Ce qu'il faut retenir
- Sans clause explicite dans votre contrat d'infogérance, la responsabilité des sauvegardes reste floue et souvent à votre charge en cas de litige.
- Un prestataire informatique n'est tenu de sauvegarder vos données que si cette mission figure noir sur blanc dans le contrat, avec une fréquence, un support et un test de restauration définis.
- La règle du 3-2-1 (trois copies, deux supports différents, une copie hors site) est le minimum attendu d'un prestataire infogérance sérieux.
- En cas de sinistre, c'est la preuve d'un test de restauration réussi qui fait foi, pas la simple existence d'une sauvegarde.
La question de la sauvegarde externalisée avec un prestataire infogérance a une réponse simple : par défaut, personne n'est responsable si le contrat ne le précise pas. Dès que vous confiez votre parc informatique à un tiers, la répartition des responsabilités doit être écrite, vérifiable et testée, sans quoi vous découvrirez l'ambiguïté au pire moment possible.
En résumé
- La responsabilité de la sauvegarde dépend exclusivement de ce qui est écrit dans le contrat d'infogérance.
- Un prestataire peut gérer votre infrastructure sans jamais toucher à vos sauvegardes si ce périmètre n'est pas défini.
- La fréquence, la durée de rétention et les tests de restauration doivent figurer comme indicateurs de niveau de service (SLA).
- Une sauvegarde non testée n'est pas une sauvegarde : exigez des preuves périodiques.
- En cas de perte de données, la charge de la preuve repose sur celui qui a signé l'obligation de résultat ou de moyens.
Ce que dit le contrat d'infogérance sur la sauvegarde externalisée
Un contrat d'infogérance peut couvrir la supervision réseau, la gestion des postes, la sécurité et la sauvegarde. Mais il peut aussi ne couvrir que la supervision réseau. La majorité des litiges entre PME et prestataires informatiques surviennent précisément parce que le dirigeant supposait que tout était inclus.
Regardez votre contrat actuel : cherchez les mots "sauvegarde", "backup", "restauration" et "rétention". S'ils n'apparaissent pas, vous n'avez aucune garantie contractuelle sur ce sujet. Le prestataire peut très bien intervenir sur vos serveurs tous les jours sans jamais vérifier si vos données sont correctement copiées.
La distinction juridique importante est celle entre obligation de moyens (le prestataire met en place une solution) et obligation de résultat (il garantit la restauration dans un délai donné). La seconde vous protège bien davantage.
La règle du 3-2-1 : le socle minimum à exiger
Tout prestataire infogérance qui gère la sauvegarde externalisée de votre entreprise devrait appliquer la règle du 3-2-1 :
- 3 copies de vos données (la production + deux sauvegardes)
- 2 supports différents (par exemple un NAS local et un stockage cloud)
- 1 copie hors site, physiquement éloignée de vos locaux
Cette règle protège contre les trois scénarios les plus courants : défaillance matérielle, erreur humaine et sinistre physique (incendie, dégât des eaux). Si votre prestataire ne mentionne pas ce principe ou ne peut pas vous expliquer comment il l'applique, c'est un signal d'alerte concret.
Tableau comparatif : niveaux de couverture sauvegarde en infogérance
| Niveau | Ce qui est inclus | Ce qui n'est pas inclus | Risque pour la PME |
|---|---|---|---|
| Infogérance basique | Supervision, mises à jour, helpdesk | Sauvegarde, restauration, stockage externe | Perte totale possible sans recours |
| Infogérance avec sauvegarde locale | Backup sur NAS interne, alertes d'échec | Copie hors site, test de restauration | Perte en cas de sinistre sur site |
| Infogérance avec sauvegarde externalisée | Copie locale + cloud, rétention définie | Tests de restauration formalisés (selon contrat) | Risque résiduel si pas de test |
| Infogérance avec PRA/PCA | Sauvegarde 3-2-1, tests réguliers, RTO/RPO définis | Rien si bien rédigé | Faible, sous réserve de respect du SLA |
RTO et RPO : deux indicateurs à inscrire dans votre SLA
Ces deux sigles sont au coeur de toute négociation sur la sauvegarde externalisée avec un prestataire infogérance :
- RPO (Recovery Point Objective) : jusqu'à quand remonte la dernière sauvegarde exploitable ? Un RPO de 24 heures signifie que vous pouvez perdre une journée de données.
- RTO (Recovery Time Objective) : combien de temps faut-il pour restaurer votre système et reprendre l'activité ?
