Sauvegarde et continuité : exigences pour une PME suisse

Pourquoi la sauvegarde et la continuité deviennent vitales pour une PME suisse

La numérisation ouvre de réelles possibilités d'optimisation des processus commerciaux. Elle apporte aussi des risques importants : cyberattaques, pertes de données et pannes de système. Chaque semaine, plus de 1'000 cyberincidents sont signalés à l'Office fédéral de la cybersécurité (OFCS).

Toutes les entreprises sont menacées. Les grandes constituent des cibles lucratives ; les petites et moyennes, des cibles relativement plus faciles. Selon l'OFCS, une PME sur trois a déjà été victime d'une cyberattaque.

Sans stratégie de sauvegarde, une perte de données entraîne des pertes financières, une baisse de productivité et une atteinte à la réputation. S'y ajoutent la perte de chiffre d'affaires, de clients ou d'opportunités, la perte ou la compromission de données.

Le temps interne mobilisé compte aussi : direction, informatique, administratif, commercial, juridique, RH et support client.

Deux familles d'exigences s'imposent à une PME suisse, et chacune se nomme. Les exigences légales découlent de la nLPD et de son ordonnance d'application (OPDo). Les exigences techniques portent sur la sauvegarde, le RPO, le RTO et le plan de continuité : fréquence, supports, copies hors site, délais de reprise.

Sauvegarde, reprise, continuité : trois briques complémentaires

La copie de sécurité (sauvegarde) duplique les données pour les restaurer après une suppression accidentelle, une corruption ou un chiffrement malveillant. Elle répond à une question précise : comment récupérer les données perdues ? Jusqu'à quelle ancienneté remonte la dernière sauvegarde exploitable ?

La reprise est l'opération de restauration proprement dite : remettre les copies en service, dans le bon ordre, sur un matériel sain, et vérifier que les applications retrouvent un état cohérent. Elle se pilote avec deux paramètres : la quantité de données qu'on accepte de perdre et la durée d'indisponibilité tolérée pour chaque système.

Ces deux paramètres portent des noms. La perte de données acceptée est le RPO (Recovery Point Objective) ; la durée d'indisponibilité tolérée est le RTO (Recovery Time Objective). Toute exigence de continuité se traduit par un RPO et un RTO fixés système par système.

La continuité d'activité ne consiste pas à sauvegarder, mais à maintenir ou rétablir les opérations critiques pendant et après l'incident : messagerie, logiciel métier, prise de commandes, accès du support client. Une sauvegarde sans procédure de reprise testée ne rétablit pas l'activité ; un plan de continuité sans sauvegarde à jour ne permet pas de reconstituer les données. Les trois briques se complètent et se planifient ensemble.

Les menaces qui rendent le sujet urgent

Les schémas d'attaque les plus courants sont le vol de données, les attaques par déni de service et les attaques par rançongiciel. Ces dernières peuvent paralyser l'entreprise et entraîner des dommages à long terme. En cas de rançongiciel, les données sont effacées ou cryptées et ne peuvent être récupérées qu'avec la clé correspondante.

Concrètement, l'incident se traduit par une messagerie inaccessible, des fichiers chiffrés, un logiciel métier bloqué, une production ralentie ou arrêtée, des commandes retardées, un support client indisponible et des équipes mobilisées en urgence.

Le coût ne se limite pas à la réparation informatique. Il comprend la perte de chiffre d'affaires, l'atteinte à la réputation, la perte de clients ou d'opportunités et le temps interne consommé.

Selon la cyberétude 2024 réalisée par gfs-zürich pour le compte du Centre national de cybersécurité (NCSC), 4 % des PME suisses interrogées ont été victimes d'une cyberattaque grave au cours des trois dernières années. En extrapolant, cela représente environ 24 000 entreprises. Selon le Cyberthreats Report H1 2025 d'Acronis, la Suisse figure au 4e rang des pays les plus ciblés par les ransomwares. Les PME sont visées précisément parce qu'elles sont souvent moins protégées.

Le même rapport d'Acronis relève une progression de 70 % des cas par rapport à 2024 et 2023. À ces menaces s'ajoutent les amendes prévues par le RGPD et la LPD.

Ce que la nLPD change pour vos sauvegardes

La nouvelle loi fédérale sur la protection des données (nLPD) et son ordonnance d'application (OPDo) sont en vigueur depuis le 1er septembre 2023. Elles s'appliquent dès qu'un traitement de données personnelles est effectué par des personnes privées, physiques ou morales, et concernent donc toutes les entreprises de Suisse, quelle que soit leur taille.

