Gestion de crise administration publique : PCA, PCA ministériel et continuité du service public d'État
Préfectures, services déconcentrés, établissements publics (CAF, ARS, France Travail, universités), opérateurs d'État : l'enjeu est de maintenir le service public quand tout vacille. Cette page rassemble le cadre réglementaire (décret 2010-1170, circulaire SGDSN 2013, directive NIS2), la méthode opérationnelle des 7 réflexes, les typologies et les réponses aux questions des secrétaires généraux, directeurs et responsables PCA.
Parler à un consultant Twist
Une crise touchant une administration publique mobilise une logique de continuité du service public d'État. Préfectures, DDT, DREAL, rectorats, CAF, CPAM, France Travail, ARS, universités, opérateurs : chacun élabore son PCA et le décline du PCA ministériel de son ministère de tutelle. L'obligation est ancrée depuis le décret 2010-1170 et précisée par la circulaire SGDSN du 2 août 2013.
Le cadre s'est considérablement renforcé depuis 2024 avec la transposition de la directive NIS2. Les entités essentielles publiques (et la plupart des administrations en font partie) doivent désormais articuler leur PCA classique avec un PCA cyber et des exigences spécifiques de gouvernance, de protection et de réponse aux incidents. La continuité d'activité dans le secteur public n'est plus une option, c'est une obligation réglementaire surveillée par l'ANSSI.
En 3 points
- Le PCA est obligatoire dans les administrations publiques depuis le décret 2010-1170, précisé par la circulaire SGDSN 2013. Il décline le PCA ministériel du ministère de tutelle et organise la continuité des missions essentielles.
- Trois familles d'administrations sont concernées : services déconcentrés de l'État (préfectures, DDT, DREAL, rectorats), établissements publics (CAF, CPAM, France Travail, ARS, universités), opérateurs d'État. Chacune a ses propres priorités et son rythme de continuité.
- La directive NIS2, dont la transposition française n'est pas promulguée à ce jour, ajoutera des exigences fortes en cybersécurité. Le PCA a tout intérêt à s'articuler dès maintenant avec un plan de cyberdéfense piloté par le RSSI et coordonné avec l'ANSSI.
Sommaire de la page
Cadre réglementaire et obligation PCA
Le cadre français de la continuité d'activité dans le secteur public est structuré, ancien et renforcé par NIS2. Il combine décret fondateur (2010), doctrine SGDSN (2013), norme ISO 22301 et directive européenne NIS 2 (directive UE 2022/2555, transposition française à vérifier à date). Six dispositifs structurent l'essentiel.
Sources officielles : Décret 2010-1170 (Légifrance), SGDSN, ANSSI, ISO 22301, DGAFP.
| Dispositif | Obligation et contenu | Pour qui |
|---|---|---|
| Décret 2010-1170 4 octobre 2010, texte fondateur |
Pose l'obligation PCA dans les administrations centrales et déconcentrées de l'État. Précise les responsabilités, l'articulation centre-déconcentré, le rôle du SGDSN. | Administrations d'État |
| Circulaire SGDSN 2013 2 août 2013, doctrine méthodologique |
Précise le contenu, la méthode, les modalités d'élaboration. Définit le contenu type d'un PCA administration : missions essentielles, BIA, scenarii, organisation, exercices. | Administrations d'État + opérateurs |
| PCA ministériel (Plan de Continuité d'Activité Ministériel) Décliné par chaque ministère |
Doctrine ministérielle de continuité, élaborée sous coordination SGDSN. Fixe les priorités stratégiques, les missions essentielles, les délais maximaux d'indisponibilité tolérables. | Tous services et opérateurs du ministère |
| Directive NIS2 Transposition française non promulguée à ce jour |
Renforce les exigences cybersécurité pour les entités essentielles publiques. Impose gouvernance, mesures techniques, gestion des incidents, déclaration ANSSI sous 24h, articulation PCA-cyber. | Entités essentielles publiques |
| ISO 22301 Norme internationale |
Référentiel de management de la continuité d'activité. Adopté largement par les administrations publiques françaises comme cadre méthodologique de leur PCA. | Toutes administrations |
| ORSEC et ORSEC zonal Code de la sécurité intérieure |
Plan piloté par le préfet ou le préfet de zone. L'administration déconcentrée est représentée au COD et au COZ. Articulation obligatoire PCA et ORSEC. | Administrations touchées |
Le tournant NIS2 : un nouveau standard de continuité
La transposition française de la directive NIS2 en 2024 a transformé l'approche PCA dans le secteur public. Le PCA classique (continuité d'activité métier) doit désormais être articulé avec son volet cyber et le plan de cyberdéfense (continuité face à une attaque informatique majeure) et avec un plan de cyberdéfense piloté par le RSSI. Trois conséquences pratiques : (1) obligation de cartographier les activités essentielles selon une logique cyber (DMIA tenant compte des temps de reconstruction SI), (2) gouvernance renforcée avec un comité PCA-cyber au plus haut niveau, (3) exercices PCA intégrant le cyber obligatoires et reportés à l'ANSSI.
