Combien de temps faut-il à votre entreprise pour redémarrer après un arrêt informatique ?

Avant la saison cyclonique, tout le monde sait quoi faire

À La Réunion, la saison cyclonique court de novembre à avril, et personne n’attend la pré-alerte pour se préparer. La préfecture le demande en ces termes : se préparer « sans attendre le déclenchement d’une pré-alerte cyclonique ». Sa liste est connue de tous : protéger le logement, puis l’eau, les conserves, la radio à piles, la lampe, les médicaments, les papiers, l’assurance.

Relisez cette liste : elle fait trois choses différentes. Fixer la toiture limite les dégâts. Les bidons, les conserves, la radio et la lampe servent à tenir pendant, sans eau au robinet, sans électricité, sans réseau. Les papiers et l’assurance servent à repartir après. Personne n’a jamais cru que fixer la toiture dispensait de remplir les bidons.

Le dispositif d’alerte compte cinq niveaux, et le dernier est celui de l’après. Pré-alerte, orange, rouge, violette pour les cyclones majeurs, puis la phase de sauvegarde, que Météo-France définit ainsi : « la menace cyclonique s’éloigne mais le météore a causé des dégâts » ; les dangers subsistent, « mais l’activité économique peut reprendre ». Le retour à la normale a un nom, une définition et des consignes.

Et il se mesure. Après Garance, le 28 février 2025, 180 000 clients d’EDF, près de 40 %, étaient sans électricité. La moitié ont été réalimentés en deux jours, 95 % en une semaine ; il restait alors 20 000 clients, et le 25 mars EDF annonçait les derniers pour le lendemain. Personne n’a demandé à EDF si le réseau était « sauvegardé ». Tout le monde a posé la seule question qui compte : quand est-ce que ça revient ?

La cybersécurité fait les deux mêmes choses

Empêcher, d’abord. Antivirus, pare-feu, mises à jour, mots de passe, deuxième vérification à la connexion : c’est la toiture. Cette partie-là, les entreprises la connaissent et l’achètent.

Et préparer l’entreprise à survivre à ce qui arrive quand même. Parce que l’arrêt n’a pas besoin d’un attaquant : une panne, une erreur, un prestataire qui ferme, un dégât des eaux, ou le cyclone lui-même, qui coupe le courant et la fibre avant de toucher au moindre serveur. Cette seconde partie tient en deux plans, dans cet ordre.

Le plan de continuité d’activité, le PCA, répond à une première question : comment l’entreprise fonctionne en mode dégradé, sans son informatique ou avec une partie seulement, en matériel comme en logiciel. Les deux cas ne se ressemblent pas : des postes intacts devant un logiciel de gestion qui ne répond plus ; ou des locaux inaccessibles et un outil en ligne qui marche depuis un portable. Quelles activités continuent, sur quoi (le papier, le téléphone, un ordinateur portable hors du réseau), qui s’en charge, pendant combien de jours, et où l’on note ce qui se fait. Ce sont les bidons et la radio.

Le plan de reprise d’activité, le PRA, c’est le retour à la normale : comment on remet l’outil informatique en service, une fois la remédiation faite par les équipes cyber et informatique. Remédier, c’est comprendre par où c’est entré, refermer, nettoyer, reconstruire, restaurer, vérifier. Puis rallumer les systèmes dans l’ordre de leurs dépendances, parce qu’ils s’appuient les uns sur les autres : les comptes et la messagerie avant le logiciel de gestion, qui en a besoin pour envoyer ses factures ; le logiciel de gestion avant la caisse ou le site qui s’y raccordent. Et la reprise ne s’arrête pas là : elle comprend le rattrapage de tout ce qui s’est fait en dehors de l’outil pendant la remédiation. Sans ce rattrapage, le système remis en marche décrit une entreprise arrêtée à la veille de la panne. C’est la phase de sauvegarde : « l’activité économique peut reprendre ».

L’ordre compte. Le plan de continuité sert dès la première heure ; le plan de reprise se déroule sur des jours. Or, dans la plupart des entreprises, aucun des deux n’existe : l’« après » n’a pas de nom, et personne n’a de chiffre sur le temps qu’il faut pour repartir. C’est le jour de l’incident qu’on en découvre le prix.

La question à trois jours

La question à poser en premier est celle du plan de continuité : que savez-vous faire au troisième jour d’arrêt de votre informatique ?

Le premier jour, tout le monde tient : on travaille sur papier, on rappelle les clients depuis les portables, on repousse le reste. Le deuxième jour, les choses se tendent : plus d’historique, plus de moyen de savoir ce qui a été livré, ce qui a été payé. Le troisième jour, ce sont la paie, les échéances fiscales et sociales, les fournisseurs et les clients qui n’obtiennent pas de réponse.

