La réponse courte : la règle 3-2-1, c'est trois copies de vos données, sur deux supports différents, dont une hors site. L'ANSSI y ajoute depuis 2023 une exigence : au moins une copie hors ligne, déconnectée du réseau, et des tests de restauration réguliers. C'est la seule mesure qui fonctionne encore quand toutes les autres ont échoué. Article mis à jour le 9 octobre 2026.
Pourquoi la sauvegarde est la mesure numéro un
Panne de disque, rançongiciel, erreur humaine, vol, incendie, cyclone : les causes de perte de données sont nombreuses, et une seule suffit à arrêter l'entreprise. En 2025, l'ANSSI a recensé 128 compromissions par rançongiciel en France, les PME, TPE et ETI restant la catégorie la plus touchée. Et selon le rapport Verizon 2025, un rançongiciel est présent dans 88 % des violations de données subies par les PME ; 64 % des victimes refusent désormais de payer, ce qui n'est possible que si l'on peut restaurer.
À La Réunion, le risque physique s'ajoute au risque cyber. Le 28 février 2025, le cyclone Garance a placé l'île en alerte violette, avec des coupures d'électricité et d'eau pendant plusieurs jours dans de nombreuses communes. Un serveur et son disque de sauvegarde dans le même local partagent le même sort : la copie hors site n'est pas une option.
Pourtant, le baromètre 2025 de Cybermalveillance.gouv.fr indique que 78 % des TPE-PME déclarent disposer de sauvegardes, sans préciser si elles sont hors ligne, hors site, ni si elles ont été testées. L'expérience des audits montre que c'est là que tout se joue.
La règle 3-2-1 en détail
Popularisée aux États-Unis par la CISA (agence fédérale de cybersécurité), la règle est reprise par l'ANSSI dans son guide « Sauvegarde des systèmes d'information, les fondamentaux » (ANSSI-BP-100, version 1.1 du 27 novembre 2025) :
| Principe | Ce que ça veut dire | Ce que ça protège |
|---|---|---|
| 3 copies | L'original plus deux sauvegardes distinctes | La défaillance d'une copie |
| 2 supports | Deux technologies différentes : disque réseau et bande, serveur et cloud | La panne d'un type de support |
| 1 hors site | Une copie dans un autre lieu : centre de données, cloud, autre agence | Incendie, vol, inondation, cyclone |
| + 1 hors ligne (ANSSI, R12) | Une copie sur un support déconnecté de tout système, ou à défaut hors site avec cloisonnement | Le rançongiciel, qui chiffre tout ce qu'il atteint |
| + 0 erreur (ANSSI, R22) | Des tests de restauration réguliers et une procédure écrite | La mauvaise surprise le jour où l'on en a besoin |
Les deux dernières lignes sont celles que l'on retrouve sous le nom de règle 3-2-1-1-0. L'ANSSI va plus loin pour les sauvegardes elles-mêmes : serveurs de sauvegarde cloisonnés, comptes d'administration dédiés et nominatifs, flux chiffrés, journalisation, et isolement immédiat de l'infrastructure de sauvegarde en cas d'incident (R24). Pour une PME, ces règles se traduisent par une chose simple : la sauvegarde ne doit jamais être accessible avec les mêmes identifiants que le reste.
Types de sauvegardes
Trois stratégies existent, souvent combinées :
- Complète : tout copier. Plus lourde, plus simple à restaurer.
- Incrémentale : uniquement les modifications depuis la dernière sauvegarde, quelle qu'elle soit. Légère, mais la restauration enchaîne plusieurs jeux.
- Différentielle : les modifications depuis la dernière complète. Compromis entre les deux.
Une complète hebdomadaire avec des incrémentales quotidiennes, plus des instantanés horaires sur les bases de données, couvre la plupart des PME. Les postes de travail méritent le même traitement que les serveurs : c'est souvent là que vivent les documents en cours.
Tester les restaurations, pas seulement les sauvegardes
Une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde fiable. L'ANSSI le formule ainsi dans sa recommandation R22 : les sauvegardes doivent être testées régulièrement et une procédure de restauration du système doit exister. Les échecs typiques : un disque de sauvegarde plein depuis six mois, un agent désinstallé lors d'une mise à jour, une base de données sauvegardée à chaud et incohérente, un mot de passe de chiffrement que plus personne ne connaît.
