Business Continuity Management (gestion de la continuité d'activité) · Glossaire

Le Business Continuity Management, en abrégé BCM, désigne la capacité organisée d'une entreprise à poursuivre des processus critiques en cas de perturbation, à les maintenir en mode restreint ou à les rétablir dans des délais définis. Il ne s'agit pas d'une mesure d'urgence isolée, mais d'un système de management. Il détermine quelles fonctions doivent être protégées en priorité, quelles ressources sont nécessaires à cet effet, qui décide en cas d'événement et comment s'exercer afin que les plans fonctionnent réellement en exploitation. Dans l'espace germanophone, la norme BSI 200-4 (BSI-Standard 200-4) fournit un guide pratique pour la mise en place d'un tel système de gestion de la continuité d'activité (BCMS). Au niveau international, la norme ISO 22301:2019 fait référence.

Le BCM dans le système électrique

Dans le système électrique, le BCM ne concerne pas seulement les processus de bureau ou l'organisation générale de l'entreprise. Il touche les salles de commande, la conduite du réseau, l'exploitation des centrales, l'exploitation des points de mesure, la communication de marché, les systèmes informatiques, les télécommunications, le service clientèle, la facturation, les relations avec les fournisseurs, la logistique des pièces de rechange, les règles d'accès, la planification des équipes et la communication de crise. Un gestionnaire de réseau de transport, un gestionnaire de réseau de distribution, un fournisseur d'énergie ou l'exploitant d'une installation de production de taille significative doit savoir quelles activités doivent se poursuivre lorsque le personnel, les bâtiments, les liaisons de données, les logiciels, les prestataires ou les installations physiques sont défaillants. Le BCM traduit cette question en priorités, en délais de redémarrage et en options d'action préparées.

Le temps comme grandeur centrale

La grandeur centrale du BCM n'est ni le kilowatt, ni le kilowattheure, ni la fréquence du réseau, mais le temps. Le point de départ est généralement une analyse d'impact sur l'activité (Business-Impact-Analyse, BIA). Elle détermine comment la défaillance d'un processus se répercute dans le temps et à partir de quand un dommage devient inacceptable. On en déduit généralement trois indicateurs :

Durée maximale d'interruption tolérable : il s'agit de la période au-delà de laquelle une défaillance aurait des conséquences inacceptables. En anglais, on parle notamment de Maximum Tolerable Period of Disruption.
Délai de reprise (Recovery Time Objective) : il s'agit du délai prévu pour qu'un processus soit de nouveau disponible, au moins à un niveau de fonctionnement de secours. Il doit être plus court que la durée maximale d'interruption tolérable.
Point de restauration (Recovery Point Objective) : il indique la perte de données maximale acceptable, par exemple jusqu'à quel moment avant la défaillance les données de mesure, de programmes prévisionnels ou de facturation doivent être restaurées.

Par exemple : une fonction de salle de commande ne tolère que des interruptions très brèves, alors que certains processus administratifs peuvent attendre plusieurs jours. Cette graduation évite que tous les processus soient traités de manière forfaitaire comme critiques. Elle rend en même temps visibles des dépendances que l'on omet facilement en exploitation normale : alimentation électrique de ses propres sites, télécommunications, accès aux données, accès aux bâtiments, personnel qualifié, prestataires externes et pièces de rechange disponibles. La norme BSI 200-4 distingue en outre les niveaux d'escalade perturbation, urgence et crise. On sait ainsi à partir de quand l'exploitation normale est abandonnée et quelles structures prennent alors le relais.

Distinction par rapport aux notions voisines

Le BCM est étroitement lié à la résilience, mais ce n'est pas la même chose. La résilience décrit la capacité d'un système à absorber des perturbations, à s'adapter et à préserver ses fonctions essentielles. Le BCM est un instrument organisationnel par lequel une entreprise prépare cette capacité pour ses propres processus. La gestion des risques évalue les probabilités de survenance et l'ampleur des dommages et décide des mesures de réduction des risques. Le BCM part davantage du principe que des perturbations surviennent malgré la prévention. Il demande alors quelle fonction doit être stabilisée ou rétablie, et dans quel ordre.

La planification d'urgence informatique et le BCM sont souvent assimilés. Cette assimilation réduit la portée de la notion. La reprise informatique, la sauvegarde des données, les centres de calcul de secours et la protection contre les cyberattaques sont indispensables pour de nombreuses entreprises du secteur de l'énergie. Ils sont souvent organisés sous forme de gestion de la continuité des services informatiques (IT-Service-Continuity-Management, IT-SCM), mais ne répondent qu'à une partie de la question de la continuité. Un centre de calcul en état de marche ne suffit pas à maintenir un gestionnaire de réseau opérationnel si la salle de conduite est inutilisable, si les voies de communication vers les équipes d'intervention sont défaillantes, si le personnel posté ne peut pas se rendre sur place ou si un prestataire ne livre pas de composants de remplacement. Le BCM part donc du processus et en déduit des exigences techniques, humaines et contractuelles. La norme BSI 200-4 mentionne expressément des synergies avec l'IT-SCM et avec la gestion de la sécurité de l'information (ISMS).

