Mis à jour le mercredi 11 novembre 2026
Réponse courte : pour une TPE, la meilleure sauvegarde informatique est une solution hybride qui respecte la règle 3-2-1 : une copie locale automatique (NAS ou disque dédié) pour restaurer vite, une copie externalisée dans le cloud pour survivre à un sinistre, et au moins une copie hors ligne ou non modifiable contre les rançongiciels. Les données Microsoft 365 doivent être sauvegardées à part, et chaque restauration doit être testée.
Points clés
- La CNIL qualifie la règle 3-2-1 d’« état de l’art » : 3 copies des données, sur 2 supports différents, dont 1 hors ligne.
- Selon le baromètre 2025 de Cybermalveillance.gouv.fr relayé par Siècle Digital, 78 % des TPE-PME ont des sauvegardes, mais 8 dirigeants sur 10 se disent mal préparés à une cyberattaque.
- Une sauvegarde restée branchée au réseau peut être chiffrée par un rançongiciel en même temps que les données d’origine.
- Sur un compte professionnel, la corbeille OneDrive ne conserve les fichiers supprimés que 93 jours par défaut : ce n’est pas une sauvegarde.
- Une sauvegarde jamais testée n’est pas fiable : l’ANSSI et la CNIL demandent de vérifier régulièrement la capacité à restaurer.
Choisir une sauvegarde informatique pour TPE revient à répondre à trois questions : que faut-il protéger, en combien de temps faut-il redémarrer, et contre quoi se protéger (panne, vol, incendie, rançongiciel, erreur humaine). Ce guide compare les options (disque externe, NAS, cloud, sauvegarde Microsoft 365), donne les critères de choix et une méthode simple pour mettre en place une stratégie de sauvegarde fiable dans une petite entreprise.
Pourquoi une TPE a-t-elle besoin d’une vraie stratégie de sauvegarde ?
Une TPE a besoin d’une stratégie de sauvegarde parce qu’une seule panne, un vol d’ordinateur ou un rançongiciel peut faire disparaître factures, devis, fichiers clients et comptabilité, sans aucun moyen de les reconstituer.
Les menaces augmentent. Dans son communiqué du 26 mars 2026 sur l’activité 2025, Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance, indique avoir assisté plus de 500 000 victimes, soit 20 % de plus qu’en 2024. L’hameçonnage reste la première menace pour les professionnels, en hausse de 45 %, et les demandes liées aux violations de données ont progressé de 107 %.
Les dirigeants en sont conscients. D’après le baromètre 2025 de Cybermalveillance.gouv.fr présenté aux Assises de la cybersécurité, 94 % des dirigeants de TPE-PME craignent avant tout la perte de données et 87 % l’interruption d’activité. Pourtant, trois entreprises sur quatre consacrent moins de 2 000 euros par an à leur cybersécurité.
Avoir « une sauvegarde » ne suffit donc pas. Ce qui compte, c’est une sauvegarde qui survit au sinistre et qui se restaure dans un délai compatible avec l’activité.
Quelles données une TPE doit-elle sauvegarder en priorité ?
Une TPE doit sauvegarder en priorité toutes les données qui ne peuvent pas être récupérées ailleurs : comptabilité, facturation, fichiers clients, documents de travail partagés, messagerie et configurations des logiciels métier.
La fiche pratique de Cybermalveillance.gouv.fr recommande d’abord d’identifier tous les appareils et supports qui contiennent des données : ordinateurs fixes et portables, serveur, NAS, smartphones, et services en ligne. On oublie souvent les postes des commerciaux, le dossier « Bureau » ou la base de données d’un logiciel de caisse.
La liste à dresser avant de choisir un outil
- Données de gestion : comptabilité, paie, facturation, devis.
- Données clients et fournisseurs : CRM, fichiers Excel, contrats.
- Documents de production : plans, dossiers clients, photos, modèles.
- Messagerie et cloud : boîtes Microsoft 365 ou Google Workspace, OneDrive, SharePoint, Drive.
- Systèmes et configurations : licences, paramètres des logiciels métier, médias d’installation, que l’ANSSI demande d’inclure dans les sauvegardes.
Attention : si ces données sont des données personnelles, leurs sauvegardes sont soumises au même cadre juridique que les originaux, dont le RGPD. Une copie non chiffrée sur une clé USB perdue reste une violation de données.
Qu’est-ce que la règle 3-2-1 et pourquoi l’appliquer ?
La règle 3-2-1 consiste à garder 3 copies de ses données, sur 2 supports différents, dont 1 copie hors ligne ; la CNIL la présente comme l’état de l’art en matière de sauvegarde.
