Un plan de reprise d’activité PME sert à redémarrer l’entreprise après une cyberattaque, avec des priorités, des délais cibles, des sauvegardes vérifiées et des rôles clairs. Sans lui, une restauration devient une improvisation coûteuse. Pour une PME française, le bon objectif n’est pas un document épais : c’est un scénario testé, compréhensible par la direction, l’IT, les métiers et les prestataires.
Qu’est-ce qu’un PRA pour une PME ?
Le PRA, ou plan de reprise d’activité, décrit comment reconstruire le système informatique et relancer les applications stratégiques après un incident grave. En 2024, le guide de gestion de crise de l’ANSSI le présente comme complémentaire du PCA et centré sur la reconstruction de l’infrastructure numérique après sinistre.
Concrètement, le PRA répond à des questions simples. Quels serveurs faut-il remettre en route d’abord ? Où sont les sauvegardes ? Qui décide qu’un site e-commerce peut repartir ? Qui parle aux clients, à l’assureur, à l’hébergeur, à la CNIL si des données personnelles sont concernées ?
Pour un dirigeant, l’intérêt est très concret : réduire le temps d’arrêt, limiter la perte de chiffre d’affaires, éviter les décisions prises sous stress et prouver une préparation minimale à ses partenaires. Le sujet n’est plus réservé aux grands groupes. Dans son Panorama de la cybermenace 2024, l’ANSSI indique que les PME, TPE et ETI représentaient 37 % des victimes de rançongiciel connues de ses services.
Un rançongiciel, ou ransomware, chiffre les fichiers pour les rendre inutilisables et exige souvent une rançon. Le coût réel ne se limite pas à l’attaque : production arrêtée, commandes bloquées, réputation abîmée, remédiation technique, conseil juridique, parfois notification à la CNIL au titre du RGPD. Pour évaluer ce risque côté business, un repère utile consiste à rapprocher le PRA du niveau de sécurité des API et services exposés, souvent oubliés dans les cartographies de PME.
Quelle différence entre PRA et PCA ?
Le PCA, ou plan de continuité d’activité, organise la manière de continuer à travailler pendant la crise. Le PRA organise le redémarrage après la crise, ou pendant la sortie de crise, lorsque les systèmes doivent être reconstruits proprement.
La différence paraît théorique. Elle change pourtant les arbitrages budgétaires. Un PCA peut prévoir que le service client bascule sur un téléphone mobile, un fichier exporté la veille et une messagerie de secours. Le PRA, lui, prévoit comment restaurer le CRM, vérifier qu’il n’est plus compromis, reconnecter le site web et rouvrir les accès.
L’ANSSI recommande en 2024 de disposer à la fois d’un PCA robuste face aux cyberattaques et d’un PRA. La FTC américaine, dans ses recommandations aux petites entreprises consultées en 2026, distingue aussi le Disaster Recovery Plan, orienté reprise après événement imprévu, du Business Continuity Plan, orienté continuité pendant et après la perturbation.
Un piège fréquent consiste à croire qu’une sauvegarde suffit. Faux. Une sauvegarde non testée, non isolée ou trop ancienne peut être inutilisable le jour venu. La CNIL recommande en 2024 des sauvegardes régulières, des tests de restauration et au moins une sauvegarde conservée hors de la société, donc hors site.
| Notion | Question métier | Exemple PME | Impact budget |
|---|---|---|---|
| PCA | Comment continue-t-on malgré l’arrêt ? | Prise de commandes par téléphone et fichier partagé de secours | Procédures, outils alternatifs, formation |
| PRA | Comment redémarre-t-on proprement ? | Restauration du site, de l’ERP et des postes prioritaires | Sauvegardes, hébergement, tests, expertise technique |
| RTO | Combien de temps d’arrêt accepte-t-on ? | Site e-commerce rétabli en 8 heures, comptabilité en 48 heures | Plus le délai est court, plus l’architecture coûte cher |
| RPO | Combien de données peut-on perdre ? | Perte maximale d’une heure de commandes | Plus la perte acceptable est faible, plus les sauvegardes doivent être fréquentes |
RTO, RPO : deux chiffres qui pilotent vraiment le coût
Le RTO, Recovery Time Objective, désigne le temps maximal acceptable pendant lequel une ressource peut rester indisponible avant que l’impact devienne inacceptable. C’est la définition utilisée par le NIST SP 800-34 Rev. 1. En langage dirigeant : combien d’heures pouvez-vous tenir sans cet outil ?
Le RPO, Recovery Point Objective, indique le point dans le temps auquel les données peuvent être récupérées grâce à la dernière sauvegarde. Dit autrement : acceptez-vous de perdre 24 heures de saisies, 4 heures de commandes, ou presque rien ?