La gestion de crise organise les décisions sous une pression exceptionnelle, par exemple au moyen de cellules de crise, de tableaux de situation, de voies d'escalade et de la communication avec les autorités. Le BCM fournit pour cela des bases préparées : processus hiérarchisés, manuels d'urgence, sites de repli, chaînes de contact, effectifs minimaux et plans de redémarrage. En cas d'événement, les deux domaines s'articulent. Sans BCM, une cellule de crise doit clarifier de nombreuses questions alors que du temps est déjà perdu. Sans gestion de crise, les plans du BCM restent facilement des documents qui ne se traduisent pas en décisions.

Dépendances dans le secteur de l'énergie

Pour le système électrique, le BCM est particulièrement important, car de nombreux autres secteurs dépendent de l'électricité et que l'approvisionnement en électricité dépend lui-même d'autres infrastructures. L'exploitation du réseau a besoin de télécommunications, de technique de commande, de données météorologiques, d'informations de marché, de véhicules, de pièces de rechange et de personnel. Les centrales et les stockages ont besoin de logistique de combustibles, de contrôle-commande, de refroidissement, de sécurisation des accès et souvent de maintenance externe. Le comptage, l'équilibrage et le changement de fournisseur dépendent de processus de données standardisés. Une défaillance dans l'un de ces domaines ne peut pas être palliée indéfiniment par l'improvisation. Le BCM détermine où des procédures manuelles sont possibles, où une redondance technique est nécessaire et où une fonction est délibérément réduite en cas de défaillance d'un système.

Cadre juridique en Allemagne (état : novembre 2026)

Dans le secteur de l'énergie régulé, le BCM n'est pas seulement une bonne pratique, mais est en partie prescrit par la loi. Les obligations applicables dépendent du rôle, de la taille et du type d'installation. Trois volets réglementaires sont actuellement particulièrement pertinents :

Loi sur le BSI (BSI-Gesetz) : depuis la transposition de la directive NIS 2 fin 2025, le § 30 BSIG impose aux entités essentielles et importantes des mesures de gestion des risques. Parmi les contenus minimaux figurent expressément le maintien de l'exploitation, par exemple la gestion des sauvegardes et la restauration après une situation d'urgence, ainsi que la gestion de crise. Le respect de ces exigences doit être documenté.
Loi sur l'économie énergétique (Energiewirtschaftsgesetz) : conformément au § 5c EnWG, les exploitants de réseaux d'approvisionnement en énergie ainsi que certains exploitants d'installations énergétiques et de services énergétiques numériques doivent protéger de manière appropriée les systèmes de télécommunications et de traitement de données nécessaires à une exploitation sûre. Les exigences concrètes sont fixées par l'Agence fédérale des réseaux (Bundesnetzagentur), en accord avec le BSI, dans un catalogue de sécurité informatique. Celui-ci doit notamment contenir des exigences relatives au maintien de l'exploitation, à la gestion de crise, à la sécurité de la chaîne d'approvisionnement et, le cas échéant, à des systèmes sécurisés de communication d'urgence.
Loi-cadre KRITIS (KRITIS-Dachgesetz) : cette loi relative à la résilience physique des installations critiques est applicable depuis le 17 mars 2026. Les exploitants d'une infrastructure critique doivent, en vertu de celle-ci, s'enregistrer, réaliser des analyses de risques selon une approche tous risques et mettre en œuvre des mesures de résilience sur la base d'un plan de résilience. Les installations concrètement visées dépendent d'une ordonnance fixant des seuils.

Ces exigences ne remplacent pas un BCM proche de l'exploitation. Elles fixent un cadre dans lequel les entreprises doivent analyser leurs processus concrets. Un plan formellement existant dit peu de choses sur la question de savoir si des postes de travail de remplacement sont accessibles, si les astreintes sont organisées de manière fiable ou si les collaborateurs peuvent appliquer les procédures prévues dans des conditions réalistes. Des normes telles que l'ISO 22301 et la norme BSI 200-4 offrent pour cela des repères méthodologiques. La norme BSI prévoit un modèle par paliers, du BCMS réactif au BCMS standard compatible ISO, en passant par le BCMS de mise en place.

Interprétations erronées typiques

Des interprétations erronées apparaissent fréquemment lorsque le BCM est compris comme une pure obligation de documentation. Un manuel d'urgence n'atteint son but que si les numéros de téléphone sont exacts, si les pouvoirs de décision sont clarifiés, si les systèmes de remplacement sont testés régulièrement et si des exercices montrent où les processus se rompent. De nombreuses faiblesses tiennent non pas à l'absence de technique, mais à des interfaces non clarifiées. Qui transmet une situation à qui ? Qui peut déclencher un processus de repli ? Quelles données peuvent être utilisées manuellement en cas de perturbation informatique ? Quels contrats garantissent la disponibilité des prestataires même lorsque plusieurs entreprises sont touchées en même temps ? De telles questions paraissent administratives, mais elles déterminent la capacité d'action réelle.