Trois profils d'administrations publiques
Le PCA n'a pas le même contenu selon que l'on parle d'un service déconcentré régalien, d'un opérateur social ou d'une grande administration centrale. La méthode reste la même, les missions essentielles et les ressources critiques varient profondément.
Services déconcentrés de l'État
Préfectures, DDT, DDTM, DREAL, DRAC, rectorats, DDFiP. Présence territoriale forte, missions régaliennes et techniques, pilotage par le préfet ou le SG.
- Ordre public, sécurité civile, état civil, élections
- Délivrance des titres, droits de séjour
- Mise en oeuvre des politiques territoriales
- Articulation COD si crise locale
- Représentation au COZ si crise zonale
Établissements publics
CAF, CPAM, MSA, France Travail, ARS, universités, INRAE, opérateurs sociaux. Missions de service aux publics, fortes contraintes de continuité de versement et d'accueil.
- Versements sociaux (RSA, allocations, retraites)
- Accueil du public et téléservices
- Recouvrement et prestations
- Articulation directe avec les ministères de tutelle
- Forte exposition cyber (entités essentielles NIS2)
Administration centrale et opérateurs
Ministères, directions nationales, opérateurs de l'État (ADEME, IGN, ONF, France Travail, etc.). Pilotage stratégique national, capacité de mobilisation massive.
- Élaboration et pilotage du PCA ministériel
- Coordination interministérielle SGDSN
- Articulation Premier ministre et secrétariats d'État
- Cellule de crise ministérielle dédiée
- Articulation européenne et internationale
Huit typologies de crises pour le secteur public
Les administrations publiques sont exposées à des typologies de crises spécifiques qui combinent dimension technique, juridique, politique et médiatique. Voici les huit principales.
1. Cyberattaque sur le SI métier
Ransomware, fuite massive de données personnelles, paralysie du SI métier ou paie. Cas particulièrement fréquent depuis 2020 dans le secteur public (incidents documentés par l'ANSSI dans son panorama annuel). Articulation ANSSI obligatoire (NIS2).
2. Défaillance d'un opérateur télécoms ou cloud
Panne majeure d'un opérateur (Orange, SFR, OVH, Microsoft Azure). Coupure SI prolongée, impossibilité d'accéder aux téléservices. Le PCA prévoit les modes dégradés et les bascules de secours.
3. Crise sanitaire massive
Pandémie, épidémie, contamination d'un site. Bascule en télétravail massif, fermeture d'accueil au public, continuité minimale. La crise Covid a montré l'importance de PCA opérationnels.
4. Crise sociale interne
Mouvement de grève, blocage d'un bâtiment, conflit social majeur. Continuité minimale des missions essentielles, dialogue social, sécurité des agents non grévistes, communication aux usagers.
5. Crise médiatique sur une décision publique
Affaire impliquant un agent ou un élu, polémique sur une décision administrative, vague de désinformation. Cellule communication, ton mesuré, préservation de l'institution et des agents.
6. Catastrophe naturelle ou technologique
Inondation, tempête, séisme, accident industriel touchant le territoire de l'administration. Bascule en mode crise sécurité civile, articulation préfecture, ARS, SDIS, collectivités.
7. Défaillance d'un partenaire critique
Faillite d'un opérateur prestataire, défaillance d'une banque ou d'un fournisseur d'énergie, rupture de chaîne logistique. Activation des plans de secours, mobilisation de fournisseurs alternatifs.
