Qu’est-ce qu’un plan de reprise d’activité IT

Dans un contexte numérique où la cybercriminalité s’industrialise et où la dépendance aux infrastructures cloud devient totale, la résilience informatique n’est plus une option, mais une condition de survie. Chaque semaine, chez La Fabrique du Net, nous recevons des demandes de dirigeants d’entreprise qui réalisent, parfois trop tard, que leur activité ne tient qu’à un fil technologique. La recrudescence des attaques par ransomware, qui ont augmenté de manière exponentielle ces dernières années en France, a brutalement rappelé une vérité fondamentale : la question n’est plus de savoir si une entreprise subira un incident majeur, mais quand celui-ci surviendra et, surtout, à quelle vitesse elle pourra se relever.

Le Plan de Reprise d’Activité (PRA) informatique est la clé de voûte de cette résilience. Pourtant, il reste trop souvent perçu comme un document administratif poussiéreux ou une simple procédure de sauvegarde, alors qu’il s’agit d’une stratégie vitale nécessitant une expertise pointue. En tant qu’observateurs privilégiés du marché des agences digitales et des prestataires IT, nous constatons un fossé grandissant entre les entreprises préparées, capables de redémarrer en quelques heures, et celles qui subissent des semaines d’arrêt, mettant en péril leur trésorerie et leur réputation. Cet article a pour vocation de décrypter en profondeur ce qu’est un PRA efficace, de le distinguer des autres mécanismes de sécurité et de vous guider, avec l’expertise terrain de La Fabrique du Net, vers la mise en place d’une solution robuste, souvent orchestrée par des partenaires spécialisés.

La définition stratégique du Plan de Reprise d’Activité (PRA)

Fondamentalement, un Plan de Reprise d’Activité (PRA), ou Disaster Recovery Plan (DRP) en anglais, est un ensemble de procédures documentées, de moyens techniques et de dispositifs humains permettant à une organisation de reconstruire et de remettre en route son système d’information (SI) à la suite d’un sinistre majeur. Ce sinistre peut être d’origine naturelle (inondation, incendie), technologique (panne matérielle critique, coupure de câble sous-marin) ou, comme c’est le cas dans la majorité des dossiers que nous analysons aujourd’hui, d’origine malveillante (cyberattaque, rançongiciel, sabotage interne).

Contrairement à une simple politique de sauvegarde qui se contente de dupliquer des données, le PRA englobe la totalité de l’écosystème nécessaire à l’exploitation des données : les serveurs, les applications, les connexions réseaux, les postes de travail et les accès utilisateurs. L’objectif n’est pas seulement de ne pas perdre de données, mais de redonner aux collaborateurs l’outil de travail dans un délai acceptable pour la survie économique de la structure.

Nous observons chez La Fabrique du Net que les entreprises matures intègrent le PRA dans leur gouvernance globale des risques. Il ne s’agit pas d’une simple tâche déléguée au service informatique, mais d’une décision de direction générale. En effet, définir un PRA implique de faire des choix économiques : quelles applications sont critiques ? Combien de temps pouvons-nous tolérer d’être à l’arrêt ? Quel budget sommes-nous prêts à allouer à cette assurance-vie numérique ? Les réponses à ces questions déterminent l’architecture technique à déployer.

Distinction fondamentale : PRA versus PCA

L’une des confusions les plus fréquentes que nous rencontrons lors des phases de cadrage de projet avec nos clients concerne la différence entre le Plan de Reprise d’Activité (PRA) et le Plan de Continuité d’Activité (PCA). Bien que ces deux concepts soient complémentaires et visent la résilience de l’entreprise, ils répondent à des objectifs et des temporalités différents. Il est crucial de bien saisir cette nuance pour ne pas investir dans le mauvais dispositif ou avoir de fausses attentes en cas de crise.

