La directive NIS 2 impose aux organisations concernées de maintenir leur activité malgré une cyberattaque majeure. Le Référentiel Cyber France en tire trois exigences applicables à toutes les entités régulées : définir des procédures de sauvegarde et de restauration, les tester au minimum une fois par an, et protéger les sauvegardes d’un incident qui les rendrait inexploitables. La deuxième et la troisième sont celles qui manquent le plus souvent aux dispositifs existants.
Que demande NIS 2 en matière de continuité d’activité ?
La directive NIS 2 range la continuité d’activité parmi les mesures de gestion des risques que les entités doivent adopter, en citant explicitement la gestion des sauvegardes, la reprise après sinistre et la gestion des crises. Le Référentiel Cyber France, publié par l’ANSSI le 17 mars 2026 en version de travail, en précise la traduction opérationnelle.
Trois exigences s’appliquent aux entités importantes comme aux entités essentielles :
- Définir et mettre en œuvre des procédures de sauvegarde et de restauration. L’exigence porte sur les deux volets : sauvegarder ne suffit pas si la procédure de restauration n’est pas formalisée.
- Tester ces processus au minimum une fois par an. Le test vérifie à la fois la bonne réalisation des sauvegardes et leur bonne restauration.
- Protéger les sauvegardes d’un incident qui les rendrait inexploitables. Le stockage hors ligne est cité en exemple face à un scénario de rançongiciel.
Les entités essentielles portent une exigence supplémentaire : documenter, pour chaque activité et service, la durée maximale d’interruption admissible et le point de rétablissement des données, puis définir un plan de continuité et un plan de reprise cohérents avec ces valeurs.
Pourquoi tester ses sauvegardes une fois par an est une obligation
Le test annuel de restauration constitue l’exigence la plus fréquemment absente des dispositifs en place. Disposer d’un plan de reprise d’activité ne suffit pas au regard de la directive NIS 2 : l’organisation doit démontrer qu’il fonctionne.
Cette exigence répond à un constat opérationnel simple. Un dispositif jamais éprouvé peut dysfonctionner précisément au moment où l’on en a besoin. Les modes de défaillance classiques ne se révèlent qu’à l’épreuve : sauvegardes complètes mais illisibles, restauration techniquement réussie mais hors des délais acceptables pour le métier, dépendances applicatives non sauvegardées, ou absence de la documentation nécessaire à la remise en service.
Le test produit par ailleurs un livrable qui compte autant que le résultat technique : le compte rendu. Il documente le périmètre testé, la date, les volumes restaurés, les durées constatées et les écarts identifiés. C’est ce document qui sera examiné lors d’un contrôle, aux côtés des autres comptes rendus de tests de restauration attendus.
Qu’est-ce qu’une sauvegarde protégée au sens de NIS 2 ?
Une sauvegarde protégée est une sauvegarde qu’un incident affectant le système d’information principal ne peut pas rendre inexploitable. La menace de référence est le rançongiciel moderne, qui recherche et chiffre les sauvegardes avant de déclencher le chiffrement de la production.
Deux mécanismes répondent à cette exigence. Le premier est le stockage hors ligne, cité en exemple par le référentiel : une copie physiquement déconnectée du réseau ne peut pas être atteinte par un attaquant. Le second est l’immuabilité, garantie par un mécanisme de verrouillage en écriture, ou WORM (Write Once Read Many), qui interdit toute modification ou suppression pendant une durée de rétention définie. Même en cas de compromission des comptes d’administration, une copie immuable reste inaltérable.
À retenir
La règle dite 3-2-1-1 — trois copies des données, sur deux supports différents, dont une hors site et une immuable — est une bonne pratique de marché largement reconnue. Elle ne figure pas parmi les exigences du Référentiel Cyber France. Elle constitue en revanche un moyen robuste de satisfaire l’exigence de protection des sauvegardes, et sert de repère utile pour dimensionner une architecture.
Cette distinction entre bonne pratique et exigence réglementaire a une conséquence pratique : une organisation n’a pas à justifier de l’application du 3-2-1-1 lors d’un contrôle. Elle doit démontrer que ses sauvegardes résistent à un incident. Plusieurs architectures y parviennent.
DMIA et PRD : deux valeurs à documenter
La durée maximale d’interruption admissible (DMIA) est la durée pendant laquelle une activité peut être interrompue sans conséquence inacceptable pour l’organisation. Le point de rétablissement des données (PRD) est le volume de données que l’organisation accepte de perdre, exprimé en temps écoulé depuis la dernière sauvegarde exploitable.
| Grandeur | Définition | Ce qu’elle conditionne |
| DMIA — durée maximale d’interruption admissible | Temps maximal d’indisponibilité tolérable pour une activité donnée | L’architecture de reprise : sauvegarde classique, réplication, site de secours actif |
| PRD — point de rétablissement des données | Volume de données acceptable en perte, mesuré en temps | La fréquence de sauvegarde ou de réplication |
Ces deux valeurs se définissent activité par activité, avec les directions métiers, et non globalement par la direction informatique. Une messagerie et un système de production industriel n’appellent pas le même dimensionnement.
Le référentiel réserve cette exigence de documentation aux entités essentielles. Elle constitue néanmoins une base de travail pertinente pour toute organisation : sans DMIA ni PRD définis, un plan de reprise d’activité est dimensionné à l’aveugle, généralement sur des hypothèses techniques plutôt que sur les besoins réels des métiers.
