Un service des urgences qui perd l’accès à son dossier patient informatisé pendant six heures gère une contrariété. Le même service, privé de réseau trois jours, gère une rupture de soin. C’est la différence que la plupart des PCA ne mesurent jamais, pensés pour une coupure courte, pas pour une panne qui s’installe.
La réponse la plus courante consiste à s’appuyer sur un backup 4G : une deuxième connexion, souvent chez un opérateur différent, qui prend le relais si la ligne principale tombe. Ce mécanisme fonctionne bien sur une interruption courte et localisée. Sa limite apparaît quand la cause de la panne n’est pas propre à un seul opérateur — sinistre régional, saturation partagée, incident sur une antenne mutualisée — auquel cas le backup subit le même sort que la ligne qu’il devait remplacer.
Un réseau indépendant des opérateurs terrestres répond différemment. Com-IP déploie un backhaul dédié via liaison satellite, avec un SLA documenté et un déploiement en quelques dizaines de minutes via une valise de déploiement rapide, sans partager d’infrastructure physique avec les réseaux fixes ou mobiles locaux.
Cette question s’adresse en priorité à un DSIH hospitalier soumis au programme HOP’EN, à un responsable SIC de SDIS dont le réseau de secours doit tenir quand tout s’effondre, à un DGS responsable de son Plan Communal de Sauvegarde, ou à un DSI en environnement industriel critique — site classé, énergie, maritime — pour qui une panne prolongée n’est jamais un désagrément logistique, mais une rupture de mission.
Un plan de continuité d’activité documente comment un établissement maintient ses opérations critiques malgré une interruption réseau, avec un RTO — délai maximal acceptable avant reprise — et un RPO — perte de données tolérable. Ces chiffres rassurent une direction sur le papier. Ils ne disent rien sur la capacité réelle du dispositif de secours à tenir dans la durée, ni sur son indépendance vis-à-vis de la cause initiale de la panne.
HOP’EN fixe des exigences de continuité pour les systèmes d’information hospitaliers, sans préciser si le dispositif de secours partage ou non l’infrastructure du réseau principal. Un établissement peut cocher la case conformité tout en restant exposé au même point de défaillance.
Prenons un établissement dont le backup repose sur une deuxième ligne opérateur installée dans le même local technique que la ligne principale. Le jour où l’incident touche ce local — dégât des eaux, coupure électrique, sinistre sur l’armoire de brassage — les deux lignes tombent ensemble. Dossier patient, pharmacie et urgences basculent en mode dégradé papier, non pour quelques heures mais pour la durée de réparation de l’infrastructure physique.
Un SDIS départemental construit sa doctrine de continuité sur l’hypothèse que son réseau de secours prend le relais si les moyens habituels sont indisponibles. Cette hypothèse ne tient que si le réseau de secours ne recoupe à aucun moment l’infrastructure qu’il remplace.
Lors d’un événement climatique majeur touchant plusieurs communes, antennes-relais et relais radio dédiés aux secours peuvent partager les mêmes points hauts ou la même alimentation électrique locale. Si ce point commun est endommagé, le responsable SIC coordonne une intervention de plusieurs jours avec un moyen de secours qui a subi la même défaillance que le réseau principal — au moment où la coordination compte le plus.
Le PCS engage la responsabilité du DGS sur le maintien des communications avec la préfecture, les services de secours et la population en crise. Sur une commune isolée ou en zone rurale, cette continuité dépend souvent d’une seule infrastructure télécom locale. Un DGS qui gère une crise de plusieurs jours — inondation, feu de forêt, événement climatique majeur — découvre parfois que sa mairie ne peut plus joindre la préfecture précisément au moment où le PCS prévoit l’inverse, parce que la procédure documentée n’a jamais vérifié que le moyen technique retenu résiste à une coupure prolongée.