Le coût de ces journées-là n’apparaît sur aucune facture : du chiffre d’affaires non réalisé, des heures de saisie à refaire deux fois, des salariés payés à attendre, des clients qui appellent ailleurs. Il se calcule pourtant sans expert. Divisez votre chiffre d’affaires annuel par votre nombre de jours ouvrés : vous tenez le coût d’une journée d’arrêt. Multipliez-le par la durée de votre reprise : vous tenez l’ordre de grandeur à opposer au devis de sauvegarde que vous trouvez cher.

Ce que les TPE-PME ont installé, et ce qu’elles n’ont pas écrit

Les TPE-PME sont équipées ; elles ne sont pas préparées. Le deuxième baromètre de la maturité cyber des TPE-PME — OpinionWay pour Cybermalveillance.gouv.fr, 588 entreprises de moins de 250 salariés, DROM compris, enquête du 2 juin au 7 juillet 2025, publiée le 6 octobre 2025 — donne des ordres de grandeur.

Cinq lignes de ce tableau relèvent de la première tâche : empêcher. La sixième, les sauvegardes, est la matière première de la reprise, et près de huit entreprises sur dix en ont. Mais avoir la matière n’est pas avoir le plan : trois sur quatre n’ont aucune procédure de réaction — 24 % seulement déclarent en disposer —, 80 % se reconnaissent non préparées ou ne savent pas se prononcer, et 58 % ne sauraient pas évaluer les conséquences d’une cyberattaque. La seconde tâche, tenir puis repartir, n’est presque jamais écrite.

Une sauvegarde n’est pas une reprise

Avoir les données et avoir remis le service en marche sont deux états très différents — c’est la confusion la plus répandue, et la plus coûteuse.

Une sauvegarde vous rend des fichiers. Une reprise, c’est reconstruire le serveur qui les faisait tourner, retrouver les licences, refaire les paramétrages, redescendre le volume que vous stockez sur la ligne dont vous disposez — deux chiffres que personne n’a rapprochés avant le jour venu — et redémarrer les applications dans l’ordre. Avec le piège classique : les mots de passe de la reprise étaient rangés dans le système en panne.

Et après une attaque, on ne restaure pas tout de suite. Restaurer une sauvegarde sur un système dont on n’a ni compris ni refermé la porte d’entrée, c’est restaurer l’intrusion avec. D’où l’ordre du plan de reprise : la remédiation d’abord, par votre prestataire informatique et, s’il le faut, des spécialistes de la réponse à incident ; la remise en service ensuite. Ce temps-là s’ajoute au vôtre, et il ne se décide pas dans votre bureau.

Et remettre le service en marche n’est pas encore avoir repris. Pendant l’arrêt, l’entreprise a continué : commandes prises au téléphone, livraisons notées sur un carnet, paiements reçus. Rien de tout cela n’est dans le système restauré, qui s’arrête lui-même à la dernière sauvegarde. C’est le dernier volet du plan de reprise, celui que presque aucun plan ne prévoit : le rattrapage. Il se prépare des deux côtés de l’incident. Avant, une règle qui relève du plan de continuité : pendant un arrêt, sur quoi note-t-on ce qui se fait, et qui le note. Après, une ressaisie ordonnée : dans quel ordre, qui vérifie qu’on n’a rien compté deux fois, et sur quoi on contrôle que le résultat colle à la réalité, un relevé bancaire, un état de stock.

La bonne unité de mesure n’est donc pas « avons-nous une sauvegarde ? », mais le délai de remise en service : au bout de combien d’heures l’activité recommence vraiment. Les spécialistes l’appellent le RTO, pour recovery time objective ; le sigle importe peu, la valeur chiffrée change tout. Ses deux questions jumelles : combien d’heures de saisie acceptez-vous de perdre avant la panne, et combien d’heures de rattrapage après ?

Ces questions, nous nous les posons aussi. Notre réponse est incomplète.

Notre procédure de sauvegarde et de restauration est écrite et datée. Pour chaque outil, elle vise une remise en service d’une à quatre heures. Pour un sinistre majeur, elle cite l’incendie, le dégât des eaux et le cyclone, et vise un fonctionnement dégradé sous un à trois jours, puis une reprise complète sous une à deux semaines. Ce sont des objectifs, pas des durées mesurées. Et ce que nous faisons pendant ces trois jours sans nos outils tient en deux lignes : une cellule de crise, un message aux clients. Notre plan de continuité, celui qui dit sur quoi on travaille en attendant, n’est pas écrit. Quant au plan de reprise, son dernier point s’appelle « reprise activité », sans une ligne sur le rattrapage. Ce sont les deux prochains paragraphes à écrire.

