Sauvegarde informatique en entreprise : construire un plan de reprise d'activité pour sa PME

Par Sylvain Cassini, publié le 4 novembre 2026

Le serveur de fichiers ne démarre plus, ou un poste de la comptabilité affiche une demande de rançon. La question n'est pas de savoir si vous avez « une sauvegarde », mais combien de temps l'entreprise peut rester arrêtée, quelles données elle peut se permettre de perdre, et si quelqu'un sait réellement restaurer. Cette page s'adresse au dirigeant de PME ou de TPE qui veut des réponses à ces trois questions, en s'appuyant sur les recommandations de l'ANSSI et de Cybermalveillance.gouv.fr.

Sauvegarde et plan de reprise d'activité : ce qui les distingue

La sauvegarde conserve des copies de vos données. Le plan de reprise d'activité (PRA) décrit comment remettre l'entreprise en état de fonctionner après un incident : dans quel ordre restaurer, avec quels accès, par qui, en combien de temps. L'ANSSI sépare d'ailleurs les deux dans ses mesures prioritaires : la sauvegarde hors ligne d'un côté, le plan de reprise informatique de l'autre, dont la fonction est de remettre en service les systèmes défaillants.

Une PME qui possède des copies sans procédure de reprise découvre souvent, le jour de la panne, qu'elle ne sait ni dans quel ordre restaurer ni combien de temps cela prendra. Les deux se construisent ensemble.

Deux chiffres à décider avant de choisir un outil

Le guide « Sauvegarde des systèmes d'information : les fondamentaux » (ANSSI-BP-100, version 1.1 du 27 novembre 2025) demande qu'une stratégie de sauvegarde tienne compte de deux valeurs fixées pour chaque application et donnée de l'entreprise :

• La durée maximale d'interruption admissible (DMIA, ou RTO) : le temps pendant lequel un service peut être indisponible sans dommage grave pour l'activité. La facturation peut sans doute attendre une journée, pas forcément la prise de commandes.
• La perte de données maximale admissible (PDMA, ou RPO) : la quantité de travail que vous acceptez de refaire. Perdre la dernière nuit de saisie n'a pas les mêmes conséquences que perdre une semaine.

L'ANSSI signale aussi une limite : si le besoin est une PDMA de moins de 24 heures, la sauvegarde ne suffit pas et il faut privilégier d'autres solutions comme la réplication. Ces deux valeurs sont des décisions de direction, pas des réglages techniques. C'est le dirigeant qui sait ce qu'une journée d'arrêt coûte.

La règle 3-2-1, et ce qu'elle exige vraiment

L'ANSSI recommande dans le même guide d'appliquer la règle « 3 – 2 – 1 » : 3 copies distinctes des données, c'est-à-dire les données en production et 2 sauvegardes stockées sur des supports différents, dont 1 hors ligne. Cybermalveillance.gouv.fr, dans sa page « Pourquoi et comment bien gérer ses sauvegardes ? », y ajoute un conseil de lieu : conservez une sauvegarde à un endroit différent de celui où se trouvent les données d'origine.

• Trois copies : les données de production plus deux sauvegardes.
• Deux supports différents : par exemple un NAS ou un serveur de sauvegarde, et un second support d'une autre nature.
• Une copie hors ligne : déconnectée de tout le système d'information. Un incendie ou un vol dans les locaux, comme un ransomware, ne doit pas pouvoir l'atteindre.

Hors site, hors ligne, immuable : ne pas confondre

Ces trois mots circulent dans les offres commerciales et désignent des protections différentes. Voici comment le guide de l'ANSSI les situe.

• Hors site : la copie est stockée ailleurs que dans vos locaux, chez un hébergeur ou un prestataire. Elle peut rester connectée (en ligne) ou non. L'ANSSI conseille, pour des données sensibles, de la localiser dans l'Union européenne et de la chiffrer par un moyen propre à l'entreprise avant l'envoi.
• Hors ligne : le support est déconnecté de tout système d'information. L'ANSSI cite la bande magnétique comme le moyen le plus efficace pour cet usage. Elle juge cette copie indispensable (ou, sous certaines conditions, une copie hors site en ligne), même si elle est moins fréquente que les sauvegardes locales.
• Immuable (WORM) : une fois écrite, la donnée ne peut plus être modifiée. L'ANSSI juge la solution envisageable, mais demande d'étudier le mécanisme, dont la robustesse varie : verrou logiciel ou matériel, comptes et droits distincts entre l'écriture et la lecture.

L'ANSSI précise qu'une sauvegarde hors ligne reste plus robuste qu'une solution WORM en ligne. Un compromis qu'elle juge acceptable : des sauvegardes régulières sur une solution WORM, complétées par des sauvegardes hors ligne à une fréquence moindre. Pour une PME, c'est souvent la combinaison réaliste.

Que sauvegarder dans une PME

Cybermalveillance.gouv.fr conseille de se demander quelles données ne peuvent pas être récupérées ailleurs en cas de perte, et lesquelles servent le plus souvent. Dans une PME, cela donne en général :

• Les serveurs : fichiers partagés, base de données de la comptabilité ou de la gestion commerciale, applications métier. Pour une restauration complète d'une machine, il faut aussi prévoir de quoi restaurer le système, pas seulement les fichiers.
• Les postes de travail : tout ce qui n'est pas enregistré sur le serveur (bureau, documents locaux, profils). Les postes Mac et PC n'obéissent pas aux mêmes mécanismes.
• La messagerie : les boîtes mail, les contacts et les calendriers contiennent des engagements contractuels et des échanges clients.
• Les services SaaS : Microsoft 365 (Exchange, SharePoint, OneDrive, Teams), mais aussi le logiciel de facturation, le CRM ou l'outil de paie en ligne.
• Les secrets et la configuration : gestionnaire de mots de passe, paramètres du pare-feu, configuration des équipements réseau. Si vos sauvegardes sont chiffrées, l'ANSSI demande aussi d'étudier la gestion des clés de chiffrement, dont leur propre sauvegarde hors ligne : sans la clé, la copie est inutilisable.

