La sauvegarde est le deuxième dispositif de sécurité le plus répandu dans les TPE et PME françaises. C’est aussi le seul qu’on installe en espérant ne jamais s’en servir, donc le seul qu’on ne vérifie jamais. La CNIL a une formule pour cela, dans sa liste de ce qu’il ne faut pas faire : « Ne jamais vérifier si les sauvegardes sont exploitables et se rendre compte que ce n’est pas le cas le jour où elles sont nécessaires. »
Ce que le chiffre dit, et ce qu’il ne dit pas
Le 6 octobre 2025, Cybermalveillance.gouv.fr a publié la deuxième édition de son baromètre national de la maturité cyber des TPE-PME. Dans le classement des dispositifs de sécurité installés, la sauvegarde arrive en deuxième position : 78 % des entreprises interrogées déclarent en disposer, derrière l’antivirus à 84 % et devant le pare-feu à 69 %.
Une précision s’impose, parce que ce genre de pourcentage circule vite et mal. Il s’agit d’une enquête déclarative menée par OpinionWay, en ligne, du 2 juin au 7 juillet 2025, auprès de 588 entreprises de moins de 250 salariés. Le chiffre mesure la présence déclarée d’un dispositif. Il ne dit rien de son périmètre, ni de sa capacité à rendre les données un jour de crise.
Deux autres résultats du même baromètre éclairent le premier. 16 % des entreprises interrogées déclarent avoir subi au moins un incident au cours des douze derniers mois. Et 80 % reconnaissent qu’elles ne sont pas préparées à une attaque, dont 31 % qui répondent qu’elles n’en savent rien.
La sauvegarde est donc en place presque partout. La confiance qu’on peut lui accorder reste, presque partout, une question ouverte.
Une sauvegarde n’est pas une protection, c’est une promesse
Un antivirus, un pare-feu, une protection EDR agissent avant l’incident : ils tentent d’empêcher, de bloquer, d’isoler. La sauvegarde ne fait rien de tout cela. Elle n’empêche aucune attaque. Elle promet un retour en arrière.
Or une promesse qu’on n’a jamais mise à l’épreuve reste une hypothèse. Et le jour où on la vérifie pour la première fois est, par construction, le pire jour possible : l’activité est à l’arrêt, les clients appellent, et la question n’est plus « est-ce que ça marche » mais « combien de temps ».
Ce que recommande l’ANSSI, en clair
L’agence a publié le 27 novembre 2025 la version 1.1 de son guide « Sauvegarde des systèmes d’information, les fondamentaux ». Le document vise des administrateurs, mais quatre de ses recommandations se traduisent sans difficulté pour un dirigeant.
Votre sauvegarde est une cible, pas un refuge. Le guide le dit en toutes lettres : « Il est fréquent qu’un attaquant tente de chiffrer, d’effacer ou de rendre indisponible l’infrastructure de sauvegarde, dans le but de ralentir la reconstruction du SI impacté et donc d’augmenter ses chances d’obtenir la rançon. » Conséquence directe : un disque externe branché en permanence sur le serveur n’est pas une sauvegarde au sens de la sécurité. C’est une copie qui sera chiffrée en même temps que l’original. La CNIL range le même cas parmi les choses à ne pas faire, dans sa fiche « Sauvegarder » du 14 mars 2024.
La règle 3-2-1. Trois copies des données, soit les données de production et deux sauvegardes, sur deux supports différents, dont une hors ligne. L’ANSSI la donne en recommandation R11, la CNIL la reprend comme état de l’art. Hors ligne signifie déconnecté du système d’information, pas « dans un autre dossier du même serveur ».
Tester, et écrire. La recommandation R22 tient en deux phrases : « Les sauvegardes doivent être testées régulièrement. Une procédure de restauration du SI doit être rédigée et régulièrement mise en œuvre. » La seconde exigence est celle qu’on saute le plus souvent. Une restauration qui ne repose que sur la mémoire d’une seule personne échoue le jour où cette personne est en congés.
Le périmètre déborde des fichiers. La recommandation R25 rappelle qu’il faut aussi sauvegarder les médias d’installation et les configurations des applications métier. Vos données comptables ne servent à rien si personne ne peut réinstaller le logiciel qui les lit.
