Combien de temps faut-il à votre entreprise pour redémarrer après un arrêt informatique ?

Avant la saison cyclonique, la préfecture donne la liste

À La Réunion, la saison cyclonique court de novembre à avril, et la préfecture invite à se préparer avant la pré-alerte. Elle le dit en ces termes : se préparer « sans attendre le déclenchement d’une pré-alerte cyclonique ». Sa liste tient en quelques lignes : préparer le logement, puis l’eau, les conserves, la radio à piles, la lampe, les médicaments, les papiers, l’assurance.

Relisez cette liste : elle fait trois choses différentes. Fixer la toiture limite les dégâts. Les bidons, les conserves, la radio et la lampe servent à tenir pendant, sans eau au robinet, sans électricité, sans réseau. Les papiers et l’assurance servent à repartir après. Personne n’a jamais cru que fixer la toiture dispensait de remplir les bidons.

Le dispositif d’alerte compte cinq niveaux, et le dernier est celui de l’après. Pré-alerte, orange, rouge, violette pour les cyclones majeurs, puis la phase de sauvegarde, que Météo-France définit ainsi : « la menace cyclonique s’éloigne mais le météore a causé des dégâts » ; les dangers subsistent, « mais l’activité économique peut reprendre ». Le retour à l’activité a un nom, une définition et des consignes.

Et il se mesure. Après Garance, le 28 février 2025, 180 000 clients d’EDF, près de 40 %, étaient sans électricité. Deux jours plus tard, la moitié des clients privés d’alimentation étaient rétablis. Le 7 mars, EDF annonçait 95 % des clients touchés par le cyclone réalimentés, et 20 000 encore sans électricité. Le 25 mars, EDF annonçait les derniers pour le lendemain. Pendant ces semaines, une seule question comptait : quand est-ce que ça revient ?

La cybersécurité fait les deux mêmes choses

Empêcher, d’abord. Antivirus, pare-feu, mises à jour, mots de passe, deuxième vérification à la connexion : c’est la toiture. Cette partie-là, les entreprises la connaissent et l’achètent.

Et préparer l’entreprise à survivre à ce qui arrive quand même. Parce que l’arrêt n’a pas besoin d’un attaquant : une panne, une erreur, un prestataire qui ferme, un dégât des eaux, ou le cyclone lui-même, qui coupe le courant et la fibre avant de toucher au moindre serveur. Cette seconde partie tient en deux plans, dans cet ordre.

Le plan de continuité d’activité, le PCA, répond à une première question : comment l’entreprise fonctionne en mode dégradé, sans son informatique ou avec une partie seulement, en matériel comme en logiciel. Les deux cas ne se ressemblent pas : des postes intacts devant un logiciel de gestion qui ne répond plus ; ou des locaux inaccessibles et un outil en ligne qui marche depuis un portable. Quelles activités continuent, sur quoi (le papier, le téléphone, un ordinateur portable hors du réseau), qui s’en charge, pendant combien de jours, et où l’on note ce qui se fait. Ce sont les bidons et la radio.

Le plan de reprise d’activité, le PRA, c’est le retour à la normale : comment on remet l’outil informatique en service, une fois la remédiation faite par les équipes cyber et informatique. Remédier, c’est comprendre par où c’est entré, refermer, nettoyer, reconstruire, restaurer, vérifier. Puis rallumer les systèmes dans l’ordre de leurs dépendances, parce qu’ils s’appuient les uns sur les autres : les comptes et la messagerie avant le logiciel de gestion, qui en a besoin pour envoyer ses factures ; le logiciel de gestion avant la caisse ou le site qui s’y raccordent. Et la reprise ne s’arrête pas là : elle comprend le rattrapage de tout ce qui s’est fait en dehors de l’outil pendant la remédiation. Sans ce rattrapage, le système remis en marche décrit une entreprise arrêtée à la veille de la panne. C’est la phase de sauvegarde : « l’activité économique peut reprendre ».

L’ordre compte. Le plan de continuité sert dès la première heure ; le plan de reprise se déroule sur des jours. Or une entreprise sur quatre seulement déclare une procédure de réaction en cas d’attaque, et les deux plans, eux, ne sont même pas mesurés. C’est le jour de l’incident qu’on en découvre le prix.