Le 2 juillet 2026, nous avons reconstruit deux systèmes à partir de leur sauvegarde. D’abord notre environnement de production : les serveurs qui hébergent nos outils. Ensuite notre outil d’assistance à distance, réinstallé sur une autre machine grâce à sa sauvegarde automatique de la nuit. Chaque fois, nous avons récupéré les dernières données de l’ancien système avant de passer au nouveau. Ce n’était pas un exercice : les deux ont été remis en service. Nous les utilisons encore.

Nous avons voulu vérifier, chez nous, qu’une de nos sauvegardes se restaurait ailleurs que sur la machine qui s’en occupe d’habitude. Rien ne signalait un problème ce matin-là : la sauvegarde de la nuit était passée, et le compte rendu disait « réussi ». Mais nous la contrôlions comme un travail fait, jamais comme une restauration réussie. La machine que nous avions choisie ne savait pas restaurer, faute des outils nécessaires. Nous avions déjà restauré des sauvegardes, et avec succès. Cette sauvegarde-là, nous ne l’avions jamais restaurée sur une autre machine. La procédure écrite de cette restauration, elle, renvoyait à des serveurs qui n’existent plus. Nous avons corrigé le jour même, refait l’essai, et les données sont ressorties intactes. Nos contrôles quotidiens ne pouvaient rien montrer de tout cela. Ces défauts se paient en temps le jour d’une panne, et ils ne se découvrent qu’en essayant.

Cet essai date du 28 août 2026. Il a montré que la sauvegarde de notre coffre de mots de passe se restaure. Nous n’avons pas encore reconstruit ce coffre en entier pour le remettre en service. Le délai visé pour cet outil reste une hypothèse.

Ce qui s’est passé à la DGFiP en août 2026

Un communiqué publié le 14 août 2026 sur le service de presse du ministère de l’Économie décrit un accès illégitime au système d’information de la Direction générale des finances publiques. Revendiqués les 12 et 13 août, ces accès sont intervenus en juin, juillet et août 2026 — période que la DGFiP a élargie depuis, sur sa page d’information, après ses premières investigations. Des données de 678 000 particuliers et professionnels ont été consultées et extraites : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN des entreprises. Les espaces Finances publiques, les identifiants et les mots de passe n’ont pas été compromis.

Le point à retenir n’est pas l’ampleur, c’est la porte d’entrée : selon le communiqué, les accès reposaient sur l’usurpation des identifiants d’un agent et d’un tiers habilité. Des identifiants légitimes, utilisés par quelqu’un d’autre.

Le communiqué ne décrit pas le dispositif d’authentification de la DGFiP, et rien ici ne permet de le supposer. Ce qui se transpose chez vous, c’est le mécanisme : un identifiant qui fonctionne, utilisé par quelqu’un d’autre. Un mot de passe seul ne fait pas la différence entre les deux ; une deuxième vérification à la connexion, si. Et le premier compte à protéger de cette façon est la messagerie, parce que c’est là qu’arrivent les liens de réinitialisation des autres services. D’où la ligne la plus basse du tableau : 26 % des TPE-PME ont une double authentification pour les accès depuis l’extérieur — c’est cette deuxième vérification, du type code reçu par SMS pour valider un paiement en ligne. Près des trois quarts n’en ont aucune. C’est la toiture.

L’après compte aussi : chronologie publiée, CNIL saisie, plainte déposée, ANSSI mobilisée — l’Agence nationale de la sécurité des systèmes d’information, l’organisme de l’État chargé de la cybersécurité. Quelqu’un savait quoi faire — c’est ce que la plupart des entreprises n’ont jamais écrit.

Le temps de reprise à l’Éducation nationale

Réagir vite ne suffit pas à repartir vite. Le 31 juillet 2026, le ministère de l’Éducation nationale décrit une intrusion dans son système de formation des personnels, la nuit du 25 juillet. Son centre de sécurité est alerté dès le 26 juillet. L’accès externe à ce système est suspendu dans les heures qui suivent. L’ANSSI et la CNIL sont saisies.

