Page mise à jour le
La réponse courte
Aucune loi française n'impose à une TPE un plan de reprise détaillé sous un nom d'État. L'article 32 du RGPD exige toutefois une sécurité appropriée, y compris « la capacité de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ». L'ANSSI, dans le guide d'hygiène informatique, range les sauvegardes régulières, hors ligne ou hors site, testées, parmi les mesures de base. Pour une PME, la pratique qui tient est simple à dire : trois copies, deux supports différents, une hors site (règle 3-2-1), des copies chiffrées, un test de restauration périodique, et un nom de personne qui sait le faire si vous n'êtes pas là. Un prestataire d'IA ou d'hébergement qui ne s'inscrit pas dans ce schéma n'est pas « la sauvegarde » : c'est une copie de plus, ou de moins.
Ce que « 3-2-1 » veut dire sans jargon
Trois copies des données qui font vivre l'entreprise (compta, factures, mails, CRM, fichiers clients) : la production, plus deux. Deux types de supports : par exemple le disque du serveur et un stockage objet, ou un NAS et un cloud, pas deux fois le même tiroir. Une copie hors site, déconnectée du réseau de production assez souvent pour survivre à un rançongiciel qui chiffre tout ce qui est monté. Cette règle n'est pas dans le JO. Elle est dans l'hygiène ANSSI et dans vingt ans d'incidents. Une « sauvegarde » qui vit sur la même machine, ou sur un partage que le poste de travail peut chiffrer, n'est pas une copie : c'est un miroir de la panne. Pour les factures électroniques, la conservation légale (dix ans comptable, six ans fiscal) s'ajoute : le format structuré doit pouvoir être relu dans dix ans, pas seulement aujourd'hui.
Tester, chiffrer, nommer quelqu'un
Une restauration jamais faite échoue le jour J, sur un mot de passe perdu, un format illisible, une clé de chiffrement absente, un volume plus gros que prévu. Tester, c'est restaurer un dossier réel, sur une machine réelle, en notant le temps et ce qui a manqué. Chiffrer les copies, c'est l'article 32 et le guide ANSSI : une sauvegarde est une cible, souvent plus complète et moins surveillée que la production. Nommer quelqu'un, c'est le facteur de bus : si une seule personne sait, vous n'avez pas une continuité, vous avez une dépendance. L'article sur le coût du self-hébergement, sur ce site, dit la même chose pour les serveurs. Ici, ça vaut aussi pour un cloud tout géré : qui, chez vous, sait restaurer depuis l'export du prestataire.
Prestataires, IA, et ce qui n'est pas chez vous
Un CRM, une messagerie, un assistant, une PA de facturation, détiennent une part de votre mémoire. Leur « haute disponibilité » n'est pas votre plan de reprise. Ce qui en fait partie, c'est l'export régulier, chez vous, dans un format que vous savez relire, et la clause de réversibilité. Un rançongiciel chez le prestataire, un retrait d'immatriculation, un compte fermé pour impayé, et la production s'arrête. La continuité, alors, c'est votre copie. Pour un agent d'IA, les prompts, les réglages et les journaux font partie de ce qu'il faut sauver, au même titre que les devis : sans eux, vous restaurez des fichiers, pas une capacité. Le chiffrement de ces copies, les clés ailleurs que dans le même espace, évitent de sauver une base que le premier voleur lit.
Incident, notification, et ce qu'il ne faut pas promettre
Une indisponibilité de données personnelles peut être une violation au sens des articles 33 et 34 du RGPD, à notifier à la CNIL dans les 72 heures si le risque est là, et aux personnes si le risque est élevé. Une sauvegarde qui marche change le risque, pas toujours l'obligation de documenter. Un plan de continuité « on remet en route en 4 heures » que personne n'a testé est une allégation, éventuellement commerciale. Mieux vaut un temps mesuré, même long, qu'un temps inventé. Cette page ne vend pas un PRA de grand compte. Elle dit : copies, hors site, test, clés, personne nommée, export des prestataires. Cinq points, tenables dans une TPE, et déjà plus que ce que la plupart constatent le jour où le disque rend l'âme.