Le Plan de Continuité d’Activité (PCA) vise, comme son nom l’indique, à assurer que l’activité ne s’arrête jamais, ou du moins que l’interruption soit totalement transparente pour l’utilisateur final et le client. Techniquement, cela implique souvent des architectures en haute disponibilité, avec de la redondance synchrone : si un serveur tombe, un autre prend le relais immédiatement sans perte de session. C’est le « zéro coupure ». Cependant, le PCA couvre un périmètre plus large que l’informatique pure. Il peut inclure des procédures dégradées manuelles, le repli des équipes sur un site de secours physique ou l’utilisation de stocks tampons dans l’industrie.

Le Plan de Reprise d’Activité (PRA), quant à lui, intervient lorsque l’interruption a eu lieu. Le sinistre est avéré, le système est tombé. Le PRA est le guide de survie pour remonter la pente. Il accepte par définition une interruption de service, même minime. Là où le PCA cherche à éviter l’arrêt, le PRA cherche à minimiser la durée de l’arrêt. Dans les faits, pour une PME ou une ETI, viser un PCA total (zéro interruption) sur l’ensemble du périmètre est souvent économiquement insoutenable. La stratégie la plus pragmatique, souvent recommandée par les agences spécialisées avec lesquelles nous travaillons, consiste à viser un PCA pour les fonctions ultra-critiques (ex: site e-commerce, chaîne de production) et un PRA solide pour les fonctions supports (ex: RH, comptabilité, messagerie).

Les concepts clés de la reprise : RTO et RPO

Pour construire un PRA pertinent, il est impératif de quantifier les besoins de l’entreprise à travers deux indicateurs métriques incontournables : le RTO et le RPO. Ces acronymes ne sont pas du jargon technique gratuit, mais des outils de pilotage financier et opérationnel.

Le RTO (Recovery Time Objective)

La Durée Maximale d’Interruption Admissible (DMIA) ou RTO définit le temps maximum que l’entreprise peut tolérer entre l’incident et la reprise du service. Autrement dit : combien de temps pouvez-vous rester sans informatique avant que les conséquences ne soient irréversibles (perte de clients majeurs, faillite, sanctions légales) ?

Si votre RTO est de 4 heures, cela signifie que votre prestataire ou votre équipe interne doit être capable de diagnostiquer la panne, de déclencher le plan de secours, de restaurer les environnements et de rouvrir les accès en moins de 4 heures. Plus le RTO est court, plus les solutions techniques sont onéreuses. Un RTO de quelques minutes exige de la réplication en temps réel et des mécanismes de bascule automatisés coûteux. Un RTO de 48 heures permet de s’appuyer sur des sauvegardes classiques et une restauration plus lente.

Le RPO (Recovery Point Objective)

La Perte de Données Maximale Admissible (PDMA) ou RPO définit l’âge maximal des données que vous acceptez de perdre lors de la restauration. C’est un retour en arrière dans le temps.

Si votre RPO est de 24 heures (cas fréquent avec une sauvegarde nocturne simple), en cas de crash le vendredi à 17h, vous restaurez les données du jeudi soir. Toute la journée de travail du vendredi est perdue et doit être ressaisie, si tant est que cela soit possible. Pour une banque ou un site e-commerce, le RPO doit tendre vers zéro. Pour un service d’archivage documentaire, un RPO de 24h est souvent acceptable. Définir le RPO impacte directement la fréquence des sauvegardes et la technologie de réplication utilisée.

Évaluation des risques et analyse d’impact (BIA)

Avant même de parler de serveurs de secours ou de cloud, la première étape d’un projet PRA sérieux est l’Analyse d’Impact sur l’Activité (Business Impact Analysis – BIA). Cette phase est souvent négligée par les entreprises qui veulent aller vite, ce qui est une erreur stratégique majeure. Chez La Fabrique du Net, nous constatons que les projets qui échouent sont souvent ceux qui ont sauté cette étape d’audit.

Le BIA consiste à cartographier les processus métiers de l’entreprise et à évaluer les conséquences financières et opérationnelles d’une interruption pour chacun d’eux. Il ne s’agit pas de demander au directeur informatique ce qui est important, mais d’interroger les directeurs métiers (DAF, DRH, Directeur Commercial, Production). C’est souvent à ce moment que l’on découvre des « IT fantômes » (Shadow IT) ou des dépendances insoupçonnées.