Une autre erreur consiste à penser la disponibilité uniquement en termes de redondance. Des serveurs doublés, des lignes de secours ou des sites supplémentaires accroissent la robustesse lorsqu'ils sont conçus et entretenus avec une indépendance suffisante. Mais ils créent de nouvelles exigences en matière d'exploitation, de maintenance, de synchronisation et de personnel. Une redondance qui n'est pas testée au quotidien peut elle-même devenir une source d'incertitude en cas de perturbation. Le BCM associe donc des mesures techniques à des routines organisationnelles : exercices, règles de suppléance, critères de déclenchement clairs et décision délibérée sur les prestations qui peuvent d'abord être supprimées lorsque les ressources sont limitées.

Numérisation et électrification

Avec la numérisation et l'électrification croissantes, l'importance du BCM augmente. Les pompes à chaleur, l'électromobilité, les charges flexibles, la production décentralisée et les systèmes de mesure intelligents n'accroissent pas seulement la demande d'électricité. Ils modifient aussi les exigences en matière de commande, de traitement des données et de communication. Parallèlement, les processus de marché et de réseau deviennent plus dépendants du temps : programmes prévisionnels, périmètres d'équilibre, redispatching, prévisions et manœuvres de commutation doivent fonctionner dans des délais définis. Des défaillances dans les chaînes de données peuvent donc avoir des conséquences opérationnelles et économiques, même si le courant circule encore physiquement. Le BCM rend visible cette dépendance entre processus numérique et approvisionnement technique.

Lien avec la sécurité d'approvisionnement

Pour l'évaluation de la sécurité d'approvisionnement, le BCM est une notion complémentaire. La sécurité d'approvisionnement est souvent discutée à travers les capacités de production, le développement du réseau, la puissance de réserve ou le maintien de la fréquence. Ces grandeurs restent centrales, mais ne couvrent pas toutes les conditions de l'exploitation. Un système électrique a aussi besoin d'organisations qui restent capables d'agir en cas de perturbation. Cela comprend une évaluation de la situation rodée, une communication fiable, des spécialistes disponibles et des interfaces fiables entre entreprises, autorités et prestataires. Le BCM décrit ce niveau opérationnel de la continuité.

Arbitrage économique

Sur le plan économique, il s'agit d'arbitrer entre les coûts de prévention et la limitation des dommages. Sécuriser entièrement chaque processus serait coûteux et souvent techniquement absurde. Une prévention insuffisante reporte les coûts sur la situation de perturbation : on risque alors des temps d'arrêt, des violations de contrat, des conséquences réglementaires, des risques pour la sécurité et des pertes de confiance. Le BCM rend cet arbitrage explicite. Il n'exige pas une sécurisation maximale de toutes les activités, mais une hiérarchisation motivée selon la criticité des processus, la possibilité de rétablissement et les dépendances. Le droit suit lui aussi cette idée de proportionnalité : le § 30 BSIG exige de tenir compte, entre autres, de l'exposition au risque, de la taille de l'entité et des coûts de mise en œuvre. Le § 5c EnWG mentionne des facteurs similaires pour le catalogue de sécurité informatique.

Conclusion

Le Business Continuity Management traduit la vulnérabilité en capacité d'action préparée. Dans le système électrique, il ne protège pas abstraitement une entreprise, mais les fonctions nécessaires à l'exploitation du réseau, aux processus de marché, à la conduite des installations et à la communication. La notion est employée avec précision lorsqu'elle décrit le lien entre processus critique, durée d'interruption admissible, ressource nécessaire et responsabilité exercée.

Sources

Energiewirtschaftsgesetz (EnWG) § 5c IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz — Bundesministerium der Justiz / Bundesamt für Justiz (gesetze-im-internet.de); unbekannt (Fassung seit 6. Dezember 2025). § 5c Abs. 1, 2, 3 und 4 Nr. 3, 4 und 10 EnWG
BSI-Gesetz (BSIG) § 30 Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen — Bundesministerium der Justiz / Bundesamt für Justiz (gesetze-im-internet.de); unbekannt. § 30 Abs. 1 und Abs. 2 Nr. 3 BSIG
BSI-Standard 200-4 verhilft mit Business Continuity Management zu ganzheitlicher Resilienz — Bundesamt für Sicherheit in der Informationstechnik (BSI); 2023-06-14. Pressemitteilung
BSI-Standard 200-4 Business Continuity Management — Bundesamt für Sicherheit in der Informationstechnik (BSI); unbekannt (Standard veröffentlicht Juni 2023). Downloadseite des Standards
KRITIS-DachG ist in Kraft getreten — dsn group (Sekundärquelle); 2026-03-17. Abschnitte zum Inkrafttreten und zu den Betreiberpflichten

Autres entrées du glossaire

Edited by eCMS on 11.11.2026 16:34