Qu’est-ce qu’un PRA (Plan de Reprise d’Activité) ? Le guide pour les PME
Navigation rapide dans l’article
Un serveur de production chiffré par un rançongiciel un lundi matin, et c’est toute l’activité qui s’arrête : commandes bloquées, équipes commerciales à l’arrêt, clients qui appellent. Ce scénario n’a rien d’exceptionnel, la plupart des dirigeants de PME l’ont déjà vu de près, chez un fournisseur ou un confrère.
Le PRA (Plan de Reprise d’Activité) répond à une seule question, dans quel délai et dans quel état pouvez-vous redémarrer votre système d’information après un incident. Vos contraintes de budget, de conformité et de ressources internes déterminent la réponse.
- Un PRA regroupe les procédures documentées pour rétablir votre SI après un incident (panne, cyberattaque, erreur humaine).
- Il se distingue du PCA, qui vise à continuer l’activité en mode dégradé pendant la perturbation.
- Deux indicateurs pilotent la stratégie : le RTO (délai de reprise) et le RPO (perte de données acceptable).
- Sa mise en place suit 5 étapes : audit, choix technique, procédures, tests réguliers et maintenance continue.
- Le RGPD impose déjà, pour les données personnelles, une capacité de rétablissement et des tests réguliers des mesures de sécurité.
Définition : Qu’est-ce qu’un Plan de Reprise d’Activité (PRA) ?
Selon le CyberDico de l’ANSSI, qui s’appuie sur le référentiel ISO 22301, un plan de reprise d’activité désigne les « procédures documentées permettant aux entités de rétablir et de reprendre leurs activités en s’appuyant sur des mesures temporaires adoptées pour répondre aux exigences métier habituelles après un incident. »
Définition
En pratique, un PRA couvre l’ensemble des mesures techniques et organisationnelles qui permettent de relancer vos serveurs, vos applications et vos données dans un délai défini, après une panne, une cyberattaque ou une erreur humaine, dans le cadre d’une gestion des incidents et de reprise après sinistre structurée.
Concrètement, un PRA répond à trois questions pour votre SI : quoi restaurer en priorité, avec quels moyens techniques, et en combien de temps. Nos ingénieurs le construisent toujours à partir d’un audit de vos données critiques, jamais sur étagère.
Notre constat : un PRA écrit une fois puis jamais relu ne protège personne, il rassure seulement sur le papier.
Pourquoi votre PME a-t-elle besoin d’un PRA aujourd’hui ?
Votre exposition au risque a changé de nature ces dernières années. Trois facteurs concrets justifient d’agir maintenant plutôt que d’attendre l’incident.
La recrudescence des cyberattaques (ransomwares)
En 2024, l’ANSSI a traité 4 386 événements de sécurité, en hausse de 15 % par rapport à 2023, et les attaques par déni de service contre des cibles françaises ont doublé sur la même période. Parmi les victimes de rançongiciels connues de l’agence, les PME, TPE et ETI représentent 37 % des cas, devant les collectivités territoriales (17 %) et l’enseignement supérieur (12 %).
Autrement dit, la taille de votre entreprise ne vous met pas à l’abri. Réduire votre exposition passe d’abord par une cybersécurité adaptée aux PME, avant même de parler de reprise après incident.
Identifiez les risques qui menacent votre activité
Nous analysons votre SI et vos données critiques pour identifier les scénarios d’interruption à anticiper. Nos experts vous proposent un diagnostic adapté à votre niveau de risque.
Les risques de pannes matérielles et erreurs humaines
Un rançongiciel n’est pas le seul scénario à couvrir. Une défaillance de disque, un onduleur qui lâche, une mauvaise manipulation, un mot de passe partagé ou une pièce jointe ouverte trop vite suffisent aussi à interrompre votre production.
Votre équipe IT, aussi vigilante soit-elle, ne peut pas éliminer ce risque. Elle peut en revanche préparer une reprise rapide et renforcer la résilience IT de votre organisation si l’incident survient.
L’impact financier et réputationnel d’une interruption de service
Pour les PME, TPE et ETI victimes de rançongiciels, l’ANSSI observe des conséquences souvent graves sur le fonctionnement, la réputation et la continuité de l’activité. Le RGPD ajoute une dimension financière directe : en cas de violation de données personnelles, l’article 83 prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, voire 20 millions d’euros ou 4 % dans les cas les plus graves.
Note : depuis la loi LOPMI du 24 avril 2023, l’indemnisation par votre assurance cyber est conditionnée au dépôt de plainte dans les 72 heures suivant la connaissance de l’atteinte. Un PRA qui documente déjà les rôles et la chronologie de réponse facilite le respect de ce délai.
