incident Manager en mode exercice. Enseignements, synthèse pour la direction et problèmes sont saisis dans l'outil, qui produit des rapports d'exercice, d'incident et de suivi des problèmes prêts pour l'audit ; les plans peuvent être ajoutés à la feuille de route des exercices. Prix et hébergement non publiés.

Noggin

Noggin (siège à Sydney, racheté par Motorola Solutions en 2024) fournit avec son produit Continuity un module d'exercices et de tests : gestion des exercices, test des plans de réponse et des stratégies de reprise, revue post-exercice, enseignements et actions d'amélioration. La page du module ne détaille ni types d'exercices, ni bibliothèque de scénarios, ni injects. Prix et hébergement non indiqués sur cette page. ResiPlan et Noggin comparés.

Les plateformes dédiées à l'exercice et à la simulation de crise

Conducttr

Conducttr vend un logiciel d'exercice de crise aux entreprises, consultants, organisations humanitaires et acteurs de la défense et de la sécurité. Les joueurs évoluent dans un bureau virtuel doté d'une messagerie, d'un microblog et d'une veille des réseaux sociaux simulés, en présentiel, à distance ou les deux. Les exercices sont construits dans un éditeur avec un assistant IA, LISA ; Conducttr Worlds est une bibliothèque d'exercices prêts à jouer. Le site évoque des rapports centralisés et des analyses en temps réel ; une boîte à outils d'évaluation est vendue en option. C'est la seule plateforme dédiée de la liste avec des prix publics : quatre licences annuelles d'équipe de 11 950 £ à 25 725 £, hors taxes, avec un engagement minimum d'un an. La région d'hébergement n'est pas indiquée ; une version sur site, Conducttr Local, est proposée aux acteurs de la défense et de la sécurité. Le site est édité par Transmedia Storyteller Ltd et indique une certification ISO/IEC 27001.

4C Strategies Exonaut

4C Strategies, fondée à Lund (Suède) en 2000 et dont le siège est à Stockholm, commercialise la plateforme Exonaut, utilisée pour l'entraînement des forces armées (l'OTAN figure parmi ses utilisateurs) et proposée aussi comme logiciel de résilience pour le secteur public et les entreprises. Son module Training & Exercise Manager coordonne les personnes, la logistique et le calendrier, construit des scénarios adaptatifs avec l'aide de l'IA, crée des injects comme une évolution réglementaire ou des médias simulés, permet aux évaluateurs de noter la performance en temps réel sur mobile, et organise des retours d'expérience structurés (After Action Reviews) pour que les enseignements soient priorisés et traités. Exercices et scénarios sont conservés dans une bibliothèque centrale. Déploiement en cloud ou sur site ; prix non publiés.

Immersive Crisis Simulations

Immersive (fondée en 2017 à Bristol, au Royaume-Uni, avec un bureau à Boston) propose des simulations de crise dans sa plateforme Immersive One, destinées aux dirigeants, aux responsables d'incident et aux équipes transverses confrontés à une crise cyber. Un générateur fondé sur l'IA construit la simulation à partir de vos systèmes, procédures et risques ; pendant le jeu, des injects dynamiques aux conséquences immédiates et des acteurs IA que l'on peut interroger font évoluer le scénario. Les rapports transforment la performance en preuves : faiblesses de décision, respect des procédures, niveau de préparation. La page ne décrit pas de lien avec une BIA ou des plans de continuité. Prix et hébergement non publiés.