Le 31 août, veille de la rentrée scolaire, ce ministère fait le point sur les cyberattaques des dernières semaines, au pluriel. Dans vingt-huit académies sur trente, les applications et les services ont rouvert. À Toulouse, les accès aux messageries et aux applications professionnelles restent coupés jusqu’à nouvel ordre. La préparation des emplois du temps n’est pas affectée. Ils seront communiqués sur papier à la rentrée. À Nantes, l’accès aux messageries n’est alors que partiel et celui des familles aux espaces numériques est suspendu. L’académie a annoncé la réouverture aux familles de l’espace numérique de travail et des logiciels de vie scolaire dès la rentrée du 1ᵉʳ septembre ; la messagerie des enseignants, elle, restait coupée.

Lisez ce point de situation avec les deux plans en tête. La réinitialisation de l’ensemble des accès aux services et aux applications, c’est la remédiation : on referme avant de rouvrir. Les emplois du temps remis sur papier à Toulouse pendant que les accès restent coupés, c’est le plan de continuité tel qu’il se vit. Les académies rouvertes une à une, c’est le plan de reprise en cours d’exécution. Trente-sept jours séparent l’intrusion du point de situation. Ce n’est pas un délai de reprise officiel, seulement l’écart entre deux dates. Un ministère a des moyens qu’une PME n’a pas.

L’exercice d’une heure, une fois par an

Bloquez soixante minutes avec la personne qui connaît le mieux vos outils, et répondez par écrit. Les questions suivent l’ordre du cyclone : la toiture, les bidons, l’après.

Pour empêcher.

1. Quels comptes protègent l’essentiel — messagerie, banque, gestion, hébergement — et lesquels demandent une deuxième vérification à la connexion ?

Pour tenir : le plan de continuité.

2. Si tout s’arrête ce matin, quelles activités continuent malgré tout, sur quoi, et pendant combien de jours ?
3. Qui décide de tout arrêter, et qui décide si cette personne est injoignable ?
4. Quels sont les cinq numéros à appeler, et où sont-ils écrits en dehors de l’informatique ?
5. Que dit-on aux clients, et qui le dit ?
6. Pendant l’arrêt, sur quoi note-t-on ce qui continue, et qui le garde ?
7. Que se passe-t-il si le prestataire informatique est lui-même touché ?

Pour repartir : le plan de reprise.

8. Où sont les sauvegardes, quand a-t-on restauré un fichier pour vérifier, et une copie est-elle hors du réseau ?
9. Quel délai de remise en service vise-t-on, dans quel ordre rallume-t-on les systèmes, combien d’heures de saisie accepte-t-on de perdre, d’où viennent ces chiffres ?
10. Une fois les outils revenus, qui ressaisit ce qui a été noté pendant l’arrêt, dans quel ordre, et sur quoi vérifie-t-on que rien n’a été compté deux fois ?

Une page suffit : lisible sans ordinateur, imprimée, connue de deux personnes au moins. Datez-la et reprenez-la l’an prochain, avant la saison.

Ces délais auront un jour une valeur réglementaire : la directive NIS 2 prévoit une alerte précoce dans les 24 heures et une notification d’incident dans les 72 heures suivant le moment où l’on a eu connaissance de l’incident — et non l’attaque elle-même —, puis un rapport final dans le mois qui suit cette notification. Son délai de transposition, fixé au 17 octobre 2024, est échu et la transposition française est toujours en cours : la France a été renvoyée devant la Cour de justice de l’Union européenne le 8 juillet 2026. Rien de tout cela ne s’impose donc encore. Une autre échéance, elle, s’applique déjà. Quand l’incident touche des données personnelles — un fichier clients, la paie, des dossiers de salariés — et qu’il fait courir un risque aux personnes concernées, l’article 33 du RGPD oblige l’entreprise à prévenir la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Même compte à rebours, autre texte, applicable aujourd’hui : c’est ce qu’ont fait les deux administrations citées plus haut.

Qui sera concerné se lit en deux temps. Le seuil d’abord. L’ANSSI retient l’entité importante à partir de 50 personnes, ou d’un chiffre d’affaires et d’un bilan de plus de 10 millions d’euros ; l’entité essentielle à partir de 250 personnes, ou d’un chiffre d’affaires de plus de 50 millions et d’un bilan de plus de 43 millions. L’activité ensuite : la directive vise certaines entités quelle que soit leur taille — communications électroniques, services de confiance, noms de domaine, administrations. Une entreprise de dix personnes peut être assujettie quand sa voisine de cent personnes ne l’est pas. Mais une entreprise qui ne sait pas décrire son incident en trois jours ne le saura pas davantage le jour où la loi le lui demandera.

Une question pour finir : si vous deviez ce soir écrire sur une feuille qui appelle qui demain matin, sauriez-vous la remplir sans ouvrir un ordinateur ?