Le PCA (plan de continuité d’activité) maintient vos services en fonctionnement pendant un incident. Le PRA (plan de reprise d’activité) organise le redémarrage de votre système d’information après un sinistre, dans un délai (RTO) et avec une perte de données (RPO) fixés à l’avance. Les deux plans se complètent : l’un limite l’interruption, l’autre encadre le retour à la normale.
Cyberattaque, panne matérielle, erreur humaine, incendie : toute entreprise qui propose des services en ligne ou stocke des données est exposée. Ce guide présente les différences entre PCA et PRA, le cadre réglementaire et les étapes pour mettre en place les deux plans.
Quelles sont les différences entre un PCA et un PRA ?
- Le PCA (plan de continuité d’activité) vise à maintenir les services pendant l’incident. Il repose sur la redondance des équipements, la répartition de charge et la bascule automatique vers des ressources de secours. Pour l’utilisateur, l’interruption est nulle ou très courte.
- Le PRA (plan de reprise d’activité) prend le relais quand l’interruption n’a pas pu être évitée. Il décrit comment restaurer les données et redémarrer les systèmes, dans quel ordre et en combien de temps.
Les termes PCI et PRI (plan de continuité informatique, plan de reprise informatique) désignent le volet de ces plans limité au système d’information.
| PCA | PRA | |
| Objectif | Maintenir les services | Redémarrer les services |
| Moment | Pendant l’incident | Après le sinistre |
| Indicateur suivi | Taux de disponibilité | RTO et RPO |
| Moyens techniques | Redondance, répartition de charge, bascule automatique | Sauvegardes, site de secours, procédures de restauration |
| Coût | Plus élevé : ressources doublées en permanence | Plus modéré : ressources mobilisées en cas de besoin |
Que signifient RTO et RPO ?
- RTO (Recovery Time Objective) : la durée maximale d’interruption acceptable. Avec un RTO de 4 heures, le service doit être rétabli au plus tard 4 heures après l’incident.
- RPO (Recovery Point Objective) : la perte de données maximale acceptable, exprimée en temps. Avec un RPO de 15 minutes, vous perdez au plus les 15 dernières minutes de données. Le RPO fixe la fréquence des sauvegardes ou de la réplication.
Plus ces valeurs sont basses, plus l’architecture nécessaire est coûteuse. Elles se fixent donc application par application, selon l’impact d’un arrêt sur votre activité.
Pourquoi mettre en place un PRA et un PCA ?
Le coût d’une interruption dépasse vite celui de la prévention. Selon les enquêtes de l’ITIC sur le coût des interruptions, une heure d’arrêt coûte plus de 300 000 dollars à la majorité des moyennes et grandes entreprises. Pourtant, selon IT for Business, 80 % des entreprises n’ont pas de PRA formalisé.
Au-delà du coût direct, un incident sans plan de reprise entraîne :
- L’interruption des services, qui touche la production, vos clients et vos partenaires.
- La perte de données, irréversible si les sauvegardes sont inadaptées ou atteintes par l’attaque.
- Un risque de non-conformité au regard des textes présentés ci-dessous.
- Une atteinte à la réputation, car vos clients tolèrent de moins en moins les indisponibilités prolongées.
Le PRA est-il obligatoire ?
Aucun texte n’impose à toutes les entreprises un document intitulé « PRA ». Plusieurs cadres exigent toutefois de pouvoir assurer la continuité ou rétablir les données :
- RGPD, article 32 : tout responsable de traitement doit pouvoir rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident.
- Directive NIS2 : les entités essentielles et importantes doivent gérer la continuité de leurs activités, dont la sauvegarde et la reprise après sinistre.
- Règlement DORA : applicable depuis janvier 2025 au secteur financier, il impose des plans de continuité et de reprise testés, et s’étend aux prestataires informatiques par les contrats.
- Hébergement de données de santé : le référentiel HDS inclut des exigences de continuité pour les hébergeurs certifiés.
