ISO 22301 : le système de management de la continuité d'activité

Le titre complet de la norme est ISO 22301:2019, Sécurité et résilience — Systèmes de management de la continuité d'activité — Exigences. Selon sa présentation publique sur le site de l'ISO, elle fournit un cadre pour mettre en place, faire fonctionner, surveiller et améliorer en continu un système de management documenté, afin de se préparer aux incidents perturbateurs, d'en réduire la probabilité, d'y répondre et de s'en rétablir.

C'est une norme d'exigences : elle dit ce qu'il faut avoir (une politique, des objectifs, un bilan d'impact, des plans testés…) sans imposer la manière de le faire. C'est aussi la seule de la famille qui permette une certification. Les autres documents de la série donnent des conseils de mise en œuvre.

La première édition date de 2012. Elle a été remplacée par la deuxième édition, publiée en octobre 2019, qui reste la version en vigueur. En 2024, l'ISO a publié un amendement (ISO 22301:2019/Amd 1:2024) qui ajoute la prise en compte du changement climatique, comme pour de nombreuses normes de systèmes de management ; il complète la norme sans en changer les exigences existantes.

La page de la norme indique qu'à l'issue de son réexamen systématique, mené d'octobre 2024 à mars 2025, l'ISO a décidé en décembre 2025 de la réviser. Une nouvelle version est en cours d'élaboration ; tant qu'elle n'est pas publiée, la version 2019 amendée reste celle sur laquelle on se fait certifier. La norme de lignes directrices ISO 22313 est elle aussi entrée en révision en 2026.

Comme ISO 27001 ou ISO 9001, ISO 22301 suit la structure commune des normes de systèmes de management : les articles 1 à 3 posent le domaine d'application, les références et les définitions ; les exigences commencent à l'article 4. Cette structure est publique et se résume ainsi :

L'article 8 décrit ce que l'on fait concrètement. Ses sous-articles s'enchaînent dans un ordre logique, que reprennent les chapitres de ce guide :

1. Planification et maîtrise opérationnelles (8.1) : organiser et contrôler les processus nécessaires.
2. Bilan d'impact sur l'activité et appréciation des risques (8.2) : identifier les activités prioritaires, leurs délais de reprise et les ressources dont elles dépendent, puis les risques de perturbation. Voir notre chapitre bilan d'impact sur l'activité.
3. Stratégies et solutions de continuité (8.3) : choisir comment tenir les délais fixés (site de repli, redondance, procédures manuelles, second fournisseur…), puis mettre ces solutions en œuvre.
4. Plans et procédures (8.4) : structure de réponse, alerte et communication, plans de continuité et de reprise. Voir nos chapitres plan de reprise d'activité et gestion de crise cyber.
5. Programme d'exercices (8.5) : vérifier régulièrement que les plans fonctionnent et que les équipes savent les appliquer. Voir notre chapitre exercice de crise cyber.
6. Évaluation de la documentation et des capacités (8.6) : vérifier que les plans restent adaptés, y compris ceux qui reposent sur des partenaires et fournisseurs.

ISO 27001 traite la sécurité de l'information ; ISO 22301 traite la continuité des activités, quelle que soit la cause de la perturbation. Les deux partagent la même structure, ce qui permet de mutualiser beaucoup d'éléments : revue de direction, audits internes, gestion documentaire, traitement des non-conformités.

Une organisation qui dispose déjà d'un SMSI certifié ISO 27001 a fait une partie du chemin : l'annexe A d'ISO 27001 comporte déjà des mesures sur la sécurité de l'information pendant une perturbation et sur la préparation des technologies de l'information et de la communication (TIC) à la continuité. ISO 22301 élargit le regard aux activités elles-mêmes et aux causes non informatiques.

La certification est délivrée par un organisme de certification accrédité, après un audit en deux temps (revue documentaire puis audit sur site). Le certificat est ensuite suivi par des audits de surveillance et renouvelé périodiquement, selon les règles de l'organisme et de son accréditation.

Elle n'est pas obligatoire, y compris pour les entités soumises à NIS 2 ou à DORA : ces textes demandent des résultats (continuité, sauvegardes, gestion de crise, tests), pas une certification. Mais suivre la structure d'ISO 22301 est un moyen éprouvé de démontrer qu'on les obtient, et un certificat rassure clients et partenaires.