Mis à jour le samedi 14 novembre 2026
Réponse courte : pour tester une restauration de sauvegarde en entreprise, il faut restaurer réellement des données vers un environnement isolé, chronométrer l’opération, faire vérifier le contenu par un utilisateur et comparer le résultat aux objectifs de perte de données (RPO) et de durée d’interruption (RTO). La CNIL et l’ANSSI recommandent de faire ces tests régulièrement.
Points clés
- La CNIL demande de « tester régulièrement » l’intégrité des sauvegardes et la capacité de les restaurer.
- Le guide de l’ANSSI sur la sauvegarde (version 1.1 de novembre 2025) exige une procédure de restauration écrite et régulièrement mise en œuvre.
- Selon le rapport Veeam 2025 sur les rançongiciels, seulement 10 % des organisations touchées ont récupéré plus de 90 % de leurs données.
- Un rythme réaliste pour une PME : un test de fichier par mois, une restauration complète par trimestre, un exercice de reprise par an.
- Chaque test se termine par un compte rendu daté, avec la durée mesurée et les corrections à apporter.
Tester une restauration de sauvegarde est la seule façon de savoir si vos données sont réellement protégées. Beaucoup de TPE et PME d’Île-de-France sauvegardent tous les soirs sans jamais avoir restauré un seul fichier. Le jour d’une panne de disque, d’une erreur de manipulation ou d’un rançongiciel, elles découvrent que la copie est incomplète, illisible ou beaucoup trop lente à remettre en service. Ce guide explique comment organiser un test de restauration, à quelle fréquence, et comment vérifier votre plan de reprise d’activité.
Pourquoi faut-il tester la restauration de ses sauvegardes ?
Il faut tester la restauration parce qu’une sauvegarde jamais restaurée n’apporte aucune garantie : seul un test réel prouve que les données sont complètes, saines et récupérables dans un délai acceptable.
Une sauvegarde est une copie des données conservée à part pour pouvoir les récupérer après une perte. Une restauration est l’opération inverse : remettre ces données en service. Entre les deux, beaucoup de choses peuvent échouer : un dossier oublié dans la configuration, un support défectueux, une clé de chiffrement perdue, une sauvegarde elle-même chiffrée par un rançongiciel.
La CNIL, dans sa fiche « Sauvegarder » mise à jour en mars 2024, demande de tester régulièrement l’intégrité des sauvegardes et la capacité de les restaurer. Elle range parmi les pratiques à proscrire le fait de ne jamais vérifier si les sauvegardes sont exploitables. L’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, va dans le même sens dans son guide « Sauvegarde des systèmes d’information : les fondamentaux » : sa recommandation R22 précise que les sauvegardes doivent être testées régulièrement et qu’une procédure de restauration doit être rédigée et mise en œuvre.
Ce que montrent les chiffres
Le rapport Veeam 2025 sur les tendances des rançongiciels, publié en avril 2025 à partir d’une enquête auprès de 1 300 organisations, indique que 69 % d’entre elles ont subi une attaque dans l’année. Parmi les victimes, seules 10 % ont récupéré plus de 90 % de leurs données, et 57 % en ont récupéré moins de la moitié. Le même rapport note que 98 % des organisations avaient un plan de réponse aux rançongiciels, mais que seulement 44 % de ces plans prévoyaient la vérification des sauvegardes et leur fréquence.
Selon la synthèse de ce rapport publiée par Object First, 89 % des organisations déclarent que les attaquants ont visé leurs sauvegardes. C’est pourquoi une copie hors ligne, testée, fait la différence. Notre article sur le principe de la sauvegarde 3-2-1 explique comment répartir ces copies.
Que faut-il vérifier lors d’un test de restauration ?
Un test de restauration vérifie quatre choses : que les données sont complètes, qu’elles sont lisibles, qu’elles sont assez récentes et qu’elles peuvent être remises en service dans le délai prévu.
Les notions RPO et RTO
Le RPO (Recovery Point Objective), que l’ANSSI appelle perte de données maximale admissible (PDMA), est la quantité de données que l’entreprise accepte de perdre, exprimée en durée : par exemple 24 heures si l’on sauvegarde chaque nuit. Le RTO (Recovery Time Objective), ou durée maximale d’interruption admissible (DMIA), est le temps maximal acceptable pour redémarrer. Un test de restauration réussi est un test qui respecte ces deux objectifs.
La liste de contrôle
- Complétude : tous les dossiers, bases de données et boîtes mail prévus sont présents.
- Intégrité : les fichiers s’ouvrent sans erreur, la base comptable se charge dans le logiciel.
- Fraîcheur : la dernière version disponible correspond bien à la veille ou à l’heure attendue.
- Durée : le temps total de restauration, chronométré, reste inférieur au RTO.
- Accès : les mots de passe, clés de chiffrement et comptes d’administration nécessaires sont disponibles et à jour.
Comment tester une restauration de sauvegarde, étape par étape ?
La méthode consiste à choisir un scénario, restaurer dans un environnement isolé, mesurer le temps, faire vérifier le contenu puis consigner le résultat.
