PRA et PCA

PRA externalisé : avantages et limites

Un PRA externalisé confie à un prestataire le lieu où les serveurs redémarrent et, souvent, la garde des copies. Il évite à une PME d’acheter une seconde salle. Il ne lui évite pas de savoir qui déclenche, où est la clé, et si le dernier essai a réussi.

Mis à jour en octobre 20264 min de lecture5 sources citées

L’essentiel

Avantages : pas de second bâtiment, coût surtout lié à l’usage, copies déjà hors site, essais sans matériel interne.
Limites : le RPO reste celui de la sauvegarde, le RTO dépend des personnes et des horaires, la clé est sous votre responsabilité.
L’ANSSI recommande de chiffrer avant l’envoi chez le prestataire et de vérifier que la durée de restauration est compatible avec votre délai d’arrêt admissible.
Le contrat doit lister les lieux d’hébergement, prévoir la réversibilité et, si des données personnelles sont traitées, les clauses de l’article 28 du RGPD.
Un test de démarrage automatique n’est pas un test métier.

Avantages

Pas de second bâtiment. Les instances existent chez le prestataire. Le jour du sinistre, on ne court pas acheter un serveur.
Coût surtout lié à l’usage. Dans un modèle où l’activation est à la journée, les mois sans incident coûtent la préparation (stockage, agents, adresses), pas une flotte allumée.
Copies déjà hors site. Le PRA et la sauvegarde externalisée s’alimentent l’un l’autre. On ne transporte pas des bandes.
Essais techniques possibles sans matériel interne. Démarrer une image chez le prestataire ne demande pas un serveur de test dans le placard.
Zone géographique choisie. Utile quand la loi ou le contrat impose un pays, à condition que le contrat le dise vraiment. L’ANSSI recommande d’exiger du prestataire la liste de tous les lieux de stockage des données, site principal et sites de secours compris.

Limites

Le RPO n’est pas magique. Il reste égal à l’âge de la sauvegarde choisie. Le prestataire ne reconstitue pas les saisies jamais copiées.
Le RTO dépend des personnes. Si la seule personne habilitée est injoignable, l’instance ne part pas. L’externalisation ne crée pas une astreinte que vous n’avez pas achetée. Chez un prestataire ouvert de 9 h à 17 h 30 en semaine, un sinistre le samedi soir attend, sauf clause contraire. L’ANSSI appelle à la vigilance sur ce point : la durée de restauration chez le prestataire doit être compatible avec votre durée maximale d’interruption admissible.
La clé. Si vous seul pouvez déchiffrer, vous seul pouvez restaurer. L’ANSSI recommande précisément de chiffrer les sauvegardes par un moyen propre à l’entité avant l’envoi chez le prestataire. C’est une protection contre la lecture indue. C’est aussi une responsabilité : clé perdue, PRA inutilisable. Un prestataire honnête ne vous proposera pas de garder la clé « pour vous dépanner » sans vous expliquer qu’il pourra alors lire les données.
Le réseau. Les utilisateurs doivent atteindre le secours. Un PRA externalisé sans IP prévue ni VPN testé restaure des serveurs injoignables.
Le retour. Revenir sur le site réparé, avec les données saisies entre-temps, est un projet en soi. Les contrats parlent beaucoup de la bascule aller, peu du retour.
Le test de démarrage n’est pas un test métier. Un contrôle mensuel automatique qui vérifie le démarrage est un vrai plus. Il ne prouve pas que le logiciel métier fonctionne.
La dépendance. Changer de prestataire demande de relire les copies. Le contrat doit dire dans quel délai et sous quelle forme vous repartez avec vos données : c’est ce que l’ANSSI appelle la réversibilité, la possibilité de reprendre la fonction externalisée ou de la confier à un tiers, avec l’assistance du prestataire pendant la migration.

Ce que le contrat doit contenir

Le guide de l’ANSSI sur l’externalisation recommande d’annexer au contrat un plan d’assurance sécurité (PAS) et de prévoir l’audit des procédures de sauvegarde et de secours. Lorsque les copies contiennent des données personnelles, ce qui est presque toujours le cas, le prestataire est un sous-traitant au sens du RGPD. L’article 28 impose alors un contrat écrit, et le guide du sous-traitant de la CNIL en détaille le contenu.

