PCA communal : guide de la continuité des services

Une commune ne gère pas seulement les crises qui frappent sa population. Elle doit aussi continuer à servir ses habitants quand elle est elle-même touchée : cyberattaque, panne informatique, bâtiment inaccessible, absence d'une partie du personnel, défaillance d'un fournisseur. C'est l'objet du plan de continuité d'activité (PCA) des services communaux.

Ce guide en présente les étapes. Il ne remplace pas un modèle officiel : nous n'avons trouvé aucun modèle public belge de PCA ou d'analyse d'impact destiné aux communes.

PGUI et PCA : deux plans complémentaires

Le PGUI organise la protection de la population face à une situation d'urgence sur le territoire. Le PCA organise le maintien des services de l'administration communale et du CPAS lorsque leurs propres moyens sont touchés.

Les deux se rejoignent. Pendant une crise, la commune doit fonctionner pour la gérer : centre de crise, communication, accueil des personnes évacuées. L'arrêté royal du 22 mai 2019 demande d'ailleurs à l'autorité d'estimer les retombées socio-économiques de ses décisions et de préparer le rétablissement. Et pour les entités soumises à NIS2, la loi du 26 avril 2024 range la continuité des activités, la gestion des sauvegardes, la reprise et la gestion de crise parmi les mesures minimales de cybersécurité.

Identifier les services critiques

Un service est critique si son arrêt cause vite un dommage grave : à une personne, au respect d'un délai légal, aux finances ou à la confiance des habitants. Dans une commune, la liste comprend souvent :

État civil et population : déclarations de naissance et de décès, documents d'identité, registres.
Paiement des salaires du personnel de la commune et du CPAS.
CPAS : aide sociale urgente, versement des aides, services aux personnes âgées ou isolées.
Voirie et travaux : sécurité des routes, signalisation, interventions urgentes sur le domaine public.
Accueil physique et téléphonique, qui oriente les habitants et relaie l'information.
Fonctions support dont tout le reste dépend : informatique, téléphonie, bâtiments, finances.

Chaque commune adapte cette liste à ses compétences : écoles, crèches, maisons de repos, cimetières, eau ou déchets lorsqu'elle les gère elle-même.

Mener l'analyse d'impact (BIA)

L'analyse d'impact sur l'activité, ou BIA (business impact analysis), répond à une question simple : que se passe-t-il si ce service s'arrête une heure, un jour, une semaine ? Elle se mène avec les chefs de service, pas seulement avec l'informatique.

Pour chaque activité, on note :

les impacts dans le temps : humains, juridiques, financiers, sociaux, d'image ;
la durée maximale d'interruption acceptable, au-delà de laquelle les dommages deviennent inacceptables ;
le RTO (recovery time objective), délai visé pour reprendre l'activité, plus court que cette durée maximale ;
le RPO (recovery point objective), quantité maximale de données que l'on accepte de perdre, exprimée en temps : par exemple, les saisies des quatre dernières heures ;
le niveau de service minimal à assurer en mode dégradé ;
les dépendances : personnes et compétences, applications, données, locaux, équipements, fournisseurs.

Le résultat est une liste d'activités classées par priorité, avec leurs délais de reprise. Elle sert ensuite de base au plan informatique, aux contrats et aux exercices.

Choisir les stratégies de continuité

Pour chaque dépendance critique, la commune prévoit une solution de repli :

Locaux : un site de repli choisi à l'avance (autre bâtiment communal, bâtiment du CPAS, accord avec une commune voisine), équipé pour y travailler.
Personnes : suppléants désignés, polyvalence entre agents, procédures écrites pour qu'un collègue puisse reprendre une tâche.
Mode dégradé : formulaires papier, registres temporaires, listes de contacts imprimées, pour tenir quelques jours sans informatique.
Fournisseurs critiques : éditeurs de logiciels, hébergeurs, prestataire informatique ou intercommunale, secrétariat social, télécoms, énergie. Le contrat précise les délais de reprise, les sauvegardes, la restitution des données et un contact joignable en crise.