Ces deux valeurs évitent les discussions floues. Un site vitrine peut tolérer 24 à 48 heures d’indisponibilité si le téléphone fonctionne. Une boutique en ligne ou une application métier utilisée par les commerciaux supporte beaucoup moins l’arrêt. À ce budget, mieux vaut parfois protéger très fortement trois systèmes vitaux plutôt que prétendre tout reprendre vite, partout.
Sur les projets que nous menons, nous voyons souvent un décalage entre l’urgence ressentie et les dépendances réelles. Le dirigeant cite le site web, puis l’équipe découvre que les devis dépendent d’un ancien logiciel, d’une boîte mail partagée et d’un export comptable hébergé chez un prestataire. Le PRA sert précisément à rendre ces dépendances visibles avant l’incident.
Le contenu minimal d’un plan de reprise d’activité PME
Un plan de reprise d’activité PME efficace tient parfois en quinze pages bien tenues. Le format compte moins que la clarté. La CNIL recommande même de rédiger un PCA/PRA synthétique avec la liste des intervenants, les personnes à alerter, les tests de restauration et des essais réguliers des plans.
Le document doit rester utilisable sans le responsable informatique habituel. Papier inclus. MesServicesCyber, dans ses éléments NIS2 consultés en 2026, recommande de maintenir une liste imprimée à jour des personnes mobilisables en crise cyber et de leurs coordonnées. C’est très pragmatique : si la messagerie est chiffrée, votre annuaire numérique ne sert plus à grand-chose.
- Inventaire des actifs critiques : site web, ERP, CRM, messagerie, fichiers partagés, applications mobiles, API, postes de production.
- Priorités de reprise : ordre de redémarrage validé par la direction, pas seulement par l’informatique.
- RTO et RPO : délais et pertes de données acceptables pour chaque service.
- Stratégie de sauvegarde : fréquence, emplacement, chiffrement, sauvegarde hors site ou hors ligne, responsable des tests.
- Contacts de crise : direction, IT, hébergeur comme OVHcloud, registrar, prestataire web, avocat, assureur, DPO, support Cloudflare si utilisé.
- Procédure de restauration : étapes, accès nécessaires, critères de validation, journal des décisions.
- Communication : messages internes, clients, fournisseurs, autorités, avec validation juridique si données personnelles.
Pour WordPress, par exemple, un PRA ne se limite pas à sauvegarder la base de données. Il faut aussi prévoir les fichiers médias, le thème, les extensions, les accès administrateur, les DNS, le certificat TLS, les journaux utiles à l’analyse et la possibilité de restaurer dans un environnement sain. Les choix de plugins doivent être cohérents avec cette stratégie ; une sélection raisonnée d’extensions WordPress maintenues et utiles réduit déjà une partie du risque opérationnel.
Sauvegardes, hébergement, tests : ce qui fait la différence le jour J
La sauvegarde doit être protégée contre l’attaque qu’elle est censée réparer. MesServicesCyber rappelle en 2026 que les sauvegardes doivent être protégées contre les incidents pouvant les rendre inutilisables, avec le stockage hors ligne comme exemple face aux rançongiciels. C’est un point que les non-techniciens sous-estiment souvent : un ransomware peut aussi chiffrer un disque réseau connecté en permanence.
La règle pratique est de disposer de plusieurs copies, sur plusieurs supports, dont au moins une isolée. Selon les contextes, cela peut passer par des snapshots d’hébergement, un stockage objet compatible S3, une sauvegarde externe chiffrée, ou une copie hors ligne. OVHcloud, Scaleway, AWS, Microsoft Azure ou Google Cloud proposent des briques utiles, mais l’outil ne remplace pas le scénario.
Le test annuel est un minimum raisonnable. MesServicesCyber l’indique pour les processus de sauvegarde et de restauration dans l’objectif NIS2 « Continuité et reprise d’activité ». Pour une PME exposée, e-commerce ou application métier critique, un test semestriel est souvent plus réaliste. Honnêtement, un PRA jamais testé est surtout une intention.
Le test doit répondre à une question simple : peut-on restaurer, en combien de temps, avec quelles pertes, et qui valide ? Il peut être partiel. Restaurer une copie du site sur un serveur temporaire, vérifier la base clients, reconnecter une application mobile de test, puis chronométrer. Pour les applications mobiles, la reprise doit inclure les services distants ; une checklist de sécurité avant publication aide à ne pas séparer sécurité applicative et reprise d’activité.
Budget et délais réalistes pour une PME française
Les tarifs varient fortement selon l’état du système d’information, le nombre d’applications et le niveau d’exigence. Pour une petite PME avec un site WordPress, une messagerie cloud et quelques outils SaaS, un cadrage PRA/PCA simple se situe souvent autour de 2 000 à 5 000 euros hors taxes chez des prestataires français. Cela couvre l’inventaire, les priorités, les procédures et un premier test limité.