La loi définit le traitement comme toute opération relative à des données personnelles : collecte, enregistrement, conservation, utilisation, modification, communication, archivage, effacement ou destruction. La conservation et l'archivage figurent donc parmi les opérations visées.

Les principes de base restent la licéité, la bonne foi, la finalité, la transparence, la proportionnalité, l'exactitude et la sécurité des données, et ils s'appliquent à tous les traitements.

Le périmètre inclut les données personnelles sensibles : santé, sphère intime, origine raciale ou ethnique, opinions religieuses, philosophiques, politiques ou syndicales, données génétiques et données biométriques identifiant une personne de manière équivoque. Il inclut aussi les données sur des poursuites ou sanctions pénales et administratives ou sur des mesures d'aide sociale. Une sauvegarde qui contient des données RH, clients ou de santé est donc directement concernée par l'exigence de sécurité.

La loi distingue le responsable de traitement, qui détermine seul ou conjointement les finalités et les moyens du traitement, et le sous-traitant, qui traite des données pour le compte du responsable. Le fournisseur de service de nuage à qui l'entreprise externalise des fonctions informatiques agit typiquement comme sous-traitant. Le responsable de traitement doit s'assurer que son sous-traitant est en mesure de garantir la sécurité des données : le choix du prestataire, la définition des accès et le niveau de protection restent de sa responsabilité.

La mise en conformité commence par une action nommée : l'identification des rôles. Chaque entreprise détermine, pour les données de ses clients, de ses collaborateurs et de ses fournisseurs, si elle agit comme responsable de traitement ou comme sous-traitant.

La loi impose aussi des obligations d'information : l'identité et les coordonnées du responsable du traitement, la finalité du traitement et les destinataires des données doivent être communiqués. La transparence figure parmi les principes de base applicables à tous les traitements.

Construire un concept de sauvegarde réellement efficace

Un concept de sauvegarde s'inscrit dans une stratégie de sécurité et de gestion des risques plus large. Il couvre quatre volets : les bases du concept, le choix des méthodes, le calendrier de sauvegarde et la préparation aux cas d'urgence. Le choix d'une méthode se fait sur trois critères : la sécurité qu'elle offre, l'espace de stockage qu'elle exige et le temps qu'elle prend, pour sauvegarder comme pour restaurer.

En pratique, on classe d'abord les données selon leur criticité : comptabilité, données clients, données RH, fichiers de production, configurations du logiciel métier. Pour chaque catégorie, on fixe la fréquence de sauvegarde, le support utilisé et la durée de conservation. Les données qui changent plusieurs fois par jour et dont la perte bloque l'activité n'appellent pas le même traitement qu'un archivage ancien.

Le calendrier doit être compatible avec le rythme de l'entreprise et prévoir les cas d'urgence. Que se passe-t-il si l'incident survient un vendredi soir ou pendant les vacances ? Qui déclenche la restauration, sur quel matériel, dans quel ordre ?

Un point souvent négligé est le test : une sauvegarde dont la restauration n'a jamais été essayée ne prouve rien. Conserver plusieurs copies sur des supports distincts fait partie des bases. Une copie hors ligne ou hors site permet de résister à un rançongiciel qui chiffrerait aussi les sauvegardes connectées.

Chaque catégorie de données appelle donc une réponse écrite à trois questions : à quelle fréquence sauvegarder, sur quel support, et pendant combien de temps conserver les copies. Ces réponses forment le socle du concept ; sans elles, la restauration se décide dans l'urgence.

Avantages et inconvénients d’une sauvegarde non testée

Plan d'urgence et continuité d'activité : la marche à suivre

Le point de départ est un constat : 40 % des PME suisses interrogées dans la cyberétude 2024 de gfs-zürich pour le NCSC ne disposent pas d'un plan d'urgence ou d'une stratégie de continuité des activités en cas d'urgence. Or, sans ce plan, une entreprise qui sait restaurer ses données ne sait toujours pas qui fait quoi, ni dans quel ordre remettre les systèmes en service.

La méthode tient en quatre étapes. Premièrement, identifier les activités critiques et leurs dépendances : logiciel métier, messagerie, accès Internet, fournisseurs cloud. Il faut aussi repérer les un ou deux collaborateurs qui détiennent une connaissance non documentée.

Deuxièmement, définir les rôles et les suppléants, avec des coordonnées accessibles sans passer par la messagerie de l'entreprise.

Troisièmement, décrire les procédures de reprise : quoi restaurer d'abord, qui décide de basculer sur un mode dégradé, comment informer les clients et les autorités.

