Sauvegardes en PME : stratégie 3-2-1 et restauration testée

Pourquoi la sauvegarde est votre dernier rempart

Quand un rançongiciel a chiffré vos serveurs, il ne reste que deux options : payer sans garantie de résultat, ou restaurer. La seconde n'existe que si vos sauvegardes ont survécu à l'attaque et si vous savez les remettre en service. C'est tout l'objet de ce domaine.

Les petites entreprises sont les plus touchées. Selon le Verizon DBIR 2025, le rançongiciel est présent dans 88 % des violations subies par les petites et moyennes organisations, contre 39 % dans les grandes. Le montant médian versé aux attaquants s'élève à 115 000 dollars, et 64 % des victimes n'ont pas payé.
En France, la menace reste élevée. L'ANSSI a eu connaissance de 128 compromissions par rançongiciel en 2025, et les PME, TPE et ETI restent la catégorie d'entités la plus affectée. Du côté de Cybermalveillance.gouv.fr, les demandes d'assistance des entreprises et associations pour rançongiciel progressent de 9 % en 2025 ; le dispositif la décrit comme la menace « la plus redoutable et la plus impactante » pour une organisation.
Les attaquants visent aussi les sauvegardes. L'ANSSI le souligne dans son guide sur la sauvegarde : il est fréquent qu'un attaquant tente de chiffrer, d'effacer ou de rendre indisponible l'infrastructure de sauvegarde, pour ralentir la reconstruction et augmenter ses chances d'obtenir la rançon.

La sauvegarde ne protège pas seulement contre les attaques : panne de disque, suppression accidentelle, vol d'un portable ou sinistre dans les locaux relèvent du même réflexe. Mais c'est face au rançongiciel qu'une sauvegarde mal conçue révèle ses défauts, au pire moment.

Se situer en six questions

Répondez par oui ou par non. Un seul « non » peut suffire à rendre l'ensemble inutilisable le jour venu.

1. Savez-vous quelles données et quels systèmes sont sauvegardés, et à quelle fréquence ?

Oui : vous pouvez vérifier que rien d'essentiel ne manque. Non : il existe probablement un logiciel métier, un poste ou un service en ligne qui n'est couvert par personne.

2. Existe-t-il au moins une copie hors ligne, ou non modifiable, de vos sauvegardes ?

Oui : un attaquant présent sur votre réseau ne peut pas la détruire. Non : si vos sauvegardes sont joignables depuis le réseau (NAS, disque réseau, sauvegarde en ligne classique), elles peuvent être chiffrées en même temps que le reste.

3. Avez-vous restauré un système complet au cours des douze derniers mois, et noté le temps que cela a pris ?

Oui : vous savez que la sauvegarde fonctionne et combien de temps dure une reprise. Non : votre sauvegarde est une hypothèse. Restaurer un fichier isolé ne prouve pas qu'on sait reconstruire un serveur.

4. Vos services en ligne (messagerie, stockage, logiciels SaaS) sont-ils inclus dans la stratégie de sauvegarde ?

Oui : vous ne dépendez pas uniquement des engagements de votre fournisseur. Non : vérifiez votre contrat. L'ANSSI rappelle que les garanties de sauvegarde des services cloud doivent être explicitement souscrites et leur efficacité vérifiée.

5. L'accès aux sauvegardes est-il protégé par des comptes dédiés, distincts de ceux du réseau de l'entreprise ?

Oui : le vol d'un compte administrateur du réseau ne donne pas la main sur les sauvegardes. Non : l'attaquant qui prend le contrôle de votre annuaire prend aussi le contrôle de vos sauvegardes.

6. Savez-vous combien de temps votre activité peut être interrompue, et combien de données vous pouvez perdre ?

Oui : la fréquence et le type de sauvegarde découlent de ces deux chiffres. Non : vous sauvegardez au hasard, trop souvent pour certaines données, pas assez pour d'autres.

Les mesures prioritaires, dans l'ordre

Les recommandations suivantes s'appuient sur le guide de l'ANSSI « Sauvegarde des systèmes d'information : les fondamentaux » (version 1.1, novembre 2025), la question 2 du guide « TPE/PME en treize questions » et la mesure 37 du guide d'hygiène informatique. L'ANSSI range la sauvegarde hors ligne des données et applications critiques parmi ses cinq mesures préventives prioritaires.

1. Fixer deux chiffres avec la direction

La perte de données maximale admissible (combien d'heures ou de jours de travail vous acceptez de perdre) et la durée maximale d'interruption admissible (combien de temps l'activité peut s'arrêter). Toute la stratégie en découle. L'ANSSI précise que si vous ne pouvez pas perdre moins de 24 heures de données, la sauvegarde seule ne suffit pas : il faut envisager de la réplication. Ces chiffres rejoignent le plan de reprise d'activité.