Voici la procédure que nous appliquons chez nos clients TPE et PME :
- Lister ce qui doit pouvoir être restauré : Identifiez les données et systèmes critiques : serveur de fichiers, comptabilité, messagerie Microsoft 365, logiciel métier, postes clés.
- Fixer les objectifs RPO et RTO : Décidez, pour chaque élément, combien de données vous pouvez perdre et en combien de temps l’activité doit redémarrer.
- Choisir le scénario de test : Fichier supprimé, boîte mail effacée, serveur hors service ou rançongiciel : chaque scénario teste un niveau de restauration différent.
- Restaurer dans un environnement isolé : Restaurez vers un dossier dédié, une machine virtuelle ou un poste de test, jamais par-dessus les données en production.
- Chronométrer et vérifier le contenu : Mesurez le temps total, puis faites contrôler par un utilisateur que les fichiers s’ouvrent, sont complets et datent de la bonne journée.
- Rédiger un compte rendu : Notez la date, le périmètre, la durée, le résultat et les problèmes rencontrés, puis comparez avec vos objectifs RPO et RTO.
- Corriger et planifier le test suivant : Traitez les écarts (sauvegarde manquante, mot de passe introuvable, durée trop longue) et inscrivez le prochain test au calendrier.
Ces étapes s’intègrent naturellement dans une démarche de sauvegarde informatique PME avec plan de reprise d’activité, où les tests sont planifiés et documentés à l’avance.
À quelle fréquence tester ses sauvegardes en PME ?
Les autorités françaises demandent des tests réguliers sans fixer de fréquence ; pour une PME, un rythme mensuel, trimestriel et annuel selon le type de test est un bon compromis.
Le tableau ci-dessous propose un calendrier adapté à une TPE ou PME de 5 à 50 postes. Il s’agit d’une recommandation de terrain, à ajuster selon la criticité de vos données.
| Type de test | Ce qu’on restaure | Fréquence conseillée | Durée indicative |
|---|---|---|---|
| Test unitaire | Quelques fichiers ou un dossier choisi au hasard | Chaque mois | 15 à 30 minutes |
| Test applicatif | Base comptable ou logiciel métier, boîte mail Microsoft 365 | Chaque trimestre | 1 à 2 heures |
| Restauration complète | Un serveur ou un poste entier vers une machine de test | Chaque trimestre ou semestre | Une demi-journée |
| Exercice de reprise (PRA) | Scénario complet : panne du serveur ou rançongiciel | Une fois par an | Une journée |
| Test après changement | Nouveau serveur, nouveau logiciel, migration cloud | À chaque changement | Variable |
Pour une TPE qui démarre, le plus important est de faire le premier test. Notre guide sur la sauvegarde informatique pour TPE aide à choisir la solution, et l’infogérance PME et TPE permet de confier la planification et le compte rendu de ces tests à un prestataire.
Comment organiser un exercice de plan de reprise d’activité ?
Un exercice de PRA simule un sinistre réel, par exemple un serveur hors service ou un rançongiciel, et vérifie que toute l’équipe sait redémarrer l’activité à partir des sauvegardes.
Le plan de reprise d’activité (PRA) est le document qui décrit comment remettre en service le système d’information après un sinistre : qui fait quoi, dans quel ordre, avec quelles sauvegardes. La CNIL recommande de rédiger un PCA et un PRA, même sommaires, et de réaliser des exercices avec toutes les parties prenantes pour vérifier que les procédures sont comprises.
Le déroulé type d’un exercice
- Annoncer un scénario précis : « le serveur de fichiers est chiffré lundi à 8 h ».
- Réunir le dirigeant, le prestataire et un ou deux utilisateurs clés.
- Dérouler le PRA : isolement, choix de la sauvegarde saine, restauration, contrôle.
- Chronométrer chaque étape et noter les blocages.
- Faire un retour d’expérience et mettre à jour le PRA.
L’ANSSI rappelle dans le même guide qu’une sauvegarde peut contenir des éléments laissés par un attaquant : en cas d’incident réel, la restauration doit être prudente. Notre article que faire face à un rançongiciel en PME détaille ce cas, et notre service de réponse à incident cyber intervient en urgence.
Comment tester la restauration de Microsoft 365 et du cloud ?
Pour Microsoft 365 et les données cloud, on teste en restaurant une boîte mail, un fichier OneDrive et un site SharePoint de test vers un autre emplacement, à partir de l’outil de sauvegarde tiers.
Les données dans le cloud ne sont pas dispensées de tests. Si vous utilisez une solution de sauvegarde dédiée à Microsoft 365, vérifiez qu’elle restaure une boîte mail supprimée, un dossier partagé et l’historique des versions. Nous expliquons les limites de la protection native dans notre article sur la sauvegarde de Microsoft 365 en PME, et notre page administration Microsoft 365 et Google Workspace présente notre accompagnement.
Erreurs à éviter
- Se fier au statut « sauvegarde réussie » sans jamais restaurer : une copie terminée n’est pas une copie exploitable.
- Restaurer par-dessus la production pendant un test : on risque d’écraser les données récentes.
- Tester toujours le même petit fichier : il faut aussi restaurer une base applicative et un système complet.
