PRA ou PCA ? Les deux acronymes sont souvent confondus, et pourtant ils ne désignent pas la même chose. L’un évite l’arrêt, l’autre organise le redémarrage. Pour une PME, comprendre la différence – et savoir lequel mettre en place en priorité – peut faire la frontière entre une simple journée perturbée et plusieurs semaines de chiffre d’affaires perdu. Ce guide 2026 explique en détail les définitions, les indicateurs RTO/RPO, la règle 3-2-1 et la méthode pour construire un plan opérationnel adapté à une PME ou une profession libérale.
CHIFFRE CLÉ
60 % des PME victimes d’un sinistre informatique majeur sans plan de reprise formel ferment leurs portes dans les 6 mois qui suivent l’incident (sources sectorielles cybersécurité, 2024-2025). Le coût moyen d’une attaque par ransomware sur une PME française est estimé à 110 000 €, dont une part majeure liée à l’arrêt d’activité — exactement ce qu’un PRA/PCA bien dimensionné permet d’éviter.
PRA et PCA : deux plans complémentaires, pas synonymes
Le PCA (Plan de Continuité d’Activité) et le PRA (Plan de Reprise d’Activité) sont deux dispositifs stratégiques complémentaires, encadrés notamment par les recommandations de l’ANSSI et par la norme ISO 22301. Ils n’ont ni le même objectif, ni le même périmètre, ni le même coût. Comprendre cette distinction est la première étape avant tout investissement.
PCA
Plan de Continuité d’Activité
Le PCA est l’ensemble des mesures qui permettent à l’entreprise de continuer à fonctionner pendant un sinistre, sans interruption notable. Il est anticipatif : on prévoit des solutions de repli (locaux secondaires, télétravail organisé, redondance des serveurs, lignes Internet doublées, etc.) pour que l’activité ne s’arrête jamais réellement.
Objectif : zéro interruption — ou interruption minimale.
Logique : redondance et fonctionnement dégradé.
Coût : élevé (infrastructure dupliquée).
PRA
Plan de Reprise d’Activité
Le PRA est l’ensemble des procédures qui permettent de redémarrer l’activité après un sinistre qui l’a stoppée. Il est réactif : on accepte une interruption, mais on en maîtrise la durée et l’ampleur grâce à des sauvegardes, des procédures de restauration et des scénarios documentés.
Objectif : redémarrer vite et sans perdre de données critiques.
Logique : sauvegarde, restauration, procédure.
Coût : modéré, accessible aux PME.
Dans la pratique, une PME bien équipée dispose d’un PRA solide (sauvegardes externalisées, procédure de restauration testée, scénarios de crise documentés) et d’éléments de PCA sur les fonctions vraiment critiques (par exemple : redondance Internet, double serveur de messagerie, télétravail prêt à l’emploi). Le PCA complet — au sens d’une continuité totale 24/7 — reste réservé aux activités où une heure d’arrêt coûte des dizaines de milliers d’euros.
PRA vs PCA : la différence en un coup d’œil
Voici le résumé pratique pour ne plus jamais confondre les deux dispositifs :
Question posée
PCA : « Comment éviter l’arrêt ? »
PRA : « Comment repartir après l’arrêt ? »
Périmètre
PCA : toute l’organisation (RH, locaux, IT, fournisseurs).
PRA : centré sur le système d’information.
Délai cible
PCA : proche de zéro, basculement transparent.
PRA : de quelques heures à quelques jours selon les besoins.
Une analogie utile : le PCA, c’est l’avion qui dispose de deux moteurs — si l’un tombe en panne, le second prend le relais sans que les passagers le remarquent. Le PRA, c’est l’aéroport de déroutement et la procédure d’atterrissage d’urgence : on accepte l’incident, mais on l’a préparé pour qu’il se termine bien.
RTO et RPO : les deux indicateurs qui structurent votre plan
Avant d’investir un seul euro dans un PRA ou un PCA, deux questions doivent obtenir une réponse chiffrée. Ce sont les indicateurs RTO et RPO, le langage universel de la continuité d’activité.
