Un plan de reprise d’activité (PRA) est le mode d’emploi qui permet à une entreprise de redémarrer son informatique après un sinistre — panne majeure, incendie, vol ou cyberattaque. Il repose sur deux chiffres : le RTO (en combien de temps on repart) et le RPO (combien de données on accepte de perdre). Pour une PME, un PRA sérieux s’appuie sur une sauvegarde externalisée et testée (à partir de 20 € HT/poste/mois) et un plan écrit ; le coût complet dépend surtout du délai de reprise visé. Sans PRA testé, une attaque par rançongiciel peut coûter plusieurs jours d’arrêt — parfois la survie de l’entreprise.
Chez APE Conseil : le PRA s’appuie sur l’infogérance, à partir de 35 € HT par poste et par mois (contrat de 12 mois) ; l’étude et la mise en place du plan se chiffrent sur devis. Pour en parler : 04 72 10 09 79 ou écrivez-nous.
Beaucoup de PME ont une sauvegarde, mais pas de plan pour s’en servir le jour J. Voici, concrètement, ce qu’est un PRA, un exemple, les étapes pour le construire et ce que ça coûte.
Qu’est-ce qu’un plan de reprise d’activité (PRA) ?
Le PRA est un document opérationnel qui décrit, étape par étape, comment remettre en marche le système d’information d’une entreprise après un incident majeur. Il répond à une question simple : « si tout s’arrête demain matin, comment repart-on, dans quel ordre, et en combien de temps ? » Il ne s’agit pas seulement de technique : le PRA liste aussi les responsabilités (qui fait quoi), les contacts (prestataire, fournisseurs, assurance) et les priorités (quelles applications remonter en premier).
Un PRA n’a de valeur que s’il est écrit, à jour et testé. Un plan qui dort dans un tiroir depuis deux ans, avec des mots de passe périmés et un serveur qui n’existe plus, ne vous sauvera pas le jour du sinistre.
PRA, PCA et sauvegarde : quelles différences ?
Ces trois notions sont liées mais distinctes :
| Élément | Rôle | Question à laquelle il répond |
|---|---|---|
| Sauvegarde | Copie de secours des données | « Ai-je une copie récupérable de mes données ? » |
| PRA | Plan pour redémarrer l’informatique après sinistre | « Comment et en combien de temps je repars ? » |
| PCA (continuité) | Maintenir l’activité pendant l’incident | « Comment je continue à travailler sans interruption ? » |
La sauvegarde est la brique de base : sans elle, pas de PRA possible. Le PRA organise la remontée. Le PCA, plus exigeant et plus coûteux, vise le « zéro interruption » et concerne surtout les activités critiques.
RTO et RPO : les deux chiffres qui définissent votre PRA
Tout PRA se résume à deux objectifs à fixer avant le sinistre :
- RTO (Recovery Time Objective) : le temps maximal d’interruption acceptable. « On doit pouvoir retravailler en 4 heures / 1 journée / 48 heures. »
- RPO (Recovery Point Objective) : la quantité de données qu’on accepte de perdre, mesurée en temps. « On peut perdre au maximum 1 heure / 4 heures / 24 heures de travail. »
Ces deux chiffres déterminent la technique à mettre en place — et le budget. Plus le RTO et le RPO sont courts, plus la solution est sophistiquée (et chère).
| Besoin | RPO visé | RTO visé | Solution type |
|---|---|---|---|
| TPE, tolérante à l’arrêt | 24 h | 1 à 2 jours | Sauvegarde externalisée quotidienne |
| PME standard | 1 à 4 h | 4 à 8 h | Sauvegarde pluriquotidienne + serveur de secours |
| Activité critique | < 15 min | < 1 h | Réplication + bascule (proche du PCA) |
Exemple de PRA pour une PME
Prenons une PME de 25 personnes du bâtiment, avec un serveur de fichiers (plans, DOE, photos de chantier), une messagerie Microsoft 365 et un logiciel de gestion. Son PRA tient sur quelques pages et prévoit, en cas de sinistre :
- Détection et alerte : qui constate, qui prévient le prestataire (numéro d’astreinte), qui décide de déclencher le PRA.
- Mise en sécurité : isoler le réseau (surtout en cas de rançongiciel) pour stopper la propagation.
- Remontée prioritaire : d’abord la messagerie et le serveur de fichiers (les plans de chantier), depuis la sauvegarde externalisée immuable.
- Poste de travail : reconfiguration ou remplacement des postes chiffrés, restauration des accès.
- Reprise applicative : remise en route du logiciel de gestion et vérification de l’intégrité des données.
- Retour à la normale et compte rendu : ce qui a fonctionné, ce qu’il faut corriger.