8. Crise géopolitique et menace hybride
Tensions internationales, cybermenaces étatiques, désinformation organisée, sanctions économiques. Renforcement de la posture cyber, surveillance ANSSI, coordination SGDSN et services de renseignement.
Les 7 réflexes du responsable PCA en administration publique
Cette méthode synthétise la doctrine PCA validée par les RETEX d'exercices et de crises réelles accompagnés par Twist. Elle s'applique aux services déconcentrés, aux établissements publics et aux opérateurs d'État, en respectant le PCA ministériel.
Activer la cellule de continuité
Rassembler la cellule PCA dans la salle de continuité pré-identifiée en moins de 90 minutes. Mobiliser le secrétaire général ou directeur d'astreinte, les chefs de service, le RSSI, le responsable communication, le responsable RH, le coordonnateur PCA. Ouvrir la main courante continuité.
Qualifier l'impact sur les missions essentielles
Identifier les missions essentielles touchées ou à risque, dans la hiérarchie prévue par le PCA. Pour une préfecture : ordre public, sécurité civile, état civil, élections. Pour un opérateur social : versements (CAF, RSA, retraites), accueil du public. Pour une université : continuité pédagogique, examens, recherche.
Articuler avec la chaîne ministérielle et les partenaires
Contact immédiat avec l'administration centrale (SGDSN si dimension continuité, ministère de tutelle, directions sectorielles), la préfecture si crise locale (COD), l'ANSSI si dimension cyber, les ministères de tutelle pour les établissements publics, les partenaires interministériels. La continuité du service d'État relève d'une chaîne définie par le PMC.
Activer les dispositifs d'urgence prévus par le PCA
Mode dégradé (réduction des plages d'accueil, télé-services prioritaires), mobilisation des agents en astreinte, activation des marchés publics d'urgence (SSI, matériel, télécoms), bascule sur les sites de secours, activation des plans de cyberdéfense si nécessaire. Le PCA prévoit les seuils et les délégations.
Maintenir les services essentiels aux usagers
Maintenir en priorité absolue les services aux publics fragiles : versements sociaux, accueils d'urgence, état civil, soins, prestations vitales. Pour les services aux entreprises et collectivités : continuité minimale, information transparente sur les délais et les voies alternatives. Bascule en mode dégradé tracé et préparé.
Communiquer avec usagers, agents, tutelles et partenaires
Communication coordonnée vers les usagers (continuité, voies alternatives, délais), les agents (organisation dégradée, télétravail, sécurité), les tutelles (administration centrale, ministère), les partenaires (collectivités, opérateurs). Site internet, réseaux sociaux institutionnels, médias. Tenue de la main courante PCA. Voir le guide main courante Twist.
Préparer la sortie de crise et le RETEX
Désactivation progressive du PCA en concertation avec la chaîne ministérielle. Bilan des services impactés, des dispositifs activés, des dépenses engagées. RETEX administration sous 90 jours impliquant les services, les agents, les usagers représentés, les partenaires. Actualisation du PCA et du PCA ministériel. Voir le guide RETEX Twist.
Pourquoi la préparation est décisive
Dans l'administration publique, la qualité de la continuité du service public en crise tient à une chose : le PCA a-t-il été cartographié, articulé au PCA ministériel, exercé et approprié en temps calme ? Quatre raisons opérationnelles rendent la préparation incontournable.
La BIA ne s'improvise pas en aigu
L'analyse d'impact métier (BIA) qui fonde un PCA prend plusieurs mois de concertation avec chaque service. Identifier les missions essentielles, leurs ressources critiques, la durée maximale d'indisponibilité tolérable. Sans BIA solide, le PCA n'est qu'un document vide. En crise, on active ce qui a été cartographié.
Les exigences NIS2 sont surveillées par l'ANSSI
La directive NIS2 prévoit des audits réguliers, des exercices documentés, une chaîne de notification d'incident en trois étapes (early warning 24h, notification 72h, rapport 1 mois). Une administration entité essentielle qui n'a pas exercé son volet cyber s'expose à des sanctions ANSSI et à une mise en cause de sa responsabilité administrative.
Les agents tiennent ce qu'ils ont déjà fait
Un agent CAF qui a participé à un exercice de continuité versera les allocations en mode dégradé. Un agent qui ne l'a jamais fait improvise, hésite, fait des erreurs. La culture du PCA passe par des exercices service par service et des simulations transverses régulières.