À vérifier chez vous
Ce que vous pouvez contrôler vous-même
Des points vérifiables sans expertise juridique. Si l'un d'eux coince, c'est celui-là qu'il faut apporter à votre conseil.
- Lister ce qui arrête l'entreprise s'il disparaît (compta, factures, mails, CRM, prompts métier).
- Tenir trois copies, deux supports, une hors site, dont une que le rançongiciel ne peut pas monter.
- Chiffrer les sauvegardes, clés séparées, test de restauration daté.
- Exporter périodiquement ce qui ne vit que chez un prestataire (y compris PA et assistant).
- Nommer deux personnes capables de restaurer, et un mot de passe qui n'est pas dans le même tiroir.
Sources
Chaque affirmation de cette page renvoie au texte qui fait foi. En cas d'écart entre cette page et la source, c'est la source qui a raison.
- EUR-Lex — règlement (UE) 2016/679 (RGPD) (nouvel onglet)
Articles 5, 6 (base légale), 9, 13-14, 22, 24, 28 (sous-traitant), 32, 35 (AIPD), chapitre V (transferts).
- ANSSI — guide d'hygiène informatique (nouvel onglet)
Mesures concrètes : sauvegardes testées, chiffrement, journalisation, mises à jour. Référentiel de bonnes pratiques, pas une obligation légale autonome.
- Légifrance — code de commerce article L.123-22 (conservation 10 ans) (nouvel onglet)
Les factures et pièces comptables se conservent dix ans : la sauvegarde doit encore être lisible à cette échéance.
- Service Public Entreprendre — tout savoir sur la facturation (F23208) (nouvel onglet)
Vérifié le 7 août 2026. Calendrier, mentions, conservation 10 ans, sanctions émission 50 € par facture plafonnées à 15 000 €/an.
Vos questions
Le cloud de l'éditeur me dispense-t-il de sauvegarder ?
Non. Il se dispense, lui, de garantir votre continuité au-delà de son contrat, de ses propres pannes, et de votre capacité à payer. Une réplication interne n'est pas une copie sous votre contrôle. L'article 32 vous demande de pouvoir rétablir l'accès dans des délais appropriés : « approprié » se discute, « pouvoir » se démontre par un export que vous avez restauré. Pour une messagerie ou un CRM, un export hebdomadaire chez vous est déjà une autre vie. Pour une PA de facturation, relire la clause d'archivage et de sortie, et ne pas croire que l'immatriculation DGFiP est une sauvegarde.
À quelle fréquence sauvegarder ?
À la fréquence de ce que vous acceptez de perdre. Une TPE qui facture chaque jour et sauvegarde chaque mois a choisi de perdre un mois. L'ANSSI parle de sauvegardes régulières, calées sur la criticité. Il n'y a pas de « toutes les 4 heures » dans la loi des TPE. Il y a un jugement, écrit, et un test. Une copie continue vers un partage que le rançongiciel voit, plus fréquente, peut être pire qu'une copie quotidienne déconnectée. La fréquence sans l'isolation n'est pas une stratégie.
Une sauvegarde chiffrée dont j'ai perdu la clé, c'est quoi ?
Une destruction. C'est le trade-off du chiffrement, déjà dit dans le guide correspondant : qui a les clés peut lire, qui les perd ne lit plus. D'où un coffre pour les clés, distinct des copies, avec deux personnes, et un test qui inclut le déchiffrement. Une sauvegarde en clair « pour ne pas avoir ce problème » en crée un autre, plus fréquent : le vol, le tiroir, le prestataire trop curieux. On assume le chiffrement, on gère les clés. On ne choisit pas l'amnésie par peur de les perdre.
Une idée en tête ?
Réservez un rendez-vous ou écrivez-nous — réponse sous 24 h.