Concrètement, cette analyse doit chiffrer le coût de l’arrêt. Combien coûte une heure d’arrêt de la chaîne logistique ? 10 000 € ? 100 000 € ? Ce chiffre est l’argument principal pour justifier le budget du PRA. Si un arrêt de 24h coûte 500 000 € à l’entreprise, investir 50 000 € par an dans une solution de reprise performante est un calcul de rentabilité évident. L’analyse des risques doit également prendre en compte les nouvelles menaces : le risque de chiffrement par ransomware impose désormais d’avoir des sauvegardes déconnectées (air-gapped) ou immuables, ce qui n’était pas nécessairement une priorité il y a cinq ans.

Les étapes clés de la mise en œuvre technique

Une fois les objectifs RTO/RPO définis et les processus critiques identifiés, la mise en œuvre technique du PRA peut commencer. D’après notre expérience de mise en relation avec des experts en infogérance et cybersécurité, cette phase se structure généralement en quatre grands chantiers.

1. L’architecture de sauvegarde et de réplication

C’est le socle technique. Il faut choisir où et comment les données sont sécurisées. La règle du « 3-2-1 » reste une référence, bien que modernisée : 3 copies des données, sur 2 supports différents, dont 1 hors site (et idéalement 1 immuable/hors ligne). Aujourd’hui, les architectures hybrides sont privilégiées. On conserve une sauvegarde locale pour une restauration rapide (RTO court sur incidents mineurs) et une réplication dans le Cloud ou un datacenter tiers pour le cas du sinistre majeur (incendie du site principal). Les technologies de « Snapshots » de baies de stockage ou de virtualisation permettent des fréquences de sauvegarde élevées sans impacter les performances.

2. Le choix du site de repli

Où allez-vous redémarrer ? Historiquement, les entreprises louaient un « site froid » (une salle vide prête à recevoir du matériel) ou un « site chaud » (matériel prêt à démarrer). Aujourd’hui, le Cloud a révolutionné cette approche avec le DRaaS (Disaster Recovery as a Service). Le site de repli est virtuel. Les ressources (puissance de calcul, mémoire) ne sont payées que lorsqu’elles sont utilisées (lors des tests ou du sinistre réel), ce qui réduit drastiquement les coûts d’infrastructure « dormante ». Cependant, il faut s’assurer que l’architecture cloud cible est compatible avec les applications héritées (legacy) de l’entreprise.

3. La connectivité et les accès utilisateurs

Redémarrer les serveurs est inutile si personne ne peut s’y connecter. C’est souvent le point faible des PRA mal conçus. Si vos bureaux sont inaccessibles, comment vos collaborateurs accèdent-ils au SI de secours ? Il faut prévoir des solutions de VPN sécurisés, des bureaux virtuels (VDI) ou des accès web sécurisés. Il faut également penser à la redirection des flux réseaux (DNS, IP publiques) pour que les clients continuent d’accéder aux services web sans erreur.

4. La documentation et les procédures (Le Runbook)

Le jour J, c’est la panique. Le stress est intense, les décideurs sont sous pression. Personne ne doit improviser. Le Runbook est le document opératoire qui décrit, étape par étape, les actions à effectuer pour déclencher le PRA. Il doit être accessible hors du système d’information (format papier ou cloud externe sécurisé), clair, et contenir les contacts d’urgence (prestataires, assurances, autorités). Il doit préciser qui a l’autorité de déclarer le sinistre et d’activer le plan.

Retour d’expérience avec une agence partenaire

Pour illustrer la complexité et la nécessité d’un accompagnement expert, nous souhaitons partager un cas concret traité par une agence partenaire de La Fabrique du Net, spécialisée en cybersécurité et infrastructure cloud. Pour des raisons de confidentialité, nous appellerons le client « TransLog », une PME logistique basée en région lyonnaise réalisant environ 40 millions d’euros de chiffre d’affaires.

Le contexte : TransLog disposait d’une informatique vieillissante, hébergée sur site (On-Premise), avec des sauvegardes sur bandes magnétiques gérées de manière aléatoire. La direction, consciente du risque mais focalisée sur la croissance, repoussait l’investissement. Suite à un audit de sécurité alarmant exigé par leur nouvel assureur, ils ont sollicité notre plateforme pour trouver un expert capable de fiabiliser leur reprise d’activité.