La question à trois jours

La question à poser en premier est celle du plan de continuité : que savez-vous faire au troisième jour d’arrêt de votre informatique ?

Le premier jour, tout le monde tient : on travaille sur papier, on rappelle les clients depuis les portables, on repousse le reste. Le deuxième jour, les choses se tendent : plus d’historique, plus de moyen de savoir ce qui a été livré, ce qui a été payé. Le troisième jour, ce sont la paie, les échéances fiscales et sociales, les fournisseurs et les clients qui n’obtiennent pas de réponse.

Le coût de ces journées-là n’apparaît sur aucune facture : du chiffre d’affaires non réalisé, des heures de saisie à refaire deux fois, des salariés payés à attendre, des clients qui appellent ailleurs. Il se calcule pourtant sans expert. Divisez votre chiffre d’affaires annuel par votre nombre de jours ouvrés : vous tenez le coût d’une journée d’arrêt. Multipliez-le par la durée de votre reprise : vous tenez l’ordre de grandeur à opposer au devis de sauvegarde que vous trouvez cher.

Ce que les TPE-PME ont installé, et ce qu’elles n’ont pas écrit

Les TPE-PME sont équipées ; elles sont peu préparées. Le deuxième baromètre de la maturité cyber des TPE-PME (sondage OpinionWay pour Cybermalveillance.gouv.fr, 588 entreprises dont 38 de plus de 250 salariés, DROM compris, enquête du 2 juin au 7 juillet 2025, publiée le 6 octobre 2025) donne des ordres de grandeur. 88 % des entreprises interrogées déclarent au moins un dispositif de sécurité ; le tableau détaille ce que ces entreprises équipées ont installé.

Cinq lignes de ce tableau relèvent de la première tâche : empêcher. La ligne restante, les sauvegardes, est la matière première de la reprise : près de huit entreprises équipées sur dix en ont, soit environ sept sur dix de l’ensemble. Mais avoir la matière n’est pas avoir le plan : près des deux tiers déclarent n’avoir aucune procédure de réaction en cas d’attaque (24 % seulement en disposent), 80 % ne se disent pas suffisamment préparées ou ne savent pas se prononcer, et 58 % ne sauraient pas évaluer les conséquences d’une cyberattaque. La seconde tâche, tenir puis repartir, n’est mesurée par ce baromètre qu’à travers cette procédure de réaction, et une entreprise sur quatre seulement en déclare une.

Une sauvegarde n’est pas une reprise

Avoir les données et avoir remis le service en marche sont deux états très différents — c’est la confusion la plus répandue, et la plus coûteuse.

Une sauvegarde vous rend des fichiers. Une reprise, c’est reconstruire le serveur qui les faisait tourner, retrouver les licences, refaire les paramétrages, redescendre le volume que vous stockez sur la ligne dont vous disposez — deux chiffres que personne n’a rapprochés avant le jour venu — et redémarrer les applications dans l’ordre. Avec le piège classique : les mots de passe de la reprise étaient rangés dans le système en panne.

Et après une attaque, on ne restaure pas tout de suite. Restaurer une sauvegarde sur un système dont on n’a ni compris ni refermé la porte d’entrée, c’est restaurer l’intrusion avec. D’où l’ordre du plan de reprise : la remédiation d’abord, par votre prestataire informatique et, s’il le faut, des spécialistes de la réponse à incident ; la remise en service ensuite. Ce temps-là s’ajoute au vôtre, et il ne se décide pas dans votre bureau.

Et remettre le service en marche n’est pas encore avoir repris. Pendant l’arrêt, l’entreprise a continué : commandes prises au téléphone, livraisons notées sur un carnet, paiements reçus. Rien de tout cela n’est dans le système restauré, qui s’arrête lui-même à la dernière sauvegarde. C’est le dernier volet du plan de reprise, celui que presque aucun plan ne prévoit : le rattrapage. Il se prépare des deux côtés de l’incident. Avant, une règle qui relève du plan de continuité : pendant un arrêt, sur quoi note-t-on ce qui se fait, et qui le note. Après, une ressaisie ordonnée : dans quel ordre, qui vérifie qu’on n’a rien compté deux fois, et sur quoi on contrôle que le résultat colle à la réalité, un relevé bancaire, un état de stock.

