Quand une cellule de crise se déclenche, mobiliser 200 personnes d'astreinte en moins de 15 minutes n'est pas un défi d'organisation — c'est un défi de canal d'alerte. Standard téléphonique, SMS de masse, messagerie unifiée IT et pager POCSAG ont chacun un rôle. Aucun n'est intrinsèquement meilleur. Mais l'article 21(2)(c) de la directive NIS2 demande explicitement de prouver la continuité de la gestion de crise — autrement dit, d'identifier ses points de défaillance unique et de les doubler.
200 personnes d'astreinte à mobiliser. Quinze minutes pour les joindre. Que vous soyez en hôpital (Plan Blanc), site SEVESO (Plan d'Opération Interne), opérateur d'énergie (cellule de continuité), banque (Plan de Continuité d'Activité), data center (incident majeur) ou collectivité territoriale (poste de commandement) — la mécanique est la même.
Vous appuyez sur un bouton. Quelque chose doit partir. Cette « chose » doit atteindre tout le monde, simultanément, sans dépendre du système d'information qui est peut-être justement la cible de l'incident.
Cet article passe en revue les quatre canaux d'alerte utilisés en cellule de crise — standard manuel, SMS de masse, messagerie unifiée, pager POCSAG — en confrontant leur comportement réel sous stress aux exigences de la directive NIS2 transposée en droit français en 2025.
La directive (UE) 2022/2555 dite NIS2, transposée en droit français en 2025, impose à plusieurs milliers d'entités françaises classées « essentielles » ou « importantes » de prouver qu'elles peuvent maintenir leurs activités critiques face à un incident majeur.
L'article 21(2) liste dix domaines de mesures obligatoires. Deux concernent directement la chaîne d'alerte :
Article 21(2)(c) — « la continuité des activités, telle que la gestion des sauvegardes et la reprise des activités après une catastrophe, et la gestion des crises »
Article 21(2)(j) — « l'utilisation, lorsque cela est approprié, […] de systèmes sécurisés de communication d'urgence au sein de l'entité »
Concrètement, les responsables PCA, RSSI, directeurs sûreté et coordinateurs de cellule de crise doivent désormais être capables de documenter par écrit quels canaux d'alerte sont utilisés, comment ils sont testés, et où sont les points de défaillance unique.
C'est ici que la comparaison des quatre canaux devient un sujet de conformité, et plus seulement un sujet d'ingénierie.
Principe : un opérateur passe les appels un par un, ou une chaîne d'arborescence d'appels est déclenchée (le N+1 appelle ses trois N-1, qui appellent à leur tour).
Comportement sous stress : saturation linéaire des lignes en quelques minutes dès qu'on dépasse 30 à 40 appels parallèles. La cellule de crise consomme un standardiste à plein temps pendant que d'autres priorités attendent. L'arborescence en cascade est rapidement biaisée par les non-réponses (boîte vocale, occupé, hors couverture).
Usage justifié : indispensable pour le contact direct avec un interlocuteur identifié (médecin de garde, astreinte technique). À conserver — mais à doubler.
Principe : un SMS de masse envoyé via une passerelle SMS pro (souvent Orange Business, OVH, ou un agrégateur) vers une liste de numéros.
Comportement sous stress : acheminement variable. Le SMS de masse n'est pas garanti en livraison instantanée par les opérateurs grand public. Une partie des équipes d'astreinte ne reçoit le message qu'après plusieurs minutes — voire pas du tout si la cellule mobile locale est saturée par l'événement qui justifie l'activation elle-même (panne réseau régionale, alerte attentat, événement météo majeur).
Usage justifié : canal complémentaire pour le grand nombre, à condition d'avoir un canal de secours qui ne dépend pas du réseau mobile public.
Le SMS de masse concentre d'ailleurs plusieurs idées reçues — à commencer par « un SMS fait pareil qu'un pager ». Nous les déconstruisons une par une dans notre article 5 mythes sur la radiomessagerie qu'il est temps d'enterrer.
Principe : un message Teams, Webex ou un mail d'astreinte est diffusé à un canal ou à une liste de distribution.
Comportement sous stress : excellente en mode nominal. Inopérante quand le SI est lui-même la cible — ransomware, panne d'Active Directory, basculement DRP en cours. Et inutile pour les équipes hors site, qui représentent en moyenne un tiers des effectifs mobilisables (techniciens en intervention, soignants au domicile, mainteneurs sur site distant).
Usage justifié : canal principal pour 95 % des situations courantes — mais clairement insuffisant pour les 5 % où le Plan Blanc, le POI ou la cellule de continuité sont activés parce que le SI est dégradé.
Principe : diffusion en broadcast sur un réseau radio dédié, indépendant des opérateurs mobiles et hors Internet. Tous les pagers d'un même groupe reçoivent le message simultanément.