Un DSI ou responsable infrastructure sur un site classé, une exploitation énergétique ou une flotte maritime hérite d’une contrainte que peu de PCA d’entreprise classique anticipent : le réseau soutient la bureautique, mais aussi la remontée d’alerte sécurité et la supervision d’exploitation.
Sur un site industriel isolé, supervision et alerte sécurité transitent souvent par la même liaison réseau que les usages courants. Si cette liaison tombe plusieurs jours, l’exploitant perd la visibilité sur sa production et sa capacité d’alerte — deux fonctions que le PCA traite pourtant comme indépendantes.
Pour un armateur ou une exploitation offshore, l’absence de réseau terrestre est la norme. Le PCA doit prévoir une connectivité indépendante de toute infrastructure côtière, faute de quoi la continuité opérationnelle repose sur une hypothèse déjà caduque en mer.
Une clinique privée ou un EHPAD dispose rarement des moyens IT d’un CHU. Le dispositif de secours retenu est souvent une solution standard, choisie pour son coût plutôt que pour son indépendance réelle, jamais testée en conditions dégradées. Pour des résidents dépendants d’une supervision médicale continue, une panne de plusieurs jours ne se traduit pas par une gêne organisationnelle mais par une perte de suivi direct — ce qui change la nature du risque à couvrir.
La seule vérification fiable consiste à tester le dispositif de secours en conditions réelles, sur une durée représentative d’une panne prolongée, plutôt que de se fier à sa documentation. Un test doit confirmer que le réseau de secours s’active, mais surtout qu’il reste stable plusieurs jours sans dépendre du réseau principal ni de son infrastructure sous-jacente — hôpital, SDIS, mairie ou site industriel.
Un réseau indépendant repose sur une infrastructure qui ne recoupe à aucun moment les réseaux fixes ou mobiles locaux — typiquement une liaison satellite avec un backhaul dédié. Ce dispositif reste opérationnel même si l’incident touche l’intégralité des télécommunications terrestres d’une zone, ce qu’aucune combinaison d’opérateurs mobiles ne peut garantir seule.
Un PCA documenté rassure sur le papier. Sa valeur réelle ne se révèle qu’au moment précis où l’établissement en a besoin — et c’est le pire moment pour découvrir qu’il repose sur une redondance apparente plutôt que réelle.
Hôpital, SDIS, mairie, site industriel ou EHPAD : le point commun entre ces cinq profils n’est pas le secteur, c’est la nature de ce qui est en jeu quand le réseau tombe plusieurs jours. Pas une gêne organisationnelle, mais une rupture de mission — soin, secours, coordination de crise, sécurité d’exploitation ou suivi de personnes vulnérables. Un PCA qui n’a jamais été testé en conditions dégradées ne protège contre aucun de ces risques : il documente une intention, pas une garantie.
La question à se poser n’est donc pas de savoir si le PCA existe, mais s’il a déjà été mis à l’épreuve d’une panne qui dure — et s’il repose sur un réseau qui ne partage aucun point de défaillance avec celui qu’il est censé remplacer. C’est cette vérification, faite avant la crise plutôt que pendant, qui distingue un plan de continuité sur le papier d’une continuité qui tient réellement le jour où elle est sollicitée.
Non, il fixe des exigences de continuité sans préciser si le dispositif de secours doit être physiquement indépendant du réseau principal.
Oui, si les deux infrastructures partagent un point commun — antenne, alimentation, point haut — un incident local peut affecter les deux simultanément.
Il documente une procédure, mais ne garantit sa tenue que si le moyen technique retenu résiste à une coupure prolongée de l'infrastructure locale.
Oui, une panne prolongée y affecte directement le suivi de patients vulnérables, ce qui justifie un dispositif testé, pas seulement documenté.
Oui, avec une contrainte de plus : le réseau y soutient à la fois supervision d'exploitation et alerte sécurité, rendant une panne prolongée d'autant plus critique.
En identifiant s'il partage une infrastructure physique commune avec le réseau principal, puis en le testant sur une durée représentative d'une panne prolongée.