RTO
Recovery Time Objective
En français : DMIA, durée maximale d’interruption admissible. C’est combien de temps votre activité peut tenir hors-ligne avant que le préjudice devienne inacceptable. Une boutique e-commerce vise quelques minutes ; un cabinet d’expertise comptable peut tolérer une journée hors période fiscale.
RPO
Recovery Point Objective
En français : PDMA, perte de données maximale admissible. C’est combien de données vous acceptez de perdre entre la dernière sauvegarde valide et le sinistre. Si vous sauvegardez chaque nuit, votre RPO est de 24 h. Si vous répliquez en continu, votre RPO descend à quelques minutes.
POINT IMPORTANT
Plus le RTO et le RPO tendent vers zéro, plus le coût d’infrastructure explose. Un PRA standard pour une PME (RTO 4-24 h, RPO 24 h) coûte 5 à 15 fois moins cher qu’un PCA temps réel (RTO < 1 h, RPO < 15 min). La règle d’or : dimensionner ces deux valeurs en fonction du risque réel de perte de chiffre d’affaires, jamais l’inverse.
Trois niveaux d’exigence pour situer votre PME
- Niveau standard — RTO 24 h, RPO 24 h. Sauvegarde quotidienne externalisée, restauration documentée. Adapté à la majorité des PME et professions libérales (cabinets, commerces, artisans, TPE de service).
- Niveau renforcé — RTO 4 h, RPO 1 h. Sauvegardes incrémentales horaires, infrastructure de secours pré-configurée. Adapté aux PME avec dépendance forte au SI (e-commerce, industrie de précision, santé).
- Niveau temps réel — RTO < 1 h, RPO < 15 min. Réplication synchrone, basculement automatique, double site. Adapté aux activités où chaque heure d’arrêt coûte plusieurs dizaines de milliers d’euros.
La règle 3-2-1 : la sauvegarde au cœur du PRA
Tout PRA repose sur une sauvegarde fiable. Sans sauvegarde restaurable, il n’existe pas de plan de reprise — juste un espoir. La règle 3-2-1, recommandée par l’ANSSI et adoptée mondialement par les éditeurs de solutions de sauvegarde, fixe le minimum à respecter :
3 copies
Au moins trois exemplaires de chaque donnée critique : l’original en production + deux sauvegardes. Une seule sauvegarde n’est jamais suffisante : si elle est corrompue, vous n’avez plus rien.
2 supports
Sur deux supports différents : par exemple un NAS local + un cloud, ou un disque externe + un service de sauvegarde managé. Diversifier les technologies évite qu’une même panne touche toutes les copies.
1 hors site
Une copie hors des locaux, idéalement immuable et géographiquement éloignée. C’est l’élément que les PME négligent le plus souvent — et c’est précisément celui qui sauve l’entreprise en cas d’incendie, de vol ou de ransomware.
L’évolution moderne : la règle 3-2-1-1-0
Face à la montée du ransomware, qui chiffre désormais les sauvegardes connectées au réseau, la règle a été enrichie en 3-2-1-1-0 :
- 1 copie supplémentaire immuable ou déconnectée (air-gap, S3 Object Lock, bande LTO sortie du coffre) — impossible à chiffrer ou à effacer par un attaquant.
- 0 erreur lors des tests de restauration. Une sauvegarde non testée n’est qu’une promesse. Tout PRA sérieux inclut un calendrier de tests de restauration au moins trimestriel.
Construire son PRA/PCA : la méthode en 6 étapes
Un PRA/PCA n’est pas un produit qu’on achète, c’est un processus qu’on construit. Voici la méthode appliquée par Ezohiko sur les missions de continuité chez les PME et professions libérales lyonnaises.
- Cartographier les processus métier critiques. Lister chaque activité essentielle (facturation, production, relation client, paie…) et identifier les ressources informatiques qui la portent : applications, données, accès, dépendances cloud.
- Réaliser une analyse d’impact (BIA). Pour chaque processus critique, chiffrer le coût d’une interruption d’1 heure, 4 heures, 24 heures, 1 semaine. C’est ce chiffrage qui justifie le RTO et le RPO de chaque service.