Concrètement, une TPE conserve les données de travail, une copie locale (sur un NAS par exemple) et une copie externalisée et isolée. Si le local brûle, la copie distante survit. Si un rançongiciel chiffre le réseau, la copie hors ligne reste intacte. Nous avons détaillé cette méthode dans notre article sur la règle de sauvegarde 3-2-1 expliquée simplement.
La CNIL précise aussi ce qu’il ne faut pas faire : stocker les sauvegardes sur les mêmes systèmes que les données, les garder au même endroit que les machines, ou ne jamais vérifier qu’elles sont exploitables. L’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, insiste : les sauvegardes hors ligne, déconnectées du système d’information, doivent être réalisées « impérativement » et régulièrement.
Deux notions à fixer avec le dirigeant : RPO et RTO
Le RPO (Recovery Point Objective) est la quantité maximale de données que l’entreprise accepte de perdre, exprimée en temps : avec une sauvegarde chaque nuit, on peut perdre jusqu’à une journée de travail. Le RTO (Recovery Time Objective) est la durée maximale acceptable d’interruption avant que l’activité reprenne. Ces deux chiffres déterminent la fréquence des sauvegardes et le type de solution.
Disque externe, NAS ou cloud : quelle solution de sauvegarde choisir pour une TPE ?
Aucune solution ne suffit seule : le disque externe est simple mais fragile, le NAS restaure vite mais reste exposé dans les locaux, et le cloud protège des sinistres mais dépend de la connexion ; la bonne réponse est de les combiner.
| Solution | Points forts | Limites | Pour quelle TPE ? |
|---|---|---|---|
| Disque externe ou clé USB | Simple, hors ligne une fois débranché | Manuel, oublis fréquents, vol ou perte, pas de suivi | Entrepreneur seul, en complément uniquement |
| NAS (serveur de stockage réseau) | Sauvegardes automatiques, restauration rapide, historique de versions | Exposé au vol, à l’incendie et aux rançongiciels s’il est mal isolé | De 3 à 20 postes avec des fichiers partagés |
| Sauvegarde en ligne (cloud) | Copie hors site, automatique, résiste à un sinistre local | Restauration complète lente selon le débit, données hébergées chez un tiers | Toutes les TPE, comme copie externalisée |
| Sauvegarde dédiée Microsoft 365 ou Google Workspace | Protège messagerie, OneDrive, SharePoint, Drive au-delà des corbeilles | Abonnement supplémentaire, à configurer | Toute TPE dont les données vivent dans le cloud |
| Solution hybride (NAS + cloud + copie immuable) | Respecte la règle 3-2-1, restauration rapide et protection contre les rançongiciels | Demande un paramétrage et une supervision | La cible recommandée pour une TPE qui dépend de son informatique |
Une copie immuable est une sauvegarde qui ne peut être ni modifiée ni supprimée pendant une durée définie, même avec un compte administrateur piraté. C’est aujourd’hui l’alternative la plus pratique à la bande ou au disque débranché pour obtenir l’équivalent d’une copie hors ligne.
Le choix entre stockage local et cloud recoupe celui de l’hébergement des applications, que nous comparons dans cloud ou on-premise : quel choix pour votre entreprise.
Microsoft 365 sauvegarde-t-il les données de ma TPE ?
Non, pas au sens d’une sauvegarde : Microsoft assure la disponibilité de ses services, mais les fichiers supprimés ne restent récupérables que pendant une durée limitée, et c’est au client de protéger son contenu.
Sur un compte OneDrive professionnel, la page d’assistance de Microsoft indique que les fichiers supprimés sont récupérables pendant 93 jours, sauf si l’administrateur a modifié ce réglage. Une fois vidés de la corbeille définitive, ils ne peuvent plus être restaurés. Un salarié qui supprime un dossier en juin et s’en rend compte en octobre a donc perdu ses fichiers.
Microsoft propose d’ailleurs Microsoft 365 Backup, un service payant distinct qui couvre SharePoint, OneDrive et Exchange. Son existence montre bien que la sauvegarde n’est pas incluse par défaut. Les éditeurs spécialisés proposent des solutions équivalentes qui copient les données vers un stockage indépendant du compte Microsoft, ce qui protège aussi en cas de piratage du compte administrateur.
Pour sécuriser vos comptes en parallèle, voyez notre guide sur la double authentification Microsoft 365 en PME et notre offre Microsoft 365 et Google Workspace pour les entreprises.
Comment mettre en place la sauvegarde informatique d’une TPE étape par étape ?
La mise en place se fait en sept étapes : inventaire, objectifs RPO/RTO, choix de l’architecture 3-2-1, isolement, chiffrement, supervision et test de restauration.