Quatrièmement, tester et réviser le plan à intervalles réguliers, car le parc informatique et les fournisseurs changent.

Le plan de continuité se distingue de la sauvegarde par son objet : il organise la survie des opérations pendant la crise, y compris lorsque l'informatique est indisponible, alors que la sauvegarde fournit la matière première de la reconstruction. Les deux documents doivent se répondre : chaque système listé comme critique dans le plan doit avoir une sauvegarde dont la restauration est prévue et chronométrée.

Les quatre étapes se pilotent avec les deux paramètres déjà nommés : un RTO et un RPO par système critique. Le plan dit qui agit et dans quel ordre ; la sauvegarde fournit les données.

Mesures prioritaires et check-list pour une PME

Les actions simples et prioritaires se résument à une liste courte : former les équipes, durcir les mots de passe, mettre à jour tout le parc, installer un antivirus sérieux, activer la double authentification (2FA), assurer des sauvegardes fiables et contrôler strictement les accès. Chacune vise un vecteur d'attaque différent : l'humain, les identifiants, les failles logicielles, le poste de travail, l'accès distant, la perte de données, les droits internes.

Les sauvegardes fiables et le contrôle des accès méritent une attention particulière, car ce sont les deux mesures qui déterminent la capacité de reprise. Une sauvegarde non testée, stockée sur un support accessible depuis le réseau de l'entreprise, ne protège pas contre un rançongiciel ; des droits d'accès trop larges permettent à un incident de se propager à l'ensemble des données.

La cyberassurance vient en complément, pour le cas où quelque chose arriverait malgré toutes les mesures de sécurité et de prudence. Elle ne remplace ni les sauvegardes ni le plan d'urgence.

Hébergement, cloud et souveraineté : où placer ses sauvegardes ?

Les fournisseurs mondiaux comme Microsoft Azure, AWS ou Google Cloud dominent le marché et dictent souvent les conditions ; les PME suisses perdent ainsi de plus en plus le contrôle de leur infrastructure de données. À cela s'ajoutent des zones d'ombre juridiques : la Cour de justice de l'Union européenne a annulé le « Privacy Shield » en 2020, et ses successeurs comme l'« EU-US Data Privacy Framework » sont également critiqués.

Les tensions géopolitiques montrent une fragilité supplémentaire des modèles globaux de cloud public, tant sur le plan juridique qu'opérationnel. L'UE envisage par exemple des taxes sur les services numériques de groupes américains tels qu'Amazon, Google ou la plateforme X, en réaction aux droits de douane américains. Ces développements peuvent avoir une influence directe sur les infrastructures numériques et méritent d'être intégrés à la stratégie cloud, qui doit aussi traiter la sécurité informatique, la conformité et la dépendance vis-à-vis des grands fournisseurs.

Avant de choisir, il faut poser des questions précises : où sont stockées les données, qui peut y accéder et sous quel droit ? Comment récupérer ses données et sous quel format en cas de changement de prestataire (réversibilité) ? Quelles garanties contractuelles de sécurité et de disponibilité sont offertes ? Ne pas dépendre d'une solution unique et examiner un cloud privé ou un prestataire maîtrisé permet aux PME suisses de renforcer la souveraineté de leurs données, la sécurité et la conformité.

Un prestataire suisse de cloud privé peut répondre à ces questions. MTF Solutions positionne son offre pour les PME suisses sur la souveraineté des données, la sécurité et la conformité.

Comparaison des modèles de cloud pour les PME suisses

Par où commencer dès demain

L'ordre de priorité le plus efficace est le suivant. Évaluer les risques et la criticité des données. Sécuriser la sauvegarde, y compris la restauration testée et une copie hors ligne ou hors site.

Formaliser un plan d'urgence avec les rôles et les procédures de reprise. Puis former les collaborateurs aux gestes de base : mots de passe, hameçonnage, signalement d'un incident.

La révision doit être planifiée, et non laissée à l'occasion. À chaque changement significatif de parc, de logiciel métier ou de fournisseur cloud, la liste des données critiques, le calendrier de sauvegarde et le plan d'urgence doivent être recontrôlés. Pour approfondir, l'OFCS est le point de contact fédéral vers lequel les cyberincidents sont signalés.

Trois exigences reviennent d'un bout à l'autre : une sauvegarde testée, avec une copie hors ligne ou hors site ; un plan d'urgence et de continuité écrit, avec rôles et suppléants ; une mise en conformité nLPD/OPDo, de l'identification des rôles aux obligations d'information. Les deux premières sont techniques (sauvegarde, RPO/RTO, plan de continuité), la troisième est légale, et aucune ne dispense des autres.