Chez Écureuil Digital, les contrats de sauvegarde externalisée comprennent des tests de restauration trimestriels, chronométrés et consignés dans le rapport mensuel : vous savez combien de temps prendrait un redémarrage, avant d'en avoir besoin. C'est aussi le point de départ d'un plan de reprise d'activité.
Par où commencer
- Lister ce qui doit être sauvegardé : serveurs, postes, messagerie, logiciels métier, configurations des équipements réseau.
- Fixer la perte acceptable (combien d'heures de travail) et le délai de reprise acceptable (combien d'heures d'arrêt).
- Mettre en place les trois copies, dont une hors site et une hors ligne, avec des identifiants dédiés.
- Restaurer une première fois, chronométrer, corriger.
- Programmer le test trimestriel et la revue annuelle de la liste du point 1.
La règle 3-2-1 est le socle de toute stratégie de sauvegarde ; notre checklist cybersécurité la place en première position, avant même la double authentification. Elle est comprise dans la maintenance par poste et le forfait infogérance, et fait l'objet d'une offre dédiée pour les serveurs : sauvegarde et PRA.
Questions fréquentes
Quelle est la règle 3-2-1 des sauvegardes ?
Trois copies de chaque donnée importante, sur deux types de supports différents, dont une copie hors site. L'ANSSI la formule de façon plus stricte dans son guide « Sauvegarde des systèmes d'information, les fondamentaux » (version 1.1 du 27 novembre 2025, recommandation R11) : les données en production et deux sauvegardes sur des supports différents, dont une hors ligne, c'est-à-dire sur un support déconnecté de tout système (R12). C'est le minimum pour survivre à un rançongiciel, qui chiffre aussi les sauvegardes restées connectées.
À quelle fréquence sauvegarder ses données ?
La fréquence découle de la perte de données que vous acceptez (la PDMA, ou RPO en anglais). Pour la plupart des PME, une sauvegarde quotidienne des données et des serveurs est le minimum, avec des instantanés plus fréquents pour les bases de données actives et la messagerie. Une TPE qui saisit ses factures le jour même ne peut pas se permettre de perdre plus d'une journée ; un cabinet qui facture à l'heure pas plus de quelques heures.
Combien de temps conserver les sauvegardes ?
Au moins le temps de détecter un problème : un rançongiciel ou une suppression accidentelle se découvrent parfois des semaines plus tard. En pratique : 30 jours de sauvegardes quotidiennes, trois mois d'hebdomadaires, un an de mensuelles. Les obligations légales s'ajoutent : les documents comptables se conservent 10 ans selon le code de commerce ; le RGPD impose au contraire de ne pas garder les données personnelles au-delà de leur finalité.
Le cloud (OneDrive, Google Drive, Dropbox) est-il une sauvegarde ?
Non. La synchronisation copie vos fichiers en temps réel : si un rançongiciel chiffre les fichiers sur le poste, les versions chiffrées remontent dans le cloud. L'historique des versions aide, mais il est limité dans le temps et ne couvre ni les serveurs, ni les bases de données, ni la configuration des logiciels. Le cloud peut être l'un des deux supports de la règle 3-2-1, pas la règle entière.
Comment savoir si mes sauvegardes fonctionnent vraiment ?
En restaurant. L'ANSSI écrit que les sauvegardes doivent être testées régulièrement et qu'une procédure de restauration doit exister (R22). Concrètement : chaque trimestre, restaurer un fichier, un dossier et une machine complète sur un environnement de test, chronométrer, et noter le résultat. Une sauvegarde qu'on n'a jamais restaurée est une hypothèse, pas une protection.
Nos services associés
Sauvegarde et PRA
Sauvegarde externalisée selon la règle 3-2-1, copie hors ligne et tests de restauration.
Maintenance par poste
Sauvegarde supervisée comprise pour chaque poste sous contrat.
Forfait infogérance
Serveurs, postes et sauvegardes supervisés, avec rapport mensuel.
Récupération de données
Quand il n'y avait pas de sauvegarde : ce qui est encore possible.