Quelle est la différence entre un PCS et un PCA ?

Les chiffres-clés à connaître

Deux dispositifs, deux finalités

Le PCS (Plan Communal de Sauvegarde) est un dispositif communal d'organisation des secours et de la sauvegarde des populations en cas d'événement majeur. Il liste les risques pesant sur la commune, désigne les responsables d'astreinte, organise les moyens humains et matériels (réserve communale de sécurité civile, salles refuges, modalités d'alerte FR-Alert) et formalise les liens avec la préfecture. Il est obligatoire depuis la loi MATRAS du 25 novembre 2021 pour toutes les communes dotées d'un Plan de Prévention des Risques (naturels, miniers ou technologiques), exposées à un risque sismique fort, à un risque volcanique, ou situées dans le périmètre d'un PPI.

Le PCA (Plan de Continuité d'Activité) est un dispositif d'entreprise, d'administration ou de collectivité visant à maintenir les activités essentielles en mode dégradé pendant une crise (cyberattaque, sinistre site, crise sanitaire, défaillance fournisseur). Il identifie les processus critiques, les seuils de tolérance d'interruption (RTO, RPO), les modes de fonctionnement dégradé et les conditions de reprise. La référence cadre est la norme ISO 22301. Le PCA est donc une démarche structurante de la gestion de crise d'une organisation, là où le PCS est un acte réglementaire d'autorité publique.

Cadre légal détaillé

Le PCS : un acte communal sous autorité du maire

Créé par la loi de modernisation de la sécurité civile du 13 août 2004, le PCS a vu son périmètre fortement élargi par la loi MATRAS de 2021 et son décret d'application du 20 juin 2022. Le maire est l'autorité de police administrative responsable du déclenchement et de la coordination du plan. La commune doit : élaborer le PCS, le réviser tous les 5 ans, organiser un exercice de mise en œuvre au moins une fois tous les 5 ans, et associer la population à la culture du risque (DICRIM, journées de sensibilisation).

Le PCA : une démarche volontaire devenue souvent obligatoire

Le PCA reste juridiquement une démarche volontaire pour la plupart des entreprises. Mais plusieurs cadres l'imposent désormais : les opérateurs d'importance vitale (OIV) au titre du Code de la défense, les opérateurs de services essentiels au titre de la directive NIS 1, les établissements de santé via le Plan Blanc, les organismes financiers via le règlement DORA, et toutes les activités sous obligation contractuelle vis-à-vis d'un donneur d'ordre exigeant un PCA documenté.

Comment ils s'articulent en pratique

Cas n° 1 : une commune confrontée à une inondation

La commune active son PCS pour évacuer les zones submersibles, ouvrir les centres d'hébergement, alerter la population via FR-Alert, mobiliser la réserve communale de sécurité civile. En parallèle, ses services municipaux (état civil, écoles, eau potable, voirie, paie des agents) restent à assurer : c'est le rôle du PCA municipal, distinct du PCS, qui décrit comment l'administration continue de fonctionner même quand son hôtel de ville est inaccessible. La même cellule peut piloter les deux, mais ce sont deux logiques : action externe vs continuité interne.

Cas n° 2 : une entreprise touchée par une cyberattaque

L'entreprise active son PCA cyber pour basculer en mode dégradé, isoler les systèmes touchés, restaurer les sauvegardes prioritaires selon les RTO/RPO définis. Il n'y a pas de PCS : l'entreprise n'a pas autorité de police. En revanche, si l'incident a des conséquences sur des tiers (clients, fournisseurs, données personnelles), l'entreprise notifie l'CERT-FR et la CNIL dans les délais réglementaires, et si elle relève d'un statut OIV ou NIS 2, son interaction avec les autorités est encadrée par sa cellule de crise.

Cas n° 3 : un site industriel Seveso et sa commune d'accueil

Le site industriel active son POI (Plan d'Opération Interne) pour traiter le sinistre sur son périmètre. Au-delà du site, le PPI (Plan Particulier d'Intervention) est déclenché par le préfet pour protéger les populations riveraines. Le PCS communal est mobilisé en complément pour appliquer les consignes préfectorales (confinement, évacuation, hébergement). Le PCA de l'entreprise gère sa continuité d'activité une fois le sinistre stabilisé. Quatre plans, quatre acteurs, articulation orchestrée par la préfecture.

PCA, PRA, POI, PPI, PICS : tableau récapitulatif

Les confusions les plus fréquentes

• « Notre PCS sert aussi de PCA » : faux. Le PCS organise la réponse externe. Le PCA organise la continuité interne. Mélanger les deux dans un document unique aboutit à un document inefficace, où le maire ne sait plus s'il évacue les habitants ou s'il maintient son service état civil.
• « Le PRA suffit, on n'a pas besoin de PCA » : faux. Le PRA traite uniquement la reprise des SI. Le PCA couvre RH, finance, métiers, logistique, communication. Le PRA est une brique du PCA, jamais l'inverse.
• « Une entreprise doit avoir un PCS » : faux. Le PCS est strictement communal. Une entreprise a un PCA, parfois un POI si elle est classée Seveso.
• « Le PCA est volontaire, donc facultatif » : de plus en plus faux. Le règlement DORA l'impose au secteur financier depuis le 17 janvier 2025, les obligations sectorielles (santé, transport) et les exigences des donneurs d'ordre le rendent incontournable ailleurs. NIS 2 élargira encore ce périmètre une fois sa transposition promulguée.
• « Une commune n'a pas besoin de PCA » : faux. Pendant une crise, les services municipaux doivent continuer à tourner (état civil, école, eau, voirie). Sans PCA, ils s'arrêtent.

Démarche pratique pour bien outiller son organisation

Pour une commune dotée d'un PPRN ou d'un PPI, le calendrier de mise en conformité MATRAS impose un PCS à jour : élaboration ou révision sur deux à trois mois, exercice de mise en œuvre dans les cinq ans, association de la réserve communale et information de la population. En parallèle, un PCA municipal allégé (état civil, accueil, paie des agents, services essentiels) sécurise la continuité.

Pour une entreprise, la démarche PCA commence par une BIA (Business Impact Analysis) : identifier les processus critiques, leurs interdépendances et leurs seuils d'interruption acceptables. Suivent l'évaluation des risques, la formalisation des stratégies de continuité (basculement, sauvegarde, sites alternatifs), les exercices, et la méthodologie de cellule de crise activée en cas de déclenchement. Une fois le PCA opérationnel, la composition de la cellule de crise garantit son pilotage le jour J.