La réponse courte : un plan de reprise d'activité (PRA) est le document, testé, qui dit comment votre entreprise redémarre son informatique après un sinistre, en combien de temps et avec quelle perte de données. Il repose sur deux chiffres fixés à l'avance, le RTO et le RPO, sur des sauvegardes hors site et hors ligne, et sur un exercice annuel. Article mis à jour le 9 octobre 2026.
Pourquoi chaque PME a besoin d'un PRA
Un sinistre informatique majeur peut survenir à tout moment : rançongiciel, incendie, inondation, cyclone, panne d'un serveur hors garantie. Sans plan préparé, la reprise se compte en semaines : l'ANSSI rappelle dans son Panorama 2025 qu'une coupure brutale de l'alimentation lors d'une attaque peut entraîner un arrêt total de plusieurs semaines et détruire les traces nécessaires à l'enquête, et que les PME, TPE et ETI restent la catégorie la plus touchée par les rançongiciels (128 compromissions recensées en 2025).
Le coût d'une interruption est documenté : dans son analyse annuelle des pannes publiée en mai 2025, l'Uptime Institute relève que près de 40 % des organisations ont subi en trois ans une panne majeure causée par une erreur humaine, le plus souvent une procédure non suivie ou défaillante. Un PRA est précisément une procédure écrite et répétée. À La Réunion, le cyclone Garance du 28 février 2025 (alerte violette, coupures d'électricité et d'eau prolongées) a rappelé que le risque n'est pas seulement numérique.
Enfin, le PRA est de plus en plus demandé de l'extérieur : par les cyberassureurs, par les clients qui auditent leurs fournisseurs, et demain par la directive NIS2, qui impose la continuité d'activité aux entités concernées.
Définir vos objectifs : RTO et RPO
La première étape d'un PRA est de fixer deux chiffres, activité par activité :
- RTO (Recovery Time Objective), ou durée maximale d'interruption admissible : combien de temps l'entreprise peut tenir sans ce système. Quatre heures pour la caisse d'un commerce, un jour pour la comptabilité, une semaine pour les archives. Plus le RTO est court, plus le PRA coûte.
- RPO (Recovery Point Objective), ou perte de données maximale admissible : combien de travail on accepte de ressaisir. Une heure de commandes ? Une journée de devis ? Le RPO fixe la fréquence minimale des sauvegardes.
Ces deux paramètres structurent tout le reste : choix techniques, budget, procédures. Les termes français (DMIA et PDMA) sont ceux du guide de sauvegarde de l'ANSSI.
Les six composantes d'un PRA efficace
| Composante | Contenu | Question à laquelle elle répond |
|---|---|---|
| 1. Inventaire | Systèmes critiques, dépendances (annuaire, messagerie, logiciel métier, licences), ordre de redémarrage | Qu'est-ce qu'on remonte, et dans quel ordre ? |
| 2. Objectifs | RTO et RPO par activité, validés par la direction | Combien de temps, combien de perte ? |
| 3. Sauvegardes | Règle 3-2-1, copie hors site et hors ligne, identifiants dédiés | À partir de quoi redémarre-t-on ? |
| 4. Moyens de secours | Infrastructure cloud ou serveur de repli, postes de remplacement, accès internet de secours | Sur quoi redémarre-t-on ? |
| 5. Procédures et contacts | Pas à pas de restauration, qui décide, qui appelle qui (prestataire, assureur, CNIL si données personnelles) | Qui fait quoi, dans quel ordre ? |
| 6. Tests | Exercice annuel chronométré, tests trimestriels de restauration, mise à jour après chaque changement | Est-ce que ça marche vraiment ? |
La méthode de référence en français reste le guide du SGDSN pour réaliser un plan de continuité d'activité (2013), en dix étapes, du cadrage aux exercices ; la norme ISO 22301 en est la version certifiable. Pour une PME, les six composantes ci-dessus en sont la version praticable.