2. Identifier ce qu'il faut sauvegarder

Les données métier (fichiers clients, comptabilité, savoir-faire), mais aussi ce qui permet de reconstruire : sources d'installation, licences et fichiers de configuration des applications. Fixez un rythme adapté : l'ANSSI cite l'exemple d'une sauvegarde mensuelle pour un artisan, et hebdomadaire voire quotidienne pour une entreprise de services dont la valeur tient aux échanges dématérialisés. Définissez aussi les durées de conservation, par exemple 15 jours de sauvegardes quotidiennes, un an de mensuelles et cinq ans d'annuelles.

3. Appliquer la règle 3-2-1, avec une copie hors ligne

Trois copies des données (la production et deux sauvegardes), sur deux supports différents, dont une hors ligne. L'ANSSI juge la sauvegarde hors ligne indispensable, même si elle est moins fréquente que les sauvegardes quotidiennes en ligne. Un disque externe convient à condition d'être réellement déconnecté après chaque sauvegarde. Les solutions « non modifiables » en ligne sont un compromis acceptable pour les sauvegardes régulières, mais l'ANSSI considère le hors ligne comme plus robuste.

4. Protéger l'infrastructure de sauvegarde comme un système d'administration

Des comptes d'administration de la sauvegarde nominatifs et dédiés.
Des serveurs de sauvegarde qui ne font pas partie du domaine Active Directory de production, avec leur propre système d'authentification.
Une zone réseau séparée de celle des serveurs sauvegardés, avec des flux filtrés par un pare-feu interne.
Des mises à jour appliquées de manière proactive sur le logiciel de sauvegarde et les équipements de stockage.

5. Chiffrer, et savoir où sont les clés

Le chiffrement des sauvegardes est recommandé, en particulier pour les copies stockées hors site ou chez un fournisseur cloud. Il n'a de valeur que si les clés sont gérées : qui les détient, où elles sont conservées, et comment elles sont elles-mêmes sauvegardées hors ligne. Une clé stockée uniquement sur le serveur chiffré par l'attaquant rend la sauvegarde illisible.

6. Contrôler chaque sauvegarde et tester la restauration

Vérifiez que chaque sauvegarde s'est bien terminée et surveillez les signaux inhabituels : volume incohérent, modification des politiques de sauvegarde. Rédigez une procédure de restauration et mettez-la en œuvre régulièrement. Définissez l'ordre de restauration : services d'infrastructure (annuaire, DNS) d'abord, puis applications par ordre de criticité.

7. Prévoir le « bouton rouge »

En cas d'incident de sécurité, la première mesure recommandée par l'ANSSI est d'isoler l'infrastructure de sauvegarde du reste du système d'information. Décidez à l'avance comment : débrancher un commutateur, désactiver un lien, exécuter un script. Et ne restaurez pas aveuglément : les sauvegardes peuvent contenir le code malveillant de l'attaquant. Réinstallez les systèmes à partir d'images de confiance et analysez les données avant de les réimporter.

8. Encadrer les sauvegardes externalisées

Si vous confiez vos sauvegardes à un hébergeur ou un prestataire : vérifiez la localisation des données (dans l'Union européenne), chiffrez avant envoi avec un moyen qui vous appartient, et assurez-vous que le délai de mise à disposition est compatible avec votre durée d'interruption admissible.

Les erreurs fréquentes

Confondre synchronisation et sauvegarde. Un dossier synchronisé réplique aussi les suppressions et les fichiers chiffrés. Il ne remplace pas une copie indépendante et datée.
Laisser le disque de sauvegarde branché en permanence. Il devient une copie en ligne comme les autres, exposée au même rançongiciel.
Ne jamais tester. Le jour de la restauration, on découvre un support défectueux, une sauvegarde incomplète ou une procédure que seul l'ancien prestataire connaissait.
Gérer la sauvegarde avec le compte administrateur du domaine. Un attaquant qui obtient ce compte efface les sauvegardes avant de lancer le chiffrement.
Oublier ce qui permet de reconstruire. Sans les supports d'installation, les licences et les configurations, des données intactes ne suffisent pas à relancer l'activité.
Oublier de sauvegarder la sauvegarde. L'ANSSI recommande de conserver à part le catalogue des sauvegardes, les procédures d'import et, si les données sont chiffrées, les procédures d'import des clés.
Supposer que le fournisseur cloud sauvegarde tout. La continuité de service d'une plateforme n'est pas une sauvegarde de vos données contre une suppression ou une compromission de votre compte.

Ce que ça coûte

Les prestations ci-dessous portent sur ce qui conditionne une sauvegarde utile : vérifier l'existant, mettre en place une copie réellement protégée, prouver que la restauration fonctionne, puis définir et tester le plan de reprise. Les prestations de sauvegarde n'ont pas encore de fourchette publiée : leur prix se fixe sur devis.

Mettre en place et tester les sauvegardes

Audit de la stratégie de sauvegarde (périmètre, fréquence, copie hors ligne, objectifs de reprise) : sur devis, environ 5 jours.
Mise en place de sauvegardes externalisées et hors ligne, selon la règle 3-2-1 : sur devis, environ 15 jours.
Test de restauration réelle des données et des systèmes : sur devis, environ 3 jours.

