GUIDE PRATIQUE · SÉCURITÉ · CONTINUITÉ D’ACTIVITÉ
Vos sauvegardes tournent. Mais vos logiciels de gestion ne suivent pas tous les mêmes règles. Installés sur votre serveur, leur sauvegarde vous revient. En ligne, l’éditeur s’en charge, à ses conditions. Savez-vous en combien de temps votre comptabilité, votre paie et votre gestion commerciale repartiraient ? Voici les réflexes à adopter.
Temps de lecture : 7 minutes | Pour les dirigeants et DAF de PME et ETI | Octobre 2026
L’essentiel en 30 secondes
- Une sauvegarde n’a de valeur que si elle se restaure. Seul un test le prouve.
- L’ANSSI recommande la règle 3-2-1 : vos données de production et deux sauvegardes, sur deux supports différents, dont une hors ligne.
- Logiciel installé sur votre serveur, comme Sage 100 : la sauvegarde vous revient, ou revient au prestataire que vous avez mandaté.
- Logiciel en ligne, comme Pennylane, Silae ou Lucca : l’éditeur sauvegarde sa plateforme, mais ses délais de reprise sont les siens. Vérifiez-les.
- Fixez deux seuils avec vos équipes : la durée d’interruption acceptable et la perte de données acceptable.
Sommaire
- 1. Une sauvegarde qui tourne n’est pas une sauvegarde qui fonctionne
- 2. Ce qu’un arrêt coûte à votre entreprise
- 3. Logiciel installé ou en ligne : qui sauvegarde quoi ?
- 4. Pour vos logiciels installés : les trois réflexes de l’ANSSI
- 5. Plan d’action en 6 étapes
- 6. NIS2 : une exigence qui arrive par vos clients
- 7. Le résultat : un redémarrage maîtrisé
- 8. FAQ
- 9. Sources
Une sauvegarde qui tourne n’est pas une sauvegarde qui fonctionne
La sauvegarde progresse dans les PME. Selon le baromètre France Num 2025 publié par la Direction générale des entreprises, 82 % des TPE et PME déclarent sauvegarder leurs données en externe. Plus de la moitié craignent pourtant le piratage de leurs données.
Cette inquiétude a un fondement. Une sauvegarde externe n’est pas une sauvegarde testée. Dans beaucoup de PME, elle est configurée une fois, puis oubliée. Le voyant est vert. Personne ne vérifie.
Et avec la montée des logiciels de gestion en ligne, une autre question se pose : qui sauvegarde quoi ? La sauvegarde SaaS ne suit pas les mêmes règles que celle de votre serveur.
Trois situations reviennent souvent :
- la copie est stockée sur le même réseau que la production, à portée d’un rançongiciel ;
- elle n’a jamais été restaurée en conditions réelles ;
- personne ne connaît la durée réelle d’une remise en route.
Ce que cela change pour vous
Vous passez de « nous avons des sauvegardes » à « nous savons en combien de temps nous repartons ». C’est cette réponse que votre direction, vos clients et votre assureur attendent.
Ce qu’un arrêt coûte à votre entreprise
Sans accès à votre ERP, à votre comptabilité ou à votre paie, l’activité ralentit vite. Les factures ne partent plus. Les règlements fournisseurs se bloquent. Les relances clients s’arrêtent. Et les échéances sociales ne bougent pas : la DSN doit partir à date fixe, le 5 ou le 15 du mois selon votre situation.
Pour le dirigeant, l’enjeu est la continuité. Pour le DAF, ce sont la trésorerie, les clôtures et la paie. La question à poser est simple : en combien de temps repartons-nous, et avec quelles données ?
Deux seuils permettent d’y répondre. Ils se décident avec la direction et les métiers, pas seulement avec l’informatique.
Les mots pour piloter
- DMIA (durée maximale d’interruption admissible), ou RTO en anglais : combien de temps vous pouvez fonctionner sans l’application.
- PDMA (perte de données maximale admissible), ou RPO : combien de saisies vous acceptez de perdre, exprimé en temps (une heure, une journée).
- PCA (plan de continuité d’activité) : comment l’entreprise continue de fonctionner pendant la crise, au besoin en mode dégradé.
- PRA (plan de reprise d’activité) : comment le système d’information est remis en route, dans quel ordre et en combien de temps.
