Résilience organisationnelle et résilience des entités critiques : anticiper, absorber, rebondir

De la conformité réglementaire à la capacité stratégique — le rôle décisif de la communication

Sortir de l’illusion de la continuité

Pendant longtemps, les organisations ont fonctionné sur un présupposé implicite : celui de la stabilité. On préparait des plans, on optimisait des chaînes d’approvisionnement au plus juste, on lissait les coûts, et l’on considérait la perturbation majeure comme une anomalie statistique, un accident dont on se remettrait vite. Les dernières années ont balayé cette croyance. Pandémie mondiale, tensions géopolitiques, cyberattaques par rançongiciel, ruptures de chaînes logistiques, événements climatiques extrêmes, défaillances énergétiques : les chocs ne surviennent plus isolément mais s’enchaînent, se combinent et se propagent d’un secteur à l’autre analyse l’expert en communication de crise Florian Silnicki, Président Fondateur de l’agence LaFrenchCom. Nous sommes entrés dans l’ère de la « polycrise », où la perturbation n’est plus l’exception mais la toile de fond permanente de l’activité.

Face à ce basculement, un mot s’est imposé dans le vocabulaire des dirigeants, des régulateurs et des experts : la résilience. Mais ce terme recouvre en réalité deux mouvements distincts qui, aujourd’hui, convergent. D’un côté, la résilience organisationnelle, concept issu des sciences de gestion, qui désigne la capacité d’une organisation à survivre et à prospérer dans un environnement instable. De l’autre, la résilience des entités critiques, notion qui s’est imposée par le droit, portée à l’échelle européenne pour sécuriser les infrastructures et services dont dépend le fonctionnement même de nos sociétés.

Comprendre l’articulation entre ces deux dimensions — l’une managériale et volontaire, l’autre réglementaire et contraignante — est devenu un enjeu stratégique de premier plan. Et au cœur de cette articulation se joue une dimension trop souvent reléguée au second rang : la communication. Car une organisation ne se contente pas de résister techniquement à un choc ; elle doit aussi préserver la confiance de ses parties prenantes, coordonner ses acteurs, informer les autorités et reconstruire son récit. La résilience se pense, s’organise — et se communique.

La résilience organisationnelle : d’une posture défensive à une capacité stratégique

Au-delà de la gestion des risques

La résilience organisationnelle ne se réduit ni à la gestion des risques, ni au plan de continuité d’activité, même si elle les englobe. Là où la gestion des risques cherche à identifier et à réduire des menaces connues, et où la continuité d’activité vise à maintenir les fonctions essentielles pendant une interruption, la résilience embrasse une ambition plus large : la capacité de l’organisation à absorber les chocs, à s’adapter aux transformations de son environnement et à en ressortir renforcée. La norme internationale ISO 22316, publiée en 2017 et consacrée à la résilience organisationnelle, la définit précisément comme l’aptitude d’une organisation à absorber les perturbations et à s’y adapter dans un environnement changeant, afin de continuer à atteindre ses objectifs, de survivre et de prospérer.

Cette définition déplace le curseur. Il ne s’agit plus seulement de « tenir » face à l’adversité, mais de conserver une capacité d’action et de développement. Le théoricien Nassim Nicholas Taleb a popularisé une distinction éclairante entre trois postures : le fragile, qui se brise sous le stress ; le robuste, qui résiste sans changer ; et l’antifragile, qui se renforce sous l’effet du désordre. La résilience se situe entre la robustesse et l’antifragilité : elle suppose de plier sans rompre, mais aussi d’apprendre et de se réorganiser.

Les quatre capacités du cycle de résilience

On peut décomposer la résilience organisationnelle en quatre capacités successives et interdépendantes, qui forment un cycle continu :

Anticiper. Détecter les signaux faibles, cartographier les vulnérabilités, imaginer des scénarios de rupture avant qu’ils ne surviennent. L’anticipation ne consiste pas à prédire l’avenir, exercice illusoire, mais à développer une vigilance organisée et une capacité à envisager l’impensable.

Résister. Absorber le choc lorsqu’il se produit, maintenir les fonctions vitales, protéger les personnes, les actifs et les données. C’est le temps de la réponse immédiate, où la préparation antérieure fait toute la différence.

