Le guide de la sauvegarde de données pour les PME
16 % des PME ayant été touchées par une cyberattaque en 2025 ont subi une destruction de leurs données, d’après un baromètre publié par Cybermalveillance.gouv.fr. La sauvegarde de données est une mesure stratégique à adopter pour protéger l’activité de votre entreprise des conséquences d’une attaque informatique ou d’une erreur humaine.
Dans cet article vous découvrirez :
- les différentes formes de sauvegarde de données,
- les cyberattaques qui peuvent entraîner une perte de données,
- les conséquences d’une destruction de données pour votre PME,
- les obligations légales en matière de sauvegarde,
- les bonnes pratiques à appliquer pour fiabiliser vos sauvegardes.
1. Qu’est-ce qu’une sauvegarde de données ?
1.1 Les différents types de sauvegarde
Une sauvegarde est une copie de vos données, conservée séparément du système qui les produit. Son rôle est de permettre une restauration en cas de perte, de corruption ou de destruction.
Une sauvegarde peut prendre plusieurs formes. Une sauvegarde complète copie l’intégralité des données à chaque exécution. Une sauvegarde incrémentale ne copie que ce qui a changé depuis la dernière sauvegarde, quelle que soit sa nature. Une sauvegarde différentielle ne copie que les données nouvellement ajoutées et modifiées depuis la dernière sauvegarde complète.
Ces distinctions techniques s’adressent surtout à votre prestataire informatique. Ce qui compte pour votre PME, c’est de savoir que cette copie existe, qu’elle est à jour, et qu’elle peut réellement être restaurée le jour où vous en avez besoin.
1.2 La réplication de données
La réplication des données consiste à copier vos données en temps réel, ou quasiment, vers un autre système ou un autre site. La réplication permet à votre activité continue de fonctionner sans interruption si un serveur ou un site tombe en panne, en basculant automatiquement sur la copie. La sauvegarde, elle, sert à revenir en arrière, à un moment précis dans le temps, après un incident.
Attention : si une cyberattaque chiffre ou modifie vos données, cette corruption sera répliquée telle quelle, presque instantanément. La réplication ne vous protège pas d’une attaque qui altère l’intégrité de la donnée elle-même. Les deux mécanismes sont complémentaires.
2. Les causes et conséquences d’une perte de données
2.1 Quelles cyberattaques peuvent détruire vos données ?
Parmi les différents modes opératoires utilisés par les cybercriminels, le rançongiciel est particulièrement dévastateur. Ce logiciel malveillant chiffre tous les fichiers de votre entreprise, les rendant inaccessibles. Les attaquants exigent alors une rançon en échange de la clé de déchiffrement qui permet de retrouver l’accès aux données. En cas de refus, les données peuvent être purement et simplement supprimées.
Les rançongiciels sont souvent cachés dans les pièces jointes infectées d’emails envoyés par les cybercriminels. Certaines attaques, plus rares mais tout aussi destructrices, prennent la forme de wipers : des logiciels dont l’unique objectif est d’effacer les données, sans même chercher à obtenir un paiement.
Un autre mode opératoire réside dans l’exploitation d’une vulnérabilité non corrigée. Il s’agit d’une faille technique, présente dans un logiciel, une application, ou encore dans un équipement réseau qui permet à un attaquant de voler, de supprimer ou de modifier directement des données, sans qu’aucune rançon ne soit demandée. C’est une des raisons pour lesquelles l’ANSSI recommande d’appliquer les correctifs de sécurité dès qu’ils sont disponibles.
Les pertes de données ne sont pas toujours le résultat d’une attaque venue de l’extérieur. Il existe également une forme de menace interne. Par exemple, un salarié qui quitte l’entreprise sur un désaccord et dont les accès n’ont pas été révoqués à temps peut supprimer ou emporter des informations sensibles. Un prestataire qui coupe brutalement l’accès à un service qu’il hébergeait pour vous, à la suite d’un litige contractuel ou d’une résiliation mal anticipée, peut aussi vous priver de données que vous pensiez acquises. À cela s’ajoute une cause plus banale, mais tout aussi fréquente : l’erreur humaine. Une suppression accidentelle, une mauvaise manipulation lors d’une migration, un écrasement involontaire d’une base de données suffisent à provoquer une perte tout aussi réelle qu’une attaque délibérée.
2.2 Les conséquences d’une perte de données
La première conséquence d’une perte de données est opérationnelle. Elle peut provoquer un arrêt de la production, une impossibilité de facturer ou de livrer les clients, ou mettre les collaborateurs au chômage technique.
Une destruction de données implique souvent la perte d’actifs stratégiques. Une base clients constituée sur plusieurs années, un historique commercial, des documents contractuels ou des données comptables peuvent disparaître avec l’incident. Lorsque toutes ces données sont supprimées, l’existence même de l’entreprise est donc menacée.
En fonction du volume de données perdues, le travail nécessaire pour reconstituer ces informations peut s’avérer colossal. Il faut alors ressaisir manuellement ce qui peut l’être et solliciter des partenaires pour récupérer des éléments perdus.
Les pertes de données ont également un coût financier. Selon l’ANSSI, le coût moyen d’une cyberattaque pour une PME française avoisine 466 000 euros. En plus des pertes liées à l’interruption de l’activité, il faut également tenir compte des frais de remédiation technique.
Vient enfin la conséquence juridique et réputationnelle. Lorsque les données personnelles sont affectées, vous devez notifier la CNIL dans un délai de 72 heures, avec un risque de sanction en cas de manquement avéré aux obligations de sécurité. À cela s’ajoute une atteinte à la confiance des clients et des partenaires, qui peuvent vous tenir responsable de la disparition de leurs données.
