La plupart des plans de crise décrivent une structure. Celui-ci tranche ce qui coûte du temps quand c'est réel : qui peut décider quoi sans demander, quel seuil fait monter d'un niveau, comment on redescend, et ce qui s'inscrit au journal pour que la décision reste défendable six mois plus tard. Quinze documents et une matrice d'activation, structurés sur ISO 22361:2022 et ISO 22320:2018.
Structuré sur les normes ISO 22361:2022 et ISO 22320:2018, toutes deux des documents de lignes directrices. Rien n'est certifiable à leur égard, et nous ne sommes pas un organisme de certification.
Paiement sécurisé par Stripe. Facture avec TVA émise automatiquement.
Téléchargement immédiat après paiement. Le lien reste valable indéfiniment.
Le pack répond à trois questions : sommes-nous en crise, qui commande, qui doit être prévenu et quand. Le classeur d'activation vous dit quand lancer l'évaluation au titre de l'article 18 et refuse volontairement de la conduire. Une saisie manuelle déclenche l'horloge réglementaire ; la frontière n'est pas promise, elle est mécanique.
La qualification d'incident majeur et le contenu des rapports initial, intermédiaire et final relèvent des normes techniques de réglementation sur la déclaration des incidents, pas de ce pack. Pour la classification, l'analyseur d'incidents gratuit applique les sept critères ; pour les rapports à l'autorité compétente, voyez la page déclaration d'incidents DORA et le générateur de rapports d'incident.
Le retard en crise n'est presque jamais de l'ignorance. C'est l'incertitude sur qui a le droit de décider. Le document-cadre porte une table de décisions pré-autorisées, avec des plafonds en montant et en durée, pour que la réponse ne fasse pas la queue derrière un valideur endormi.
Les quatre niveaux de gravité sont formulés en propositions vérifiables plutôt qu'en adjectifs. Et, ce que presque tous les modèles omettent, la procédure écrit aussi les critères de désescalade et de levée du dispositif — sans eux, les incidents restent nominalement ouverts des semaines et personne n'en tire rien.
L'article 11(8) impose de conserver la trace des activités avant et pendant la perturbation. Le journal de décision du pack ajoute les trois colonnes qui manquent toujours : les options envisagées, l'information dont on savait qu'elle manquait, et ce qui n'a pas été retenu, avec le motif.
Ce sont ces trois colonnes qui aident à démontrer, si l'autorité compétente ou l'audit interne relit la chronologie, que le jugement exercé était raisonnable. Un exemple entièrement rempli est fourni.
L'article 14 exige des plans de communication de crise, et l'article 11(7) impose aux entités autres que les microentreprises une fonction de gestion de crise qui fixe des procédures claires de communication interne et externe conformément à l'article 14. La bibliothèque du pack croise 14 scénarios avec 4 publics : clients, collaborateurs, autorité, presse. Soit 56 messages rédigés, plus des déclarations d'attente et un brief de porte-parole avec questions hostiles.
Rédiger ces messages pendant la crise, c'est les rédiger mal, et sous pression. Ici, il ne reste qu'à insérer les faits.
L'analyse d'impact sur l'activité dit quels services comptent et à quelle vitesse ils doivent revenir ; ce pack dit ce qui se passe quand l'un d'eux s'arrête. En aval, un plan que personne n'a exercé reste une hypothèse : l'article 11(6) impose de tester au moins une fois par an les plans de continuité et les plans de réponse et de rétablissement, et le programme d'exercices de crise produit cette preuve. Pour mesurer d'abord la maturité de votre dispositif, les boîtes à outils d'évaluation font l'état des lieux en 30 questions.
Prouver que le plan fonctionne : le programme d'exercices →
Non, et rien ne peut l'être. Les deux sont des documents de lignes directrices, pas des normes d'exigences : aucune ne contient de clause de conformité, donc un organisme de certification n'a rien à auditer. Certains prestataires non accrédités vendent une « certification ISO 22320 en sept jours » ; ce certificat n'est reconnu par aucun organisme d'accréditation. Ce qu'un praticien peut faire, c'est suivre le processus que ces normes décrivent. C'est ce que fait ce pack, et « structuré sur » s'entend au sens littéral.
Oui, pour les entités autres que les microentreprises. L'article 11(7) exige une fonction qui, lorsque les plans de continuité TIC ou les plans de réponse et de rétablissement sont activés, établit des procédures claires pour gérer les communications de crise internes et externes conformément à l'article 14. Il ne dit rien de la composition ni de la séparation de cette fonction : le devoir de séparation dans DORA est l'article 6(4), et il vise la gestion du risque TIC, le contrôle et l'audit interne, pas la gestion de crise. Le document-cadre présente donc sa séparation des rôles comme votre propre choix de contrôle, pas comme une exigence — c'est une distinction utile à documenter.
Non, volontairement. Le pack décide si vous êtes en crise, qui commande et qui doit être informé. La qualification d'incident majeur au titre de l'article 18 et le contenu des rapports initial, intermédiaire et final relèvent des normes techniques de réglementation sur la déclaration des incidents : c'est un autre problème, et un autre produit.
Parce que l'artefact le plus précieux de toute la gamme est l'échelle d'escalade : le seuil auquel le responsable opérationnel de l'incident passe la main à la cellule de crise stratégique, ce que la cellule peut décider que le responsable ne peut pas, et comment la main redescend à la levée du dispositif. Cet artefact n'existe que si les deux altitudes sont dans le même ensemble. Séparez-les et vous avez deux moitiés d'une chaîne rompue, exactement à l'endroit où les organisations réelles échouent.
Non. Cette décision engage le filtrage des sanctions, les autorités répressives et le conseil juridique, et elle est explicitement hors périmètre. Ce que le pack fait, c'est empêcher votre porte-parole de mal répondre à la question.
Ni l'un ni l'autre. Aucune macro, et les formules évitent les tableaux dynamiques : le classeur se comporte à l'identique dans LibreOffice Calc et dans les versions anciennes d'Excel.
Cette page est une aide professionnelle, pas un conseil juridique. · Version anglaise