Sauvegarde & PRA pour PME : ne plus perdre ses données

Un serveur qui lâche, un ransomware qui chiffre vos fichiers, une fausse manipulation un vendredi soir : la question n'est pas de savoir si vous perdrez des données, mais quand. Un plan de reprise d'activité bien conçu transforme un sinistre potentiellement fatal en simple incident maîtrisé. Voici comment le structurer sans y noyer votre budget.

Pourquoi un PRA est vital pour une PME

Les grandes entreprises disposent d'équipes dédiées à la continuité informatique. Les PME, elles, découvrent souvent l'importance d'un plan de reprise d'activité le jour où il est trop tard. Or les conséquences d'une perte de données ne se limitent pas au fichier disparu : facturation à l'arrêt, commandes bloquées, salariés inactifs, clients qui patientent — chaque heure d'interruption a un coût réel et immédiat.

Trois familles de risques justifient à elles seules la démarche :

• La panne matérielle. Un disque, un serveur ou une baie de stockage ne préviennent pas avant de tomber. Le matériel a une durée de vie finie ; s'appuyer sur une seule copie, c'est parier contre l'usure.
• L'erreur humaine. Un dossier supprimé, une base écrasée, une mauvaise synchronisation : la première cause de perte de données reste interne, pas malveillante.
• La cybermalveillance. Les rançongiciels ciblent désormais massivement les TPE et PME, précisément parce qu'elles sont moins bien protégées et souvent sans sauvegarde exploitable.

À ces motifs opérationnels s'ajoute une pression réglementaire croissante. La directive européenne NIS2 élargit le périmètre des entités soumises à des obligations de cybersécurité, y compris en matière de continuité et de gestion des sauvegardes. Toutes les PME ne sont pas concernées de la même manière, et la transposition ainsi que le calendrier d'application relèvent de textes nationaux qu'il convient de vérifier auprès de sources officielles ou d'un conseil juridique. Retenez surtout la tendance de fond : la résilience informatique devient une attente réglementaire, plus seulement une bonne pratique. Anticiper aujourd'hui vous évite de subir demain.

Une PME qui structure sa reprise d'activité gagne aussi en crédibilité commerciale : de plus en plus de donneurs d'ordre exigent, dans leurs appels d'offres, la preuve d'un dispositif de sauvegarde et de continuité. Le PRA n'est donc pas qu'une assurance ; c'est parfois un argument pour signer.

RTO, RPO et la règle 3-2-1 expliqués

Deux indicateurs pilotent toute stratégie de reprise. Les comprendre, c'est pouvoir dialoguer d'égal à égal avec n'importe quel prestataire — et éviter d'acheter plus (ou moins) que ce dont vous avez besoin.

• Le RTO (Recovery Time Objective). C'est la durée maximale d'interruption que vous acceptez avant que le service redevienne opérationnel. Un RTO de 4 heures signifie : après un sinistre, tout doit être remis en marche en moins de quatre heures.
• Le RPO (Recovery Point Objective). C'est la quantité de données que vous acceptez de perdre, mesurée en temps. Un RPO d'une heure implique une sauvegarde au moins horaire ; en cas d'incident, vous ne reperdez au maximum qu'une heure de travail.

Plus le RTO et le RPO sont courts, plus le dispositif coûte cher. L'art du plan de reprise d'activité consiste à ajuster ces deux curseurs par application : une messagerie tolère peut-être une demi-journée d'arrêt, alors que votre logiciel de facturation exige un redémarrage en quelques minutes. Segmenter évite de sur-payer pour protéger l'accessoire au niveau du critique.

La règle 3-2-1, socle de toute sauvegarde saine

Popularisée depuis des années par les experts de la sauvegarde, la règle 3-2-1 tient en trois chiffres et reste la référence :

• 3 copies de vos données au minimum (l'original plus deux sauvegardes).
• 2 supports différents (par exemple un stockage local et un stockage cloud), pour ne pas dépendre d'une seule technologie.
• 1 copie hors site, physiquement éloignée, à l'abri d'un incendie, d'un dégât des eaux ou d'un vol qui frapperait vos locaux.