Ce que nous voyons chez nos clients, c’est que le coût d’une interruption dépasse toujours le coût de la préparation, une fois qu’on additionne l’arrêt de production, les pénalités éventuelles et le temps commercial perdu.
PRA vs PCA : Quelle est la différence ?
Une confusion revient sans cesse dans les échanges avec nos clients. Ces deux sigles se confondent souvent, alors que l’ANSSI les distingue clairement dans son CyberDico.
| Critère | PRA (Plan de Reprise d’Activité) | PCA (Plan de Continuité d’Activité) |
|---|---|---|
| Définition ANSSI | Procédures documentées pour rétablir et reprendre l’activité via des mesures temporaires, après un incident | Procédures documentées pour continuer les opérations en mode dégradé, pendant une perturbation |
| Moment d’application | Après l’incident | Pendant l’incident |
| Périmètre habituel | Le système d’information (serveurs, données, applications) | L’ensemble de l’organisation (métiers, RH, logistique, IT) |
| Question centrale | Comment relancer nos systèmes ? | Comment continuer à servir nos clients pendant la crise ? |
Résultat : les deux plans se complètent plutôt qu’ils ne s’opposent. Le PCA maintient un service minimum pendant la crise, le PRA reconstruit ensuite le fonctionnement normal du SI.
Les indicateurs de performance d’un PRA : Comprendre le RTO et le RPO
Reste à savoir comment piloter concrètement un PRA. Deux indicateurs pilotent chaque stratégie de reprise.
- RTO (Recovery Time Objective) : la durée maximale d’interruption que votre entreprise peut accepter avant que le service ne soit rétabli. Un RTO de 4 heures signifie que vos systèmes critiques doivent redémarrer dans ce délai.
- RPO (Recovery Point Objective) : la quantité maximale de données, ou la durée entre deux sauvegardes, que vous acceptez de perdre en cas d’incident. Un RPO de 1 heure implique une sauvegarde au moins toutes les heures.
Ces deux chiffres ne se fixent pas au hasard, ils découlent de la criticité métier de chaque application. Un ERP de facturation n’a pas le même RTO qu’un serveur de fichiers archivés.
Sur le terrain, nos équipes constatent qu’un RTO trop ambitieux sans budget technique en face reste un vœu pieux, mieux vaut un objectif réaliste et tenu qu’une promesse sur le papier.
Les 5 étapes clés pour mettre en place votre stratégie de reprise
RTO et RPO fixés, place à la construction du plan. Un PRA se construit dans l’ordre, sauter une étape se paie toujours plus tard. Voici les 5 étapes que nous suivons pour nos clients.
- Audit et classification des données critiques
- Choix de la solution technique
- Rédaction des procédures de bascule
- Tests réguliers
- Maintenance et mise à jour continue
Audit et classification des données critiques
Avant de choisir un outil, cartographiez vos applications, vos serveurs et vos données selon leur criticité métier. Un audit et conseil en gouvernance des systèmes d’information permet d’identifier ce qui doit redémarrer en priorité, et ce qui peut attendre.
Choix de la solution technique (Cloud, hybride, immuable)
Selon Veeam, la règle historique du 3-2-1 (3 copies, 2 supports différents, 1 copie hors site) s’est enrichie d’une version étendue, le 3-2-1-1-0 : une copie supplémentaire immuable ou totalement isolée, chiffrée et inaltérable, et zéro erreur de restauration vérifiée par des tests réguliers.
Chez AVA6, nos experts, certifiés Veeam et Nutanix, construisent ces architectures en Cloud, en mode hybride ou avec une sauvegarde immuable, selon votre budget et votre niveau de risque, en s’appuyant sur ces standards.
Rédaction des procédures de bascule
Un PRA opérationnel documente qui fait quoi, dans quel ordre, avec quels accès. Un playbook de bascule clair, testé par toute l’équipe, évite l’improvisation le jour de l’incident.
Vérifiez que votre PRA est réellement opérationnel
Nous testons vos procédures de reprise et vos sauvegardes pour identifier les points de blocage avant qu’un incident ne survienne. Échangez avec un ingénieur AVA6 pour faire le point sur votre dispositif.
Tests réguliers : le secret d’un PRA opérationnel
C’est le point le plus survolé par la concurrence, alors que c’est le plus déterminant. Un PRA jamais testé ne garantit rien, il rassure sur le papier, pas dans la salle serveur. Le principe du 0 erreur, dans la règle Veeam 3-2-1-1-0, repose justement sur des tests de restauration réguliers.
Le scénario revient souvent chez nos clients. Une PME sauvegarde consciencieusement ses données depuis des années, sans jamais avoir testé une restauration complète. Le jour où elle en a besoin, la procédure prend bien plus de temps que prévu, ou une partie des fichiers ne se restaure pas correctement, ce qu’un test régulier aurait révélé avant l’incident.