Même sans obligation, la norme ISO 22301 fournit un cadre de référence pour structurer la démarche.
Comment mettre en place un PRA et un PCA en 7 étapes ?
La démarche se mène avec les métiers, la DSI et votre hébergeur, qui connaît l’architecture de vos services.
- Analyser l’impact sur l’activité (BIA). Pour chaque processus, évaluez ce que coûte un arrêt d’une heure, d’une journée, d’une semaine.
- Cartographier les risques. Identifiez les scénarios probables : cyberattaque, panne matérielle, coupure réseau, erreur humaine, incendie.
- Classer les applications et fixer RTO et RPO. Toutes les applications n’ont pas la même criticité : regroupez-les par classe et attribuez à chacune ses objectifs.
- Mettre en place la redondance et les sauvegardes. Hébergement sur plusieurs sites, réplication des données selon le RPO visé. La réplication en temps réel recopie aussi les fichiers chiffrés par un rançongiciel : prévoyez en plus des sauvegardes isolées ou immuables.
- Documenter les procédures. Bascule, restauration, ordre de redémarrage des applications : chaque étape est écrite et reste accessible même si le système d’information est arrêté.
- Organiser la gestion de crise. Qui décide de déclencher le PRA, qui prévient les équipes et les clients, par quel canal.
- Tester, surveiller et mettre à jour. Testez la restauration au moins une fois par an, surveillez l’infrastructure en continu et révisez le plan à chaque évolution de l’infrastructure.
Le constat de nos équipes techniques : le test de restauration est l’étape la plus souvent repoussée. Une sauvegarde qui n’a jamais été restaurée n’offre aucune garantie.
Quelles questions poser à votre hébergeur ?
Une partie de votre PRA repose sur votre hébergeur. Avant de signer, ou pour vérifier votre contrat actuel, posez-lui ces questions :
- Les RTO et RPO sont-ils inscrits au contrat ?
- À quelle fréquence le PRA est-il testé, et recevez-vous le compte rendu ?
- Les sauvegardes sont-elles isolées ou immuables, hors de portée d’un rançongiciel ?
- Où sont hébergées les données et leurs sauvegardes ?
- L’hébergeur est-il certifié ISO 27001, et HDS si vous traitez des données de santé ?
Chez SdV, nous répondons à chacune de ces questions dès l’avant-vente. Basés à Strasbourg, nous hébergeons depuis 1985 des entreprises, des médias et des acteurs de santé. Nous sommes certifiés ISO 27001 et HDS sur les 6 périmètres. Nous avons aussi migré notre virtualisation de VMware vers Proxmox, une solution open source, pour préserver notre indépendance numérique.
Notre accompagnement comprend un hébergement haute disponibilité, des sauvegardes immuables, une bascule vers un site secondaire selon l’architecture retenue, et des tests réguliers avec compte rendu. Uni-Médias nous confie ainsi l’hébergement et l’infogérance de ses sites depuis plus de 10 ans.
Questions fréquentes sur le PRA et le PCA
Le PCA maintient les services pendant un incident grâce à la redondance et à la bascule automatique. Le PRA organise le redémarrage après un sinistre, en respectant un délai (RTO) et une perte de données (RPO) définis à l’avance.
Au moins une fois par an pour un test complet, et après chaque évolution importante de l’infrastructure. Des tests de restauration partiels, plus fréquents, vérifient que les sauvegardes sont exploitables.
Le coût dépend du nombre d’applications, des RTO et RPO visés, du besoin d’un site de secours et de la fréquence des tests. Une estimation passe par l’inventaire de vos applications : nous pouvons le faire avec vous.
Oui, s’il prévoit des sauvegardes isolées ou immuables et une procédure de restauration testée. Une simple réplication ne suffit pas, car elle recopie aussi les données chiffrées.
Oui. L’hébergeur garantit sa plateforme, mais vos RTO, RPO, sauvegardes et procédures de reprise doivent être définis et inscrits au contrat.