Le test d’une heure, à faire vous-même cette semaine
Cet exercice ne demande aucun achat, aucun outil et aucune compétence technique. Vous pouvez le mener même si vous ne comprenez rien à l’informatique, parce que vous n’exécutez rien : vous demandez, vous chronométrez, vous notez.
- Choisissez un fichier qui compte vraiment. Pas un document de test créé pour l’occasion. Un vrai fichier utilisé la semaine dernière : le dernier devis émis, un dossier client, un export du logiciel métier.
- Demandez sa restauration sans prévenir à l’avance. À la personne ou au prestataire qui gère vos sauvegardes. Formulez-le comme une demande réelle, pas comme un exercice annoncé trois semaines plus tôt.
- Notez deux heures. Celle de la demande, et celle où le fichier est effectivement ouvert et lisible sur un poste. L’écart entre les deux est votre premier indicateur sérieux.
- Regardez la date de la version restaurée. L’écart entre cette date et aujourd’hui correspond au travail que vous perdriez en cas de sinistre survenu maintenant. L’ANSSI appelle cela la perte de données maximale admissible. Vous n’avez pas besoin du terme, vous avez besoin du nombre d’heures.
- Posez cinq questions, et notez les réponses par écrit. Où se trouve physiquement la copie hors ligne ? Qui détient les identifiants pour y accéder, et qui les détient en second ? Combien de temps faudrait-il pour remonter non pas un fichier, mais l’ensemble d’un serveur ? La messagerie professionnelle est-elle dans le périmètre ? Quand a eu lieu le dernier test de restauration avant celui-ci ?
- Datez la feuille et rangez-la. Puis refaites l’exercice dans six mois, avec un fichier différent. Vous venez d’écrire la première ligne de la procédure que l’ANSSI recommande de rédiger.
Si une réponse est « je vais me renseigner », vous avez déjà trouvé quelque chose. Si la restauration d’un simple fichier prend une demi-journée, vous savez ce que donnerait celle d’un serveur entier. Et si tout se passe bien, vous avez gagné une certitude que 4 entreprises sur 5 n’ont pas.
C’est aussi l’un des premiers points que nous regardons pendant le diagnostic cybersécurité de 30 minutes, offert et sans engagement.
Quatre raisons pour lesquelles une restauration échoue
La copie était connectée. C’est le cas le plus fréquent chez les structures de moins de vingt postes : un disque USB ou un NAS branché en permanence, dans le même local que le serveur. Un rançongiciel chiffre l’un et l’autre. Un incendie ou un dégât des eaux emporte les deux. La CNIL range explicitement ces deux situations dans les pratiques à éviter.
Le périmètre n’est pas celui qu’on croit. Les fichiers partagés sont sauvegardés, et le reste ? La messagerie professionnelle, la base du logiciel de gestion, les configurations, les licences, les certificats. Beaucoup d’entreprises découvrent le trou pendant la crise. C’est un des points que nous vérifions dans nos prestations de cybersécurité, parce qu’il ne coûte rien à corriger avant, et très cher après.
Personne ne sait dans quel ordre remonter. L’ANSSI y consacre une recommandation entière, la R23 : l’ordre de restauration doit tenir compte des dépendances entre services. On ne remonte pas le logiciel de gestion avant l’annuaire dont il dépend pour authentifier les utilisateurs. Sans ordre écrit, on avance à tâtons pendant que l’entreprise est arrêtée.
Le temps que ça prend. La CNIL, dans sa page consacrée aux rançongiciels, indique avoir constaté des opérations de restauration ayant duré plus de 48 heures, du fait du volume de fichiers concernés. Deux jours d’arrêt, avec une sauvegarde parfaitement saine. La question n’est jamais seulement « avons-nous les données », c’est aussi « en combien de temps redevenons-nous opérationnels ».
L’ANSSI ajoute un point qui vaut pour les incidents graves : après une attaque, les sauvegardes peuvent contenir un implant laissé par l’attaquant. Une reprise après rançongiciel ne se résume jamais à cliquer sur « restaurer ».