Logiciel installé ou en ligne : qui sauvegarde quoi ?
C’est la question que beaucoup d’entreprises ne se posent pas. Vos outils de gestion n’obéissent pas tous aux mêmes règles.
Logiciel installé sur votre serveur
C’est le cas de nombreuses installations de Sage 100, dans vos locaux ou chez un hébergeur que vous avez choisi. La sauvegarde vous revient, ou revient au prestataire que vous avez mandaté. Écrivez-le noir sur blanc dans le contrat.
Une restauration ne se limite pas toujours à « recopier une base ». Pour Sage 100 Paie & RH, la documentation technique de Sage précise par exemple que les bases Paie et Déclarations sociales doivent être restaurées ensemble, sous peine de désynchronisation. Elle demande aussi une sauvegarde complète avant toute mise à jour de version.
Logiciel en ligne (SaaS)
C’est le cas de Pennylane, Silae ou Lucca. L’éditeur sauvegarde et sécurise sa plateforme. Pennylane met ainsi en avant une sauvegarde continue et une certification ISO 27001.
Mais les délais de reprise sont fixés par l’éditeur, pas par vous. Lucca les publie dans sa politique de sécurité de septembre 2026 : une perte de données maximale de 60 minutes, une reprise en 24 heures sur site, et jusqu’à deux semaines en cas de bascule hors site. Ces chiffres sont transparents. À vous de vérifier qu’ils sont compatibles avec vos échéances.
L’idée reçue à corriger
« C’est dans le cloud, donc c’est sauvegardé. » La plateforme, oui. Mais le délai de reprise, la récupération d’une erreur de manipulation de votre côté et l’export de vos historiques restent à anticiper. Lisez ce que prévoit votre contrat.
Pour vos logiciels installés : les trois réflexes de l’ANSSI
Le guide de l’ANSSI « Sauvegarde des systèmes d’information – Les fondamentaux » (version 1.1, novembre 2025) donne un cadre clair et applicable en PME. Pour aller plus loin sur les méthodes (cloud, hybride, planification), consultez notre guide Maîtriser sa sauvegarde informatique.
Appliquer la règle 3-2-1
L’ANSSI recommande trois copies distinctes : les données de production et deux sauvegardes, sur deux supports différents, dont une hors ligne, c’est-à-dire déconnectée de tout système d’information.
Isoler au moins une copie
Un rançongiciel cherche d’abord vos sauvegardes. Placez-les dans une zone réseau distincte de la production. La copie hors ligne reste la plus robuste. L’ANSSI admet un compromis réaliste : des sauvegardes immuables fréquentes, complétées par des sauvegardes hors ligne moins fréquentes.
Tester la restauration, régulièrement
L’ANSSI demande de rédiger une procédure de restauration et de l’appliquer régulièrement. Chaque sauvegarde doit aussi être contrôlée. C’est ce test qui transforme une copie de données en plan de reprise.
Si vos sauvegardes sont externalisées, l’ANSSI ajoute trois précautions : garder les données dans l’Union européenne, les chiffrer avant qu’elles ne quittent l’entreprise, et vérifier que les délais de restauration respectent votre DMIA.
La sauvegarde n’est qu’une brique de votre protection. Pour la vue d’ensemble, lisez aussi Ransomware : pourquoi la sauvegarde ne suffit plus à protéger votre PME.
Plan d’action en 6 étapes
Six étapes concrètes pour passer d’une sauvegarde supposée à une reprise maîtrisée.
Lister vos applications critiques
Gestion, comptabilité, paie, RH : pour chacune, notez où elle tourne, sur votre serveur ou en ligne.
Fixer vos seuils
Décidez avec la direction et les métiers de la DMIA et de la PDMA acceptables pour chaque application.
Contrôler vos logiciels installés
Vérifiez la règle 3-2-1 et l’existence d’une copie hors ligne ou immuable.
Lire les engagements de vos éditeurs en ligne
Délais de reprise, durée de conservation, modalités d’export : confrontez-les à vos seuils.
Tester une restauration complète
Choisissez une application critique, restaurez-la dans un environnement de test et chronométrez.
Documenter la procédure
Elle devient la base de votre PRA. Mettez-la à jour après chaque changement majeur : migration, nouvelle version, nouvel outil.