Les partenaires interministériels ont besoin de protocoles éprouvés
Articulation SGDSN, ANSSI, ministères de tutelle, préfecture, opérateurs critiques. Ces protocoles d'articulation doivent avoir été éprouvés en exercice avant la crise réelle. En crise, on active ce qui existe, on ne négocie pas avec un partenaire qu'on n'a jamais rencontré.
Concrètement, la préparation se traduit par quatre livrables vivants : une BIA actualisée et révisée annuellement, un PCA cartographié service par service, une cellule de continuité formée et exercée, un calendrier d'exercices conjoints PCA et cyber au minimum annuel.
La doctrine Twist appliquée au secteur public
Twist intervient depuis Nantes en Pays de la Loire et en Bretagne, avec des missions partout en France. Notre intervention auprès des administrations publiques articule concertation interne (méthode et acculturation des cadres et des agents), conception du PCA et de la BIA, articulation avec le PCA ministériel et NIS2, formation des cellules de continuité, conception et animation d'exercices PCA et cyber, RETEX administration après crise ou exercice. Toutes nos missions respectent le dialogue social et les spécificités du statut de la fonction publique.
Notre singularité tient à trois ancrages combinés. La concertation territoriale et interne (Maxime Sourdin, Morgane Ollier) : un PCA n'est jamais qu'une affaire de techniciens, il mobilise des cadres, des agents, des représentants du personnel, des partenaires. La stratégie d'organisation publique (Charlotte Zuckmeyer) : un PCA qui ne s'inscrit pas dans le fonctionnement réel de l'administration ne sera jamais activé. La doctrine de crise (Benoît Labalette) : la méthode opérationnelle des 7 réflexes, validée par la pratique, fait la différence entre la théorie et la réalité du terrain.
La plupart des administrations publiques ont déjà un PCA. L'enjeu n'est pas d'en écrire un de plus, c'est de le faire vivre. Un PCA testé service par service, articulé au PCA ministériel et au plan de cyberdéfense, approprié par les agents, les cadres, les usagers et les partenaires devient un vrai outil de continuité du service public. Notre travail est de réactiver les PCA existants par le dialogue et l'implication des agents.
Morgane Ollier et Charlotte Zuckmeyer, Twist / SCOPICCyberattaque ransomware sur une CAF départementale
Cas réel anonymisé. CAF d'un département de l'Ouest français, 1 200 agents, 280 000 allocataires. Attaque ransomware sur le SI métier en mars 2025, chiffrement de plusieurs serveurs critiques, fuite de données partielle. volet cyber du PCA actualisé en 2024 dans le cadre de la transposition NIS2, exercice PCA-cyber conjoints conduit avec Twist en novembre 2024.
Déroulé synthétique
J à 02h : détection de l'incident par le SOC. Activation cellule de crise cyber sous l'autorité du directeur et du RSSI. J à 04h : alerte précoce à l'ANSSI sous 24h puis notification complète sous 72h, sur le modèle des délais prévus par NIS 2. J à 06h : activation cellule PCA et bascule en mode dégradé pour les versements. Maintien des allocations en versement automatique grâce aux sauvegardes hors ligne. J+1 : communication aux 280 000 allocataires sur la continuité des versements. J+3 : ouverture limitée des accueils avec dispositifs papier de secours. J+7 : bascule sur SI de secours pour les téléservices prioritaires. J+21 : reprise complète du SI métier. J+90 : RETEX PCA-cyber conjoints animé par Twist avec direction, RSSI, services métiers, représentants du personnel et CNAF nationale.
Trois leviers décisifs. (1) PCA cyber articulé au plan de cyberdéfense en 2024 : les rôles RSSI, SG, cellule cyber et cellule PCA étaient cadrés. Les notifications ANSSI ont été déposées dans les trois fenêtres NIS2 (24h, 72h, 1 mois). (2) Sauvegardes hors ligne testées en exercice novembre 2024 : la bascule en mode dégradé a été activée en moins de 6 heures, les versements automatiques maintenus sans interruption. (3) Convention de continuité CNAF nationale : appui d'autres CAF mobilisé sous 48h pour le traitement des dossiers urgents.
