L'Expert de vos Sauvegardes et de la Protection de vos Données !La Solution adaptée à vos besoins
PRA et PCA
Qu'est-ce qu'un PRA ?
Un plan de reprise d’activité (PRA) rassemble les moyens et les gestes prévus pour relancer l’informatique après un sinistre, sur un environnement de remplacement, dans un délai que l’entreprise a jugé acceptable. Il commence quand la production est déjà arrêtée et se termine quand on est revenu sur l’environnement habituel.
L’essentiel
- Un PRA n’est pas un logiciel : c’est un dossier qui dit quoi relancer, où, dans quel ordre, qui décide et comment revenir.
- Il fixe deux seuils par service : la durée d’arrêt acceptable (RTO, ou DMIA) et la perte de données acceptable (RPO, ou PDMA).
- Son RPO est celui de la sauvegarde qui l’alimente : un PRA ne rend jamais un état plus récent que la dernière copie saine.
- Sans essai daté, c’est un document, pas un plan. La CNIL demande de tester régulièrement l’application du plan.
Une définition de référence
Le NIST, l’organisme de normalisation américain, définit le plan de reprise après sinistre comme un plan centré sur le système d’information, destiné à rétablir le fonctionnement d’un système, d’une application ou d’une infrastructure sur un site de remplacement après une situation d’urgence. Le plan de continuité, lui, vise à maintenir les processus métier pendant et après la perturbation.
En France, le SGDSN traite la reprise comme une partie du plan de continuité : maintenir les activités essentielles, le cas échéant en mode dégradé, puis reprendre de façon planifiée. Les deux plans se complètent ; la différence est développée dans Quelle différence entre PRA et PCA ?.
Ce qu’il contient
Un PRA n’est pas un logiciel. C’est un dossier vivant :
- la liste des services à relancer, dans l’ordre (annuaire, bases, applications, puis postes) ;
- le délai maximum d’arrêt accepté (RTO) et le volume de données que l’on accepte de ressaisir (RPO) ;
- l’endroit où sont les copies, et comment on les transforme en serveurs qui démarrent ;
- qui décide de basculer, qui tient la clé de chiffrement, qui prévient les utilisateurs ;
- comment on revient en arrière une fois le site d’origine réparé ;
- la date du dernier essai, et ce qu’il a montré.
Sans la dernière ligne, on a un document. On n’a pas un plan.
Le NIST découpe le plan en trois phases, utiles pour structurer les quelques pages d’une PME :
| Phase | Question à laquelle elle répond |
|---|---|
| Activation et alerte | Qui constate l’incident, qui décide de déclencher, qui prévient qui ? |
| Reprise | Quelles étapes pour redémarrer les services, dans quel ordre, sur quel environnement ? |
| Retour à la normale | Comment valider le fonctionnement, revenir sur l’environnement d’origine et clore l’incident ? |
L’ANSSI insiste sur l’ordre : une stratégie et un ordre de restauration doivent être définis, en tenant compte notamment des dépendances aux services d’infrastructure (DNS, annuaire, synchronisation de l’heure).
PRA et sauvegarde
La sauvegarde fournit les données et, si c’est une image, le système. Le PRA fournit le lieu où ce système redémarre et la procédure pour que des gens s’en servent : réseau, adresses, DNS ou IP, licences, comptes. Avoir des sauvegardes dans un cloud et aucun serveur de secours prévu, c’est pouvoir restaurer « quelque part », un jour. Le PRA nomme ce quelque part et ce jour.
Le RPO du PRA est celui de la sauvegarde qui l’alimente. Si la dernière copie saine date de la veille 22 h, le PRA le plus rapide du monde rendra l’état de 22 h, pas celui de 10 h le lendemain. L’ANSSI demande d’ailleurs que la stratégie de sauvegarde tienne compte de la perte de données maximale admissible (PDMA) et de la durée maximale d’interruption admissible (DMIA) : ce sont les noms français du RPO et du RTO, détaillés dans Qu’est-ce qu’un RPO ? et Qu’est-ce qu’un RTO ?.
