ISO 22301 : la norme du management de la continuité d'activité

Le titre complet de la norme est ISO 22301:2019, Sécurité et résilience — Systèmes de management de la continuité d'activité — Exigences. Selon sa présentation publique sur le site de l'ISO, elle fournit un cadre pour mettre en place, faire fonctionner, surveiller et améliorer en continu un système de management documenté, afin de se préparer aux incidents perturbateurs, d'en réduire la probabilité, d'y répondre et de s'en rétablir.

C'est une norme d'exigences : elle dit ce qu'il faut avoir (une politique, des objectifs, un bilan d'impact, des plans testés…) sans imposer la manière de le faire. C'est aussi la seule de la famille qui permette une certification. Les autres documents de la série donnent des conseils de mise en œuvre.

La première édition date de 2012. Elle a été remplacée par la deuxième édition, publiée en octobre 2019, qui reste la version en vigueur. En 2024, l'ISO a publié un amendement (ISO 22301:2019/Amd 1:2024) qui ajoute la prise en compte du changement climatique, comme pour de nombreuses normes de systèmes de management ; il complète la norme sans en changer les exigences existantes.

La page de la norme indique qu'à l'issue de son réexamen systématique, mené d'octobre 2024 à mars 2025, l'ISO a décidé en décembre 2025 de la réviser. Une nouvelle version est en cours d'élaboration ; tant qu'elle n'est pas publiée, la version 2019 amendée reste celle sur laquelle on se fait certifier. La norme de lignes directrices ISO 22313 est elle aussi entrée en révision en 2026.

Comme ISO 27001 ou ISO 9001, ISO 22301 suit la structure commune des normes de systèmes de management : les articles 1 à 3 posent le domaine d'application, les références et les définitions ; les exigences commencent à l'article 4. Cette structure est publique et se résume ainsi :

L'article 8 décrit ce que l'on fait concrètement. Ses sous-articles s'enchaînent dans un ordre logique, que reprennent les chapitres de ce guide :

1. Planification et maîtrise opérationnelles (8.1) : organiser et contrôler les processus nécessaires.
2. Bilan d'impact sur l'activité et appréciation des risques (8.2) : identifier les activités prioritaires, leurs délais de reprise et les ressources dont elles dépendent, puis les risques de perturbation. Voir notre chapitre bilan d'impact sur l'activité.
3. Stratégies et solutions de continuité (8.3) : choisir comment tenir les délais fixés (site de repli, redondance, procédures manuelles, second fournisseur…), puis mettre ces solutions en œuvre.
4. Plans et procédures (8.4) : structure de réponse, alerte et communication, plans de continuité et de reprise. Voir nos chapitres plan de reprise d'activité et gestion de crise cyber.
5. Programme d'exercices (8.5) : vérifier régulièrement que les plans fonctionnent et que les équipes savent les appliquer. Voir notre chapitre exercice de crise cyber.
6. Évaluation de la documentation et des capacités (8.6) : vérifier que les plans restent adaptés, y compris ceux qui reposent sur des partenaires et fournisseurs.

La norme ne fixe pas d'ordre, mais ses exigences s'enchaînent naturellement. Une démarche type se déroule ainsi :

1. Obtenir l'engagement de la direction et définir le périmètre : quels sites, quelles activités, quels produits ou services (articles 4 et 5).
2. Mener le bilan d'impact sur l'activité pour classer les activités, fixer leurs délais de reprise et recenser leurs ressources, puis apprécier les risques de perturbation (8.2).
3. Choisir les stratégies et solutions de continuité qui permettent de tenir ces délais, et les mettre en place (8.3).
4. Rédiger les plans et procédures : alerte, cellule de crise, plan de continuité d'activité (PCA), plan de reprise d'activité (8.4).
5. Tester les plans par un programme d'exercices progressif, du test sur table à la simulation grandeur nature (8.5).
6. Évaluer et améliorer : indicateurs, audit interne, revue de direction, actions correctives (articles 9 et 10), puis, si l'organisation le souhaite, audit de certification.

Les étapes 2 à 5 produisent le contenu opérationnel ; les étapes 1 et 6 en font un système qui dure. C'est cette boucle qui distingue un SMCA conforme à ISO 22301 d'un PCA rédigé une fois puis rangé.

ISO 27001 traite la sécurité de l'information ; ISO 22301 traite la continuité des activités, quelle que soit la cause de la perturbation. Les deux partagent la même structure, ce qui permet de mutualiser beaucoup d'éléments : revue de direction, audits internes, gestion documentaire, traitement des non-conformités.

Une organisation qui dispose déjà d'un SMSI certifié ISO 27001 a fait une partie du chemin : l'annexe A d'ISO 27001 comporte déjà des mesures sur la sécurité de l'information pendant une perturbation et sur la préparation des technologies de l'information et de la communication (TIC) à la continuité. ISO 22301 élargit le regard aux activités elles-mêmes et aux causes non informatiques.

La certification est délivrée par un organisme de certification accrédité (en France, généralement par le Cofrac, l'instance nationale d'accréditation), après un audit initial en deux étapes : la première vérifie la documentation et l'état de préparation, la seconde l'application effective du système. Les règles communes à ces organismes, fixées par la norme ISO/IEC 17021-1, prévoient un cycle de certification de trois ans : un audit de surveillance chaque année, puis un audit de renouvellement avant l'échéance du certificat.

Elle n'est pas obligatoire, y compris pour les entités soumises à NIS 2 ou à DORA : ces textes demandent des résultats (continuité, sauvegardes, gestion de crise, tests), pas une certification. Mais suivre la structure d'ISO 22301 est un moyen éprouvé de démontrer qu'on les obtient, et un certificat rassure clients et partenaires.