Sauvegarde et continuité d'activité pour les PME : règle 3-2-1, PRA et conformité RGPD

Selon le Panorama de la cybermenace 2024 de l'ANSSI, 37 % des victimes de rançongiciels connues de l'ANSSI sont des PME, TPE et ETI. À ces incidents cyber s'ajoutent les sinistres physiques — incendie, inondation, vol de matériel — qui restent la première cause de perte définitive de données pour les petites structures. Dans la quasi-totalité de ces cas, une sauvegarde correctement mise en place aurait suffi à reprendre l'activité en quelques heures. La sauvegarde n'est pas une question technique complexe. C'est une question d'organisation : quelles données, quelle fréquence, quel support, quel test. Ce guide présente les fondamentaux — règle 3-2-1, chiffrement, test de restauration — et les ordres de grandeur de coût pour une PME de 5 à 50 salariés, en distinguant clairement la sauvegarde (processus de protection et de restauration) du stockage cloud (lieu d'hébergement et de partage des fichiers), deux notions souvent confondues mais qui répondent à des besoins différents.

La sauvegarde, talon d'Achille des PME

Le Cybermalveillance.gouv.fr documente les rançongiciels comme l'une des menaces les plus dévastatrices pour les PME : les données sont chiffrées en quelques minutes, l'activité s'arrête, et la reprise dépend entièrement de la qualité des sauvegardes disponibles. Dans les cas où la PME ne dispose d'aucune sauvegarde externalisée opérationnelle, la remise en état nécessite plusieurs jours — voire plusieurs semaines pour les structures qui n'ont jamais formalisé leur procédure de reprise.

Trois situations sont récurrentes dans les PME qui découvrent l'état de leurs sauvegardes après un incident :

• La sauvegarde existe, mais elle est stockée sur le même disque que les données principales — un sinistre physique détruit les deux
• La sauvegarde est externalisée, mais personne ne l'a jamais restaurée — le test révèle que le processus était défaillant depuis des mois
• La sauvegarde couvre les fichiers bureautiques, mais pas la base de données de l'ERP — les données comptables et commerciales sont perdues

Ces trois situations sont évitables avec une architecture de sauvegarde correctement définie et testée. Elles ne nécessitent pas d'investissement technologique important — elles nécessitent de l'organisation.

Les 5 erreurs qui coûtent cher

1. Sauvegarde locale uniquement

Conserver les sauvegardes dans les mêmes locaux que les données principales expose à un risque de perte totale en cas de sinistre physique (incendie, inondation, vol). C'est la configuration la plus fréquente dans les PME qui ont mis en place une sauvegarde sans conseil externe : un NAS dans le bureau, ou une sauvegarde sur un disque externe branché en permanence. Ces supports sont utiles comme premier niveau de protection — ils ne peuvent pas constituer la seule sauvegarde.

2. Absence de test de restauration

Une sauvegarde dont on ne vérifie jamais la restauration n'est pas une sauvegarde — c'est une fausse tranquillité. Le processus de sauvegarde peut fonctionner (les fichiers sont copiés) sans que la restauration soit opérationnelle (droits insuffisants, fichiers corrompus, dépendances manquantes). La seule façon de savoir si une sauvegarde est réellement utilisable est de la restaurer. Pas de vérifier les logs. De restaurer.

3. Chiffrement absent ou insuffisant

Des sauvegardes non chiffrées — stockées sur un NAS sans mot de passe, un disque USB non protégé, ou un service cloud sans chiffrement au repos — constituent une vulnérabilité. En cas de vol du support ou d'accès non autorisé au service cloud, les données de l'entreprise (comptabilité, données clients, paie) sont accessibles en clair. L'article 32 du RGPD impose des mesures de sécurité appropriées pour les données personnelles — le chiffrement est explicitement cité comme exemple de mesure adaptée.

4. Fréquence de sauvegarde trop faible

Une sauvegarde hebdomadaire signifie qu'un incident survenant le vendredi soir peut entraîner la perte d'une semaine complète de travail. Pour une PME dont le volume de transactions journalier est significatif — factures, commandes, pointages — une sauvegarde quotidienne est le minimum. Une sauvegarde en continu (ou toutes les heures) est recommandée pour les bases de données critiques comme l'ERP ou la comptabilité.