PRA, PCA, sauvegarde : quelle différence ?
Les trois notions sont fréquemment confondues, alors qu’elles répondent à des questions distinctes.
| Dispositif | Question à laquelle il répond | Périmètre |
| Sauvegarde | Comment récupérer des données perdues ou altérées ? | Les données |
| PRA — plan de reprise d’activité | Comment redémarrer le système d’information après un sinistre majeur ? | L’infrastructure et les applications |
| PCA — plan de continuité d’activité | Comment maintenir les activités essentielles pendant la crise ? | L’organisation dans son ensemble, y compris les moyens de fonctionnement dégradé |
Une sauvegarde sans plan de reprise laisse l’organisation avec ses données mais sans environnement pour les exploiter. Un plan de reprise sans plan de continuité traite le redémarrage informatique sans traiter la période d’indisponibilité, qui peut durer plusieurs jours.
Construire un dispositif de reprise aligné sur NIS 2
Quatre étapes structurent la démarche, dans cet ordre :
- Identifier les activités et les services critiques, et les systèmes d’information qui les supportent.
- Définir la DMIA et le PRD pour chacun, avec les directions métiers.
- Dimensionner l’architecture en cohérence avec ces valeurs, en intégrant la protection des sauvegardes.
- Tester et documenter, au minimum annuellement.
Un cinquième point mérite d’être posé dès la conception : la localisation et la juridiction applicable aux données de sauvegarde. La directive NIS 2 est neutre sur le plan technologique et n’impose ni le recours au cloud ni un hébergement souverain. L’analyse de risques qu’elle exige conduit en revanche à examiner l’exposition aux législations extraterritoriales, question qui se pose avec une acuité particulière pour les données sensibles et les secteurs réglementés.
PARTITIO, opérateur de cloud souverain et infogéreur certifié ISO 27001 et HDS, opère des dispositifs de reprise avec données hébergées en France, sauvegardes protégées par verrouillage en écriture et conduite des tests annuels de restauration. PARTITIO infogère également des infrastructures OVHcloud qualifiées SecNumCloud pour les périmètres qui l’exigent. Un point reste toutefois invariable, quel que soit le prestataire retenu : lorsqu’une organisation externalise son système d’information, celui-ci demeure sous sa responsabilité au sens du référentiel. L’externalisation se contractualise et se vérifie, elle ne se délègue pas.
Pour le cadre général de la réglementation, ses obligations et son calendrier, voir notre article sur les exigences de la directive NIS 2.
Questions fréquentes
NIS 2 impose-t-elle un plan de reprise d'activité ?
La directive NIS 2 impose des mesures de continuité d’activité comprenant la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. Le Référentiel Cyber France en tire trois exigences applicables à toutes les entités régulées : définir des procédures de sauvegarde et de restauration, les tester au minimum une fois par an, et protéger les sauvegardes contre un incident qui les rendrait inexploitables.
À quelle fréquence faut-il tester ses sauvegardes selon NIS 2 ?
Au minimum une fois par an. Le Référentiel Cyber France impose de tester les processus de sauvegarde et de restauration pour vérifier à la fois la bonne réalisation des sauvegardes et leur bonne restauration. Cette exigence s’applique aux entités importantes comme aux entités essentielles. Le compte rendu du test constitue l’élément de preuve mobilisable lors d’un contrôle.
Qu'est-ce qu'une sauvegarde immuable ?
Une sauvegarde immuable est une copie de données protégée par un mécanisme de verrouillage en écriture, ou WORM, qui interdit toute modification ou suppression pendant une durée de rétention définie. Même si un attaquant obtient les droits d’administration de l’infrastructure, cette copie reste inaltérable. C’est la réponse technique à un scénario de rançongiciel visant les sauvegardes avant la production.
Quelle différence entre DMIA et PRD ?
La DMIA, ou durée maximale d’interruption admissible, désigne le temps d’indisponibilité tolérable pour une activité donnée. Le PRD, ou point de rétablissement des données, désigne le volume de données acceptable en perte, mesuré en temps écoulé depuis la dernière sauvegarde exploitable. La DMIA conditionne l’architecture de reprise, le PRD conditionne la fréquence de sauvegarde.
La règle 3-2-1-1 est-elle obligatoire au titre de NIS 2 ?
Non. La règle 3-2-1-1 — trois copies, deux supports, une hors site, une immuable — est une bonne pratique de marché reconnue, mais elle ne figure pas parmi les exigences du Référentiel Cyber France. L’exigence porte sur le résultat : les sauvegardes doivent résister à un incident qui les rendrait inexploitables. Plusieurs architectures permettent de l’atteindre.
Quelle différence entre un PRA et un PCA ?
Le plan de reprise d’activité (PRA) organise le redémarrage du système d’information après un sinistre majeur : infrastructure, applications, données. Le plan de continuité d’activité (PCA) couvre un périmètre plus large et organise le maintien des activités essentielles pendant la crise, y compris en mode dégradé. Le Référentiel Cyber France attend des entités essentielles qu’elles définissent les deux, en cohérence avec leurs valeurs de DMIA et de PRD.
Exigences de continuité et de protection des sauvegardes
Le livre blanc NIS 2 de PARTITIO détaille les exigences de l’objectif de continuité et de reprise d’activité, et l’architecture de sauvegarde protégée qui permet d’y répondre.
