ISO 22301 pour informatique : prouver que vos services continuent de tourner

Un prestataire informatique héberge, exploite ou développe des systèmes dont dépendent les clients. Lorsque votre plateforme s'arrête, la facturation, la logistique ou le service client de votre client s'arrêtent aussi. Le service achats le sait et le formule dans son questionnaire fournisseur : existe-t-il un plan de continuité, a-t-il été testé, qui le pilote ?

Dans un appel d'offres, la question prend souvent la forme d'un critère éliminatoire ou d'une case de notation. Répondre « oui, nous avons un plan » ne suffit pas toujours. Un certificat avec un numéro et une page de vérification publique évite les allers-retours de pièces justificatives et raccourcit l'étape de qualification.

Les clients du secteur financier, de la santé ou de l'énergie transmettent cette exigence à leurs sous-traitants. Si vous travaillez pour eux, même indirectement, la demande vous atteindra tôt ou tard.

• La norme ISO 22301 en détail

ISO 22301 ne parle pas de technique pure. Elle demande à l'entreprise de savoir ce qui doit continuer en cas de perturbation, et dans quel délai. Pour une société informatique, les points sensibles se répètent d'une entreprise à l'autre.

Hébergement et cloud

Panne d'un centre de calcul ou d'un fournisseur cloud. Le plan décrit le basculement vers un autre site ou une autre région et qui le déclenche.

Sauvegarde et restauration

Une sauvegarde qui n'a jamais été restaurée reste une hypothèse. La norme pousse à tester la restauration et à fixer la perte de données acceptable.

Support et service desk

Si le système de tickets tombe, les clients ne peuvent plus vous joindre. Un canal de secours, par exemple une ligne téléphonique dédiée, fait partie du plan.

Développement et déploiement

Un dépôt de code inaccessible ou une chaîne de déploiement compromise bloque les correctifs. Le plan prévoit un accès alternatif et un retour arrière.

Fournisseurs critiques

Fournisseur d'accès, éditeur de licences, sous-traitant de développement : la dépendance est identifiée et une solution de remplacement est envisagée.

Personnes clés

Un seul administrateur connaît le système central. Absence, maladie ou pandémie : la suppléance est nommée et documentée.

Les exigences de la norme suivent un ordre logique. Voici ce que chacune représente concrètement dans une PME informatique.

1. 01

   Bilan d'impact sur l'activité

   Vous listez vos services (hébergement, support, développement, infogérance) et classez ceux dont l'arrêt coûte le plus cher au client.

2. 02

   Délais de reprise et pertes de données

   Pour chaque service prioritaire, vous fixez le RTO et le RPO. Ces valeurs viennent du bilan d'impact, pas d'un modèle.

3. 03

   Appréciation des risques

   Vous évaluez les scénarios de perturbation : panne électrique, cyberattaque, départ d'un expert, défaillance d'un fournisseur.

4. 04

   Stratégies de continuité

   Vous choisissez les solutions : réplication, site de secours, contrat de support de remplacement, procédure manuelle.

5. 05

   Plans et organisation de crise

   Un plan écrit, un responsable de crise, une liste de contacts à jour et un canal de communication qui ne dépend pas du système en panne.

6. 06

   Exercices et amélioration

   Vous simulez une panne, notez ce qui a échoué et corrigez le plan. Cette boucle correspond aux chapitres 9 et 10 de la structure de la norme.

Le tableau ci-dessous illustre la logique de décision. Les valeurs sont des exemples à remplacer par celles issues de votre propre bilan d'impact.

Le parcours commence par une auto-évaluation en ligne de 34 questions auxquelles vous répondez par oui ou non. Treize d'entre elles sont obligatoires : toutes doivent recevoir un oui. Ce sont les questions centrales de l'évaluation, elles ne couvrent pas chaque exigence de la norme. Parmi les 21 autres, 14 réponses oui au minimum sont requises.

SICE (Swiss Institute of Certification and Education) examine chaque évaluation. Après réussite et paiement, Zertify émet le certificat sous licence de SICE dans un délai de 4 heures. Le PDF porte un numéro et un code QR qui mènent à une page de vérification publique : votre client contrôle l'authenticité sans vous écrire.

Le prix est de 749 CHF la première année, puis 499 CHF par an, re-audit en ligne inclus. Le certificat est valable 3 ans et confirmé chaque année par ce court re-audit. L'abonnement est annuel, résiliable à tout moment pour la fin de l'année en cours depuis votre compte. En cas de résiliation, le certificat prend fin avec l'année payée. Pour deux normes, le rabais est de 20 %, à partir de trois normes de 30 %, y compris sur la cotisation annuelle. Les prix incluent la TVA suisse de 8,1 % pour la Suisse et le Liechtenstein. Aucun compte n'est nécessaire pour l'achat.

• Démarrer l'auto-évaluation gratuite
• Voir les tarifs
• Page de la norme ISO 22301

La voie classique passe par un audit sur site réalisé par un organisme de certification. Elle convient si un client ou un appel d'offres l'exige explicitement. Elle demande plus de temps d'organisation et un budget plus élevé.

Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site. Il convient lorsque vous devez remplir un questionnaire fournisseur ou répondre à un appel d'offres rapidement. Vérifiez dans les documents de l'appel d'offres ce qui est demandé, puis comparez les deux voies.

• Comparer les voies de certification
• Certification sans audit sur site