S’adapter. Réagir de manière souple, réallouer les ressources, improviser intelligemment lorsque les plans préétablis se révèlent insuffisants. Aucun plan ne survit intact au contact du réel ; la résilience se mesure à la capacité d’ajustement en temps réel.

Apprendre et rebondir. Restaurer les capacités, tirer les enseignements de la crise, et transformer l’épreuve en occasion d’amélioration durable. Une organisation résiliente ne revient pas à son état antérieur : elle intègre l’expérience pour renforcer sa préparation future.

Une culture avant d’être un dispositif

L’apport majeur de la norme ISO 22316 est de rappeler que la résilience n’est pas d’abord une affaire de procédures, mais de culture, de gouvernance et de comportements. Elle identifie plusieurs attributs qui distinguent les organisations résilientes : une vision et une raison d’être partagées, un leadership engagé et responsabilisant, une culture qui soutient la résilience, le partage de l’information et des connaissances, la disponibilité des ressources, la coordination des différentes disciplines de gestion et une démarche d’amélioration continue. Autrement dit, la résilience se construit dans le tissu même de l’organisation, dans sa capacité à faire circuler l’information, à décider vite et à faire confiance à ses équipes. On ne l’achète pas sur étagère ; on la cultive.

La résilience des entités critiques : l’irruption d’un cadre réglementaire européen

Du recensement des infrastructures à une logique de résilience

Si la résilience organisationnelle relève d’une démarche largement volontaire, la résilience des entités critiques procède, elle, d’une obligation. L’Union européenne a en effet fait de la sécurisation des infrastructures essentielles une priorité, tirant les leçons de la pandémie de Covid-19 — qui a révélé la fragilité des chaînes d’approvisionnement — et du durcissement du contexte géopolitique.

Le texte central en la matière est la directive (UE) 2022/2557 du 14 décembre 2022 sur la résilience des entités critiques, dite directive « REC ». Elle remplace une première directive de 2008 qui se contentait de recenser et de désigner les infrastructures critiques européennes. Le changement de philosophie est fondamental : on passe d’une logique de protection — défendre un périmètre contre des menaces identifiées — à une logique de résilience, plus large, qui vise à garantir la continuité de la fourniture des services essentiels face à des risques de toute nature, qu’ils soient d’origine naturelle, accidentelle, humaine ou malveillante.

La directive REC couvre onze secteurs jugés vitaux pour le fonctionnement du marché intérieur : l’énergie, les transports, le secteur bancaire, les infrastructures des marchés financiers, la santé, l’eau potable, les eaux résiduaires, les infrastructures numériques, l’administration publique, l’espace, ainsi que la production, la transformation et la distribution des denrées alimentaires. Dans ces secteurs, les États membres doivent identifier et désigner les « entités critiques » — organisations publiques ou privées dont la défaillance aurait des effets perturbateurs importants. Une fois désignées, ces entités se voient imposer des obligations concrètes : réaliser des évaluations des risques, prendre des mesures techniques et organisationnelles pour renforcer leur résilience, et notifier les incidents significatifs.

Un triptyque réglementaire : REC, NIS2 et DORA

La directive REC ne se lit pas isolément. Elle forme, avec deux autres textes européens adoptés le même jour, un ensemble cohérent qui structure désormais la résilience des acteurs essentiels :

• La directive NIS2 (UE 2022/2555) élève de manière significative le niveau commun de cybersécurité dans l’Union. Là où la directive REC traite de la résilience « physique » et globale des entités, NIS2 s’attache à la dimension cyber, en soumettant des milliers d’entités « essentielles » et « importantes » à des exigences de sécurité de leurs systèmes d’information.
• Le règlement DORA (Digital Operational Resilience Act), applicable depuis le 17 janvier 2025, cible spécifiquement la résilience opérationnelle numérique du secteur financier, en encadrant la gestion des risques liés aux technologies de l’information et de la communication.

Ces trois textes se recouvrent partiellement et se complètent : une même organisation peut relever simultanément de plusieurs régimes. La cohérence de leur mise en œuvre constitue en soi un défi de taille pour les entités concernées.