Objectifs fixés dans cet exemple : RPO 4 h (sauvegardes toutes les 4 heures) et RTO 1 journée (retravailler le lendemain au plus tard). C’est réaliste et proportionné pour une PME.
Comment construire son PRA : la feuille de route en 6 étapes
- Cartographier les applications et données, et classer les priorités (critique / important / secondaire).
- Définir RTO et RPO pour chaque priorité, avec la direction — c’est une décision de gestion, pas seulement technique.
- Sécuriser les sauvegardes : externalisées, chiffrées, immuables (indestructibles par un rançongiciel) et hébergées en France/Europe.
- Écrire le plan : procédures, responsabilités, contacts, ordre de remontée.
- Tester par une restauration réelle, au moins une fois par an — c’est l’étape que 90 % des PME oublient.
- Maintenir : mettre à jour le PRA à chaque changement majeur (nouveau serveur, nouvelle application, départ d’un référent).
Le modèle de PRA en une page : ce qu’il doit contenir
Pour une PME, un PRA utile tient souvent en quelques pages. Voici les rubriques à remplir, avec l’exemple de l’entreprise du bâtiment de 25 personnes décrite plus haut :
| Rubrique | Ce qu’on y écrit | Exemple |
|---|---|---|
| Déclenchement | Qui peut déclarer le sinistre et lancer le PRA | Le gérant ou, en son absence, la responsable administrative |
| Contacts d’urgence | Prestataire informatique, opérateur, assureur, éditeurs de logiciels | Numéro d’assistance du prestataire, numéro de contrat de l’assurance cyber |
| Inventaire | Serveurs, applications, données, licences, où sont les sauvegardes | Serveur de fichiers, Microsoft 365, logiciel de gestion, sauvegarde externalisée en France |
| Priorités | L’ordre de remontée, application par application | 1. Messagerie, 2. Plans de chantier, 3. Logiciel de gestion, 4. Le reste |
| Objectifs | RTO et RPO pour chaque priorité | RPO 4 h, RTO 1 journée |
| Procédures | Les gestes techniques de restauration, pas à pas | Restauration du serveur sur une machine de secours, réinstallation des postes |
| Accès de secours | Où trouver les identifiants d’administration hors du système sinistré | Coffre-fort de mots de passe accessible hors du réseau de l’entreprise |
| Communication | Qui prévient les salariés, les clients, les fournisseurs | Message type prêt à envoyer depuis un téléphone |
| Historique des tests | Date, durée réelle de restauration, problèmes rencontrés | Test annuel : serveur restauré en 5 h, mot de passe d’un compte de service à mettre à jour |
Gardez une copie du PRA hors du système d’information (version papier ou espace cloud séparé) : le jour d’un rançongiciel, le serveur où il est rangé peut être chiffré lui aussi.
Tester son PRA : le protocole en 7 points
Le test est ce qui transforme un document en plan qui marche. Un test annuel bien mené suit ces étapes :
- Choisir un scénario : perte du serveur principal, rançongiciel, poste volé.
- Restaurer un fichier et une boîte mail : le test le plus simple, à faire même plusieurs fois par an.
- Restaurer un serveur complet sur une machine ou un environnement de secours, sans toucher à la production.
- Chronométrer : comparer le temps réel au RTO fixé. C’est souvent là que les écarts apparaissent.
- Vérifier les données : la dernière sauvegarde est-elle bien celle attendue (RPO) et les fichiers s’ouvrent-ils ?
- Tester les accès : identifiants d’administration, licences, double authentification sur un téléphone de secours.
- Écrire le compte rendu et corriger le PRA : ce qui a marché, ce qui a bloqué, ce qui a changé depuis le dernier test.
La règle de sauvegarde souvent citée par les spécialistes résume l’objectif : 3-2-1-1-0, soit 3 copies des données, sur 2 supports différents, dont 1 hors site, 1 hors ligne ou immuable, et 0 erreur constatée lors des tests de restauration.
Combien coûte un plan de reprise d’activité pour une PME ?
Le coût d’un PRA se raisonne en deux parties. La brique sauvegarde, socle indispensable, démarre à partir de 20 € HT par poste et par mois pour une sauvegarde externalisée et supervisée. La conception du plan et les tests de restauration se chiffrent ensuite sur devis, selon le RTO/RPO visé, le nombre de serveurs et le volume de données. Plus vous voulez repartir vite (RTO court), plus il faut de moyens (serveur de secours, réplication) — donc plus le budget monte. L’important : dimensionner le PRA au juste besoin, ni trop léger, ni surdimensionné.