L’intervention : L’agence sélectionnée a d’abord réalisé un BIA, révélant qu’un arrêt de plus de 4 heures des logiciels de gestion d’entrepôt (WMS) bloquait les camions à quai, avec des pénalités clients de 15 000 € par heure. Le RTO cible a été fixé à 2 heures pour le WMS et 24 heures pour l’administratif.
L’agence a déployé une solution de réplication asynchrone des machines virtuelles vers un cloud privé souverain français. Un boîtier local assure les restaurations rapides, tandis que le flux de données est envoyé en continu vers le datacenter de secours.

Le test du feu : Six mois après la mise en place, TransLog a subi une attaque par ransomware un samedi matin, chiffrant l’ensemble de leurs serveurs locaux. Grâce au dispositif, l’agence a pu isoler le site infecté et déclencher le PRA dans le cloud.
Les serveurs critiques ont été redémarrés dans l’environnement de secours en 1h45. Les équipes logistiques ont basculé sur une connexion 4G de secours prévue au plan et ont pu reprendre les expéditions. La perte de données (RPO) a été limitée à 15 minutes.
Sans ce projet, chiffré aux alentours de 25 000 € d’installation et 2 000 € de récurrence mensuelle, l’entreprise aurait fait face à un arrêt estimé de 3 semaines, dont le coût aurait dépassé le million d’euros, menaçant sa pérennité.

Les erreurs les plus fréquentes

Dans notre position d’observateur, nous voyons passer de nombreux dossiers de « reprise » de PRA, c’est-à-dire des entreprises qui changent de prestataire car le précédent dispositif n’a pas fonctionné lors d’un incident ou d’un audit. Voici les erreurs récurrentes qui transforment un investissement de sécurité en dépense inutile.

Confondre sauvegarde et PRA

Avoir une sauvegarde est indispensable, mais ce n’est pas un PRA. Si vous avez 10 To de données sauvegardées mais aucun serveur pour les restaurer, ou si le téléchargement de ces données depuis le cloud prend 5 jours à cause d’une bande passante limitée, vous n’avez pas de plan de reprise. Le PRA inclut la capacité de calcul (CPU/RAM) et le réseau, pas juste le stockage froid.

Le PRA « statique » non testé

Un PRA non testé est un PRA qui ne marche pas. Les infrastructures informatiques évoluent en permanence : mises à jour logicielles, nouveaux serveurs, changements de mots de passe. Si le PRA n’est pas mis à jour en parallèle, il devient obsolète en quelques mois. Nous voyons trop souvent des entreprises échouer lors d’un sinistre réel car le script de redémarrage datait de 2021 et ne référençait pas les bons serveurs. La recommandation est stricte : au moins un test réel complet par an.

Négliger le retour à la normale

On pense souvent au déclenchement du PRA (Failover), mais rarement au retour vers le site nominal (Failback). Une fois la crise passée et les serveurs principaux reconstruits ou désinfectés, comment rapatrier les données qui ont été modifiées sur le site de secours pendant la crise ? Cette phase est techniquement complexe et risquée. Si elle n’est pas procédurée, l’entreprise peut rester coincée sur son site de secours (souvent moins performant et plus cher) indéfiniment.

Sous-estimer le facteur humain

La technologie peut être parfaite, mais si les seules personnes capables de l’activer sont injoignables ou paniquées, le plan échoue. Le PRA doit être conçu pour être déclenché par plusieurs personnes, avec des procédures simples, lisibles et accessibles. La gestion de crise (communication interne, externe, juridique) est indissociable du volet technique.

Comment bien choisir son agence pour son PRA

Choisir le bon partenaire pour concevoir et opérer son PRA est une décision stratégique. Contrairement à une refonte de site web où le résultat est visuel immédiat, la qualité d’un PRA ne se voit que le jour où tout va mal. Chez La Fabrique du Net, nous recommandons d’être particulièrement vigilant sur les critères suivants lors de votre sélection.