La transposition française : la refonte du dispositif SAIV

La France dispose depuis 2006 d’un dispositif original de sécurisation de ses infrastructures les plus sensibles : le dispositif de sécurité des activités d’importance vitale (SAIV), qui repose sur les opérateurs d’importance vitale (OIV) — plus de trois cents opérateurs, publics et privés, chargés d’assurer eux-mêmes la protection de leurs installations vitales.

Pour transposer la directive REC, le gouvernement a choisi non pas de créer un régime entièrement nouveau, mais de rénover ce dispositif éprouvé. C’est l’objet du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, présenté en Conseil des ministres le 15 octobre 2024, qui transpose en un seul texte les trois directives européennes précitées. Son titre premier, consacré à la « résilience des activités d’importance vitale », révise le code de la défense pour intégrer les obligations nouvelles issues de la directive et étendre le champ d’application à de nouveaux secteurs.

Les apports concrets sont substantiels. Les opérateurs devront notamment établir un plan de résilience opérateur, dépassant l’ancienne logique purement défensive pour couvrir l’ensemble des risques susceptibles d’affecter la continuité de leurs activités. Une obligation de notification des incidents est instaurée. Une commission des sanctions, rattachée aux services du Premier ministre, pourra prononcer de lourdes amendes — pouvant atteindre dix millions d’euros ou 2 % du chiffre d’affaires — en cas de manquement.

Il faut toutefois souligner un point important sur le calendrier. Alors que la directive fixait au 17 octobre 2024 la date limite de transposition, la France a pris un retard notable. Le texte a été adopté par le Sénat le 12 mars 2025, puis en commission spéciale à l’Assemblée nationale en septembre 2025, mais son adoption définitive s’est trouvée retardée, notamment en raison d’un désaccord politique portant sur l’encadrement du chiffrement des communications. Au premier semestre 2026, la transposition n’était donc pas encore achevée, les rapporteurs eux-mêmes évoquant une adoption possible à l’été 2026. Les organisations concernées ont tout intérêt à ne pas attendre la promulgation définitive pour engager leur mise en conformité : les obligations de fond sont d’ores et déjà connues, et l’anticipation est ici la meilleure des stratégies.

Deux logiques, un même socle : dépasser la conformité pour construire une résilience réelle

Il serait tentant, pour une entité désignée critique, de réduire la résilience à une affaire de conformité : cocher les cases exigées par la loi, produire les plans requis, notifier les incidents dans les délais. Ce serait une erreur d’appréciation stratégique.

La conformité réglementaire et la résilience organisationnelle ne sont pas synonymes. La première fixe un socle minimal, un plancher d’exigences vérifiables par une autorité de contrôle. La seconde relève d’une ambition supérieure et continue : celle de rendre l’organisation réellement capable d’absorber l’imprévu. Une entité peut être parfaitement conforme sur le papier et pourtant s’effondrer au premier choc sérieux, parce que sa culture, ses réflexes de coordination ou sa capacité de décision en situation dégradée n’auront jamais été éprouvés.

C’est précisément ici que les deux approches se rejoignent et se nourrissent mutuellement. Les normes volontaires — ISO 22316 pour la résilience organisationnelle, ISO 22301 pour le management de la continuité d’activité — offrent le cadre méthodologique et culturel qui permet de donner corps aux obligations réglementaires. À l’inverse, la contrainte réglementaire agit comme un puissant accélérateur : elle inscrit la résilience à l’agenda des conseils d’administration, débloque des budgets, et impose une discipline de préparation que la seule bonne volonté managériale peine parfois à instaurer.

La véritable maturité consiste donc à ne jamais confondre le moyen et la fin. La conformité est un point de départ, non un point d’arrivée. Les organisations les plus avancées utilisent l’aiguillon réglementaire comme un levier pour construire une capacité de résilience authentique, ancrée dans leurs pratiques quotidiennes plutôt que confinée dans un classeur consulté une fois par an.

La communication, système nerveux de la résilience

On sous-estime encore trop souvent la place de la communication dans la résilience. On la traite comme une fonction périphérique, mobilisée en aval pour « gérer la presse » lorsque la crise éclate. C’est une conception dépassée et dangereuse. La communication n’est pas l’habillage de la résilience : elle en est le système nerveux, présent à chaque étape du cycle.