Définir le besoin et le plan de reprise

Analyse d'impact sur l'activité (BIA), qui fixe les durées d'interruption et pertes de données admissibles : de 3 000 à 8 000 €, environ 15 jours.
Plan de continuité et de reprise d'activité (PCA/PRA) : de 4 000 à 12 000 €, environ 30 jours.
Test du PCA/PRA, restauration comprise : de 2 000 à 5 000 €, environ 3 jours.

Protéger l'infrastructure de sauvegarde (prestations complémentaires)

Durcissement serveurs (dont les serveurs de sauvegarde) : de 2 000 à 6 000 €, environ 5 jours.
Segmentation réseau, pour isoler les flux et les serveurs de sauvegarde : de 3 000 à 10 000 €, environ 15 jours.
Déploiement d'un coffre-fort de secrets, utile pour la gestion des clés de chiffrement des sauvegardes : de 3 000 à 10 000 €, environ 15 jours.

Pour une petite structure, l'essentiel ne coûte presque rien en prestation : un disque externe réellement déconnecté, une restauration test planifiée et une procédure d'une page. Les prestations deviennent pertinentes quand l'activité ne supporte pas plus de quelques heures d'arrêt, ou quand le système d'information comporte plusieurs serveurs et un annuaire.

Ce que la loi vous impose

RGPD : pouvoir rétablir l'accès aux données

L'article 32 du RGPD cite expressément, parmi les mesures de sécurité appropriées, « des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique », ainsi qu'une procédure pour tester régulièrement l'efficacité des mesures. Une sauvegarde testée et documentée répond directement à ces deux exigences. Les sauvegardes contenant des données personnelles doivent être protégées au même niveau que les données de production. Voir aussi RGPD et cybersécurité : ce que l'article 32 exige vraiment.

Perte de disponibilité : une violation de données

Pour la CNIL, une violation de données couvre la perte de confidentialité, d'intégrité, mais aussi de disponibilité. Des données clients chiffrées par un rançongiciel constituent donc une violation à évaluer, et à notifier sous 72 heures si elle présente un risque pour les personnes (article 33). Des sauvegardes intactes n'effacent pas l'obligation, mais elles limitent les conséquences, ce qui compte dans l'appréciation du risque.

NIS2 : pas encore applicable en droit français

La directive NIS2 doit être transposée en France par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Au 13 septembre 2026, ce texte n'est pas promulgué : adopté par le Sénat le 12 mars 2025, il a été examiné par la commission spéciale de l'Assemblée nationale, dont le texte a été déposé le 10 septembre 2025, et les décrets d'application restent à publier. Aucune obligation nationale issue de NIS2 n'est donc encore opposable à une entreprise. Préparez-vous néanmoins si votre secteur et votre taille vous placent dans le périmètre : voir NIS2 : votre PME est-elle concernée ? et la fiche NIS2 du lexique.

Cette section situe les obligations ; elle ne remplace pas une analyse juridique de votre situation.

Passer à l'action

D'abord, mesurez. Le diagnostic Lyyp propose un parcours ciblé sur ce seul domaine : évaluer mes sauvegardes, en 5 questions (régularité, copie hors ligne ou immuable, tests de restauration, prise en compte du cloud et du SaaS, chiffrement et protection contre l'altération). Vous obtenez un score et les faiblesses à corriger en premier. Pour relier ce domaine aux autres, lisez par où commencer et Ransomware : êtes-vous prêt à faire face à une attaque ?

Ensuite, faites chiffrer. Consultez les prestataires vérifiés en plan de continuité, plan de reprise et analyse d'impact, en précisant dans votre demande vos durées d'interruption et de perte de données acceptables si vous les connaissez.

Sources

ANSSI, Sauvegarde des systèmes d'information : les fondamentaux (ANSSI-BP-100, version 1.1, novembre 2025).
ANSSI et DGE, La cybersécurité pour les TPE/PME en treize questions (version de décembre 2024).
ANSSI, Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures.
ANSSI, Les mesures cyber préventives prioritaires (mai 2023).
Verizon, 2025 Data Breach Investigations Report, résumé exécutif (avril 2025).
ANSSI / CERT-FR, Panorama de la cybermenace 2025.
Cybermalveillance.gouv.fr, Rapport d'activité et état de la menace 2025 (mars 2026) et principales cybermalveillances visant les professionnels en 2025.
Cybermalveillance.gouv.fr, Rançongiciel : que faire si votre organisation est victime d'une attaque ?
Règlement (UE) 2016/679 (RGPD), articles 32, 33 et 34, EUR-Lex.
CNIL, Notifier une violation de données personnelles.
Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
ANSSI, Avancement de la transposition de la directive NIS 2, MonEspaceNIS2.
Fourchettes tarifaires : catalogue de prestations Lyyp, prestations rattachées au domaine dans le diagnostic.