Ces deux valeurs doivent figurer dans le contrat comme engagements mesurables, pas comme objectifs indicatifs. Si votre prestataire refuse de s'engager sur ces chiffres, demandez-lui pourquoi par écrit. La réponse sera instructive.
Ce que vous devez exiger concrètement à votre prestataire infogérance
Voici les questions à poser par écrit, avant de signer ou lors de votre prochain bilan annuel :
- Quelle est la fréquence des sauvegardes (quotidienne, horaire, continue) ?
- Quelle est la durée de rétention (combien de jours en arrière peut-on remonter) ?
- Où sont stockées physiquement les copies hors site ?
- Qui reçoit les alertes en cas d'échec de sauvegarde, et sous quel délai ?
- À quelle fréquence un test de restauration complet est-il réalisé, et qui en reçoit le compte rendu ?
Un prestataire sérieux répondra à ces questions sans hésiter et vous fournira des preuves documentées. Si les réponses sont évasives, consultez notre classement des prestataires informatiques pour comparer avec d'autres acteurs de votre ville.
La sauvegarde externalisée face aux cyberattaques
Le ransomware est aujourd'hui la menace la plus concrète pour les PME. Un logiciel malveillant peut chiffrer l'ensemble de vos fichiers, y compris les lecteurs réseau synchronisés. Si votre sauvegarde est connectée en permanence au même réseau, elle peut être chiffrée elle aussi.
La parade est la sauvegarde dite "immuable" ou "air-gapped" : une copie que le ransomware ne peut pas atteindre car elle est isolée du réseau de production. Demandez explicitement à votre prestataire infogérance s'il propose ce type de sauvegarde externalisée et comment il la teste. C'est un critère de sélection de premier ordre. Vous pouvez aussi comparer les prestataires de votre ville sur ce critère précis.
Comment auditer votre situation actuelle en moins d'une heure
Vous n'avez pas besoin d'être technicien pour évaluer votre couverture sauvegarde. Trois actions suffisent :
- Relire le contrat : cherchez les sections dédiées à la sauvegarde, au stockage et à la restauration. Notez ce qui manque.
- Demander le dernier rapport de sauvegarde : votre prestataire doit être en mesure de vous fournir un journal des sauvegardes des 30 derniers jours avec les statuts (succès, échec, durée).
- Demander un test de restauration : choisissez un dossier ou un fichier représentatif et demandez à votre prestataire de le restaurer depuis une sauvegarde datant de la semaine précédente. Chronométrez et notez le résultat.
Ces trois actions vous donneront une image fiable de votre niveau de protection réel. Pour aller plus loin sur les bonnes pratiques contractuelles, consultez notre blog dédié aux dirigeants de PME.
Prendre la bonne décision
Si votre contrat actuel ne définit ni la fréquence, ni la rétention, ni le RTO, ni les tests de restauration, vous portez seul le risque en cas de perte de données. La première étape est d'envoyer une demande écrite à votre prestataire pour formaliser ces points. Si la réponse tarde ou reste floue, c'est le moment de consulter d'autres prestataires informatiques capables de s'engager sur des niveaux de service clairs en matière de sauvegarde externalisée.
FAQ
Mon prestataire infogérance est-il automatiquement responsable si je perds mes données ?
Non. La responsabilité du prestataire ne s'applique que dans le périmètre défini par le contrat. Si la sauvegarde n'y figure pas, ou si elle y figure sans obligation de résultat, votre recours sera très limité. Faites relire votre contrat par un juriste spécialisé en droit informatique si vous avez le moindre doute sur la formulation.
Quelle fréquence de sauvegarde est adaptée à une PME ?
Cela dépend de votre activité et de la quantité de données que vous acceptez de perdre. Pour la plupart des PME, une sauvegarde quotidienne avec une rétention de 30 jours constitue un socle raisonnable. Les entreprises qui traitent des données critiques en temps réel (comptabilité en continu, ERP, base clients active) ont intérêt à viser une fréquence horaire ou une sauvegarde continue avec un RPO inférieur à une heure.
Peut-on confier la sauvegarde externalisée à un prestataire différent de celui qui gère l'infogérance ?
Oui, et c'est parfois une bonne pratique pour éviter le risque de dépendance à un seul fournisseur. Cela implique cependant de coordonner précisément les deux prestataires sur les accès, les formats de sauvegarde et les procédures de restauration. Veillez à ce que la responsabilité de chacun soit définie par écrit pour éviter tout angle mort en cas de sinistre.
