Un exercice sans objectifs convenus à l'avance conclut toujours qu'il s'est bien passé. Ce programme vous donne le scénario, les injections minutées, cinq mesures chronométrées par rapport à vos propres cibles, et un dossier de preuves conçu pour être remis au superviseur sans conversation d'accompagnement.
Structuré sur ISO 22361:2022 et ISO 22320:2018, qui sont des documents de lignes directrices : rien n'est certifiable à leur égard, et nous ne sommes pas un organisme de certification.
Paiement sécurisé par Stripe. Facture avec TVA émise automatiquement.
Téléchargement immédiat après paiement. Le lien reste valable indéfiniment.
Lisez-le attentivement. Les entités financières doivent :
Un test de reprise technique ne décharge pas le second volet. Et notez où se trouvent les mots : « au moins une fois par an » ne gouverne que le premier volet. Le règlement ne fixe aucune fréquence pour les plans de communication de crise. Tester les deux chaque année est un choix de politique défendable, pas un minimum légal — et le classeur le consigne comme votre choix, non comme une exigence. Pour les entités autres que les microentreprises, les plans de tests doivent aussi couvrir des scénarios de cyberattaques et de bascule entre l'infrastructure principale et la capacité redondante. L'onglet pluriannuel vérifie tout cela année par année et signale l'écart dès qu'un volet reste découvert.
Des critères de réussite convenus avant. Les objectifs et les critères mesurables sont fixés à la conception, dans le classeur. Décider après coup que l'exercice s'est bien passé, ce n'est pas de l'évaluation, c'est du souvenir.
Cinq mesures au chronomètre. De la détection à la déclaration. De la déclaration à une cellule au quorum. Jusqu'au premier point de situation. Jusqu'à un élément de langage approuvé. Jusqu'à l'organe de direction. Chacune par rapport à votre propre cible, chacune RÉUSSIE ou ÉCHOUÉE, sans adjectif.
Le retournement. Chaque scénario porte une injection qui invalide le plan sur lequel l'équipe s'est installée : les sauvegardes sont chiffrées elles aussi, le prestataire double son estimation, la corruption est antérieure à la dernière sauvegarde. Sans cela, une équipe entraînée rejoue la répétition.
L'exercice teste les plans que le pack de gestion de crise vous aide à écrire, et il alimente en constats le même registre que vos incidents réels. En aval, un incident majeur réel relève de la déclaration d'incidents au titre de DORA — c'est une frontière que le programme respecte : les règles de sécurité de l'exercice interdisent tout contact client réel et toute soumission réglementaire réelle. Un exercice qui se confond avec un incident retarde la vraie réponse.
Voir le pack de gestion de crise complet →
Pour le premier volet, peut-être. Pour le second, non. L'article 11(6) exige séparément de tester les plans de communication en cas de crise, et un test de bascule technique n'exerce ni un élément de langage, ni un circuit d'approbation, ni un porte-parole. Programmez-le séparément et l'obligation devient triviale à démontrer.
Non, et rien ne peut l'être. ISO 22361:2022 et ISO 22320:2018 sont des documents de lignes directrices, pas des normes d'exigences : il n'existe aucune clause de conformité et rien qu'un organisme de certification puisse auditer. Le programme est structuré sur leur processus, et nous l'entendons au sens littéral. Nous ne sommes pas un organisme de certification.
Non. « Au moins une fois par an » ne gouverne que les plans de continuité et de réponse et rétablissement. Le règlement ne fixe aucune fréquence pour les plans de communication de crise. Tester les deux chaque année est un choix de politique défendable, que le classeur consigne comme votre décision, pas comme un minimum légal.
Une revue sur table simple ou un exercice de communication, oui. Un exercice sur table complet, mieux vaut éviter : la valeur vient des injections délivrées à l'heure dite par quelqu'un qui ne joue pas, et d'un observateur qui n'a pas le droit d'aider. Le guide de l'animateur est écrit pour qu'une personne interne puisse tenir le rôle.
Pas si vous suivez les règles de sécurité du document 03 : tout est préfixé, aucun contact client réel, aucune soumission réglementaire réelle, aucun changement en production sans retour arrière approuvé, et une phrase d'arrêt sur laquelle chacun est briefé. Des exercices ont déjà retardé de vraies réponses à incident parce que personne ne distinguait les deux ; c'est ce que ces règles empêchent.
Un dossier qui répond à la question sans conversation : le plan d'exercice approuvé, le scénario, les participants, les relevés des observateurs, les chronométrages, le rapport de retour d'expérience, les constats et la preuve de leur clôture. Le document 06 vous donne cette structure et la note de couverture d'une page qui précise quel volet de l'article 11(6) l'exercice met en évidence.
Cette page est une aide professionnelle, pas un conseil juridique. · Version anglaise