Ce qu’un PRA n’est pas
- Un PCA. Le PCA cherche à ce que le service ne s’interrompe presque pas. Le PRA accepte une interruption, puis une reprise.
- Une réplication seule. Le réplica suit l’original, y compris l’attaque. Le PRA doit pouvoir choisir une version antérieure.
- Un engagement verbal du prestataire. « On vous dépannera » sans RTO mesuré ni essai annuel ne constitue pas un plan.
Pour une PME
Le PRA utile tient en quelques pages et couvre deux ou trois serveurs, pas les cinquante applications du schéma d’un groupe. Il répond à : incendie de la salle, serveur physique irréparable sous 48 heures, ransomware qui a rendu la production inutilisable. S’il couvre tout le monde de la même façon, il ne sera pas testé.
La CNIL, dans son guide de sécurité des données personnelles, recommande de rédiger un plan de continuité et de reprise d’activité informatique incluant la liste des intervenants, de s’assurer que les utilisateurs et les prestataires savent qui alerter, et de tester régulièrement la restauration des sauvegardes et l’application du plan. La méthode pas à pas est dans Comment construire un PRA pour une PME ?.
Chez WeDoBack
Le PRA WeDoBack redémarre les serveurs du client sur des instances de secours, à partir de la version de sauvegarde que le client choisit. Les ressources de calcul sont allouées au moment de la reprise, pas en permanence. Un test automatique mensuel vérifie que ces instances démarrent, sans toucher à la production. Un test en conditions réelles, jusqu’à dix heures, se demande sur devis. L’activation le jour du sinistre est facturée à la journée. Le stockage PRA part de 175 € HT par To et par mois, plus un agent par serveur, les instances et, pour les services joignables depuis Internet, des adresses IP publiques à 0,54 € HT par mois. Les copies sont chiffrées sur la machine avant l’envoi, avec une clé détenue par le client : une reprise suppose que cette clé soit disponible. Revenir sur le serveur d’origine, une fois réparé, fait partie du plan : les données y sont restaurées, et la sauvegarde reprend.
Questions fréquentes
Un PRA est-il obligatoire pour une PME ?
Aucun texte n’impose un PRA à toutes les PME. En revanche, la CNIL recommande à tout organisme qui traite des données personnelles de rédiger un plan de continuité et de reprise d’activité informatique, même sommaire, et de le tester régulièrement. Les contrats clients, l’assureur ou une réglementation sectorielle peuvent aussi l’exiger.
Quelle différence entre un PRA et une simple sauvegarde ?
La sauvegarde conserve les données, et parfois l’image du système. Le PRA prévoit en plus le lieu où ces systèmes redémarrent, l’ordre de démarrage, le réseau, les comptes et la personne qui décide de basculer. Avec une sauvegarde seule, on sait restaurer « quelque part », un jour ; le PRA nomme ce lieu et ce délai.
Qui doit rédiger le PRA ?
La direction fixe les priorités et les délais acceptables ; la personne qui administre l’informatique, ou le prestataire, décrit les gestes techniques. Le SGDSN recommande de faire vérifier les documents, idéalement par un tiers, puis de les éprouver par des tests et des exercices.
Pour aller plus loin
Sources
Documents consultés en octobre 2026.
- SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
- Guide pour réaliser un plan de continuité d’activité (édition 2013) — SGDSN
- Sauvegarde des systèmes d’information – Les fondamentaux (ANSSI-BP-100, v1.1, 27 novembre 2025) — ANSSI
- Guide pratique RGPD – Sécurité des données personnelles (version 2024) — CNIL
- Offre PRA : reprise d’activité après sinistre — WeDoBack
Un projet de sauvegarde, de PRA ou de PCA ?
Plus de 20 ans d’expérience dans la protection des données des entreprises.
Demander un devis09 72 50 78 28Protégez vos données avec WeDoBack
Sauvegarde chiffrée hors site, stockage immuable, PRA et PCA : décrivez-nous vos serveurs, nous vous proposons la bonne combinaison.