5. Pas de versioning anti-ransomware

Un ransomware peut rester dormant plusieurs jours, voire plusieurs semaines, avant d'activer le chiffrement. Si votre sauvegarde ne conserve qu'une seule version des fichiers — la dernière en date — et que cette version est déjà chiffrée par le ransomware, votre sauvegarde est inutilisable. Le versioning (conservation de plusieurs versions successives de chaque fichier) permet de remonter à un état antérieur à l'infection. La rétention doit couvrir au moins 8 semaines pour répondre aux scénarios ransomware à latence longue.

La règle d'or 3-2-1

La règle 3-2-1 est le standard de référence recommandé par l'ANSSI dans son guide d'hygiène informatique pour une architecture de sauvegarde robuste :

• 3 copies des données — les données actives + 2 sauvegardes distinctes
• 2 supports différents — par exemple, un NAS local et un stockage cloud externalisé
• 1 copie hors site — physiquement séparée de vos locaux, inaccessible par un sinistre local

Cette règle couvre les deux grandes catégories de risque simultanément : les sinistres physiques (la copie hors site survit à l'incendie ou à l'inondation) et les attaques ransomware (le versioning sur la copie externalisée permet de remonter avant l'infection).

En pratique pour une PME, l'architecture 3-2-1 se traduit par : données actives sur les postes ou le serveur local (copie 1) + NAS local pour la restauration rapide de fichiers (copie 2) + sauvegarde cloud externalisée avec versioning pour la protection hors site (copie 3). Le cloud est la copie hors site par définition. Il assure la protection pérenne. Le NAS assure la rapidité d'accès pour les restaurations courantes.

Cette architecture s'articule directement avec le stockage cloud — mais les deux répondent à des besoins distincts. Le guide stockage cloud PME détaille les critères de sélection d'une solution d'hébergement cloud (RGPD, hébergement France, chiffrement), qui peut être utilisée comme support de sauvegarde externalisée dans votre architecture 3-2-1.

NAS, cloud ou hybride : quel choix pour une PME ?

Les trois options disponibles répondent à des contraintes différentes — elles ne s'excluent pas.

NAS local

Un NAS (Network Attached Storage) installé dans vos locaux offre une rapidité d'accès maximale pour les restaurations. C'est le support idéal pour la copie locale (deuxième copie dans la règle 3-2-1). Ses limites sont structurelles : il ne survit pas à un sinistre physique touchant vos locaux, et un ransomware qui chiffre le réseau local peut atteindre les partages NAS accessibles. Un NAS seul ne constitue pas une architecture de sauvegarde complète.

Cloud externalisé

Une solution de sauvegarde cloud professionnelle hébergée hors de vos locaux répond à l'exigence de copie hors site. Elle offre le versioning anti-ransomware et une restauration accessible à distance. Son avantage principal pour les PME : l'infrastructure de sauvegarde n'est pas à maintenir en interne. Les opérations de sauvegarde sont automatisées. Le prestataire assure la disponibilité, la redondance et les mises à jour de sécurité.

Attention à la distinction entre stockage cloud (hébergement et partage de fichiers) et sauvegarde cloud (processus automatisé de protection avec versioning, politique de rétention et restauration garantie). Un service de stockage cloud peut être utilisé comme support de sauvegarde, mais il n'est pas une solution de sauvegarde en lui-même sans configuration appropriée.

Architecture hybride (recommandée)

La combinaison NAS local + sauvegarde cloud externalisée est l'architecture recommandée pour les PME. Elle répond à la règle 3-2-1, combine la rapidité d'accès local (NAS) et la protection hors site (cloud), et reste accessible financièrement. Les deux niveaux se complètent : le NAS pour les restaurations rapides quotidiennes, le cloud pour les scénarios graves (sinistre, ransomware).

Cette architecture est compatible avec tous les environnements ERP — que vous utilisiez Sage, EBP, Cegid, Odoo ou tout autre logiciel de gestion. Les bases de données ERP peuvent être sauvegardées automatiquement en dehors des heures de travail, sans interruption d'activité. Pour les accès distants, les snapshots intégrés à votre bureau à distance couvrent le niveau applicatif — voir le guide bureau à distance PME pour les détails.