PRA et cybersécurité : le test grandeur nature du rançongiciel
Aujourd’hui, le sinistre le plus fréquent n’est pas l’incendie : c’est le rançongiciel. Une attaque chiffre vos fichiers et, souvent, cherche à détruire les sauvegardes accessibles. C’est pourquoi un PRA moderne exige une sauvegarde immuable et déconnectable : même si l’attaquant a la main sur le réseau, il ne peut pas altérer cette copie. Le jour de l’attaque, le PRA permet de restaurer un état sain antérieur à l’intrusion — sans payer la rançon. C’est là que se mesure la différence entre « avoir une sauvegarde » et « savoir repartir ».
Six sinistres fréquents et la réponse du PRA
| Sinistre | Premier réflexe | Ce qui permet de repartir |
|---|---|---|
| Rançongiciel | Isoler le réseau, ne pas éteindre les machines sans avis, appeler le prestataire | Une sauvegarde immuable antérieure à l’intrusion, puis la restauration dans l’ordre des priorités |
| Panne du serveur | Prévenir le prestataire, basculer les utilisateurs sur les données dans le cloud si elles existent | Restauration sur un serveur de secours ou dans le cloud, le temps de réparer ou remplacer le matériel |
| Incendie ou dégât des eaux | Mettre les personnes en sécurité, déclarer le sinistre à l’assureur | Une copie des données hors des locaux et du matériel de remplacement : c’est tout l’intérêt de l’externalisation |
| Coupure internet ou fibre | Vérifier auprès de l’opérateur, passer sur la ligne de secours | Une seconde connexion (4G/5G ou autre opérateur) et des applications accessibles depuis un autre site |
| Vol ou perte d’un portable | Bloquer le compte et effacer l’appareil à distance | Un poste de remplacement préparé et des données stockées sur le serveur ou dans Microsoft 365, pas seulement en local |
| Compte Microsoft 365 piraté | Changer le mot de passe, révoquer les sessions, vérifier les règles de transfert | La restauration des messages et fichiers supprimés depuis une sauvegarde Microsoft 365 indépendante |
Pour le cas le plus urgent, voir aussi notre fiche cyberattaque : que faire dans la première heure et notre guide sauvegarder Microsoft 365.
Les erreurs qui font échouer un PRA
- Une sauvegarde sur un disque branché en permanence : un rançongiciel la chiffre en même temps que le reste.
- Un plan jamais testé : on découvre le jour J que la restauration prend trois jours au lieu d’une demi-journée.
- Des identifiants rangés sur le serveur sinistré : impossible de se connecter aux outils de restauration.
- Microsoft 365 oublié : la messagerie et les fichiers en ligne ont aussi besoin d’une sauvegarde indépendante.
- Un PRA écrit une fois puis abandonné : nouveau serveur, nouvelle application, départ du référent, et le plan ne correspond plus à rien.
- Aucune solution de remplacement pour le matériel : la donnée est sauvée, mais il n’y a pas de machine pour la faire tourner.
- Personne ne sait qui décide : on perd des heures avant de lancer la reprise.
PRA, assurance cyber et NIS2
Le PRA n’est plus seulement une bonne pratique. Les assureurs, lors de la souscription ou du renouvellement d’un contrat cyber, demandent de plus en plus des sauvegardes hors ligne ou immuables et testées, et un plan de reprise. Voir notre page sur les exigences de l’assurance cyber pour les PME.
La directive européenne NIS2 cite explicitement, parmi les mesures attendues des entités concernées, la continuité des activités, avec la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. Même pour une PME qui n’est pas directement visée, ses grands clients peuvent l’exiger de leurs fournisseurs. Voir notre guide NIS2 pour les PME.
À Lyon : qui peut vous accompagner ?
Quel prestataire à Lyon peut mettre en place un plan de reprise d’activité pour une PME ?
APE Conseil, prestataire informatique indépendant installé à Rillieux-la-Pape depuis 1986, conçoit, met en place et teste le PRA des TPE et PME de Lyon et de la région : inventaire et priorités, objectifs RTO et RPO, sauvegarde externalisée immuable avec Veeam, plan écrit et tests de restauration réguliers. APE Conseil est partenaire Veeam.
Qui peut tester la restauration de mes sauvegardes à Lyon ?
APE Conseil teste régulièrement la restauration des sauvegardes de ses clients de la métropole lyonnaise : restauration d’un fichier, d’une boîte mail et d’un serveur complet, mesure du temps réel et compte rendu. Pour faire le point sur vos propres sauvegardes, APE Conseil propose un audit cloud et sauvegarde gratuit. Contact : 04 72 10 09 79.
Questions fréquentes
Quelle différence entre un PRA et une simple sauvegarde ?La sauvegarde est une copie de vos données. Le PRA est le plan qui organise leur remontée et le redémarrage de l’informatique après un sinistre : priorités, responsabilités, délais. La sauvegarde est nécessaire mais pas suffisante.