- Faire l’inventaire des postes, serveurs, NAS, logiciels métier et comptes cloud qui contiennent des données.
- Fixer le RPO et le RTO avec le dirigeant : combien de travail peut-on perdre, et combien de temps peut-on rester arrêté ?
- Choisir l’architecture 3-2-1 : une copie locale automatique pour la vitesse, une copie cloud externalisée, une copie hors ligne ou immuable.
- Isoler les sauvegardes : comptes d’administration dédiés avec double authentification, aucun lecteur réseau mappé vers le stockage de sauvegarde, infrastructure indépendante de l’annuaire de production comme le recommande l’ANSSI.
- Chiffrer les sauvegardes externalisées et les flux qui passent par Internet, comme le demande la CNIL.
- Superviser chaque nuit : une alerte doit signaler toute sauvegarde échouée ou absente, et quelqu’un doit la lire.
- Tester la restauration au moins chaque trimestre : un fichier, une boîte mail, puis une fois par an un poste ou un serveur complet, en notant le temps réel de remise en service.
Ces étapes s’intègrent dans un plan de reprise d’activité (PRA), c’est-à-dire le document qui décrit comment l’entreprise redémarre après un sinistre informatique majeur. Notre service de sauvegarde informatique PME et plan de reprise couvre l’ensemble de cette démarche.
Quelle fréquence de sauvegarde et quelle durée de conservation choisir ?
Pour la plupart des TPE, une sauvegarde automatique au moins quotidienne, complétée d’un historique de versions de plusieurs semaines, est un minimum ; les données qui changent toute la journée justifient des sauvegardes plus fréquentes.
La CNIL suggère des sauvegardes incrémentales quotidiennes et des sauvegardes complètes à intervalles réguliers. Une sauvegarde complète copie toutes les données ; une sauvegarde incrémentale ne copie que ce qui a changé depuis la dernière sauvegarde ; une sauvegarde différentielle copie ce qui a changé depuis la dernière complète.
La durée de conservation compte autant que la fréquence. Un rançongiciel peut rester discret plusieurs jours avant de se déclencher, et une erreur humaine peut n’être découverte que des semaines plus tard. Garder seulement la sauvegarde de la veille expose à restaurer des fichiers déjà corrompus. Pour les données personnelles, la conservation doit aussi respecter les durées prévues par le RGPD : notre accompagnement en conformité RGPD aide à les fixer.
Erreurs à éviter
- Laisser le disque de sauvegarde branché en permanence : Cybermalveillance.gouv.fr rappelle qu’un rançongiciel peut l’atteindre.
- Confondre synchronisation et sauvegarde : OneDrive ou Dropbox répliquent aussi les suppressions et les fichiers chiffrés.
- Ne jamais tester une restauration et découvrir le jour de la crise que la sauvegarde est vide ou incomplète.
- Utiliser le même compte administrateur pour le réseau et pour la sauvegarde : un seul mot de passe volé suffit alors à tout effacer.
- Oublier les données hors serveur : ordinateurs portables, messagerie, logiciels en ligne.
L’avis de l’expert
Dans les grands comptes où j’ai piloté le patch management, la sauvegarde n’était jamais jugée sur l’outil, mais sur une seule question : « combien de temps pour restaurer, et l’a-t-on prouvé ? ». Chaque correctif critique était précédé d’un point de restauration vérifié. C’est cette discipline que j’applique aux TPE.
Ma méthode de terrain tient en trois règles. D’abord, une alerte d’échec qui arrive chez quelqu’un qui agit, pas dans une boîte mail que personne ne lit. Ensuite, une copie que le compte administrateur du réseau ne peut pas effacer, parce que c’est ce compte que les attaquants visent en premier. Enfin, un test de restauration daté chaque trimestre, avec le temps chronométré : c’est ce chiffre, et pas la fiche commerciale, qui vous dit si votre entreprise redémarre en deux heures ou en deux semaines.
Mon conseil concret : demandez à votre prestataire de restaurer devant vous, cette semaine, un fichier supprimé il y a un mois. Si c’est impossible, vous savez par où commencer.
Et pour les TPE et PME du 92 ?
Dans les Hauts-de-Seine, beaucoup de TPE (cabinets, agences, artisans, commerces) travaillent avec un NAS de bureau et Microsoft 365, sans copie externalisée ni test de restauration. C’est exactement le profil qui perd tout lors d’un rançongiciel ou d’un dégât des eaux.
