PRA et PCA

PRA externalisé : avantages et limites

Un PRA externalisé confie à un prestataire le lieu où les serveurs redémarrent et, souvent, la garde des copies. Il évite à une PME d’acheter une seconde salle. Il ne lui évite pas de savoir qui déclenche, où est la clé, et si le dernier essai a réussi.

Mis à jour en octobre 20264 min de lecture5 sources citées

L’essentiel

Avantages : pas de second bâtiment, coût surtout lié à l’usage, copies déjà hors site, essais sans matériel interne.
Limites : le RPO reste celui de la sauvegarde, le RTO dépend des personnes et des horaires, la clé est sous votre responsabilité.
L’ANSSI (agence française de cybersécurité) recommande de chiffrer avant l’envoi chez le prestataire et de vérifier que la durée de restauration est compatible avec votre délai d’arrêt admissible.
Le contrat doit lister les lieux d’hébergement, prévoir la réversibilité et, si des données personnelles sont traitées, les obligations de sécurité que la loi n° 09-08 impose au sous-traitant.
Un test de démarrage automatique n’est pas un test métier.

Avantages

Pas de second bâtiment. Les instances existent chez le prestataire. Le jour du sinistre, on ne court pas acheter un serveur.
Coût surtout lié à l’usage. Dans un modèle où l’activation est à la journée, les mois sans incident coûtent la préparation (stockage, agents, adresses), pas une flotte allumée.
Copies déjà hors site. Le PRA et la sauvegarde externalisée s’alimentent l’un l’autre. On ne transporte pas des bandes.
Essais techniques possibles sans matériel interne. Démarrer une image chez le prestataire ne demande pas un serveur de test dans le placard.
Zone géographique choisie. Utile quand la loi ou le contrat impose un pays, à condition que le contrat le dise vraiment : un transfert de données personnelles hors du Maroc exige un pays reconnu par la CNDP ou son autorisation. L’ANSSI recommande d’exiger du prestataire la liste de tous les lieux de stockage des données, site principal et sites de secours compris.

Limites

Le RPO n’est pas magique. Il reste égal à l’âge de la sauvegarde choisie. Le prestataire ne reconstitue pas les saisies jamais copiées.
Le RTO dépend des personnes. Si la seule personne habilitée est injoignable, l’instance ne part pas. L’externalisation ne crée pas une astreinte que vous n’avez pas achetée. Chez un prestataire ouvert de 9 h à 17 h 30 en semaine, un sinistre le samedi soir attend, sauf clause contraire. L’ANSSI appelle à la vigilance sur ce point : la durée de restauration chez le prestataire doit être compatible avec votre durée maximale d’interruption admissible.
La clé. Si vous seul pouvez déchiffrer, vous seul pouvez restaurer. L’ANSSI recommande précisément de chiffrer les sauvegardes par un moyen propre à l’entité avant l’envoi chez le prestataire. C’est une protection contre la lecture indue. C’est aussi une responsabilité : clé perdue, PRA inutilisable. Un prestataire honnête ne vous proposera pas de garder la clé « pour vous dépanner » sans vous expliquer qu’il pourra alors lire les données.
Le réseau. Les utilisateurs doivent atteindre le secours. Un PRA externalisé sans IP prévue ni VPN testé restaure des serveurs injoignables.
Le retour. Revenir sur le site réparé, avec les données saisies entre-temps, est un projet en soi. Les contrats parlent beaucoup de la bascule aller, peu du retour.
Le test de démarrage n’est pas un test métier. Un contrôle mensuel automatique qui vérifie le démarrage est un vrai plus. Il ne prouve pas que le logiciel métier fonctionne.
La dépendance. Changer de prestataire demande de relire les copies. Le contrat doit dire dans quel délai et sous quelle forme vous repartez avec vos données : c’est ce que l’ANSSI appelle la réversibilité, la possibilité de reprendre la fonction externalisée ou de la confier à un tiers, avec l’assistance du prestataire pendant la migration.

Ce que le contrat doit contenir

Le guide de l’ANSSI sur l’externalisation recommande d’annexer au contrat un plan d’assurance sécurité (PAS) et de prévoir l’audit des procédures de sauvegarde et de secours ; la DGSSI a publié son propre guide sur la sécurité de l’externalisation des systèmes d’information. Lorsque les copies contiennent des données personnelles, ce qui est presque toujours le cas, le prestataire est un sous-traitant au sens de la loi n° 09-08 : elle exige un contrat, et le sous-traitant n’agit que sur instruction et assume les mêmes obligations de sécurité (art. 23).