NIS2 : une exigence qui arrive par vos clients
La directive NIS2 impose notamment des mesures de continuité d’activité et de gestion de crise aux entités concernées. En France, sa transposition passe par le projet de loi « Résilience ». Début octobre 2026, son examen en séance à l’Assemblée nationale a de nouveau été reporté, sans nouvelle date annoncée.
Votre entreprise n’est pas forcément dans le périmètre. Mais vos clients ou donneurs d’ordre peuvent l’être, et vous demander des garanties sur la chaîne d’approvisionnement. Préparer dès maintenant vos sauvegardes et votre PRA, c’est anticiper cette demande plutôt que la subir. Pour mesurer votre exposition, lisez notre décryptage NIS2 : pourquoi votre PME est concernée, même sans être dans les 18 secteurs.
Le résultat : un redémarrage maîtrisé, pas improvisé
Une stratégie de sauvegarde éprouvée change trois choses concrètes. Vous connaissez votre délai de reprise, au lieu de l’estimer. Vous limitez la perte de données à un seuil que vous avez choisi. Vous rassurez vos équipes, vos clients et votre direction.
Chez NRC InovaGès, nous vous accompagnons sur les deux fronts. Pour vos logiciels installés, nous sécurisons l’infrastructure et fiabilisons les sauvegardes, notamment avec les solutions Acronis. Pour vos outils en ligne, nous vous aidons à lire les engagements des éditeurs que nous intégrons : Sage, Pennylane, Silae, Lucca.
Vous n’avez pas besoin de tout refondre pour progresser. Une première étape suffit : restaurer une application critique et mesurer le temps nécessaire. Le résultat vous donne une base objective pour décider. Et il vous évite de découvrir la réalité le jour où vous en avez le plus besoin.
FAQ : sauvegarde SaaS et logiciels installés
Qui est responsable de la sauvegarde d’un logiciel en SaaS ?
L’éditeur sauvegarde sa plateforme et en assure la remise en route, selon ses propres engagements. Vous restez responsable de vérifier que ces engagements couvrent vos besoins, et de vos données hors plateforme : exports, fichiers locaux, documents joints conservés ailleurs.
Que vérifier dans le contrat d’un éditeur SaaS ?
Cinq points : le délai de reprise annoncé, la perte de données maximale, la durée de conservation des sauvegardes, la possibilité de restaurer vos données à la demande, et les modalités d’export (format, délai) en cas de changement d’outil. Confrontez-les à vos propres seuils.
Quelle différence entre PRA et PCA ?
Le PCA organise la poursuite de l’activité pendant la crise, au besoin en mode dégradé. Le PRA décrit la remise en route du système d’information : dans quel ordre, en combien de temps et avec quelles données.
À quelle fréquence tester une restauration ?
L’ANSSI demande des tests réguliers, sans imposer de rythme. Nous conseillons au minimum un test par an pour chaque application critique, et un test après chaque changement majeur : migration, nouvelle version, nouveau serveur.
Un disque externe ou un NAS suffit-il ?
Pas s’il reste branché en permanence : un rançongiciel peut le chiffrer comme le reste. L’ANSSI demande au moins une copie hors ligne, ou à défaut des sauvegardes immuables complétées par une copie hors ligne périodique.
Sources et documents de référence
- ANSSI, ANSSI-BP-100 « Sauvegarde des systèmes d’information – Les fondamentaux », version 1.1 (27 novembre 2025)
- Direction générale des entreprises, baromètre France Num 2025
- Lucca, Politique de sécurité des systèmes d’information (28 septembre 2026)
- Pennylane, page Sécurité
- Sage, Sage 100 Paie & RH – Recommandations techniques (v4.10)
- Leto, « Transposition NIS 2 : le projet de loi Résilience de nouveau reporté » (octobre 2026)
Les engagements des éditeurs cités sont ceux publiés à la date de rédaction. Ils peuvent évoluer : référez-vous à votre contrat. Pour un diagnostic adapté à votre environnement, nos consultants restent à votre disposition.
Vos sauvegardes sont-elles prêtes à servir ?
Nos consultants font le point avec vous sur vos applications critiques, sur serveur comme en ligne, et sur vos objectifs de reprise. Simplifier votre gestion. Sécuriser votre quotidien.