Chiffrement et conformité RGPD

L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées pour assurer la sécurité des données personnelles. Le chiffrement est explicitement cité parmi les mesures adaptées. Pour les sauvegardes, deux niveaux doivent être vérifiés :

Niveau	Ce que ça couvre	Standard minimum
En transit	Les données pendant leur transfert vers le support de sauvegarde externalisé	TLS 1.2 ou supérieur
Au repos	Les données stockées sur le support de sauvegarde (NAS, cloud)	Chiffrement des données

La conformité RGPD ne se limite pas au chiffrement. Trois conditions cumulatives s'appliquent :

1. Chiffrement en transit (TLS) et au repos
2. Localisation dans l'EEE pour les sauvegardes cloud — les données personnelles ne doivent pas quitter l'Espace Économique Européen
3. Contrat de sous-traitance conforme à l'article 28 du RGPD avec votre prestataire de sauvegarde — exigez ce document, la mention "conforme RGPD" sur une page commerciale ne suffit pas

NIS2 renforce ces exigences pour les entités régulées et leurs sous-traitants. Le guide NIS2 pour les PME détaille les obligations de sauvegarde externalisée et testée dans le cadre de la directive, et le calendrier de mise en conformité.

Le test de restauration : la seule vérité

Une sauvegarde non testée n'est pas une sauvegarde. C'est le constat le plus fréquent lors d'un accompagnement post-incident : la procédure de sauvegarde fonctionnait — les fichiers étaient copiés régulièrement — mais la restauration n'avait jamais été effectuée. Quand l'incident survient, c'est la première fois que le test de restauration est réalisé. Et c'est souvent à ce moment que les problèmes apparaissent.

Un test de restauration valide quatre éléments :

• Les fichiers sauvegardés sont accessibles et non corrompus
• Les droits et autorisations sont correctement restaurés
• Les applications associées (ERP, comptabilité) redémarrent correctement depuis la sauvegarde
• Le délai de restauration est connu et compatible avec vos contraintes d'activité

Fréquence recommandée

Trois niveaux de test :

• Mensuel : restauration d'un fichier individuel ou d'un dossier — vérifie que les sauvegardes récentes sont utilisables
• Trimestriel : restauration d'un ensemble de fichiers sur une période significative — vérifie la cohérence du versioning
• Annuel : restauration complète sur un environnement de test — vérifie que l'ensemble du système peut être remis en service depuis la sauvegarde, applications incluses

Le test annuel complet est le seul qui valide réellement un Plan de Reprise d'Activité (PRA). Documenter les résultats de chaque test — date, périmètre, durée de restauration, problèmes identifiés — est indispensable pour constituer un dossier de conformité opposable à un donneur d'ordre ou à un assureur.

RPO et RTO : les deux paramètres du PRA

Deux indicateurs définissent votre niveau de protection :

• RPO (Recovery Point Objective) : jusqu'où dans le temps pouvez-vous remonter ? Si votre dernière sauvegarde date d'hier soir, votre RPO est de 24 heures — vous perdez une journée de données en cas d'incident.
• RTO (Recovery Time Objective) : combien de temps faut-il pour reprendre l'activité ? Si votre restauration nécessite 4 heures, votre RTO est de 4 heures.

Ces deux paramètres doivent être définis explicitement et validés par un test réel — pas estimés. Un PRA non testé est un document, pas une protection.

Coût mensuel réaliste par taille d'entreprise

Le coût d'une architecture de sauvegarde robuste dépend du volume de données, du niveau de redondance et du prestataire retenu. Ordres de grandeur pour les PME françaises :

Taille PME	Volume typique	Budget mensuel sauvegarde	Inclus
5 à 10 postes	50 à 200 Go	20 à 40 € HT/mois	Sauvegarde cloud, versioning 8 semaines
10 à 30 postes	200 Go à 1 To	40 à 100 € HT/mois	Sauvegarde cloud + NAS local en option, versioning 8 semaines
30 à 50 postes	1 à 3 To	100 à 250 € HT/mois	Architecture hybride NAS + cloud, réplication géographique, support prioritaire

Ordres de grandeur basés sur l'expérience d'accompagnement PME. Les tarifs varient selon le prestataire, les options de support, la durée de rétention et les exigences spécifiques (RGPD, NIS2, assureur).

