Structure de réponse aux incidents (ISO 22301)

Définition

La structure de réponse aux incidents, exigence de la norme ISO 22301, désigne l'organisation formalisée que met en place une entité pour gérer une perturbation affectant ses activités, généralement articulée autour de plusieurs niveaux hiérarchiques et fonctionnels : une cellule de crise stratégique, réunissant la direction générale et chargée des décisions les plus structurantes comme la communication publique ou l'arbitrage entre priorités concurrentes, une cellule tactique, chargée de la coordination opérationnelle du plan de continuité entre les différentes fonctions de l'organisation, et des équipes opérationnelles, chargées de la mise en œuvre concrète des mesures de continuité sur le terrain, comme le basculement technique vers un site de secours informatique. La norme impose que les rôles, responsabilités et autorités de chacune de ces structures soient clairement définis et documentés en amont de toute crise réelle, incluant les modalités précises d'activation, les critères de déclenchement d'une escalade vers un niveau supérieur, et les suppléances prévues en cas d'indisponibilité des titulaires habituels de ces fonctions. Cette structure de réponse doit être régulièrement testée dans le cadre du programme d'exercice de continuité de l'organisation, l'expérience montrant qu'une structure théoriquement bien conçue mais jamais éprouvée en situation réaliste échoue fréquemment lors de la survenance effective d'un incident majeur, en raison notamment de la confusion des rôles sous la pression du temps.