Avant la crise : préparer le terrain de la confiance

La résilience communicationnelle se construit longtemps avant le premier choc. Elle suppose d’identifier et de cartographier les parties prenantes — collaborateurs, clients, autorités, fournisseurs, médias, opinion publique — et de comprendre leurs attentes respectives en situation de crise. Elle exige d’élaborer des cadres de messages, de désigner et de former des porte-parole, de préparer des canaux de diffusion et des dispositifs d’astreinte capables d’être activés en quelques minutes.

Mais la préparation la plus décisive est aussi la plus immatérielle : la construction d’un capital de confiance. Une organisation qui, en temps normal, communique avec transparence, tient ses engagements et entretient une relation honnête avec ses publics dispose d’une réserve de crédibilité précieuse le jour où survient la crise. À l’inverse, une organisation qui n’a jamais soigné cette relation devra affronter la tempête sans filet. La confiance ne se décrète pas dans l’urgence : elle se capitalise en amont.

Pendant la crise : la vitesse, la vérité et la voix unique

Lorsque la perturbation frappe, la communication obéit à quelques principes cardinaux. Le premier est la rapidité : dans le vide informationnel des premières heures, les rumeurs, les spéculations et la désinformation s’engouffrent. Une organisation qui tarde à s’exprimer laisse d’autres écrire son récit à sa place.

Le deuxième est la transparence maîtrisée. Il ne s’agit pas de tout dire immédiatement — certaines informations peuvent être sensibles, incertaines ou juridiquement encadrées — mais de reconnaître les faits établis, d’assumer l’incertitude quand elle existe et de ne jamais mentir. En situation de crise, la crédibilité est le seul actif qui compte, et un mensonge découvert la détruit irrémédiablement.

Le troisième est la cohérence : une voix unique, ou du moins parfaitement coordonnée. Les messages contradictoires émanant de différents services d’une même organisation sont dévastateurs. La gestion de crise suppose une chaîne de validation claire et une coordination étroite entre les équipes techniques, juridiques, dirigeantes et communicantes.

Le quatrième, spécifique aux entités critiques, est la coordination avec les autorités. Les obligations de notification des incidents — vers l’ANSSI dans le champ cyber, vers les autorités compétentes dans le cadre du dispositif SAIV rénové — ne sont pas de simples formalités administratives. Elles s’inscrivent dans une communication institutionnelle qui doit être irréprochable, car elle engage la responsabilité de l’organisation et sa relation avec l’État. Bien gérée, cette coordination renforce la crédibilité de l’entité ; mal gérée, elle l’expose à des sanctions et à une défiance durable.

La communication interne : le maillon oublié

Un angle mort persiste dans de nombreuses organisations : la communication interne. On concentre les efforts sur les médias et l’opinion, en oubliant que les collaborateurs sont à la fois les premiers acteurs de la réponse et les premiers ambassadeurs de l’organisation. Un salarié mal informé est un salarié anxieux, qui relaie malgré lui l’incertitude à l’extérieur. Un salarié bien informé, qui comprend la situation et sa contribution, devient au contraire un relais de confiance et un acteur efficace de la résilience. La communication interne, en situation de crise, n’est pas un supplément d’âme : c’est un facteur opérationnel de premier ordre.

Après la crise : reconstruire le récit

La sortie de crise ouvre un temps décisif et souvent négligé. C’est le moment de rendre des comptes, de reconnaître ce qui a fonctionné et ce qui a échoué, de partager les enseignements tirés et, surtout, de reconstruire la confiance éventuellement entamée. Les organisations qui traitent la fin de crise comme un simple retour à la normale ratent une occasion majeure. Celles qui savent en faire un récit d’apprentissage et de responsabilité — sans complaisance ni auto-flagellation — en ressortent grandies aux yeux de leurs parties prenantes. La manière dont une organisation raconte sa propre épreuve façonne durablement sa réputation.

En définitive, la confiance est l’actif de résilience ultime. Une infrastructure peut être réparée, un système d’information restauré, une chaîne logistique reconstituée ; mais la confiance perdue, elle, se reconstruit lentement, quand elle se reconstruit. La communication est le seul levier qui permet de la préserver, de la défendre et de la régénérer tout au long du cycle de la perturbation.