Point	Pourquoi	Où le vérifier
Lieux d’hébergement, principal et secours	Exigence légale ou contractuelle de localisation	Contrat, PAS
Horaires d’assistance et d’activation	Ils font partie du RTO réel	Conditions de service
Essais inclus et essais sur devis	Mesurer le RTO avant le sinistre	Offre commerciale
Détention de la clé de chiffrement	Confidentialité et capacité à restaurer	Contrat, procédure interne
Réversibilité	Repartir avec ses données en cas de changement	Clause dédiée
Sort des données en fin de contrat	Restitution ou suppression de toutes les copies en fin de prestation	Contrat de sous-traitance
Sous-traitants ultérieurs	Savoir qui d’autre accède aux données, et l’encadrer par écrit	Contrat de sous-traitance
Alerte en cas de violation	Le prestataire prévient le client, qui doit pouvoir déclarer l’incident	Contrat de sous-traitance

La loi n° 09-08 (art. 23) demande par ailleurs un niveau de sécurité approprié contre la destruction ou la perte accidentelle des données personnelles, et le guide de la DGSSI relatif au plan de continuité et de reprise d’activités demande de tester régulièrement la procédure de récupération des sauvegardes. Un PRA externalisé y contribue, s’il est réellement testé.

Quand c’est le bon choix

PME sans seconde salle, un à quelques serveurs dont l’arrêt se compte en heures et non en minutes, volonté de ne pas investir dans du matériel dormant. Quand l’arrêt se compte en minutes, regardez plutôt un PCA, en connaissance de son coût permanent : voir PCA externalisé : avantages et limites.

Chez WeDoBack

Le PRA externalisé correspond à l’offre PRA publiée : stockage dès 175 € HT par To et par mois, agents, adresses IP publiques à 0,54 € HT par mois, instances, activation en sinistre facturée à la journée, test de démarrage mensuel sans toucher à la production, test en conditions réelles jusqu’à 10 heures sur devis. Les données sont chiffrées sur la machine avant l’envoi, avec une clé détenue par le client, et stockées sur des serveurs dédiés à la sauvegarde, redondés dans plusieurs zones compatibles avec la juridiction ou dans plusieurs pays d’Afrique selon les disponibilités. Les centres d’hébergement et les solutions utilisés sont certifiés ISO 27001 et HDS ; le traitement est conforme à la loi n° 09-08 et au RGPD. L’assistance humaine est joignable de 9 h à 13 h et de 14 h à 17 h 30 (heure de Paris). Ces horaires font partie du RTO réel. Ils doivent être lus avant de signer, pas après le sinistre.

Découvrir le PRA Demander un devis

Questions fréquentes

Quelles clauses vérifier dans un contrat de PRA externalisé ?

Les lieux d’hébergement (principal et secours), les horaires d’assistance et d’activation, le mode de déclenchement, les essais inclus, la réversibilité (sous quelle forme et dans quel délai vous récupérez vos données) et, pour les données personnelles, les clauses exigées par la loi n° 09-08 (action sur instruction, obligations de sécurité), les éventuels transferts hors du Maroc et la restitution ou la suppression des données en fin de contrat.

Le prestataire peut-il garder la clé de chiffrement pour plus de sécurité ?

Il le peut, mais il pourra alors lire vos données. Si vous êtes seul à détenir la clé, personne d’autre ne peut déchiffrer les copies, mais vous devez la conserver en lieu sûr, hors du site, avec au moins deux personnes capables de la retrouver. L’ANSSI recommande le chiffrement par un moyen propre à l’entité avant l’envoi.

Un PRA externalisé suffit-il pour respecter la loi n° 09-08 ?

Il contribue à l’obligation de sécurité de l’article 23, qui demande de protéger les données personnelles contre la destruction ou la perte accidentelle. Il ne suffit pas seul : il faut aussi un contrat avec le prestataire (action sur instruction, mêmes obligations de sécurité), des transferts à l’étranger encadrés (pays reconnu par la CNDP ou autorisation) et des tests documentés.

Pour aller plus loin

Sources

Documents consultés en octobre 2026.

Un projet de sauvegarde, de PRA ou de PCA ?

Plus de 20 ans d’expérience dans la protection des données des entreprises.

Demander un devis 09 72 50 78 28

Protégez vos données avec WeDoBack

Sauvegarde chiffrée hors site, stockage immuable, PRA et PCA : décrivez-nous vos serveurs, nous vous proposons la bonne combinaison.

Demander un devis Voir les offres et tarifs