- Identifier les scénarios de sinistre. Panne matérielle, ransomware, incendie, dégât des eaux, perte d’un fournisseur cloud, indisponibilité prolongée d’Internet, départ ou indisponibilité d’une personne-clé.
- Définir les solutions techniques. Sauvegarde 3-2-1-1-0, redondance Internet, serveurs de secours, postes de télétravail prêts, comptes administrateurs de secours, contrats de support 24/7 lorsque pertinents.
- Documenter les procédures. Un PRA non écrit n’existe pas. Chaque scénario doit avoir sa fiche : qui fait quoi, dans quel ordre, avec quels mots de passe, quels prestataires, quels délais. Les coordonnées doivent être disponibles hors du SI sinistré.
- Tester et faire vivre le plan. Test de restauration au moins une fois par trimestre, exercice de crise au moins une fois par an, mise à jour à chaque évolution majeure du SI ou des processus métier.
Combien coûte un PRA/PCA pour une PME ?
Le coût d’un PRA/PCA dépend du niveau de RTO/RPO visé, du volume de données et du nombre d’applications critiques. Voici les ordres de grandeur observés sur le terrain en 2026 pour une PME française type (10 à 50 collaborateurs, un site, une dizaine d’applications) :
PRA standard
Mise en place : 3 000 à 8 000 €
Récurrent : 100 à 400 €/mois
Inclus : sauvegarde 3-2-1, copie cloud immuable, procédure documentée, test annuel.
PRA renforcé
Mise en place : 8 000 à 25 000 €
Récurrent : 400 à 1 200 €/mois
Inclus : sauvegardes horaires, infrastructure de secours, tests trimestriels, supervision.
PCA temps réel
Mise en place : 25 000 à 80 000 €+
Récurrent : 1 500 à 5 000 €+/mois
Inclus : double site, réplication synchrone, basculement automatique, astreinte 24/7.
Pour la grande majorité des PME, un PRA standard bien dimensionné suffit à transformer un sinistre majeur en un incident de quelques heures, et représente une assurance dont le ROI est immédiat dès le premier incident évité.
PRA as a Service Ezohiko : la reprise en 4 heures, sans investissement de grand groupe
Construire un PRA en interne mobilise du temps, des compétences spécifiques et un budget rarement disponible chez une PME. C’est pour cette raison qu’Ezohiko propose le PRA as a Service : une offre packagée, dimensionnée pour les PME et professions libérales, qui transforme la continuité d’activité en service mensuel — sans achat de matériel de secours, sans serveur secondaire à gérer, sans complexité.
L’OFFRE EN UNE LIGNE
Votre serveur tombe ce soir. Lundi matin, vous ouvrez à quelle heure ? Avec le PRA as a Service Ezohiko : reprise garantie en 4 heures, tests deux fois par an, données hébergées en France.
Reprise garantie en 4 h
RTO contractuel de 4 heures. Vos serveurs critiques redémarrent sur notre infrastructure de secours, vos équipes retrouvent leurs outils en demi-journée plutôt qu’en plusieurs semaines.
Tests 2 fois par an
Un PRA non testé n’est qu’une promesse. Nous exécutons deux exercices de bascule réels par an, vous fournissons le rapport, et corrigeons les écarts avant qu’un vrai sinistre ne les révèle.
Données hébergées en France
Vos sauvegardes restent sur des datacenters français, conformes au RGPD. Pas de transfert hors UE, pas de juridiction étrangère, pas de mauvaise surprise réglementaire.
Le PRA as a Service inclut la sauvegarde 3-2-1-1-0, l’infrastructure de bascule pré-configurée, la procédure documentée, les deux tests annuels et le pilotage par un Responsable Informatique en temps partagé qui connaît votre environnement. Tout cela en abonnement mensuel, dimensionné selon votre RTO/RPO et le volume de vos données critiques — accessible aux structures de 5 à 100 collaborateurs. Pour une PME lyonnaise typique, le service entre dans la fourchette « PRA standard » à « PRA renforcé » présentée plus haut, sans aucun investissement initial en matériel.