Le coût mensuel de la sauvegarde est négligeable comparé au coût d'un incident sans protection opérationnelle. La reconstruction des données après un ransomware ou un sinistre physique — prestataire en urgence, arrêt de production, perte de marchés — représente généralement plusieurs milliers d'euros pour une PME de taille moyenne. Pour une analyse du TCO infrastructure complète, consultez le guide TCO et ROI infrastructure PME.

Questions fréquentes

Un NAS suffit-il pour sauvegarder ma PME ?

Non, pas seul. Un NAS offre une restauration rapide pour les fichiers locaux — c'est utile pour les suppressions accidentelles ou les pannes de poste. Mais il ne couvre ni les sinistres physiques (incendie, inondation, vol) ni les ransomwares qui chiffrent le réseau local, partages NAS inclus. Pour une protection complète, un NAS doit être complété par une sauvegarde externalisée hors site — c'est le principe de la règle 3-2-1. Le NAS est la copie locale rapide. La sauvegarde cloud externalisée est la protection pérenne.

Le cloud est-il vraiment fiable pour la sauvegarde ?

Les prestataires de sauvegarde cloud professionnels hébergés en France proposent des SLA de disponibilité entre 99,5 % et 99,99 %, avec réplication géographique sur plusieurs datacenters. La fiabilité du cloud professionnel est structurellement supérieure à celle d'un NAS local ou d'un disque externe — ces supports ont une durée de vie limitée et peuvent tomber en panne sans préavis. Le point de vigilance est la sélection du prestataire : exigez le contrat de sous-traitance article 28 RGPD, la politique de chiffrement formalisée et les justificatifs de localisation des données en France ou dans l'UE.

Quelle est la différence entre sauvegarde et archivage ?

La sauvegarde et l'archivage répondent à deux besoins distincts. La sauvegarde protège des données actives contre la perte accidentelle ou malveillante — les fichiers sauvegardés sont régulièrement mis à jour, les versions précédentes sont conservées temporairement, la restauration doit être rapide. L'archivage conserve des données qui ne sont plus actives mais doivent être gardées pour des raisons légales ou réglementaires — les obligations de conservation comptable sont de 10 ans en France. Les fichiers archivés ne sont pas modifiés, la restauration peut être lente, le coût par Go est inférieur. Confondre les deux conduit à des coûts de stockage excessifs (archiver sur un support de sauvegarde coûteux) ou à des risques légaux (supprimer des documents d'archive en pensant ne supprimer que des sauvegardes).

À quelle fréquence faut-il sauvegarder ?

La fréquence dépend de votre tolérance à la perte de données (RPO). Pour la plupart des PME, une sauvegarde quotidienne des données actives est le minimum. Les bases de données critiques — ERP, comptabilité, facturation — justifient une sauvegarde continue ou toutes les heures. L'archétype à éviter est la sauvegarde hebdomadaire sur un seul support local : une panne en fin de semaine peut entraîner la perte de 5 jours de transactions. La fréquence de sauvegarde doit être définie en fonction des conséquences d'une perte de données sur 24 heures, sur 48 heures, sur une semaine.

Combien de temps conserver une sauvegarde ?

Deux durées distinctes doivent être définies. Pour la sauvegarde opérationnelle (protection contre les incidents récents) : 8 semaines minimum de versioning, pour couvrir les scénarios ransomware à latence longue. Pour l'archivage légal des données comptables et commerciales : 10 ans en France pour les pièces comptables (Code de commerce, article L123-22). Ces deux durées ne s'appliquent pas aux mêmes fichiers ni aux mêmes supports. Un plan de gestion du cycle de vie des données (quelles données, quelle durée, quel support) évite de mélanger les deux logiques.

Comment tester une sauvegarde sans risque ?