Point	Pourquoi	Où le vérifier
Lieux d’hébergement, principal et secours	Exigence légale ou contractuelle de localisation	Contrat, PAS
Horaires d’assistance et d’activation	Ils font partie du RTO réel	Conditions de service
Essais inclus et essais sur devis	Mesurer le RTO avant le sinistre	Offre commerciale
Détention de la clé de chiffrement	Confidentialité et capacité à restaurer	Contrat, procédure interne
Réversibilité	Repartir avec ses données en cas de changement	Clause dédiée
Sort des données en fin de contrat	RGPD : restitution ou destruction de toutes les copies	Contrat de sous-traitance
Sous-traitants ultérieurs	RGPD : autorisation écrite préalable	Contrat de sous-traitance
Alerte en cas de violation	RGPD : le sous-traitant prévient le client	Contrat de sous-traitance

L’article 32 du RGPD demande par ailleurs des moyens permettant de rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés, ainsi qu’une procédure pour tester régulièrement l’efficacité des mesures. Un PRA externalisé y contribue, s’il est réellement testé.

Quand c’est le bon choix

PME sans seconde salle, un à quelques serveurs dont l’arrêt se compte en heures et non en minutes, volonté de ne pas investir dans du matériel dormant. Quand l’arrêt se compte en minutes, regardez plutôt un PCA, en connaissance de son coût permanent : voir PCA externalisé : avantages et limites.

Chez WeDoBack

Le PRA externalisé correspond à l’offre PRA publiée : stockage dès 175 € HT par To et par mois, agents, adresses IP publiques à 0,54 € HT par mois, instances, activation en sinistre facturée à la journée, test de démarrage mensuel sans toucher à la production, test en conditions réelles jusqu’à 10 heures sur devis. Les données sont chiffrées sur la machine avant l’envoi, avec une clé détenue par le client, et stockées sur des serveurs dédiés à la sauvegarde, redondés dans plusieurs pays d’Europe ou dans la zone imposée par la législation du client. Les centres d’hébergement et les solutions utilisés sont certifiés ISO 27001 et HDS, et le traitement suit le RGPD. L’assistance humaine est joignable de 9 h à 13 h et de 14 h à 17 h 30 (heure de Paris). Ces horaires font partie du RTO réel. Ils doivent être lus avant de signer, pas après le sinistre.

Découvrir le PRA Demander un devis

Questions fréquentes

Quelles clauses vérifier dans un contrat de PRA externalisé ?

Les lieux d’hébergement (principal et secours), les horaires d’assistance et d’activation, le mode de déclenchement, les essais inclus, la réversibilité (sous quelle forme et dans quel délai vous récupérez vos données) et, pour les données personnelles, les clauses du RGPD : instructions documentées, sécurité, sous-traitants ultérieurs, sort des données en fin de contrat.

Le prestataire peut-il garder la clé de chiffrement pour plus de sécurité ?

Il le peut, mais il pourra alors lire vos données. Si vous êtes seul à détenir la clé, personne d’autre ne peut déchiffrer les copies, mais vous devez la conserver en lieu sûr, hors du site, avec au moins deux personnes capables de la retrouver. L’ANSSI recommande le chiffrement par un moyen propre à l’entité avant l’envoi.

Un PRA externalisé suffit-il pour être conforme au RGPD ?

Il contribue à l’article 32, qui demande des moyens de rétablir la disponibilité des données personnelles dans des délais appropriés et une procédure pour tester régulièrement les mesures. Il ne suffit pas seul : il faut aussi un contrat de sous-traitance conforme à l’article 28, un registre des violations et des tests documentés.

Pour aller plus loin

Sources

Documents consultés en octobre 2026.

Un projet de sauvegarde, de PRA ou de PCA ?

Plus de 20 ans d’expérience dans la protection des données des entreprises.

Demander un devis 09 72 50 78 28

Protégez vos données avec WeDoBack

Sauvegarde chiffrée hors site, stockage immuable, PRA et PCA : décrivez-nous vos serveurs, nous vous proposons la bonne combinaison.

Demander un devis Voir les offres et tarifs