1L’exploitant met en place un système applicable à l’échelle de l’entreprise en cas de sinistres, permettant de maintenir les processus opérationnels, et notamment ceux d’importance systémique, ou de les rétablir en temps opportun.
2Il détermine les ressources nécessaires (immeubles, collaborateurs, installations techniques, données, prestataires externes) pour chaque domaine d’activité et évalue les conséquences d’une défaillance partielle ou complète de ces ressources sur les processus opérationnels, et notamment ceux d’importance systémique (analyse des incidences opérationnelles). Cette évaluation porte également sur les interdépendances entre domaines et les dépendances vis-à-vis de prestataires externes.
3L’exploitant détermine, sur la base de l’analyse des incidences opérationnelles, la durée maximale tolérable, en cas de survenance d’un sinistre, jusqu’au rétablissement des processus opérationnels, le degré requis de ce rétablissement (objectifs en matière de rétablissement des activités) et les ressources nécessaires. Pour les processus opérationnels d’importance systémique, la durée maximale tolérable, y compris en cas de sinistre grave (p. ex. non-disponibilité d’un immeuble important pour l’exploitation et du personnel qui y travaille) est de deux heures.
4L’exploitant définit les moyens à mettre en œuvre pour atteindre les objectifs au sens de l’al. 3 (stratégie de continuité de l’activité) et élabore des plans décrivant en détail la marche à suivre et les responsabilités (plans de continuité de l’activité).
5Il vérifie et teste l’actualité, la mise en œuvre et l’efficacité des plans de continuité de l’activité à la suite de changements substantiels, mais au moins une fois par an. Si nécessaire, il consulte à cette fin les participants et les prestataires importants.