À cinq semaines de l’ouverture de la saison 2026 du plan bleu et alors que les cyberattaques contre les ESSMS se multiplient, la portée juridique du plan de continuité d’activité (PCA) sur la mobilisation des équipes reste mal connue. Voici, sources juridiques en main, ce qu’un directeur d’EHPAD privé peut imposer à ses salariés en cas de crise — et les quatre limites qu’aucun PCA ne peut franchir.

Le PCA, une obligation issue du CASF et du plan bleu

L’article L.311-8 du Code de l’action sociale et des familles oblige tout ESSMS à élaborer un projet d’établissement définissant ses objectifs en matière de coordination, de qualité et de continuité de la prise en charge. Pour les EHPAD, l’article D.312-160 du CASF impose un volet supplémentaire : un plan détaillé d’alerte et d’urgence — le « plan bleu » — annexé à la convention pluriannuelle.

Ce plan bleu, fixé par l’arrêté du 7 juillet 2005, doit notamment identifier le référent crise, les conventions de coopération avec d’autres structures, et les procédures de mobilisation des personnels. Sa mise à jour annuelle est obligatoire avant le 1^er juin de chaque année — donc avant le 1^er juin 2026 pour la saison qui s’ouvre. Les EHPAD qui n’ont pas encore actualisé leur plan bleu pour la saison 2026 doivent activer le chantier dans les prochaines semaines.

À ce socle réglementaire s’ajoutent depuis 2024 deux nouveaux fronts. Le premier est la cybersécurité, avec le programme CaRE de l’Agence du numérique en santé et la transposition de la directive NIS2 par la loi du 30 avril 2025 : les ESSMS exploitant des systèmes critiques (DUI, dossier patient) entrent progressivement dans le périmètre des « entités essentielles ». Le second concerne les épidémies hivernales (grippe, infections respiratoires aiguës, gastro-entérites aiguës), pour lesquelles les agences régionales de santé exigent désormais des plans de continuité actualisés annuellement.

Au total, les 7 506 EHPAD recensés par la DREES en juillet 2024 sont soumis à des obligations cumulées de continuité qui n’ont fait que se densifier. Or, sur le volet RH, ces obligations se heurtent au pouvoir limité de l’employeur sur les contrats de travail.

Pouvoir de direction : ce que la jurisprudence autorise

Le pouvoir de direction de l’employeur — fondé sur l’article L.1222-1 du Code du travail (exécution de bonne foi du contrat) — autorise un directeur d’EHPAD à modifier unilatéralement les conditions de travail des salariés, mais pas leur contrat de travail. La distinction est cardinale et structure trente ans de jurisprudence sociale de la Cour de cassation.

Ce qui relève du pouvoir de direction — donc imposable sans accord du salarié — comprend la réorganisation des plannings dès lors que l’horaire de travail n’est pas une clause contractuelle (Cass. soc., 22 février 2000, n° 97-44.339), le changement non substantiel des horaires (Cass. soc., 4 juillet 2018, n° 17-15.915), la polyvalence ponctuelle dans la limite de la qualification du salarié (Cass. soc., 10 mai 1999, n° 96-45.673), et la mobilisation au titre de l’astreinte si elle est prévue par accord collectif ou contrat individuel.

À l’inverse, ce qui relève de la modification du contrat — et nécessite donc l’accord exprès du salarié — englobe le changement de qualification, la modification de la rémunération, la modification de la durée du travail, le changement substantiel d’horaires (passage jour-nuit par exemple), et le changement de lieu de travail si le contrat comporte une clause de sédentarité (Cass. soc., 3 juin 2003, n° 01-43.573).

Sur le terrain de l’astreinte, les articles L.3121-9 à L.3121-12 du Code du travail imposent un délai de prévenance de 15 jours, réductible à 1 jour franc en cas de circonstance exceptionnelle. La canicule de niveau 4 vigilance rouge ou la cyberattaque massive entrent dans cette catégorie — à condition que le caractère exceptionnel soit motivé par écrit dans la décision activant le PCA.

4 limites infranchissables du Code du travail

Quatre verrous résistent à toute clause de PCA, aussi bien rédigée soit-elle.

1. Le repos quotidien et hebdomadaire. Les 11 heures consécutives de repos quotidien (article L.3131-1) et les 35 heures consécutives de repos hebdomadaire (article L.3132-2) constituent un socle d’ordre public. Une dérogation n’est possible que par décret ou par accord collectif (article D.3131-2 sur les travaux urgents) — pas par décision unilatérale du directeur.

2. Le télétravail forcé hors épidémie. Depuis l’expiration du régime exceptionnel COVID-19 (loi du 31 juillet 2022), l’employeur ne peut imposer le télétravail qu’en « circonstances exceptionnelles » prévues à l’article L.1222-11 du Code du travail. La canicule ou la cyberattaque peuvent qualifier — mais l’employeur doit motiver par écrit la décision, en préciser la durée, et la lever dès le retour à la normale.