Passer à l’action : les leviers d’une résilience opérationnelle

Comment, concrètement, une organisation — qu’elle soit ou non désignée entité critique — peut-elle bâtir sa résilience ? Plusieurs leviers, complémentaires, méritent d’être actionnés de façon coordonnée.

L’engagement de la gouvernance. La résilience se décide au sommet. Sans portage explicite du conseil d’administration et de la direction générale, sans allocation de ressources et sans responsabilité clairement attribuée, elle demeure un vœu pieux. La résilience doit devenir un sujet permanent de gouvernance, et non une réaction ponctuelle à la dernière alerte.

La cartographie des risques et les tests de résistance. On ne protège que ce que l’on connaît. Une évaluation régulière et honnête des vulnérabilités, complétée par des tests de résistance — inspirés d’ailleurs des recommandations européennes qui encouragent les États membres à soumettre les infrastructures critiques à de tels exercices — permet d’identifier les points de rupture avant que la réalité ne s’en charge.

Les plans de continuité et de gestion de crise. Documents vivants et non archives poussiéreuses, ces plans doivent être régulièrement mis à jour et, surtout, connus de ceux qui devront les appliquer. Un plan que personne n’a lu ni pratiqué ne vaut rien le jour venu.

Les exercices et les simulations. C’est peut-être le levier le plus sous-utilisé et le plus rentable. Rien ne remplace la mise en situation : exercices de crise, simulations d’incident, jeux de rôle impliquant l’ensemble des fonctions, y compris la communication. Ces répétitions révèlent les failles de coordination, aiguisent les réflexes et transforment un plan théorique en capacité réelle.

La maîtrise des interdépendances. Aucune organisation n’est une île. La résilience de chacune dépend de celle de ses fournisseurs, de ses prestataires et de ses partenaires. La gestion des risques liés à la chaîne d’approvisionnement et aux tiers — dimension explicitement visée par les directives européennes, notamment pour les éditeurs de logiciels désormais soumis aux exigences de NIS2 — est devenue un chantier incontournable.

La culture et la formation. En dernière analyse, la résilience réside dans les femmes et les hommes de l’organisation. Sensibilisation, formation continue, diffusion d’une culture du risque et de l’adaptation : c’est ce travail de fond, patient et rarement spectaculaire, qui distingue les organisations réellement résilientes de celles qui se contentent d’en afficher les symboles.

L’amélioration continue. Chaque incident, chaque exercice, chaque signal faible doit alimenter une boucle d’apprentissage. La résilience n’est jamais acquise une fois pour toutes ; elle est un processus dynamique, perpétuellement réajusté au regard d’un environnement lui-même en mouvement.

La résilience comme avantage stratégique

Nous vivons un moment de bascule. La résilience n’est plus une option laissée à la discrétion des dirigeants, ni un luxe réservé aux grandes organisations. Elle est devenue à la fois une exigence réglementaire — portée par la directive REC, NIS2 et DORA, et par leur transposition en droit français — et un impératif stratégique dicté par l’instabilité du monde.

Réduire cette évolution à une contrainte de conformité serait une erreur de perspective. Les organisations les plus lucides comprennent que la pression réglementaire est aussi une opportunité : celle de transformer une obligation en avantage compétitif durable. Dans un environnement où les perturbations se multiplient, la capacité à absorber les chocs, à maintenir la continuité des services et à préserver la confiance des parties prenantes devient un facteur de différenciation décisif. Les entités qui sauront rebondir plus vite et communiquer plus juste que leurs concurrentes conquerront un avantage que nul plan financier ne saurait à lui seul procurer.

Car au bout du compte, la résilience est autant une affaire de systèmes et de procédures qu’une affaire de confiance et de récit. Une organisation résiliente n’est pas seulement celle qui résiste techniquement à l’adversité ; c’est celle qui, à travers son leadership, sa culture et sa communication, parvient à traverser l’épreuve en gardant intacte la relation avec ceux qui comptent sur elle. Anticiper, absorber, rebondir — et, à chaque étape, savoir le dire : telle est la grammaire de la résilience du XXIe siècle.