Quand l’entreprise possède un ERP, des serveurs internes, des API, un e-commerce ou une application mobile, l’enveloppe monte facilement entre 6 000 et 20 000 euros, parfois davantage si l’infrastructure doit être refondue. Les coûts récurrents viennent ensuite : sauvegardes, supervision, hébergement de secours, tests, maintenance documentaire. Comptez plutôt quelques centaines à quelques milliers d’euros par mois selon la criticité.
Le délai de mise en place est rarement instantané. Un PRA minimal peut être cadré en deux à quatre semaines si les accès, contrats et dépendances sont connus. Pour une PME plus complexe, six à dix semaines sont plus réalistes, surtout si l’on découvre des sauvegardes absentes, des versions obsolètes ou des prestataires sans engagement clair de restauration.
Le mauvais arbitrage consiste à acheter trop vite une plateforme de sauvegarde sans avoir défini RTO et RPO. À l’inverse, passer trois mois à rédiger une documentation parfaite sans test de restauration n’apporte pas grand-chose. Côté agence, le réflexe est de commencer par les parcours critiques : vendre, produire, facturer, communiquer. Le reste vient après.
NIS2, RGPD et cyberassurance : ce que le PRA change
La directive européenne NIS2, adoptée en 2022, impose aux entités concernées de traiter la continuité d’activité, notamment la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. Toutes les PME ne sont pas directement dans le périmètre, mais beaucoup travaillent avec des clients qui le sont. Par effet de chaîne, les exigences remontent dans les contrats.
Le RGPD ajoute un autre angle. Si une cyberattaque touche des données personnelles, l’entreprise doit être capable d’évaluer l’incident, de limiter l’impact et, dans certains cas, de notifier la CNIL et les personnes concernées. Un PRA documenté n’efface pas la crise, mais il facilite la preuve d’une démarche sérieuse.
Côté cyberassurance, les sources publiques ne montrent pas de checklist uniforme obligatoire pour toutes les PME françaises. Les assureurs et courtiers évoquent néanmoins régulièrement les sauvegardes, la reprise d’activité, l’interruption d’activité et la gestion d’incident. Marsh indiquait en 2025 que les indicateurs de préparation au ransomware incluent les politiques et procédures de sauvegarde ainsi que les contrôles techniques.
Autre signal à prendre au sérieux : le baromètre 2025 de Cybermalveillance.gouv.fr, mené auprès de 588 entreprises françaises de moins de 250 salariés, rapporte que près de 6 TPE-PME sur 10 ne savent toujours pas évaluer les conséquences d’une cyberattaque. Le PRA transforme cette inconnue en scénario chiffré. Pour aller plus loin sur le volet exposition technique, l’analyse des accès, API et authentifications complète utilement la reprise, notamment avec des approches modernes comme les passkeys pour remplacer certains mots de passe web.
Cadrer ce type de projet en amont évite la plupart des mauvaises surprises : priorités floues, sauvegardes inutilisables, prestataires introuvables, reprise validée trop tard. Un regard extérieur aide souvent à arbitrer entre ce qui doit repartir en deux heures et ce qui peut attendre deux jours, sans surdimensionner inutilement l’infrastructure.
FAQ sur le plan de reprise d’activité PME
Un plan de reprise d’activité PME est-il obligatoire ?
Pas pour toutes les PME, mais NIS2 impose des mesures de continuité et de reprise aux entités concernées. Même hors obligation directe, les clients, assureurs ou donneurs d’ordre peuvent demander des preuves de sauvegarde et de reprise.
Quelle est la différence entre sauvegarde et PRA ?
La sauvegarde est une copie de données. Le PRA est le mode opératoire complet pour restaurer les systèmes, vérifier leur intégrité, prioriser les services et reprendre l’activité dans un délai acceptable.
À quelle fréquence faut-il tester un PRA ?
Un test annuel est un minimum recommandé dans les référentiels récents liés à NIS2. Pour une activité fortement dépendante du numérique, un test tous les six mois est souvent plus prudent.
Combien de temps faut-il pour redémarrer après un ransomware ?
Cela dépend du RTO, de la qualité des sauvegardes et de l’étendue de l’attaque. Une PME bien préparée peut restaurer certains services en quelques heures, tandis qu’une organisation sans PRA peut rester bloquée plusieurs jours ou semaines.
Qui doit rédiger le PRA dans une PME ?
La direction doit porter les priorités métier, l’IT ou le prestataire technique décrit la restauration, et les responsables opérationnels valident les impacts. Un PRA uniquement informatique manque souvent les vrais enjeux business.