Sauvegarde vs PRA vs PRA-as-a-service

Ces trois notions sont souvent confondues, alors qu'elles répondent à des besoins distincts et se cumulent plus qu'elles ne s'opposent.

La sauvegarde est la brique de base : elle garantit que vos données existent ailleurs. Mais disposer d'une copie ne suffit pas à redémarrer votre activité — il faut encore un serveur pour la recevoir, un système d'exploitation, des applications reconfigurées et quelqu'un qui sache dans quel ordre tout relancer.

Le PRA (plan de reprise d'activité) englobe précisément cette dimension : il décrit l'ensemble des ressources, procédures et responsabilités permettant de retrouver un système fonctionnel après un sinistre. C'est un document vivant, pas un simple logiciel, et il doit préciser qui fait quoi, avec quels moyens et dans quel délai.

Le PRA-as-a-service (PRAaaS) délègue tout ou partie de ce dispositif à un prestataire spécialisé, qui héberge une réplique de votre infrastructure dans le cloud et se charge de la bascule en cas d'incident. C'est souvent le choix le plus pragmatique pour une PME sans équipe informatique étoffée, dans une logique d'externalisation informatique maîtrisée. En contrepartie, vous acceptez une dépendance et un abonnement mensuel qu'il faut budgéter dans la durée.

Prestataires & coûts (indicatif)

Le marché français propose un continuum d'options, du stockage cloud brut jusqu'au PRA entièrement infogéré. Les hébergeurs nationaux comme OVHcloud ou Scaleway offrent des briques de sauvegarde et de stockage souverain hébergées en France, un critère utile lorsque la localisation des données compte pour votre conformité. Autour d'eux gravitent de nombreuses ESN et infogéreurs qui assemblent ces briques en un service clé en main.

Les montants ci-dessous sont des ordres de grandeur indicatifs pour une PME, destinés à cadrer un budget, non des devis. Les prix réels dépendent du volume de données, du RTO/RPO visé et du niveau d'infogérance. Faites systématiquement chiffrer deux ou trois offres.

Avant de comparer les tarifs, clarifiez ce qui est inclus : volume de stockage, nombre de restaurations, tests annuels, support, délai d'intervention garanti. Deux offres au même prix affiché peuvent cacher des périmètres très différents. Un logiciel de facturation ou un logiciel de gestion d'entreprise critique justifie souvent un niveau de service supérieur à celui d'un simple partage de fichiers.

La checklist de votre plan

Un plan de reprise d'activité utile tient rarement en une page, mais il commence toujours par les mêmes étapes structurantes. Passez-les en revue dans l'ordre :

1. Cartographiez vos données et applications critiques. Listez ce qui, à l'arrêt, bloque réellement l'activité, et distinguez-le de l'accessoire.
2. Fixez un RTO et un RPO par application. Ne visez pas un objectif unique : adaptez l'exigence au poids réel de chaque système.
3. Appliquez la règle 3-2-1. Trois copies, deux supports, une hors site — vérifiez que votre dispositif actuel la respecte vraiment.
4. Documentez les procédures de restauration. Qui déclenche la reprise, dans quel ordre, avec quels accès et quels contacts prestataires.
5. Testez, puis re-testez. Programmez au moins un test de restauration complet par an et consignez les résultats.
6. Sécurisez le volet contractuel. Localisation des données, réversibilité, délais garantis et responsabilités doivent figurer noir sur blanc.

Une fois ces briques posées, la question n'est plus si vous devez agir, mais avec qui. Comparer plusieurs prestataires reste le moyen le plus rapide d'obtenir un dispositif dimensionné à votre budget et à vos risques réels.

FAQ