Une panne, une cyberattaque ou une coupure réseau peuvent arrêter une PME avant même que ses équipes sachent quoi relancer. Un plan de reprise informatique, ou PRA, fixe les priorités, les responsabilités et les moyens nécessaires pour rétablir les services essentiels.
Le document n’a pas besoin d’être volumineux pour être utile : il doit rester compréhensible sous pression et correspondre aux moyens réellement disponibles. Pour le construire, mieux vaut partir des activités de l’entreprise, puis vérifier les délais, les sauvegardes et les rôles.
A retenir :
- Priorités métier définies avant le redémarrage des outils
- RTO et RPO réalistes pour chaque activité critique
- Sauvegardes isolées, contrôlées et restaurées en exercice
- Responsabilités, accès de secours et contacts clairement documentés
Plan de reprise informatique : fixer les priorités métier
Ces priorités donnent au PRA sa direction : elles indiquent quels services doivent revenir avant les autres. Commencez par repérer les activités qui permettent de vendre, produire, livrer, facturer ou servir les clients.
Classer les activités selon leur criticité
Pour établir ce classement, reliez chaque activité à ses applications, ses données, ses accès et ses prestataires. Une entreprise peut découvrir que son logiciel de caisse ou son accès bancaire bloque davantage l’activité que le serveur de fichiers.
Selon la CNIL, le plan de continuité et le PRA doivent être pensés en fonction des services essentiels et des risques associés. Ce travail de priorisation relève autant des responsables métier que de l’équipe informatique.
La grille ci-dessous aide à transformer les besoins opérationnels en décisions concrètes, sans supposer que tout peut redémarrer simultanément. Les délais doivent être validés avec les personnes qui connaissent les contraintes quotidiennes.
Question
Exemple
Décision PRA
Quelle activité repartir ?
Commandes ou production
Ordre de reprise métier
Quelle application la soutient ?
ERP ou logiciel de caisse
Dépendances à inventorier
Combien de temps attendre ?
Quelques heures ou plusieurs jours
RTO à fixer
Quelle perte de données accepter ?
Quelques minutes ou une journée
RPO et fréquence de copie
Les valeurs dépendent du métier : elles ne sont pas des objectifs universels. Une fois les priorités décidées, il faut vérifier si l’infrastructure et les personnes peuvent réellement les respecter.
Repères utiles pour la reprise :
- Activités classées selon les conséquences d’un arrêt
- Applications, données et accès associés à chaque service
- Délais de reprise confirmés par les équipes concernées
RTO, RPO et sauvegarde : rendre la reprise réaliste
Une fois les services prioritaires identifiés, les objectifs de reprise permettent de mesurer l’effort nécessaire. Un délai annoncé n’a de valeur que si les sauvegardes, les accès et les compétences permettent de le tenir.
Définir des objectifs de reprise atteignables
Le RTO correspond au temps maximal d’interruption acceptable pour une activité, tandis que le RPO indique la quantité de données que l’entreprise peut perdre. Par exemple, la facturation peut parfois attendre davantage qu’un service de commande en ligne.
Selon l’ANSSI, la protection des copies et la capacité à les restaurer comptent dans la préparation aux incidents. Une sauvegarde qui reste accessible depuis un compte compromis peut être exposée au même sinistre que les données principales.
Vérifiez donc la fréquence des copies, leur emplacement, les droits d’accès et le temps de restauration observé. Les configurations réseau, licences, clés et comptes de service méritent aussi une documentation sécurisée.
Tester la restauration plutôt que la supposer
Pour vérifier ces objectifs, restaurez un échantillon récent et contrôlez son contenu, ses droits et son fonctionnement. Un dossier récupéré n’est pas une preuve suffisante si les salariés ne peuvent pas reprendre leur travail.
Selon Cybermalveillance.gouv.fr, les bonnes pratiques de sauvegarde contribuent à limiter les conséquences d’un incident. Consignez la date du test, le résultat et les difficultés rencontrées, puis corrigez les écarts avant le prochain exercice.
Contrôles à intégrer aux exercices :
- Copie protégée contre la suppression depuis le réseau courant
- Restauration chronométrée sur des données représentatives
- Validation des accès par les utilisateurs concernés
Ces essais révèlent souvent les délais cachés, les comptes manquants ou les dépendances externes oubliées. Il reste alors à organiser les décisions et la communication pendant l’incident.
Responsabilités et communication : piloter le PRA en crise
Lorsque les objectifs sont définis, la reprise dépend aussi de décisions rapides et coordonnées. Nommer un pilote, un référent technique et un relais métier limite les initiatives contradictoires et facilite l’escalade.
Attribuer les rôles et prévoir les contacts
Pour rendre cette organisation opérationnelle, précisez qui arbitre les priorités, qui contacte les prestataires et qui confirme le retour du service. Dans une petite structure, une personne peut cumuler plusieurs fonctions, mais chaque responsabilité doit être explicite.
Rôle
Responsabilité
Trace utile
Direction
Arbitrer et communiquer
Journal des décisions
Référent informatique
Diagnostiquer et coordonner la restauration
Chronologie des actions
Responsable métier
Vérifier le service rendu
Validation fonctionnelle
Prestataire
Appliquer le contrat et l’escalade
Ticket et coordonnées d’urgence
Préparer les scénarios et maintenir le plan
Pour que les rôles tiennent en situation réelle, prévoyez des scénarios distincts : fichier supprimé, serveur indisponible, coupure Internet ou suspicion d’intrusion. Chacun doit préciser le premier geste, le contact à appeler et les conditions avant remise en ligne.
Préparez aussi un canal de communication qui ne dépend pas de la messagerie habituelle. Selon l’ANSSI, tester régulièrement les procédures permet de vérifier qu’elles restent applicables et que les personnes savent quoi faire.
À chaque migration, changement de prestataire ou départ d’un administrateur, vérifiez les accès et les coordonnées inscrits dans le PRA. Cette discipline entretient la résilience de l’entreprise et évite qu’un document ancien contredise la réalité.
Points à vérifier lors d’une révision :
- Contacts d’urgence et modalités d’escalade opérationnels
- Accès administrateur et canal de communication de secours contrôlés
- Prochain test de restauration inscrit au calendrier
Source : ANSSI ; CNIL ; Cybermalveillance.gouv.fr.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