Microsoft 365 : la redondance du fournisseur ne remplace pas une sauvegarde

Microsoft décrit dans sa documentation sur la résilience des données dans Microsoft 365 une plateforme conçue avec des copies séparées en plusieurs zones et une récupération intégrée. Le même texte note que la plupart des pertes de données résultent d'actions du client, et prévoit pour cela des outils de restauration d'éléments supprimés. Ce dispositif vise la fiabilité de la plateforme. Il ne remplace pas une copie indépendante lorsqu'un collaborateur supprime des dossiers ou qu'un compte est compromis. Pour y répondre, la copie doit se trouver ailleurs que dans le même compte d'administration.

Le test de restauration : ce qui sépare une sauvegarde d'une promesse

L'ANSSI écrit que les sauvegardes doivent être testées régulièrement, et qu'une procédure de restauration du système d'information doit être rédigée et régulièrement mise en oeuvre. Cybermalveillance.gouv.fr recommande de vérifier régulièrement que la sauvegarde fonctionne, par exemple en la recopiant sur le système d'origine. Trois niveaux de test s'enchaînent :

1. Un fichier ou une boîte mail : restaurer un document supprimé, pour vérifier que la copie existe et se lit.
2. Un serveur ou une application : remettre en service une machine ou une base de données dans un environnement de test, et mesurer le temps réel.
3. Un scénario de reprise : simuler la perte de l'infrastructure et suivre la procédure écrite, avec les personnes qui devront l'appliquer.

Comparez le temps mesuré à votre DMIA. Si la restauration d'un serveur prend deux jours alors que l'activité en supporte un, l'écart est un projet à mener, pas un détail à noter.

Dernier point du guide de l'ANSSI : après un incident de sécurité, les sauvegardes peuvent contenir des éléments compromis. Il faut donc contrôler leur innocuité pendant la reconstruction, et définir à l'avance l'ordre de restauration en tenant compte des dépendances (annuaire, DNS, applications métier).

Mettre en place une sauvegarde 3-2-1 testée : les étapes

1. Inventoriez serveurs, postes, messagerie, services SaaS et applications métier, avec un responsable pour chacun.
2. Fixez la DMIA et la PDMA de chaque application avec la direction.
3. Appliquez la règle 3-2-1 : données de production, deux sauvegardes sur des supports différents, une copie hors ligne, une copie dans un lieu différent.
4. Protégez la sauvegarde elle-même : l'ANSSI demande des comptes d'administration dédiés et nominatifs pour la sauvegarde, et considère l'opérateur de sauvegarde comme un administrateur à hauts privilèges. En cas d'incident, la mesure prioritaire est d'isoler l'infrastructure de sauvegarde du reste du système d'information.
5. Couvrez Microsoft 365 et les autres services SaaS par une copie indépendante.
6. Rédigez la procédure de restauration : ordre des systèmes, accès, personnes à prévenir, critères de validation.
7. Testez, mesurez, corrigez, puis recommencez à intervalles réguliers. L'ANSSI demande aussi que chaque sauvegarde fasse l'objet d'un contrôle par ses opérateurs.

Qui s'en occupe dans votre entreprise ?

Dans beaucoup de PME, la sauvegarde repose sur une personne de l'équipe « qui s'y connaît », ou sur un disque branché un jour et jamais vérifié. Lejumo travaille avec des PME et des TPE du Mans et de la Sarthe, sur site en Sarthe et à distance ailleurs. Deux services couvrent ce sujet :

• Notre infogérance informatique pour PME comprend la mise en place et le contrôle des sauvegardes de vos postes, de vos serveurs, de votre messagerie et de Microsoft 365, sur des parcs Mac et PC, en banque d'heures.
• Notre DSI en temps partagé prend en charge les décisions : gestion des sauvegardes, plan de continuité d'activité (PCA) et plan de reprise après sinistre (PRA), supervision de vos prestataires.

Un contrat d'assistance mensuel peut aussi inclure le suivi des sauvegardes. Le périmètre, le volume d'heures et les conditions sont fixés dans un devis après un état des lieux de votre parc.

À retenir

• Le plan de reprise d'activité commence par deux décisions de direction : la durée d'interruption acceptable (DMIA) et la perte de données acceptable (PDMA).
• La règle 3-2-1 de l'ANSSI demande trois copies, sur deux supports différents, dont une hors ligne.
• Une copie toujours connectée peut être détruite par la même attaque que vos données. La copie hors ligne, ou à défaut immuable et bien éprouvée, est ce qui vous sauve.
• Microsoft 365 et les autres services SaaS se sauvegardent à part, par une copie indépendante.
• Une sauvegarde non restaurée reste une hypothèse. Testez, chronométrez, comparez à votre DMIA.
• Sources officielles : ANSSI-BP-100, Cybermalveillance.gouv.fr, Microsoft Learn.

Questions fréquentes sur la sauvegarde en entreprise