Notre recommandation : testez votre PRA au minimum deux fois par an, à partir de notre expérience terrain plutôt que d’une norme ANSSI ou ISO. L’outil d’auto-évaluation de l’ANSSI, consacré à la continuité d’activité, insiste d’ailleurs sur une évaluation régulière et structurée, sans imposer de cadence chiffrée.
Maintenance et mise à jour continue
Votre SI évolue, votre PRA doit suivre.
Un exemple revient souvent : une PME migre sa messagerie ou change de prestataire d’hébergement, et personne ne pense à remettre à jour le plan de reprise. Six mois plus tard, le document décrit une infrastructure qui n’existe plus. Un Maintien en Condition Opérationnelle (MCO) structuré garantit que le plan reste fidèle à la réalité de votre système.
Notre expérience projet montre qu’un PRA bien construit s’échelonne généralement sur quelques semaines, selon la criticité de votre SI et la maturité de vos équipes.
Accompagnement AVA6 : Sécurisez votre continuité d’activité
Vous gérez un SI sans disposer forcément d’une équipe dédiée à la continuité d’activité. Depuis 2008, AVA6 accompagne les PME et ETI, dans nos 14 agences en France et en Suisse, sur l’ensemble du cycle du PRA : audit, choix technique, rédaction des procédures, tests et maintenance.
Nos solutions de sauvegarde et de reprise d’activité couvrent le Cloud, l’hybride et la sauvegarde immuable, avec un accompagnement continu porté par notre équipe. Votre équipe IT garde le pilotage, nous prenons en charge l’exploitation quotidienne et la supervision via nos services managés.
Envie d’évaluer la maturité de votre PRA actuel ? Contactez l’un de nos experts pour un audit de votre stratégie de continuité, sans engagement.
Concrètement, nous commençons toujours par un audit de vos données critiques avant de proposer une architecture, jamais l’inverse.
FAQ : Vos questions sur le PRA
Quelle est la différence entre un PRA et une sauvegarde simple ?
Une sauvegarde protège vos données. Le PRA va plus loin, il documente les procédures qui garantissent la remise en service complète de votre infrastructure, dans un délai défini.
Combien de temps faut-il pour mettre en place un PRA ?
Il n’existe pas de durée standard. Dans notre expérience, un projet de PRA s’échelonne généralement sur quelques semaines, selon la criticité de votre SI et le périmètre couvert.
Le PRA est-il obligatoire pour les PME ?
Pas de manière généralisée à ce jour. La transposition française de la directive NIS2 est en cours d’examen au Parlement, en séance publique à l’Assemblée nationale à partir du 7 octobre 2026, et n’est pas encore promulguée. En revanche, le RGPD (article 32) impose déjà, pour toute donnée personnelle traitée, une capacité de rétablissement de la disponibilité des données et des tests réguliers des mesures de sécurité.
Qu'est-ce que le RTO et le RPO ?
Le RTO est la durée maximale d’interruption acceptable avant le rétablissement du service. Le RPO est la quantité maximale de données que vous acceptez de perdre entre deux sauvegardes.
À quelle fréquence doit-on tester son PRA ?
Aucune norme officielle n’impose de cadence précise. Notre recommandation, issue de nos interventions terrain, est de tester votre PRA au minimum deux fois par an, pour vérifier l’intégrité des sauvegardes et la fiabilité des procédures.
Préparez la reprise de votre activité
Nous vous accompagnons de l’audit de votre SI au déploiement et aux tests de votre PRA. Nos équipes peuvent également assurer son suivi et sa maintenance dans la durée.
Sources
- ANSSI, CyberDico : https://cyber.gouv.fr/cyberdico/
- ANSSI, Panorama de la cybermenace 2024 : https://cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2024-mobilisation-et-vigilance-face-aux-attaquants/
- AVA6, Cybersécurité des PME, solutions adaptées à chaque entreprise : https://www.ava6.fr/cybersecurite-des-pme-solutions-adaptees-a-chaque-entreprise/
- CNIL, RGPD article 32 : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article32
- CNIL, RGPD article 83 : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8#Article83
- WTW, Décryptage de la loi LOPMI : https://www.wtwco.com/fr-fr/insights/2023/05/risques-cyber-decryptage-de-la-loi-lopmi
- Veeam, La règle de sauvegarde 3-2-1 : https://www.veeam.com/fr/blog/321-backup-rule.html
- Next INpact, Transposition de NIS2 à l’Assemblée nationale : https://next.ink/brief-article/alleluia-la-transposition-de-nis2-est-enfin-a-lordre-du-jour-de-lassemblee-nationale/
- ANSSI, Mesurer sa préparation aux crises cyber : https://cyber.gouv.fr/securisation/gestion-de-crise/mesurer-sa-preparation-aux-crises-cyber/