La bonne unité de mesure n’est donc pas « avons-nous une sauvegarde ? », mais le délai de remise en service : au bout de combien d’heures l’activité recommence vraiment. Les spécialistes l’appellent le RTO, pour recovery time objective ; le sigle importe peu, la valeur chiffrée change tout. Ses deux questions jumelles : combien d’heures de saisie acceptez-vous de perdre avant la panne, et combien d’heures de rattrapage après ?

Ce qui s’est passé à la DGFiP en août 2026

Un communiqué publié le 14 août 2026 sur le service de presse du ministère de l’Économie décrit des accès illégitimes au système d’information de la Direction générale des finances publiques. Revendiqués les 12 et 13 août, ces accès sont intervenus en juin, juillet et août 2026 — période que la DGFiP a élargie depuis, sur sa page d’information, après ses premières investigations. Des données de 678 000 particuliers et professionnels ont été consultées et extraites : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN des entreprises. Les espaces Finances publiques, les identifiants et les mots de passe des particuliers et des professionnels n’ont pas été compromis.

Le point à retenir n’est pas l’ampleur, c’est la porte d’entrée : selon le communiqué, les accès reposaient sur l’usurpation des identifiants d’un agent et d’un tiers habilité. Des identifiants légitimes, utilisés par quelqu’un d’autre.

Le communiqué ne décrit pas le dispositif d’authentification de la DGFiP, et rien ici ne permet de le supposer. Ce qui se transpose chez vous, c’est le mécanisme : un identifiant qui fonctionne, utilisé par quelqu’un d’autre. Un mot de passe seul ne fait pas la différence entre les deux ; une deuxième vérification à la connexion, si. Et le premier compte à protéger de cette façon est la messagerie, parce que c’est là qu’arrivent les liens de réinitialisation des autres services. D’où la ligne la plus basse du tableau : 26 % des TPE-PME équipées ont une double authentification pour les accès depuis l’extérieur, soit moins d’une sur quatre rapportée à l’ensemble — c’est cette deuxième vérification, du type code reçu par SMS pour valider un paiement en ligne. Plus des trois quarts ne la citent pas. C’est la toiture.

L’après compte aussi : chronologie publiée, CNIL saisie, plainte déposée, équipes de la DGFiP mobilisées en lien avec l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, l’organisme de l’État chargé de la cybersécurité. Quelqu’un savait quoi faire. Une entreprise sur quatre seulement déclare une procédure de réaction en cas d’attaque.

Le temps de reprise à l’Éducation nationale

Réagir vite ne suffit pas à repartir vite. Le 31 juillet 2026, le ministère de l’Éducation nationale décrit une intrusion dans son système de formation des personnels, la nuit du 25 juillet. Son centre de sécurité est alerté dès le 26 juillet. L’accès externe à ce système est suspendu dans les heures qui suivent. L’ANSSI et la CNIL sont saisies.

Le 31 août, veille de la rentrée scolaire, ce ministère fait le point sur les cyberattaques des dernières semaines, au pluriel. Dans vingt-huit académies sur trente, les applications et les services ont rouvert. À Toulouse, les accès aux messageries et aux applications professionnelles restent coupés jusqu’à nouvel ordre. La préparation des emplois du temps n’est pas affectée. Ils seront communiqués sur papier à la rentrée. À Nantes, l’accès aux messageries n’est alors que partiel et celui des familles aux espaces numériques est suspendu. L’académie a annoncé la réouverture aux familles de l’espace numérique de travail et des logiciels de vie scolaire dès la rentrée du 1ᵉʳ septembre ; la messagerie des enseignants, elle, restait coupée.