Ce que la loi attend exactement
Le RGPD est plus précis qu’on ne le pense. Son article 32 n’exige pas d’avoir une sauvegarde. Il exige de disposer de « moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ». L’obligation porte donc sur la capacité à rétablir, pas sur l’existence d’une copie. Nous ne sommes pas juristes et cette lecture ne remplace pas l’avis d’un avocat, mais la formulation du texte est publique.
S’y ajoute une échéance à connaître avant l’incident : si des données personnelles sont concernées, y compris par simple indisponibilité, la notification à la CNIL doit intervenir sous 72 heures si possible.
En Seine-Maritime
Entre Bolbec, Lillebonne, Le Havre, Fécamp et Yvetot, nous intervenons surtout auprès de structures de 1 à 20 postes : artisans, sous-traitants industriels, cabinets, commerces, associations, collectivités. Le schéma le plus fréquent n’est pas l’absence de sauvegarde. C’est la sauvegarde installée il y a quatre ans, qui tourne toujours, dont personne n’a jamais lu les alertes d’échec, et dont le périmètre n’a pas suivi l’arrivée d’un nouveau logiciel métier.
Autre point local vite oublié : une copie « hors site » rangée chez le gérant, à trois kilomètres du bureau, reste dans la même zone en cas de sinistre de quartier.
Questions fréquentes
Une sauvegarde dans le cloud suffit-elle ?
Elle règle le risque du sinistre physique local, ce qui est déjà beaucoup. Elle ne règle pas automatiquement le rançongiciel : si l’espace distant est monté en permanence comme un lecteur accessible depuis le poste, il peut être chiffré lui aussi. Ce qui protège, c’est l’absence de connexion permanente ou un mécanisme d’immuabilité, pas le fait d’être « dans le cloud ».
Mes données Microsoft 365 sont-elles sauvegardées d’office ?
La réponse dépend de votre abonnement et de vos réglages. Les corbeilles et les rétentions natives couvrent une suppression accidentelle récente, pas toutes les situations ni toutes les durées. Le réflexe utile est de poser la question précisément : quelle donnée, conservée combien de temps, restaurable par qui. Si personne ne sait répondre, c’est que le point n’a pas été traité.
À quelle fréquence faut-il tester une restauration ?
L’ANSSI dit « régulièrement » sans imposer de rythme, parce qu’il dépend de la criticité. Pour une TPE ou une PME, deux fois par an sur un fichier réel et une fois par an sur un périmètre plus large constituent un rythme tenable. Un test modeste et fait vaut mieux qu’un test ambitieux et reporté.
Faut-il chiffrer ses sauvegardes ?
La CNIL demande de protéger les données sauvegardées au même niveau que celles des serveurs de production, ce qui passe souvent par le chiffrement. L’ANSSI ajoute le point qu’on oublie : si les sauvegardes sont chiffrées, il faut décider où sont conservées les clés et comment elles sont elles-mêmes sauvegardées. Une sauvegarde chiffrée dont la clé a disparu avec le serveur est une sauvegarde perdue.
Que faire si les sauvegardes se révèlent inutilisables après une attaque ?
La CNIL recommande d’éviter de payer la rançon : le paiement ne garantit pas la restitution des données et n’immunise pas contre une nouvelle attaque. Les réflexes utiles sont d’éteindre les machines concernées, de conserver les preuves, de prévenir immédiatement le prestataire informatique et de déposer plainte.
Nous avons un prestataire informatique, sommes-nous couverts ?
Cela dépend du contrat, et c’est vérifiable en quinze minutes. Le périmètre sauvegardé est-il écrit noir sur blanc ? Les échecs de sauvegarde sont-ils supervisés et remontés, ou faut-il aller regarder ? Des tests de restauration sont-ils prévus, et à quelle fréquence ? Un prestataire sérieux répond sans se braquer, parce que ce sont les bonnes questions.
Pour finir
La sauvegarde est le poste de sécurité sur lequel les TPE et PME ont le plus progressé. C’est aussi celui où l’écart entre « installé » et « éprouvé » reste le plus grand, et cet écart ne se voit que le jour où il coûte cher.
Faites le test d’une heure. Il ne coûte rien et il vous appartient. S’il ouvre des questions, elles font partie de ce que couvre l’Offre 360 quand vous préférez confier l’ensemble à un interlocuteur unique.