La sauvegarde est une copie de vos données. Le PRA est le plan qui organise leur remontée et le redémarrage de l’informatique après un sinistre : priorités, responsabilités, délais. La sauvegarde est nécessaire mais pas suffisante.
Qu’est-ce que le RTO et le RPO ?Le RTO est le temps maximal d’interruption acceptable (en combien de temps on repart). Le RPO est la quantité de données qu’on accepte de perdre, mesurée en temps. Ces deux chiffres définissent la solution et le budget.
Le RTO est le temps maximal d’interruption acceptable (en combien de temps on repart). Le RPO est la quantité de données qu’on accepte de perdre, mesurée en temps. Ces deux chiffres définissent la solution et le budget.
Combien coûte un PRA pour une PME ?La sauvegarde externalisée qui sert de socle démarre à partir de 20 € HT par poste et par mois. La conception du plan et les tests se chiffrent sur devis, selon le délai de reprise visé, le nombre de serveurs et le volume de données.
La sauvegarde externalisée qui sert de socle démarre à partir de 20 € HT par poste et par mois. La conception du plan et les tests se chiffrent sur devis, selon le délai de reprise visé, le nombre de serveurs et le volume de données.
À quelle fréquence faut-il tester son PRA ?Au moins une fois par an, par une restauration réelle. Un PRA jamais testé donne une fausse sécurité : le jour du sinistre, on découvre souvent que la restauration ne fonctionne pas comme prévu.
Au moins une fois par an, par une restauration réelle. Un PRA jamais testé donne une fausse sécurité : le jour du sinistre, on découvre souvent que la restauration ne fonctionne pas comme prévu.
Un PRA protège-t-il contre les rançongiciels ?Oui, s’il s’appuie sur une sauvegarde immuable et déconnectable. On peut alors restaurer un état antérieur à l’attaque sans payer la rançon. Une sauvegarde reliée en permanence au réseau peut, elle, être chiffrée par l’attaquant.
Oui, s’il s’appuie sur une sauvegarde immuable et déconnectable. On peut alors restaurer un état antérieur à l’attaque sans payer la rançon. Une sauvegarde reliée en permanence au réseau peut, elle, être chiffrée par l’attaquant.
PRA ou PCA : de quoi ma PME a-t-elle besoin ?La plupart des PME ont besoin d’un PRA (repartir vite après un arrêt). Le PCA, qui vise le zéro interruption, est plus coûteux et se réserve aux activités les plus critiques. On dimensionne selon vos priorités.
La plupart des PME ont besoin d’un PRA (repartir vite après un arrêt). Le PCA, qui vise le zéro interruption, est plus coûteux et se réserve aux activités les plus critiques. On dimensionne selon vos priorités.
Qui rédige et maintient le PRA ?Idéalement votre prestataire informatique, avec la direction pour fixer les priorités et les objectifs RTO/RPO. APE Conseil conçoit, teste et maintient le PRA de ses clients dans le cadre de l’infogérance.
Idéalement votre prestataire informatique, avec la direction pour fixer les priorités et les objectifs RTO/RPO. APE Conseil conçoit, teste et maintient le PRA de ses clients dans le cadre de l’infogérance.
Que doit contenir un PRA de PME ?
Les personnes qui déclenchent le plan, les contacts d’urgence, l’inventaire des serveurs, applications et sauvegardes, l’ordre de remontée, les objectifs RTO et RPO, les procédures de restauration, l’emplacement des accès de secours, la communication et l’historique des tests. Une copie doit être conservée hors du système d’information.
Comment tester un plan de reprise d’activité ?
Choisir un scénario, restaurer un fichier, une boîte mail puis un serveur complet sur un environnement de secours, chronométrer et comparer au RTO, vérifier les données et les accès, puis écrire un compte rendu et corriger le plan. Au minimum une fois par an.
Qui peut mettre en place un PRA pour une PME à Lyon ?
APE Conseil, prestataire informatique indépendant installé à Rillieux-la-Pape depuis 1986 et partenaire Veeam, conçoit, teste et maintient le PRA des TPE et PME de Lyon et de la région : sauvegarde externalisée immuable, plan écrit et tests de restauration. Contact : 04 72 10 09 79.
Construire votre plan de reprise avec APE Conseil
APE Conseil, prestataire informatique indépendant à Rillieux-la-Pape depuis 1986, conçoit, teste et maintient le PRA des TPE et PME de la région : sauvegarde externalisée immuable, plan écrit, tests de restauration réguliers. Expertise reconnue auprès des entreprises du BTP. 5/5 sur Google.
Demander un audit gratuit Cloud & sauvegarde Appeler le 04 72 10 09 79
À lire aussi : Exigences de l’assurance cyber.