RETOUR D’EXPÉRIENCE
« Nous avons subi une panne du serveur principal un vendredi soir. Grâce au PRA mis en place avec Ezohiko, nous avons redémarré sur l’infrastructure de secours en moins de 4 heures, sans perte de données au-delà de la dernière heure. Le lundi matin, l’équipe a travaillé normalement. Sans plan, nous aurions perdu une semaine. » — Direction d’un cabinet d’expertise comptable, région lyonnaise, 15 collaborateurs.
Pour découvrir l’offre en détail : PRA as a Service — votre activité reprend en 4 heures. Vous pouvez également demander une analyse gratuite de votre situation actuelle ou nous appeler directement au 04 28 29 87 94. Pour aller plus loin, voir aussi notre page Sauvegardes – PRA – PCA et l’article Plan de reprise activité informatique PME : comment repartir de zéro.
Questions fréquentes sur le PRA et le PCA
Quelle est la différence essentielle entre PRA et PCA ?
Le PCA (Plan de Continuité d’Activité) vise à maintenir l’activité pendant un sinistre, sans interruption notable, grâce à des solutions de redondance et de repli. Le PRA (Plan de Reprise d’Activité) vise à redémarrer l’activité après un sinistre qui l’a stoppée, en maîtrisant la durée d’indisponibilité et la perte de données. Le PCA est anticipatif et continu, le PRA est réactif et borné dans le temps. Le PCA couvre toute l’organisation, le PRA est centré sur le système d’information.
Une PME a-t-elle besoin d’un PRA ou d’un PCA ?
Toute PME devrait disposer d’au minimum un PRA formalisé, c’est-à-dire un dispositif documenté de sauvegarde et de restauration. Le PCA — au sens d’une continuité totale, sans interruption — n’a de sens que pour les fonctions vraiment critiques : par exemple, doubler la connexion Internet ou rendre la messagerie redondante. Pour la grande majorité des PME et professions libérales, un PRA bien construit (RTO 4-24 h, sauvegarde 3-2-1-1-0, procédure testée) couvre l’essentiel du risque à un coût accessible.
Que signifient RTO et RPO concrètement ?
Le RTO (Recovery Time Objective) est la durée maximale d’interruption acceptable : combien de temps votre activité peut tenir hors-ligne avant que le préjudice devienne grave. Le RPO (Recovery Point Objective) est la quantité maximale de données qu’on accepte de perdre : si la dernière sauvegarde valide datait de la nuit dernière et que le sinistre survient à 17 h, le RPO réel est d’environ 17 h. Plus ces deux valeurs sont basses, plus l’infrastructure nécessaire est coûteuse. Les chiffrer correctement est l’étape préalable à tout investissement.
La règle 3-2-1 est-elle toujours d’actualité face au ransomware ?
Oui, mais elle a évolué en 3-2-1-1-0. Les ransomwares modernes ciblent désormais les sauvegardes accessibles depuis le réseau pour empêcher toute restauration. La règle enrichie ajoute deux exigences : une copie immuable ou déconnectée (air-gap, stockage objet avec verrou en écriture, bande LTO physique) que l’attaquant ne peut pas chiffrer, et zéro erreur lors des tests de restauration, car une sauvegarde non testée ne protège personne. Une PME qui respecte le 3-2-1-1-0 récupère ses données même après un ransomware réussi.
À quelle fréquence faut-il tester son PRA ?
Un test de restauration partielle au moins une fois par trimestre, et un exercice de crise complet au moins une fois par an. Le test de restauration vérifie que les sauvegardes sont effectivement utilisables (le taux d’échec lors d’un premier test sur une PME non accompagnée dépasse souvent 30 %). L’exercice de crise vérifie que les procédures, les contacts, les mots de passe et les délais documentés correspondent à la réalité du SI au moment du test. Sans ces deux rituels, un PRA se dégrade silencieusement et révèle ses lacunes au pire moment.
Parlons de votre situation.
30 minutes, sans engagement.
On regarde ensemble ce qu’il faudrait pour libérer votre charge mentale IT. Pas de pitch. Juste un état des lieux honnête.
Architecte de votre informatique. Artisan de votre confiance.