Le plan de reprise informatique

Le plan de reprise informatique (PRI) décrit comment remettre en service les applications et les données, dans l'ordre fixé par la BIA. Il comprend :

l'inventaire des applications et des données, avec leurs responsables, y compris celles hébergées chez un fournisseur ;
des sauvegardes régulières, dont au moins une copie isolée du réseau, qu'un attaquant ne peut ni chiffrer ni effacer ;
des tests de restauration réels, et pas seulement le contrôle que la sauvegarde s'est exécutée ;
l'ordre de redémarrage, les délais visés (RTO, RPO) et les personnes à mobiliser ;
les accès d'urgence (comptes administrateur, clés) conservés hors du système principal.

Se préparer à un incident cyber

Une cyberattaque peut couper en même temps la messagerie, les fichiers et la téléphonie. La réponse se prépare à froid :

une procédure d'escalade : qui constate, qui décide d'isoler les systèmes, qui prévient la direction et le collège ;
les contacts extérieurs : prestataire informatique, assureur, conseiller en sécurité de l'information, délégué à la protection des données ;
les notifications : violation de données personnelles au titre du RGPD et, pour les entités soumises à NIS2, une alerte précoce au CSIRT national dans les 24 heures, puis une notification dans les 72 heures ;
le soutien régional : en Flandre, le Vlaams Centrum voor Digitale Veiligheid assiste les pouvoirs locaux lors d'incidents ; en Wallonie, l'UVCW mentionne une Cyber Response Team wallonne créée par l'Agence du Numérique avec le CCB pour assister notamment les autorités publiques.

Pour savoir si votre commune est concernée par NIS2, voir notre guide NIS2 et pouvoirs locaux.

Organiser la communication de crise

La communication de crise, interne et externe, fait partie du plan. Il faut savoir comment joindre le personnel quand la messagerie est hors service, qui parle au nom de la commune et par quels canaux informer les habitants : site web, réseaux sociaux, affichage, guichets. Des messages types rédigés à l'avance font gagner un temps précieux. Si une phase du PGUI est déclenchée, cette communication s'aligne sur la discipline 5.

Tester et faire vivre le plan

Un PCA jamais exercé reste théorique. Quelques pratiques simples :

un exercice sur table par an, par exemple sur un scénario de cyberattaque ;
un test de restauration sur une application critique ;
un test du site de repli et de la chaîne d'appel ;
une mise à jour après chaque exercice, incident ou réorganisation.

ISO 22301 comme référence

La norme internationale ISO 22301 décrit un système de management de la continuité d'activité : contexte, engagement de la direction, analyse d'impact et des risques, stratégies, plans, exercices, évaluation et amélioration. Elle n'est pas imposée aux communes. Elle offre une structure utile pour construire et faire vivre un PCA, sans qu'il soit nécessaire de viser une reconnaissance formelle.

Checklist

La direction a désigné un responsable du PCA et validé son périmètre (commune, CPAS, régies).
Les services critiques et leurs dépendances sont inventoriés.
La BIA fixe pour chaque activité un RTO, un RPO et un niveau de service minimal.
Un site de repli et des procédures en mode dégradé existent.
Les contrats des fournisseurs critiques couvrent la reprise et la restitution des données.
Le plan de reprise informatique est écrit et une restauration a été testée cette année.
Une copie de sauvegarde est isolée du réseau.
La procédure d'incident cyber et les contacts d'urgence existent aussi sur papier.
Des messages de crise types sont prêts.
Un exercice a eu lieu au cours des douze derniers mois.

Pour aller plus loin

ResiPlan aide les communes, et les consultants qui les accompagnent, à mener leur analyse d'impact, à structurer leurs plans de continuité et de reprise informatique, à organiser la gestion de crise et les exercices, à tenir un registre des incidents et à réaliser l'auto-évaluation CyFun. Voir l'offre pour les communes.