Comportement sous stress : pas de saturation possible côté terminal (le pager ne sonne pas après les autres — il sonne en même temps). Indépendant des opérateurs publics. Acquittement remonté à la cellule de crise pour confirmer la mobilisation effective. C'est précisément la fonction prévue à l'article 21(2)(j) de NIS2 : un système sécurisé de communication d'urgence au sein de l'entité.
Usage justifié : canal de secours dédié aux 5 % de situations où les autres canaux dégradent — qui sont précisément les situations pour lesquelles la cellule de crise existe.
| Canal | Saturation | Indépendance opérateur public | Fonctionne si SI down | Atteint les équipes hors site | Acquittement |
|---|---|---|---|---|---|
| Standard manuel | Forte (30-40 appels max) | Non | Partiel (PABX) | Oui si numéro connu | Manuel |
| SMS groupé | Variable | Non | Oui | Oui si réseau dispo | Non standard |
| Messagerie unifiée IT | Aucune en nominal | Non | Non | Non | Lecture |
| Pager POCSAG | Aucune | Oui (réseau dédié) | Oui | Oui | Oui |
Aucun de ces canaux n'est intrinsèquement meilleur que les autres. Chacun a un rôle :
La vraie question que doit se poser un responsable PCA, un coordinateur de cellule de crise ou un RSSI face à NIS2 est différente :
Où sont mes points de défaillance unique, et comment je les double — y compris quand mon SI est la cible ?
C'est précisément la lecture que la directive NIS2 impose à travers son article 21(2)(c). La gestion de crise doit être robuste à la perte de chacune de ses briques techniques. Une chaîne d'alerte qui s'arrête de fonctionner dès que Microsoft 365, l'Active Directory ou la cellule mobile locale tombent n'est pas conforme à l'esprit du texte — et risque de ne pas l'être à sa lettre lors d'un contrôle ANSSI.
Non, la directive est neutre sur le plan technologique. Elle exige des systèmes sécurisés de communication d'urgence au sein de l'entité (art. 21(2)(j)) et la continuité de la gestion de crise (art. 21(2)(c)). Les entités essentielles et importantes doivent démontrer qu'elles disposent d'au moins un canal qui résiste aux scénarios où les canaux IT/mobile publics sont indisponibles. Le pager POCSAG est aujourd'hui la solution la mieux établie pour ce rôle en France, mais d'autres approches (radio professionnelle, satellite) restent valides si elles couvrent le même besoin.
NIS2 ne fixe pas de nombre minimal. Le principe est celui de la défense en profondeur : au moins un canal doit rester opérationnel dans chaque scénario d'incident envisagé par le PCA. Une cellule de crise qui ne repose que sur Teams et SMS ne couvre pas le scénario « ransomware + saturation cellule mobile locale ». Pour la plupart des entités essentielles, viser trois canaux indépendants dont au moins un hors-IP est une posture défendable.
Oui. En France, le réseau de radiomessagerie professionnelle est exploité par un opérateur dédié (e*Message), titulaire de ses propres fréquences attribuées par l'ARCEP. L'infrastructure est indépendante des réseaux mobiles publics (Orange, SFR, Bouygues, Free). Un incident chez un opérateur mobile n'affecte pas la diffusion POCSAG.
L'article 21(2)(c) demande des tests réguliers de la continuité et de la reprise. Concrètement : un exercice trimestriel minimum, avec scénarios qui dégradent volontairement un ou plusieurs canaux (« et si Teams était indisponible ? »), mesure du délai T+0 → T+90s → T+15min de mobilisation effective, et acquittement remonté à la cellule de crise. Ces exercices doivent être documentés : c'est cette documentation qui sera demandée en contrôle.
Si vous opérez dans l'un des 18 secteurs listés à l'annexe I et II de la directive (santé, énergie, transport, finance, fourniture et distribution d'eau, infrastructures numériques, administration publique, espace, services postaux, gestion des déchets, fabrication, recherche…) et dépassez 50 salariés ou 10 M€ de chiffre d'affaires, vous êtes très probablement concerné. La liste précise dépend de la transposition française. Faire l'inventaire de ses canaux d'alerte est une démarche utile même hors NIS2, notamment au titre de la directive REC (résilience des entités critiques) et de DORA pour le secteur financier.
e*Message accompagne depuis 30 ans les entités critiques françaises — CHU, sites SEVESO, opérateurs d'énergie, data centers, collectivités, services de sécurité civile — dans la conception et l'exploitation de leur chaîne d'alerte en cellule de crise.
Vous pilotez la mobilisation de crise dans une entité essentielle ou importante au sens NIS2 ? Nous ouvrons 5 créneaux de 30 minutes en mai-juin pour comprendre comment vous testez votre chaîne d'alerte dans le cadre de votre mise en conformité. Aucune démo, aucun pitch — un échange confidentiel et anonymisé. Contactez-nous ou écrivez à contact@emessage.fr avec la mention « ÉCHANGE ».
Cet article prolonge une discussion publiée sur LinkedIn. Réagir ou commenter le post original →
Article rédigé par l'équipe e*Message France. Dernière mise à jour : 2 juin 2026.