Outils voisins : utiles, mais pas des logiciels d'exercice PCA

• Filigran OpenAEV (Filigran, start-up parisienne) est une plateforme open source de validation de l'exposition aux attaques (simulation d'attaques référencée sur MITRE ATT&CK) qui anime aussi des exercices de crise sur table avec des injects par courriel et SMS ; sa bibliothèque contient par exemple un exercice sur un rançongiciel Akira. L'édition Community est gratuite et s'installe sur site ; l'édition Enterprise fonctionne sur site ou en SaaS.
• INJECT, développé par l'université Masaryk (République tchèque) avec l'agence nationale de cybersécurité NÚKIB comme partenaire, est une plateforme open source (licence MIT) d'exercices cyber sur table : injects sur plusieurs canaux, injects automatiques par courriel, réactions aux décisions des participants. Elle s'héberge en interne.
• Exercise in a Box du NCSC (centre national de cybersécurité britannique) est une ressource en ligne gratuite, en anglais, qui propose des micro-exercices et des exercices de discussion sur table face à un incident cyber, jusqu'à l'identification des actions post-exercice.
• Cutover est une plateforme de procédures (runbooks) automatisées pour les tests de PRA : modèles de procédures centralisés, statistiques en temps réel sur la date et le succès du dernier test de chaque procédure, journaux d'audit immuables. Elle teste la reprise informatique, pas la cellule de crise.

Si votre besoin se limite à la reprise informatique, notre guide du plan de reprise d'activité et notre article RTO vs RPO aident à fixer les objectifs qu'un test doit mesurer.

Comment choisir votre logiciel d'exercice de crise

• Premier exercice sur table, petite équipe : les modèles et un RETEX structuré comptent plus que le réalisme de la simulation. Partez d'un scénario, désignez les rôles de la cellule de crise et donnez à chaque constat un responsable et une échéance.
• Démarche ISO 22301 : privilégiez un outil où exercice, constats, actions correctives et mise à jour du plan forment une seule chaîne. Demandez à chaque éditeur de montrer un constat devenir une action suivie, et la date du dernier test du plan changer.
• Entité financière soumise à DORA : il vous faut des tests annuels des plans de continuité et de reprise des TIC, un programme de tests et une procédure pour corriger ce que les tests révèlent ; notre guide DORA couvre le reste. Le TLPT est un test spécialisé distinct, mené sur les systèmes de production par des testeurs, pas dans un outil d'exercice.
• Entraînement des dirigeants à la crise cyber : les plateformes dédiées (Conducttr, Exonaut, Immersive) apportent médias simulés et acteurs IA. Vérifiez comment leurs résultats reviennent dans vos plans et vos actions correctives.
• Tests techniques de PRA : automatisation des procédures (comme Cutover) ou type « test technique de PRA » de votre logiciel PCA. Consignez les RTO et RPO atteints face à l'objectif, pas seulement « test réussi ».
• Défense, administrations ou réseaux isolés : Exonaut et Conducttr Local proposent un déploiement sur site.

FAQ

Qu'est-ce qu'un logiciel d'exercice de crise ?

C'est un logiciel qui prépare, anime et prouve les tests des plans de continuité, de reprise et de gestion de crise. Selon le produit, il couvre la planification, la bibliothèque de scénarios, les injects minutés pendant l'exercice, les grilles d'évaluation, le RETEX et le suivi des actions correctives jusqu'à la correction du plan.

Quelle différence entre exercice sur table, simulation et test de PRA ?

Un exercice sur table (tabletop) est une discussion animée autour d'un scénario, sans toucher aux systèmes. Une simulation joue le scénario en conditions proches du réel, avec des injects qui arrivent au fil du temps et des décisions prises sous pression. Un test de PRA restaure ou bascule réellement des systèmes informatiques et mesure le temps de reprise et la perte de données face aux objectifs.

À quelle fréquence faut-il tester un PCA ?

ISO 22301 exige un programme d'exercices (clause 8.5) et laisse la fréquence à l'organisation. DORA impose aux entités financières de tester leurs plans de continuité des activités de TIC et leurs plans de réponse et de rétablissement des TIC au moins une fois par an, ainsi qu'en cas de modification substantielle des systèmes qui soutiennent des fonctions critiques ou importantes. L'article 21 de NIS2 impose des mesures de continuité et de gestion de crise et des procédures pour en évaluer l'efficacité, sans fixer de fréquence.

Peut-on automatiser les tests PCA avec un logiciel ?