Le test de restauration n'implique pas de risque sur les données actives — on restaure les données sauvegardées vers un environnement de test, séparé de l'environnement de production. La procédure recommandée : (1) sélectionner un sous-ensemble de fichiers représentatif (un dossier de projets, une base de données de test) ; (2) restaurer ces fichiers vers un répertoire ou un serveur de test dédié ; (3) vérifier que les fichiers sont complets, lisibles et cohérents ; (4) pour les bases de données, vérifier que l'application associée démarre correctement. Ce test mensuel prend 30 à 60 minutes. Le test annuel complet, sur un environnement isolé reproduisant la production, nécessite une demi-journée. Documenter chaque test — date, périmètre, résultat, durée — est indispensable pour un dossier de conformité.

Que faire en cas de ransomware malgré la sauvegarde ?

La procédure à suivre : (1) isoler immédiatement les machines touchées du réseau (débrancher le câble réseau, désactiver le Wi-Fi) pour limiter la propagation ; (2) ne pas redémarrer les machines infectées avant intervention d'un spécialiste ; (3) contacter votre prestataire informatique et déposer plainte auprès des autorités (obligation légale si des données personnelles sont impliquées) ; (4) identifier la date d'intrusion approximative pour choisir le point de restauration antérieur à l'infection — c'est pourquoi le versioning sur 8 semaines est recommandé ; (5) restaurer depuis la sauvegarde vers un environnement propre, en vérifiant au préalable que les sauvegardes elles-mêmes ne sont pas compromises. Si vous avez un doute sur l'état des sauvegardes, contactez Cybermalveillance.gouv.fr pour un accompagnement gratuit.

Quel budget prévoir pour une PME de 15 personnes ?

Pour une PME de 15 personnes avec un volume de données de l'ordre de 200 Go à 1 To (fichiers bureautiques, base ERP, plans, photos de chantier), le budget mensuel d'une sauvegarde cloud externalisée avec versioning se situe entre 40 et 80 € HT par mois selon le prestataire et les options de support retenues. Une architecture hybride (NAS local 300 à 800 € d'investissement initial + sauvegarde cloud) représente un budget mensuel de 50 à 100 € HT, sauvegardes et maintenance NAS incluses. Ces montants incluent les sauvegardes, mais pas l'accompagnement pour la définition du PRA ni les tests annuels — prévoir 500 à 1 500 € HT par an pour l'accompagnement si vous n'avez pas de ressource informatique interne.

Ressources connexes

• Stockage cloud pour les PME — Hébergement des données en France, chiffrement RGPD, architecture hybride NAS + cloud : le lieu de stockage qui sert de support externalisé à votre architecture de sauvegarde.
• Bureau à distance pour les PME — Snapshots intégrés, accès distant sécurisé et continuité d'activité en cas d'incident sur votre infrastructure locale.
• Directive NIS2 pour les PME — Obligations de sauvegarde externalisée et testée dans le cadre de la mise en conformité NIS2 et de ses exigences en cascade sur les sous-traitants.
• Choisir son ERP BTP — Sauvegarde des bases de données ERP (Sage, EBP, Cegid, Odoo) : les spécificités à connaître selon votre logiciel de gestion.
• 7 erreurs à éviter lors d'une migration ERP — L'absence de sauvegarde complète et testée avant toute migration est la première cause de projets bloqués.
• TCO et ROI infrastructure PME — Comparaison du coût mensuel de la sauvegarde avec le coût réel d'un incident sans protection opérationnelle.

Sources

• ANSSI — Guide des bonnes pratiques de l'informatique — Hygiène informatique (cyber.gouv.fr)
• ANSSI — Panorama de la cybermenace 2024 (ssi.gouv.fr)
• CNIL — Les mesures de sécurité des données personnelles — article 32 RGPD (cnil.fr)
• Cybermalveillance.gouv.fr — Rançongiciels (ransomwares) — que faire ? (cybermalveillance.gouv.fr)
• France Num — Comment bien sauvegarder ses données (francenum.gouv.fr)

Ce guide présente des informations générales sur les pratiques de sauvegarde pour les PME. Les situations individuelles varient selon la taille de l'entreprise, le secteur d'activité et les exigences contractuelles des donneurs d'ordre. Pour une analyse adaptée à votre contexte, contactez un conseiller indépendant.