Plan de résilience des entités critiques
Nous accompagnons les opérateurs et les entités critiques dans la construction de leur plan de résilience, dans le cadre de la directive européenne sur la résilience des entités critiques et de la révision du dispositif national de sécurité des activités d'importance vitale.
De la protection à la résilience
La directive européenne 2022/2557 sur la résilience des entités critiques, dite directive REC, adoptée le 14 décembre 2022, remplace la directive de 2008 sur les infrastructures critiques. Elle fait passer d'une logique de protection à une approche de résilience tous risques, couvrant les risques naturels, technologiques et sanitaires, ainsi que le terrorisme, le sabotage et les menaces hybrides, sur onze secteurs essentiels.
En France, la transposition révise le dispositif de sécurité des activités d'importance vitale en vigueur depuis 2006, en conservant les notions de point d'importance vitale et de système d'information d'importance vitale, en élargissant le périmètre à de nouveaux secteurs, et en introduisant un plan de résilience opérateur et un plan particulier de résilience par point d'importance vitale. Nous aidons les entités concernées à anticiper ces obligations et à bâtir un dispositif réellement opérationnel.
Ce que couvre le plan de résilience
- Analyse tous risquesRisques naturels, technologiques, sanitaires, terrorisme, sabotage et menaces hybrides.
- Mesures de résiliencePrévention, protection, continuité et rétablissement des services essentiels.
- Gouvernance de la résilienceResponsabilités, point de contact avec les autorités, culture de la résilience.
- Volet cyberArticulation avec NIS2 et la sécurité des systèmes d'information d'importance vitale.
- Notification des incidentsDétection et notification des incidents significatifs aux autorités.
Le cadre et les obligations
La directive REC impose aux entités critiques une démarche structurée de résilience, réévaluée régulièrement.
La directive REC
La directive (UE) 2022/2557 renforce la résilience des entités critiques face à un large éventail de menaces, sur onze secteurs essentiels.
L'entité critique
Organisation, publique ou privée, fournissant un service essentiel au fonctionnement de la société ou de l'économie, désignée par l'État.
L'approche résilience
Le passage d'une logique de protection à une approche tous risques : résister, absorber, s'adapter et se rétablir.
Le plan de résilience opérateur
Le plan de résilience opérateur détaille les mesures de résilience de l'entité, en évolution du plan de sécurité d'opérateur.
Le plan particulier de résilience
Un plan particulier de résilience est établi pour chaque point d'importance vitale.
L'articulation NIS2 et DORA
Le volet cyber s'articule avec la directive NIS2 et, pour le secteur financier, avec le règlement DORA.
Notre accompagnement
Une démarche structurée, de l'évaluation de la maturité au maintien en conditions.
Diagnostic de maturité et cadrage
Évaluation de l'exposition, du périmètre concerné et de l'écart aux obligations de la directive.
Analyse des risques tous risques
Identification des menaces et des vulnérabilités, y compris climatiques et hybrides, sur les services essentiels.
Élaboration du plan de résilience
Rédaction du plan de résilience opérateur et des plans particuliers de résilience, mesures et procédures.
Exercices et gouvernance
Mise en place de la gouvernance, formation des équipes, exercices de crise et de continuité.
Maintien, notification et RETEX
Réévaluation périodique, dispositif de notification des incidents et retour d'expérience.
Un mouvement européen
La directive devait être transposée avant le 17 octobre 2024, et plusieurs États l'ont déjà fait.
Une échéance européenne
La directive devait être transposée avant le 17 octobre 2024, et les États doivent identifier leurs entités critiques d'ici juillet 2026.
Des pays déjà transposés
L'Italie, la Belgique, les Pays-Bas, la Finlande, la Croatie et la Grèce figurent parmi les États ayant adopté leur loi de transposition.
La France en cours
La loi française de transposition, adoptée au Sénat en mars 2025, révise le dispositif des activités d'importance vitale.
Le cadre de référence
Anticiper vos obligations de résilience
Décrivez votre organisation et votre secteur. Un consultant vous recontacte pour cadrer votre plan de résilience et anticiper la transposition de la directive REC.
assistance opérationnelle 24h/24 · +33 (0)1 47 33 03 12