- Garder les mots de passe de restauration au même endroit que les données : en cas de sinistre, ils disparaissent avec le serveur.
- Ne rien écrire : sans compte rendu daté, impossible de prouver la conformité ni de mesurer les progrès.
L’avis de l’expert
Dans les grands comptes où j’ai piloté le patch management, aucune mise à jour majeure ne partait en production sans un plan de retour arrière testé. La sauvegarde obéit à la même logique : tant qu’on ne l’a pas restaurée, on ne sait pas si elle fonctionne. J’ai vu des sauvegardes « vertes » depuis des mois qui ne contenaient pas la base de données principale, simplement parce qu’un chemin avait changé lors d’une migration.
Ma méthode pour une PME tient en une règle : chaque changement important déclenche un test de restauration. Nouveau serveur, nouvelle version du logiciel comptable, migration vers Microsoft 365 : on restaure dans la semaine. Et je chronomètre toujours. Un dirigeant comprend tout de suite la différence entre « on a une sauvegarde » et « on redémarre en quatre heures ».
Et pour les PME du 92 ?
SOSPC82 accompagne les TPE et PME des Hauts-de-Seine et de Paris : La Garenne-Colombes, Colombes, Courbevoie, La Défense, Nanterre, Puteaux, Rueil-Malmaison, Levallois-Perret, Neuilly-sur-Seine, Boulogne-Billancourt et les communes voisines. Nous réalisons le premier test de restauration avec vous, rédigeons le compte rendu et planifions les suivants.
Exemple type : un cabinet de 12 postes à Courbevoie sauvegarde son serveur chaque nuit sur un NAS. Lors du premier test, la restauration du dossier comptable prend trois heures au lieu d’une, et le mot de passe de chiffrement n’est connu que d’un ancien salarié. Après correction et ajout d’une copie hors ligne, le test suivant tient l’objectif. En cas de sinistre, nous intervenons sur place 24 h/24 et 7 j/7. Consultez nos zones d’intervention en Île-de-France.
Questions fréquentes
À quelle fréquence faut-il tester ses sauvegardes ?
La CNIL et l’ANSSI demandent des tests réguliers sans fixer de fréquence. Pour une PME, un test de fichier chaque mois, la restauration complète d’un serveur ou d’un poste chaque trimestre et un exercice de reprise une fois par an forment un rythme réaliste.
Une sauvegarde qui affiche « réussie » est-elle forcément restaurable ?
Non. Le statut « réussi » indique seulement que la copie s’est terminée, pas que les données sont complètes, lisibles et saines. Seule une restauration réelle, suivie d’une vérification par l’utilisateur, prouve que la sauvegarde est exploitable.
Peut-on tester une restauration sans risquer d’écraser les données en production ?
Oui, à condition de restaurer vers un autre emplacement : un dossier dédié, une machine virtuelle isolée ou un poste de test. Il ne faut jamais restaurer par-dessus les fichiers en service lors d’un test.
Que veulent dire RPO et RTO ?
Le RPO, ou perte de données maximale admissible, est la quantité de données que l’entreprise accepte de perdre, exprimée en durée. Le RTO, ou durée maximale d’interruption admissible, est le temps maximal acceptable pour redémarrer. Le test de restauration sert à vérifier que ces deux objectifs sont tenus.
Faut-il aussi tester la sauvegarde de Microsoft 365 ?
Oui. Si vous sauvegardez Microsoft 365 avec un outil tiers, restaurez régulièrement une boîte mail, un fichier OneDrive et un site SharePoint de test. Les mêmes règles s’appliquent : restauration vers un autre emplacement, mesure du temps et vérification du contenu.
Qui doit réaliser le test de restauration dans une TPE ?
Le prestataire informatique ou la personne qui gère les sauvegardes réalise la restauration, mais un utilisateur métier doit vérifier que les fichiers s’ouvrent et sont à jour. Le dirigeant valide le compte rendu et les écarts à corriger.
En résumé
- Une sauvegarde n’a de valeur que si sa restauration a été testée : la CNIL et l’ANSSI recommandent des tests réguliers.
- Un bon test restaure dans un environnement isolé, mesure la durée, fait vérifier le contenu et se termine par un compte rendu.
- Pour une PME : un test de fichier par mois, une restauration complète par trimestre et un exercice de PRA par an.
Vous voulez savoir si vos sauvegardes tiennent vraiment la route ? Découvrez notre offre de sauvegarde informatique PME et plan de reprise ou appelez le 07 69 36 92 60 : devis gratuit sous 24 h.
K.A, fondateur SOSPC82
Sources
- Sécurité : Sauvegarder, CNIL, 14 mars 2024
- Sécurité : Prévoir la continuité et la reprise d’activité, CNIL, 14 mars 2024
- Sauvegarde des systèmes d’information : les fondamentaux (ANSSI-BP-100, v1.1), ANSSI, 27 novembre 2025
- Veeam Report Finds Close to 70% of Organizations Still Under Cyber-Attack Despite Improved Defenses, Veeam, 23 avril 2025
- What you need to know about the 2025 Veeam Ransomware Trends Report, Object First, 9 juin 2025