Un ransomware chiffre vos serveurs. Un incendie détruit votre local. Une panne électrique éteint votre datacenter. Combien de temps votre PME peut-elle fonctionner sans son système d'information ? Une journée ? Une semaine ? Pour beaucoup d'entreprises, la réponse honnête est : « on ne sait pas ».
Le Plan de Reprise d'Activité (PRA) répond précisément à cette question. C'est le document et le dispositif technique qui garantissent que votre entreprise redémarre en quelques heures après un sinistre, avec des pertes de données maîtrisées. Voici comment le construire, étape par étape, avec des coûts réalistes pour une PME.
1. PRA, PCA, RPO, RTO : les concepts à connaître avant de commencer
Un PRA est un plan opérationnel qui organise la reprise des systèmes informatiques critiques après un sinistre, avec deux objectifs chiffrés : un RTO (délai de reprise) et un RPO (perte de données maximale acceptée). Sans ces deux indicateurs, un PRA n'est qu'une intention, pas un plan.
Le vocabulaire fait souvent peur, mais il se résume à quatre notions :
- PRA (Plan de Reprise d'Activité) : comment redémarrer les systèmes après un sinistre, dans un délai donné.
- PCA (Plan de Continuité d'Activité) : comment maintenir l'activité pendant le sinistre (bureaux de secours, téléphonie de repli, travail à distance). Le PRA est la composante informatique du PCA.
- RTO (Recovery Time Objective) : le temps maximum entre le sinistre et le retour à la normale. Exemple : 4 heures.
- RPO (Recovery Point Objective) : la quantité de données que vous acceptez de perdre. Exemple : 1 heure — soit des sauvegardes au plus toutes les heures.
| Objectif | Définition simple | Exemple PME |
|---|---|---|
| RTO 4 h | Le système doit être revenu en moins de 4 heures | Reprise à midi pour un sinistre survenu à 8 h |
| RPO 1 h | Au maximum 1 heure de données perdue | Sauvegarde horaire de la base de gestion |
| RTO 24 h | Reprise sous 24 heures (budget réduit) | Redémarrage des postes critiques le lendemain |
| RPO 24 h | Une journée de données perdue acceptée | Sauvegarde nocturne classique |
2. Pourquoi votre PME a besoin d'un PRA (et pas seulement de sauvegardes)
Les sauvegardes protègent vos données ; le PRA protège votre activité. Une sauvegarde vous permet de restaurer des fichiers, mais sans plan de reprise, il faut des jours pour reconstruire l'environnement : réinstaller les serveurs, reconfigurer le réseau, recréer les comptes, vérifier que tout fonctionne ensemble. C'est là que les entreprises perdent des semaines.
Les chiffres donnent le vertige : selon l'ANSSI, 60 % des PME victimes d'une cyberattaque grave déposent le bilan dans les 18 mois. Et d'après l'IBM Cost of a Data Breach Report 2024, une entreprise met en moyenne 258 jours pour identifier et contenir une violation de données — soit plus de 8 mois à fonctionner en mode dégradé.
Le PRA n'est pas réservé aux grands groupes : les cybercriminels ciblent précisément les PME parce qu'elles sont moins préparées. Un PRA bien construit est un avantage concurrentiel : vos clients et assureurs le considèrent de plus en plus comme un prérequis.
3. Construire votre PRA en 6 étapes
Un PRA se construit en six étapes : cartographier le système d'information critique, définir RPO et RTO, choisir la solution de reprise, rédiger les procédures, tester, puis maintenir le plan à jour. La méthode est simple ; l'exécution exige de la rigueur.
Étape 1 — Cartographier votre SI critique
Listez tout ce qui est indispensable à votre activité : serveur de fichiers, base de gestion commerciale, messagerie, ERP, téléphonie, accès VPN. Pour chaque élément, notez qui l'utilise et ce qui se passe s'il est indisponible. Vous serez surpris de constater que 20 % de vos applications supportent 80 % de votre activité.
Étape 2 — Fixer RPO et RTO par application
Pour chaque application critique, définissez un RTO et un RPO réalistes. La messagerie doit revenir en 2 h ? La base de gestion en 4 h avec une perte maximale de 1 h ? Notez-le noir sur blanc : ces chiffres guideront tous les choix techniques.
Étape 3 — Choisir la solution de reprise
Trois grandes options s'offrent à vous, du moins au plus coûteux :
| Solution | Principe | RTO typique | Budget indicatif / mois |
|---|---|---|---|
| Sauvegarde externalisée + restauration | Backup cloud, reconstruction manuelle des serveurs | 24 à 72 h | 50 à 200 € |
| Réplication de serveurs sur cloud privé | Copie continue des serveurs virtuels, démarrage à la demande | 2 à 6 h | 200 à 600 € |
| Site de secours avec bascule automatique | Infrastructure dupliquée, bascule sans intervention | < 1 h | 600 € et plus |
Pour la plupart des PME, la réplication sur un cloud privé français avec démarrage à la demande offre le meilleur rapport efficacité/prix.