Ce que change un PRA le jour J
Sans PRA, le jour d'un rançongiciel, on cherche le mot de passe de la sauvegarde, on découvre que la dernière copie valide date de trois semaines, on éteint le serveur et on perd les traces, on appelle l'assureur qui demande un rapport qu'on ne sait pas écrire. Avec un PRA, on isole l'infrastructure de sauvegarde (recommandation R24 de l'ANSSI), on bascule sur les moyens de secours, on restaure dans l'ordre prévu, et l'on notifie la CNIL dans les 72 heures si des données personnelles sont touchées. Le rapport Verizon 2025 note que 64 % des victimes de rançongiciel refusent désormais de payer : ce choix n'existe que pour celles qui savent restaurer.
Écureuil Digital sécurise votre reprise
Nous accompagnons les entreprises réunionnaises de l'inventaire initial à l'exercice annuel : l'audit informatique mesure l'écart entre vos objectifs et la réalité, l'offre sauvegarde et PRA met en place les copies hors site et hors ligne et la procédure de reprise, et le forfait infogérance entretient le tout dans le temps, tests de restauration compris. Le détail de la règle 3-2-1 est dans notre article sur les sauvegardes.
Questions fréquentes
Quelle différence entre PRA et PCA ?
Le plan de continuité d'activité (PCA) organise le maintien de l'activité pendant le sinistre, éventuellement en mode dégradé : site de repli, procédures manuelles, bascule sur une infrastructure de secours. Le plan de reprise d'activité (PRA) organise la restauration des systèmes après l'incident, dans un délai et avec une perte de données fixés à l'avance. Une PME commence en général par le PRA, puis étend au PCA pour ses activités les plus critiques.
Combien coûte la mise en place d'un PRA ?
Le coût dépend presque entièrement de deux chiffres : le délai de reprise visé (RTO) et la perte de données acceptée (RPO). Reprendre en quelques heures avec une infrastructure de secours prête à démarrer coûte plus qu'une reprise en deux jours à partir de sauvegardes hors site. La documentation et les tests, eux, coûtent surtout du temps. Un PRA raisonnable pour une PME s'appuie sur la sauvegarde externalisée existante ; les tarifs à jour sont sur la page Sauvegarde et PRA.
Que signifient RTO et RPO ?
Le RTO (Recovery Time Objective, ou durée maximale d'interruption admissible) est le délai maximal acceptable entre l'incident et la reprise de l'activité. Le RPO (Recovery Point Objective, ou perte de données maximale admissible) est la quantité de travail que l'on accepte de perdre entre la dernière sauvegarde et l'incident. Un RTO de 24 heures et un RPO de 4 heures signifient : on redémarre au plus tard le lendemain, en ayant perdu au plus une demi-journée de saisie.
À quelle fréquence tester un PRA ?
Au moins une fois par an en conditions réelles (restauration complète sur un environnement de test, chronométrée), et après chaque changement important du système d'information : nouveau serveur, migration vers le cloud, nouveau logiciel métier. Entre deux exercices, les tests trimestriels de restauration des sauvegardes vérifient la brique de base. L'Uptime Institute relève que près de 40 % des organisations ont subi en trois ans une panne majeure due à une erreur humaine : un plan non répété se trompe le jour J.
Un PRA est-il obligatoire ?
Pas pour la plupart des PME aujourd'hui, mais il le devient de fait : les cyberassureurs le demandent, les clients grands comptes et les établissements de santé l'exigent de leurs fournisseurs, et la directive NIS2 imposera la gestion de la continuité d'activité aux entités concernées une fois la loi française votée. Et le RGPD impose déjà de pouvoir rétablir l'accès aux données personnelles en cas d'incident.
Nos services associés
Sauvegarde et PRA
Sauvegarde externalisée, copie hors ligne, procédure de reprise documentée et testée.
Hébergement et cloud
Serveurs externalisés et infrastructure de secours pour réduire le délai de reprise.
Audit informatique
Inventaire des systèmes critiques et mesure de l'écart avec vos objectifs de reprise.
Forfait infogérance
Supervision, sauvegardes et tests de restauration compris, pour tenir le PRA dans le temps.