L’expertise certifiée et la méthodologie

Fuyez les prestataires généralistes qui vous vendent un PRA comme une option logicielle en cochant une case. Cherchez des agences ou des ESN (Entreprises de Services du Numérique) qui disposent de certifications reconnues (type ISO 27001 pour la sécurité de l’information, ou ISO 22301 spécifique à la continuité d’activité). Interrogez-les sur leur méthodologie : comment réalisent-ils le BIA ? Quels outils utilisent-ils pour cartographier vos dépendances applicatives ?

Les garanties de service (SLA)

Un prestataire sérieux doit s’engager contractuellement. Ne vous contentez pas de promesses orales. Le contrat doit stipuler des SLA (Service Level Agreements) clairs concernant le RTO et le RPO. Attention aux clauses d’exclusion en petits caractères. Demandez ce qui se passe si les délais de reprise ne sont pas respectés (pénalités). Vérifiez également la disponibilité du support : en cas de cyberattaque un dimanche à 3h du matin, avez-vous un numéro d’urgence avec un ingénieur compétent au bout du fil, ou un simple système de ticket ?

La transparence sur l’hébergement

Où seront stockées vos données et où redémarreront vos machines ? La souveraineté des données est un sujet critique. Assurez-vous que le prestataire maîtrise sa chaîne de sous-traitance. Si votre PRA repose sur un cloud public américain, vérifiez la conformité avec le RGPD et les protections contre l’extraterritorialité des droits étrangers (Cloud Act), surtout si vous manipulez des données sensibles.

La culture du test

C’est souvent le meilleur indicateur de sérieux. Un bon prestataire inclura d’office dans son offre un ou deux tests de restauration par an. Si cette option est présentée comme facultative ou excessivement chère pour vous dissuader, c’est un signal d’alerte (red flag). Le test est le seul moment où vous pouvez vérifier la réalité de la prestation que vous payez.

Tendances et évolutions du marché

Le marché de la reprise d’activité évolue rapidement, poussé par l’innovation technologique et l’adaptation aux nouvelles menaces. Nous observons chez La Fabrique du Net plusieurs tendances lourdes qui redéfinissent les standards du PRA.

L’essor du DRaaS (Disaster Recovery as a Service) : C’est la tendance dominante. Elle démocratise le PRA pour les PME. Plus besoin d’investir dans un second datacenter physique. Les solutions cloud permettent de payer l’infrastructure de secours « à la demande ». Cela flexibilise les coûts et permet d’accéder à des niveaux de sécurité (chiffrement, surveillance) auparavant réservés aux grands groupes.

L’immutabilité des sauvegardes : Face aux ransomwares qui cherchent désormais à détruire les sauvegardes avant de chiffrer la production, la technologie de stockage immuable (WORM – Write Once Read Many) devient la norme. Elle garantit qu’une sauvegarde, une fois écrite, ne peut être ni modifiée ni effacée pendant une période donnée, même par un administrateur système dont le compte aurait été compromis.

L’automatisation et l’Orchestration : Les PRA modernes ne sont plus des procédures manuelles. Des outils d’orchestration permettent de scripter le redémarrage des applications dans un ordre précis (d’abord la base de données, puis le serveur applicatif, puis le serveur web) et de vérifier automatiquement que le service répond. Cela réduit le risque d’erreur humaine en situation de stress et accélère considérablement le RTO.

La cyber-résilience intégrée : Le PRA ne se contente plus de restaurer, il participe à la sécurité. Les phases de restauration incluent désormais des analyses antivirus systématiques dans un environnement « bac à sable » (sandbox) avant la mise en production, pour s’assurer qu’on ne restaure pas une machine vérolée ou une porte dérobée (backdoor).

Ressource prête à l’emploi : Grille d’Auto-évaluation de Maturité PRA

Pour vous aider à situer votre niveau de préparation actuel avant de solliciter un prestataire, nous avons conçu cette grille d’évaluation simplifiée. Elle reprend les critères essentiels que nous observons chez les entreprises résilientes.