3. Les bénéfices de la sauvegarde
En cas de perte de données, une entreprise capable de restaurer ses données et son système en quelques heures peut redémarrer rapidement son activité et limiter considérablement les dégâts opérationnels et financiers. En revanche, une entreprise qui ne dispose pas de sauvegarde doit revenir au papier et au crayon pour tenter de rétablir son activité en mode dégradé si cela est encore possible, et doit tout reconstruire de zéro en parallèle.
Le bénéfice évident d’une sauvegarde est d’éviter de subir une perte de données trop importante. Votre base clients, votre historique comptable ou vos documents contractuels ne sont donc pas réduits à néant. En fonction de la date de la dernière sauvegarde, les modifications les plus récentes peuvent ne pas avoir été restaurées, mais les actifs stratégiques de votre entreprise restent accessibles.
Le fait de disposer d’une sauvegarde change aussi la nature de la décision face à un rançongiciel. L’entreprise retrouve une marge de manœuvre : elle peut choisir de restaurer ses systèmes plutôt que de se retrouver contrainte de négocier, sachant que le paiement d’une rançon n’apporte aucune garantie de récupération.
Si vous avez souscrit une cyber-assurance, les assureurs examinent désormais de près la robustesse des sauvegardes au moment de l’indemnisation. Une sauvegarde qui n’était pas déconnectée du réseau, et qui a donc pu être chiffrée en même temps que le reste du système, peut justifier un refus de prise en charge. La sauvegarde n’est plus seulement un outil technique : elle conditionne aussi la validité de votre couverture assurantielle.
4. La sauvegarde est-elle une obligation légale ?
Les textes réglementaires ont tendance à privilégier une obligation de résultat plutôt que d’imposer des mesures techniques précises. Pourtant, plusieurs réglementations mentionnent explicitement la sauvegarde comme mesure obligatoire.
La directive NIS2, dans son article 21, impose aux entités essentielles et importantes une liste de mesures minimales de gestion des risques. Parmi elles figure la continuité des activités, qui inclut les plans de sauvegarde, la reprise après sinistre et la gestion de crise. Pour les entreprises concernées, il s’agit donc d’une obligation légale.
Le RGPD adopte une formulation plus générale. Son article 32 impose au responsable de traitement de mettre en œuvre des mesures techniques permettant de rétablir la disponibilité des données personnelles dans des délais appropriés après un incident. Le mot sauvegarde n’y figure pas littéralement, mais cette obligation de résultat la rend de fait indispensable. La CNIL le confirme dans ses recommandations pratiques, où elle détaille les précautions attendues comme le fait d’isoler une copie hors ligne, de chiffrer les sauvegardes sensibles, ou de tester régulièrement leur restauration. Elle sanctionne financièrement les entreprises qui ne s’y conforment pas.
Le règlement DORA, dans son article 12, impose aux entités financières de documenter des politiques de sauvegarde précisant la portée des données concernées, leur fréquence minimale, ainsi que des procédures de restauration testées.
5. Quelles sont les bonnes pratiques en matière de sauvegarde ?
La règle dite 3-2-1 est recommandée aussi bien par l’ANSSI que par la CNIL. Elle consiste à conserver trois copies de vos données, sur deux supports différents, dont une copie hors site. Cette règle a évolué récemment vers le 3-2-1-1-0, qui ajoute une copie isolée ou immuable, protégée contre toute modification, ainsi qu’une exigence de zéro erreur constatée lors des tests de restauration.
Ces tests de restauration ne sont pas un détail. Selon le rapport Data Trust and Resilience 2026 de l’éditeur Veeam, 90 % des responsables informatiques se disent confiants dans leur capacité à restaurer leurs données après un incident, mais seuls 28 % y parviennent réellement dans leur intégralité après une attaque par rançongiciel. La raison est simple : une sauvegarde qui n’a jamais été restaurée en conditions réelles ne peut pas être considérée comme fiable, quelle que soit la confiance qu’on lui accorde.
L’isolement hors ligne de la sauvegarde est une autre bonne pratique. Les rançongiciels modernes ciblent activement les sauvegardes connectées pour empêcher toute restauration sans paiement de la rançon. Une copie physiquement déconnectée du réseau échappe à ce mécanisme.
Le contrôle des accès mérite également d’être formalisé. Il convient de limiter le nombre de personnes en mesure de modifier ou supprimer une sauvegarde, afin de réduire le risque lié à la menace interne.
Le processus de restauration doit être documenté dans un plan de reprise d’activité pour éviter d’improviser dans l’urgence.
Enfin, il faut avoir conscience qu’un serveur de sauvegarde mal configuré et accessible depuis Internet constitue une porte d’entrée pour un attaquant, alors même que sa fonction est de protéger l’entreprise. Il est possible de mener un diagnostic en ligne (comme celui proposé par Sekost) à partir de votre nom de domaine pour identifier ce type d’exposition avant qu’elle ne soit découverte par de mauvaises personnes.
Conclusion
La sauvegarde est souvent entièrement déléguée à un prestataire informatique, sans que votre PME ne sache précisément ce qui a été mis en place. C’est pourtant elle qui détermine la vitesse à laquelle votre entreprise peut se relever après un incident.
Posez-vous la question : si les données de votre entreprise disparaissaient demain, combien de temps faudrait-il pour redémarrer ? Si la réponse n’est pas claire, c’est sans doute le bon moment pour vérifier l’état de vos sauvegardes.