Exemple type : un cabinet de 8 postes à Courbevoie sauvegarde son serveur chaque nuit sur un disque USB qui reste branché. Après un rançongiciel, le disque est chiffré avec le reste. Avec une architecture hybride (NAS isolé, copie cloud immuable, sauvegarde Microsoft 365 dédiée), le même cabinet aurait restauré ses dossiers de la veille et ses boîtes mail sans payer de rançon.
SOSPC82, basé à La Garenne-Colombes, intervient sur place 24 h/24 et 7 j/7 à Colombes, Courbevoie, Nanterre, Puteaux, Rueil-Malmaison, Levallois-Perret, Neuilly-sur-Seine, Bois-Colombes et dans tout le département (voir nos zones d’intervention), et à distance partout en France. Avec notre infogérance PME et TPE (formules Essentiel 19,99 €, Sérénité 39,99 € et Premium 79,99 € HT par poste et par mois), la supervision au quotidien est prise en charge. Pour savoir si l’infogérance est adaptée à votre taille, lisez infogérance TPE : à partir de combien de postes est-ce rentable ?. Et si l’incident est déjà là, suivez notre guide que faire en cas d’attaque par rançongiciel et contactez notre service de réponse à incident cyber.
Questions fréquentes
Un disque dur externe suffit-il pour sauvegarder une petite entreprise ?
Non, pas seul. Un disque externe est utile comme copie hors ligne s’il est débranché après chaque sauvegarde, mais il dépend d’une action manuelle et peut être perdu, volé ou détruit avec le bureau. Il doit être complété par une copie automatique et une copie externalisée.
Le cloud est-il une sauvegarde suffisante pour une TPE ?
Le cloud est une excellente copie externalisée, mais pas une solution complète à lui seul. La restauration de gros volumes peut prendre du temps selon le débit, et un service de synchronisation comme OneDrive n’est pas une sauvegarde. L’idéal est de combiner une copie locale rapide et une copie cloud.
À quelle fréquence sauvegarder les données d’une TPE ?
Au minimum une fois par jour, de façon automatique, avec un historique de plusieurs semaines. Les données modifiées en continu, comme la facturation ou la messagerie, justifient des sauvegardes plusieurs fois par jour.
Comment protéger ses sauvegardes contre un rançongiciel ?
Gardez au moins une copie hors ligne ou immuable, que personne ne peut modifier depuis le réseau. Utilisez des comptes d’administration dédiés avec double authentification pour la sauvegarde, et testez régulièrement la restauration.
Microsoft 365 sauvegarde-t-il mes e-mails et mes fichiers ?
Microsoft garantit la disponibilité du service, mais les éléments supprimés ne sont conservés que temporairement, par exemple 93 jours pour la corbeille OneDrive professionnelle par défaut. Pour une vraie sauvegarde, il faut un service dédié, de Microsoft ou d’un éditeur tiers.
La sauvegarde est-elle obligatoire pour une entreprise ?
Le RGPD impose de garantir la disponibilité et la sécurité des données personnelles, et la CNIL cite la sauvegarde parmi les précautions élémentaires. Sans sauvegarde, une perte de données clients peut constituer une violation de données à documenter, voire à notifier.
En résumé
- La bonne sauvegarde pour une TPE est hybride et suit la règle 3-2-1 : copie locale, copie cloud, copie hors ligne ou immuable.
- Microsoft 365 et les autres services cloud doivent être sauvegardés à part : une corbeille n’est pas une sauvegarde.
- Une sauvegarde n’existe vraiment que si sa restauration a été testée et chronométrée.
Vous voulez savoir si vos sauvegardes résisteraient à un rançongiciel ou à un sinistre ? Découvrez notre offre de sauvegarde informatique pour TPE et plan de reprise : devis gratuit sous 24 h. Appelez SOSPC82 au 07 69 36 92 60, 24 h/24 et 7 j/7 dans les Hauts-de-Seine.
K.A, fondateur SOSPC82
Sources
- Sécurité : Sauvegarder, CNIL, 14 mars 2024.
- Les essentiels : sauvegarde des systèmes d’information, ANSSI, publié le 6 décembre 2023.
- Les sauvegardes : adopter les bonnes pratiques (fiche pratique), Cybermalveillance.gouv.fr.
- Cybermalveillance.gouv.fr dévoile les tendances de la menace cyber en France, Cybermalveillance.gouv.fr, 26 mars 2026.
- Baromètre Cybermalveillance 2025 : les TPE-PME progressent, mais restent mal préparées, Siècle Digital, 8 octobre 2025.
- Restore files deleted from your OneDrive, Microsoft Support, mis à jour le 17 septembre 2026.
- Overview of Microsoft 365 Backup, Microsoft Learn.