Interprétation : Si vous avez moins de 5 points, votre activité est en danger critique. Entre 5 et 8 points, vous avez des bases mais la fiabilité n’est pas garantie. Au-delà de 8 points, vous êtes sur la bonne voie de la cyber-résilience.

Foire aux questions (FAQ)

Quelle est la différence fondamentale entre PRA et PCA ?

Comme évoqué précédemment, la différence réside dans l’acceptation de l’arrêt. Le Plan de Continuité d’Activité (PCA) vise à maintenir le service opérationnel sans interruption perceptible pour l’utilisateur, souvent grâce à une redondance instantanée. Le Plan de Reprise d’Activité (PRA) intervient après une interruption avérée pour restaurer le service. Le PCA coûte généralement beaucoup plus cher que le PRA. Une bonne stratégie combine souvent PCA pour les cœurs de métier critiques et PRA pour le reste.

Quelles sont les étapes techniques pour mettre en œuvre un PRA ?

Les étapes incontournables sont : 1. L’audit et l’analyse d’impact (BIA) pour définir les besoins. 2. La définition de l’architecture cible (choix des technologies de réplication et du site de repli). 3. L’implémentation technique (installation des agents de sauvegarde, configuration réseau, VPN). 4. La rédaction du Runbook (procédures). 5. La réalisation du premier test complet « à blanc » pour valider le dispositif.

Comment évaluer les risques et les coûts d’une interruption ?

Il faut réunir les responsables de chaque département et chiffrer : la perte de chiffre d’affaires direct (commandes non prises), les coûts de main-d’œuvre inoccupée (salariés au chômage technique), les pénalités contractuelles de retard, les coûts de récupération des données et l’impact sur l’image de marque (perte de clients futurs). La somme de ces coûts par heure ou par jour d’arrêt constitue le coût de l’interruption, à mettre en regard du coût du PRA.

Combien coûte un PRA pour une PME ?

Le budget est très variable selon la complexité du SI et les exigences de RTO. D’après les projets que nous suivons, pour une PME d’une cinquantaine de personnes avec un SI classique (ERP, fichiers, messagerie) et un RTO de 24h, le budget d’installation se situe souvent entre 5 000 et 10 000 €, avec un coût récurrent mensuel (licences, stockage cloud, infogérance) entre 500 et 1 500 €. Pour des exigences de haute disponibilité (RTO < 4h), les coûts peuvent être multipliés par trois ou quatre.

Est-ce une obligation légale d’avoir un PRA ?

Pour la majorité des entreprises privées, ce n’est pas une obligation légale explicite, mais une responsabilité de gestion du dirigeant (devoir de pérennité de l’entreprise). Cependant, pour certains secteurs (banque, santé avec la certification HDS, opérateurs d’importance vitale OIV), le PRA est une exigence réglementaire stricte. De plus, le RGPD impose de garantir la disponibilité et l’accès aux données personnelles, ce qui implique implicitement d’avoir des mécanismes de sauvegarde et de reprise fiables.

Conclusion

Le Plan de Reprise d’Activité n’est pas un luxe technologique, c’est l’airbag de votre entreprise. Dans un environnement où les menaces sont omniprésentes, penser que l’on passera entre les mailles du filet est un pari risqué que de moins en moins de dirigeants acceptent de prendre. Un PRA efficace ne s’improvise pas : il demande une analyse lucide des risques, une architecture technique cohérente et, surtout, des tests réguliers.

Nous avons vu que la mise en place d’un tel dispositif requiert des compétences multiples : infrastructure système, réseaux, cybersécurité, mais aussi gouvernance de crise. C’est pourquoi s’appuyer sur un partenaire spécialisé est souvent la voie la plus sûre et la plus rentable pour garantir la résilience de votre organisation.

Chez La Fabrique du Net, nous analysons chaque jour les compétences des meilleures agences et prestataires IT de France. Si vous souhaitez structurer votre démarche de reprise d’activité, réaliser un audit de vos vulnérabilités ou simplement challenger votre dispositif actuel, nous pouvons vous mettre en relation gratuitement avec des experts qualifiés, adaptés à votre taille d’entreprise et à votre secteur d’activité. La pérennité de votre entreprise mérite mieux que de l’improvisation.