En partie. Un logiciel peut planifier les exercices, rédiger un premier jet de scénario avec l'IA, diffuser les injects selon un chronogramme, noter les décisions sur une grille d'évaluation, produire le RETEX et suivre les actions correctives. Les étapes de reprise informatique peuvent être orchestrées par des outils de procédures. Les décisions prises pendant l'exercice et le jugement des évaluateurs restent humains.

DORA impose-t-il des tests TLPT à toutes les entités financières ?

Non. L'article 26 de DORA impose un test de pénétration fondé sur la menace au moins tous les trois ans aux seules entités financières identifiées par leur autorité compétente. Le TLPT porte sur des fonctions critiques ou importantes, sur les systèmes de production. Il complète les tests annuels des plans de continuité et de reprise, sans les remplacer.

Combien coûte un logiciel d'exercice de crise ?

La plupart des éditeurs ne publient pas leurs prix. Prix publics relevés le 1er novembre 2026 : licences annuelles d'équipe Conducttr dès 11 950 £ hors taxes, et ResiPlan dès 199 € HT par mois en facturation annuelle, exercices et Crisis Gaming inclus. Pour les exercices cyber sur table, il existe des options gratuites : Exercise in a Box du NCSC, INJECT et l'édition Community d'OpenAEV.

Sources

Pages consultées le 1er novembre 2026.

• GlobalSuite : globalsuitesolutions.com/business-continuity ; présentation de l'infrastructure dans le centre de confiance (help.globalsuitesolutions.com) ; globalsuitesolutions.com/company ; communiqué du 12 avril 2023
• Continuity2 : continuity2.com ; continuity2.com/business-continuity-management-software/exercise-testing
• MAPSI : mapsi.fr/fr/logiciel-pca-pra
• Fusion : fusionrm.com/offerings/business-continuity-management ; fusionrm.com/platform/scenario-simulation-intelligence ; communiqué du 31 juillet 2024 (Scenario Simulation and Intelligence, Enterprise Exercise Management) ; fusionrm.com/contact-us ; trust.fusionrm.com
• Riskonnect : riskonnect.com/business-continuity-software ; riskonnect.com/contact-us ; castellanbc.com (redirige vers riskonnect.com/castellan-riskonnect)
• Everbridge : everbridge.com/bcic ; everbridge.com/bcic-resilience ; salle de presse Everbridge (communiqué sur les bureaux de Burlington, Massachusetts)
• Mitratech : mitratech.com/products/preparis ; articles du blog Mitratech « Introducing Exercise Manager » et « Exercising Your Plans with Exercise Manager » ; article « Mitratech Completes 16th Buyout »
• Noggin : noggin.io/library/business-continuity/exercises-and-testing ; communiqué de rachat par Motorola Solutions (juillet 2024, repris par SecurityInfoWatch)
• Conducttr : conducttr.com ; conducttr.com/pricing ; conducttr.com/security
• 4C Strategies : 4cstrategies.com/solutions/resilience-software/training-exercise-manager ; 4cstrategies.com/about-4c
• Immersive : immersivelabs.com/products/crisis-sim ; immersivelabs.com ; immersivelabs.com/our-story
• Filigran : filigran.io/platforms/openaev ; hub.filigran.io (scénario d'exercice sur table « Akira Ransomware Crisis ») ; TechCrunch, 27 octobre 2024
• INJECT : inject.muni.cz
• NCSC : ncsc.gov.uk/section/exercise-in-a-box/overview
• Cutover : cutover.com/content-hub/it-disaster-recovery-testing
• Règlement (UE) 2022/2554 (DORA), articles 11, 24, 25 et 26, et directive (UE) 2022/2555 (NIS2), article 21 : textes officiels sur EUR-Lex
• ISO 22301:2019, clause 8.5 (citée par son numéro ; le texte de la norme n'est pas reproduit)
• ResiPlan : produit et tarifs au 1er novembre 2026

Une information a changé ou vous êtes éditeur et souhaitez une correction ? Écrivez-nous via la page contact.