Glossaire de la continuité du service public d'État
Quinze termes que tout secrétaire général, directeur ou responsable PCA doit maîtriser pour piloter la continuité d'activité d'une administration publique et dialoguer avec les tutelles, le SGDSN et l'ANSSI.
PCA
Plan de Continuité d'Activité. Document d'organisation interne décrivant comment l'administration maintient ses missions essentielles en situation dégradée. Obligatoire depuis le décret 2010-1170. Référence ISO 22301.
PCA ministériel
Plan de Continuité d'Activité Ministériel (sigle PCAM utilisé). Document élaboré par chaque ministère sous coordination SGDSN. Fixe la doctrine et les missions essentielles ministérielles. Les PCA des services déconcentrés et opérateurs le déclinent.
SGDSN
Secrétariat Général de la Défense et de la Sécurité Nationale. Service du Premier ministre. Pilote la doctrine nationale de continuité. Auteur de la circulaire de référence de 2013.
Décret 2010-1170
Décret du 4 octobre 2010 relatif au plan de continuité d'activité dans les administrations centrales et déconcentrées. Texte fondateur.
Circulaire SGDSN 2013
Circulaire du 2 août 2013 du SGDSN. Précise méthode, contenu et modalités d'élaboration d'un PCA administration.
ISO 22301
Norme internationale de management de la continuité d'activité. Référentiel pour les PCA. Exigences en analyse d'impact, stratégie, mise en oeuvre, amélioration.
NIS2
Directive européenne 2022/2555, transposition française non promulguée à ce jour. Imposera aux entités essentielles publiques des exigences cybersécurité renforcées et un volet cyber renforcé dans le PCA.
ANSSI
Agence Nationale de la Sécurité des Systèmes d'Information. Autorité nationale de cybersécurité. Acteur central pour les entités essentielles NIS2.
BIA
Business Impact Analysis. Étape fondatrice de tout PCA : cartographier les activités essentielles, identifier les ressources critiques, mesurer la DMIA.
Cellule de crise ministérielle
Cellule activée par un ministère en crise majeure. Coordonne la réponse ministérielle, articule avec le SGDSN et les services déconcentrés.
Services déconcentrés
Services de l'État implantés en région ou département (préfectures, DDT, DDTM, DREAL, DRAC, rectorats). Chacun élabore son PCA local.
Établissement public
Personne morale de droit public dotée de l'autonomie administrative et financière. CAF, CPAM, France Travail, ARS, universités, INRAE. Soumis à PCA.
Opérateur d'État
Organisme public ou privé exerçant une mission d'intérêt général sous tutelle de l'État. Souvent qualifié d'entité essentielle au sens NIS2.
RSSI
Responsable de la Sécurité des Systèmes d'Information. Fonction présente dans la majorité des administrations bien avant NIS2. La directive en a renforcé le positionnement institutionnel dans les entités essentielles.
Mode dégradé
Mode de fonctionnement réduit prévu par le PCA : missions essentielles maintenues, missions secondaires suspendues, ressources concentrées. Activé sur décision selon les seuils PCA.
Questions fréquentes des secrétaires généraux et directeurs
Une administration publique a-t-elle obligation d'avoir un PCA ?
Oui, depuis le décret 2010-1170 du 4 octobre 2010 et la circulaire SGDSN du 2 août 2013 sur le plan de continuité d'activité dans les administrations centrales et déconcentrées. Les administrations publiques, les services déconcentrés de l'État, les établissements publics et la plupart des opérateurs d'État doivent disposer d'un PCA s'appuyant sur le PCA ministériel de leur ministère de tutelle. La directive NIS2, dont la transposition française n'est pas promulguée à ce jour, prévoit en plus des exigences cybersécurité pour les entités essentielles publiques.
Quelle différence entre PCA ministériel et PCA ?
Le PCA ministériel est élaboré par chaque ministère sous la coordination du SGDSN. Il fixe la doctrine, les priorités stratégiques et les missions essentielles à maintenir au niveau ministériel. Le PCA (Plan de Continuité d'Activité) est élaboré par chaque service, établissement public ou opérateur, en déclinant le PCA ministériel à son périmètre opérationnel. Le PCA ministériel fixe la doctrine, le PCA la met en oeuvre. Les deux sont obligatoires et articulés.
Qui pilote la continuité dans une préfecture ou un établissement public ?