Lisez ce point de situation avec les deux plans en tête. La réinitialisation de l’ensemble des accès aux services et aux applications, c’est la remédiation : on referme avant de rouvrir. Les emplois du temps remis sur papier à Toulouse pendant que les accès restent coupés, c’est le plan de continuité tel qu’il se vit. La réouverture de vingt-huit académies sur trente, c’est le plan de reprise en cours d’exécution. Trente-sept jours séparent l’intrusion du point de situation. Ce n’est pas un délai de reprise officiel, seulement l’écart entre deux dates. Un ministère a des moyens qu’une PME n’a pas.

L’exercice d’une heure, une fois par an

Bloquez soixante minutes avec la personne qui connaît le mieux vos outils, et répondez par écrit. Les questions suivent l’ordre du cyclone : la toiture, les bidons, l’après.

Pour empêcher.

1. Quels comptes protègent l’essentiel — messagerie, banque, gestion, hébergement — et lesquels demandent une deuxième vérification à la connexion ?

Pour tenir : le plan de continuité.

2. Si tout s’arrête ce matin, quelles activités continuent malgré tout, sur quoi, et pendant combien de jours ?
3. Qui décide de tout arrêter, et qui décide si cette personne est injoignable ?
4. Quels sont les cinq numéros à appeler, et où sont-ils écrits en dehors de l’informatique ?
5. Que dit-on aux clients, et qui le dit ?
6. Pendant l’arrêt, sur quoi note-t-on ce qui continue, et qui le garde ?
7. Que se passe-t-il si le prestataire informatique est lui-même touché ?

Pour repartir : le plan de reprise.

8. Où sont les sauvegardes, quand a-t-on restauré un fichier pour vérifier, et une copie est-elle hors du réseau ?
9. Quel délai de remise en service vise-t-on, dans quel ordre rallume-t-on les systèmes, combien d’heures de saisie accepte-t-on de perdre, d’où viennent ces chiffres ?
10. Une fois les outils revenus, qui ressaisit ce qui a été noté pendant l’arrêt, dans quel ordre, et sur quoi vérifie-t-on que rien n’a été compté deux fois ?

Une page suffit : lisible sans ordinateur, imprimée, connue de deux personnes au moins. Datez-la et reprenez-la l’an prochain, avant la saison.

Ces délais sont fixés par la directive NIS 2, qui prévoit une alerte précoce dans les 24 heures et une notification d’incident dans les 72 heures suivant le moment où l’on a eu connaissance de l’incident — et non l’attaque elle-même —, puis un rapport final dans le mois qui suit cette notification. Son délai de transposition, fixé au 17 octobre 2024, est échu et la transposition française est toujours en cours : la France a été renvoyée devant la Cour de justice de l’Union européenne le 8 juillet 2026. En France, ils attendent donc encore les textes de transposition. Une autre échéance, elle, s’applique déjà. Quand l’incident touche des données personnelles — un fichier clients, la paie, des dossiers de salariés — et qu’il fait courir un risque aux personnes concernées, l’article 33 du RGPD oblige l’entreprise, responsable de ces fichiers, à prévenir la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Même compte à rebours, autre texte, applicable aujourd’hui : les deux administrations citées plus haut indiquent avoir saisi la CNIL.

Qui sera concerné se lit en deux temps. Le seuil d’abord. L’ANSSI retient l’entité importante, quand elle n’est pas déjà entité essentielle, à partir de 50 personnes, ou d’un chiffre d’affaires et d’un bilan de plus de 10 millions d’euros ; l’entité essentielle à partir de 250 personnes, ou d’un chiffre d’affaires de plus de 50 millions et d’un bilan de plus de 43 millions. L’activité ensuite : la directive vise certaines entités quelle que soit leur taille, par exemple des fournisseurs de communications électroniques accessibles au public, des prestataires de services de confiance, des services de noms de domaine, certaines administrations publiques. Une entreprise de dix personnes peut être assujettie quand sa voisine de cent personnes ne l’est pas. Mais une entreprise assujettie qui ne sait pas décrire un incident important en trois jours ne le saura pas davantage le jour où la loi le lui demandera.

Une question pour finir : si vous deviez ce soir écrire sur une feuille qui appelle qui demain matin, sauriez-vous la remplir sans ouvrir un ordinateur ?