Étape 4 — Rédiger les procédures pas à pas
Écrivez qui fait quoi, dans quel ordre, avec quels identifiants et quels outils : déclenchement du plan, alerte de l'équipe, activation de la réplication, communication clients, gestion de crise. Une procédure que seule une personne sait exécuter de mémoire n'est pas une procédure.
Étape 5 — Tester le plan (au moins 2 fois par an)
Un PRA non testé est une illusion de sécurité. Réalisez un exercice de reprise réel : déclenchez la bascule, restaurez, mesurez le temps réellement écoulé, comparez-le au RTO annoncé. Chaque test révèle des failles — c'est exactement le but.
Étape 6 — Maintenir le plan à jour
À chaque changement significatif (nouveau logiciel, nouveau prestataire, départ d'un collaborateur clé), mettez à jour le plan. Un PRA vieux de deux ans ne vaut pas mieux qu'une absence de PRA.
4. Combien coûte un PRA pour une PME ?
Le coût d'un PRA pour une PME se décompose en trois postes : l'audit et la rédaction du plan (1 500 à 5 000 € en une fois), la solution technique (50 à 600 € par mois selon le RTO choisi), et les tests annuels (inclus ou facturés à la journée). C'est l'un des investissements les plus rentables de votre budget informatique.
Pour dimensionner, comparez ce coût à votre perte potentielle : si votre PME réalise 20 000 € de chiffre d'affaires par jour, chaque journée d'arrêt coûte 20 000 € de ventes manquées, sans compter la perte de confiance des clients. Un sinistre d'une semaine représente plus de 100 000 € — soit l'équivalent de plusieurs années de solution de reprise.
- Audit PRA et rédaction du plan : 1 500 à 5 000 € selon la taille du SI (souvent remisé si inclus dans un contrat d'infogérance)
- Solution technique de reprise : 50 à 600 € / mois selon le RTO et le volume de données
- Exercice de reprise annuel : 1 à 2 jours d'intervention (500 à 1 500 € / jour) — ou inclus dans une formule
FAQ : vos questions sur le PRA pour PME
Quelle est la différence entre un PRA et un PCA ?
Le PCA (Plan de Continuité d'Activité) organise le maintien de l'activité pendant le sinistre : bureaux de secours, téléphonie de repli, télétravail. Le PRA (Plan de Reprise d'Activité) est la partie informatique du PCA : il décrit comment redémarrer les systèmes après le sinistre. En pratique, on commence souvent par le PRA, qui est plus facile à mettre en œuvre techniquement.
Combien de temps faut-il pour mettre en place un PRA ?
Comptez 2 à 4 semaines pour une PME : une à deux semaines d'audit et de cartographie, une semaine de choix et de déploiement de la solution technique, puis la rédaction des procédures et le premier test. Le plus long n'est pas la technique, c'est la discipline de maintenance du plan dans la durée.
Un PRA est-il obligatoire pour les PME ?
Non, il n'est pas obligatoire par la loi, mais deux forces poussent les PME à s'y mettre : les exigences des grands comptes et des assureurs (de plus en plus de clients et de polices d'assurance demandent un PRA), et le RGPD, qui impose de garantir la disponibilité et la capacité de restauration des données personnelles.
La sauvegarde cloud suffit-elle comme PRA ?
Non. La sauvegarde cloud protège vos données, mais pas votre environnement : il faut ensuite réinstaller serveurs, logiciels et configurations. Un vrai PRA inclut un environnement de reprise prêt à démarrer — par exemple des serveurs virtuels répliqués sur un cloud privé. C'est la différence entre « j'ai mes fichiers » et « je travaille à nouveau ».
À quelle fréquence faut-il tester son PRA ?
Au minimum une fois par an, idéalement deux. Les bonnes pratiques (norme ISO 22301) recommandent un exercice complet avec mesure des RTO/RPO réels. Chaque test doit produire un rapport et un plan d'action : un test qui ne révèle rien est un test mal conçu.
🛡️ Et si votre PME subissait un sinistre demain ?
2SRK Solutions Informatiques vous propose un audit de résilience gratuit : nous évaluons votre niveau de protection actuel, identifions vos points de fragilité (sauvegarde, réplication, procédures) et vous remettons un plan d'action priorisé avec les coûts associés. Sans engagement.
Demander mon audit résilience gratuitEn résumé : un PRA, c'est trois chiffres (RPO, RTO, budget) et six étapes (cartographier, chiffrer, choisir, rédiger, tester, maintenir). Avec un RTO de 4 à 24 h et une réplication sur cloud privé à partir de 200 € par mois, toute PME peut se doter d'un dispositif de reprise sérieux. Le sinistre n'est pas une question de « si », mais de « quand » — soyez prêt.
Vous avez aimé cet article ? Partagez-le :
🔗 Partager sur LinkedIn · 🐦 Partager sur X
📄 Article rédigé par l'équipe 2SRK Solutions Informatiques — Expert en infogérance, cloud privé et cybersécurité pour PME en Île-de-France.