Le pilotage opérationnel revient au secrétaire général (pour une préfecture ou un ministère) ou au directeur (pour un établissement public). Il s'appuie sur un coordonnateur PCA dédié, un RSSI pour la dimension cyber, les chefs de service métiers. La cellule de continuité est activée par décision du préfet, du directeur d'établissement, ou du responsable d'astreinte selon les seuils prévus par le PCA. En crise majeure, le PCA est articulé au plan de cyberdéfense et au PCA ministériel.
Comment articuler PCA et plan de cyberdéfense ?
Trois leviers d'articulation. (1) Cartographie des activités essentielles partagée entre PCA et plan de cyberdéfense : une activité doit être prioritaire dans les deux ou aucun. (2) Procédures d'activation coordonnées : un incident cyber majeur déclenche à la fois la cellule de crise cyber et la cellule PCA. (3) Articulation ANSSI obligatoire pour les entités essentielles NIS2 : early warning sous 24h, notification complète sous 72h, rapport final sous un mois, partage d'IoC continu. Le RSSI siège dans la cellule PCA, le coordonnateur PCA est associé au plan de cyberdéfense.
Combien coûte un PCA pour une administration publique ?
Le coût dépend de la taille de l'administration, du nombre de missions essentielles à cartographier, du périmètre géographique, du niveau de maturité de départ. Pour un service déconcentré moyen (300 à 800 agents) : entre 30 000 et 80 000 euros pour un PCA complet (cartographie missions essentielles, BIA, scenarii, organisation, plan de communication, formation, premier exercice). Pour un grand établissement public (CAF départementale, université, ARS) : 60 000 à 150 000 euros. Pour une administration centrale : à partir de 100 000 euros. Cofinancements possibles via les programmes de transformation publique.
Quels exercices de continuité pour une administration publique ?
Trois formats complémentaires. (1) Exercice cadre service par service : 3 à 4 heures, chefs de service et agents clés, scénario impactant un service précis (état civil, versements, accueil), décisions simulées. (2) Exercice cadre transverse de continuité : 4 à 6 heures, secrétaire général, RSSI, chefs de service, communication, scénario cyber ou panne SI prolongée, plusieurs services en cascade. (3) Exercice multi-acteurs avec administration centrale, partenaires interministériels, opérateurs : tous les 3 à 5 ans, scénario réaliste (cyberattaque massive, défaillance opérateur télécoms, crise sanitaire). Twist conçoit et anime ces trois formats.
Quelle articulation entre administration centrale et services déconcentrés ?
L'administration centrale (ministère, direction nationale) élabore le PCA ministériel et la doctrine de continuité, fixe les priorités stratégiques nationales, pilote la cellule de crise ministérielle quand elle est activée. Les services déconcentrés (préfectures, DDT, DREAL, DRAC, etc.) déclinent le PCA ministériel dans leur PCA local, pilotent la continuité de leurs missions sur leur ressort géographique, remontent l'information à la centrale et s'articulent avec les acteurs territoriaux (collectivités, opérateurs, partenaires). La crise se gère au plus près du terrain avec un cadrage central.
Twist intervient-il dans les administrations publiques ?
Oui. Twist accompagne les services déconcentrés de l'État (préfectures, DDT, DDTM), les établissements publics (CAF, ARS, universités, opérateurs), les administrations centrales sur quatre familles de missions. (1) Cartographie des missions essentielles et BIA. (2) Conception ou réactivation du PCA, articulé au PCA ministériel. (3) Formation des cellules de continuité et des chefs de service. (4) Conception et animation d'exercices PCA et de cyber-exercices conjoints. Toutes nos missions sont menées en concertation avec les agents et dans le respect du dialogue social.
Nous intervenons dans les neuf départements de Bretagne et des Pays de la Loire, depuis Nantes.
Saint-Brieuc · Quimper · Rennes · Vannes · Nantes · Angers · Laval · Le Mans · La Roche-sur-Yon · toutes nos zones d'intervention
Concevoir, réactiver ou exercer votre PCA administration ?
Premier échange téléphonique sans engagement de 30 minutes pour cadrer votre besoin : création ou réactivation de PCA, BIA, articulation NIS2 et plan de cyberdéfense, exercice de continuité, RETEX. Discrétion absolue, NDA signé dès le lancement de la mission.
Échangez avec l'équipe Twist sur votre projet PCA administration.