3. Le refus légitime du salarié. Si un rappel non programmé met le salarié en péril (transport en alerte rouge, garde d’enfant impossible, état de santé du salarié), le refus n’est pas fautif (Cass. soc., 9 mai 2001, n° 99-40.495). La direction ne peut sanctionner un salarié qui justifie d’un motif légitime, même en pleine crise.

4. Le respect strict de la qualification. Aucun PCA ne peut imposer à un aide-soignant de réaliser un acte d’IDE, ni à un IDE de réaliser un acte médical. La sécurité sanitaire prime, et le franchissement des limites de qualification engage à la fois la responsabilité civile du directeur et la responsabilité pénale en cas d’accident. La cartographie des risques en EHPAD doit explicitement intégrer ce point.

Cas pratiques 2026 : canicule, cyberattaque, grève

Canicule de niveau 4. Le préfet active le dispositif ORSAN-CLIM. L’EHPAD passe en plan bleu. Le directeur peut alors modifier les plannings, activer les astreintes contractualisées, demander une polyvalence (un aide médico-psychologique en renfort sur les soins d’hygiène — pas sur les soins infirmiers). Il ne peut pas, en revanche, rappeler un salarié en congés payés sans son accord, ni déroger aux 11 heures de repos quotidien sans accord d’entreprise. La gestion de l’hydratation et de la canicule reste prioritairement un enjeu de protocole soignant, pas seulement de mobilisation RH.

Cyberattaque sur le DUI. Si l’attaque rend le système d’information inopérant, le directeur peut activer la cellule de crise, redéployer les équipes vers la documentation papier, prolonger temporairement les heures de présence (heures supplémentaires payées ou récupérées). Il ne peut pas imposer le télétravail forcé sans motivation écrite, ni demander à un salarié de manipuler un système non sécurisé. Le programme CaRE de l’ANS finance précisément la rédaction de PCA cyber dans les ESSMS candidats.

Grève sectorielle. Lors de la grève médico-sociale du 26 mai 2026 appelée par cinq fédérations syndicales, l’employeur ne peut pas imposer aux non-grévistes la prise en charge des activités des grévistes au-delà de leur qualification. Il peut en revanche faire appel à l’intérim ou à des conventions de coopération inter-EHPAD prévues dans le plan bleu.

6 bonnes pratiques pour rédiger un PCA opposable

Pour qu’un PCA soit véritablement contraignant en RH, six règles s’imposent :

1. Annexer le PCA au DUERP (document unique d’évaluation des risques professionnels) prévu à l’article L.4121-1 du Code du travail. Il devient ainsi opposable aux salariés et constitue une référence en cas de contentieux prud’homal.
2. Négocier un accord d’entreprise ou recourir à la convention collective applicable (CCN FEHAP IDCC 0029, CCN NEXEM IDCC 0413, CCN Synerpa IDCC 2264). L’article L.2253-3 du Code du travail fait primer l’accord d’entreprise sur la convention de branche pour les sujets où la loi le permet.
3. Lister nominativement les salariés mobilisables par fonction et qualification, et faire valider la liste annuellement par le comité social et économique au titre de la consultation obligatoire de l’article L.2312-8 du Code du travail.
4. Chiffrer la compensation financière : prime de rappel, majoration des heures supplémentaires, indemnité de polyvalence. Sans contrepartie chiffrée, le caractère contraignant de l’astreinte est fragilisé devant le juge.
5. Insérer une clause de polyvalence dans les nouveaux contrats rédigée précisément, avec mention des qualifications concernées et des situations de mobilisation.
6. Tester le PCA chaque année par exercice grandeur nature (recommandation ANAP) avec un retour d’expérience formalisé. La traçabilité de la formation des équipes au PCA est un élément clé en cas de contentieux ultérieur.

La bascule vers la Convention collective unique de la branche associative sanitaire et médico-sociale (CCU BASS), en phase finale de négociation entre AXESS, NEXEM, FEHAP et les organisations syndicales, devrait clarifier en 2026-2027 les clauses de gestion de crise. Les directeurs ont tout intérêt à porter leurs sujets via leurs fédérations, alors que le sujet de la pénurie de personnel rend la mobilisation en crise toujours plus tendue.

Foire aux questions

Ressource expert recommandée Pack pilotage

Pack INTÉGRAL Guides MANAGEMENT & RH — 6 références pilotage EHPAD

Piloter en équipe et durablement : 6 guides RH, plannings, juridique, QVT.

• 6 guides pilotage 2026
• Recrutement + Fidélisation
• Économie 33% vs unitaire

59,90 € TTC Voir le pack