Continuité IT des PME romandes en 2026

La continuité IT, c'est la réponse à une question simple : si votre informatique s'arrête aujourd'hui à 9h — panne de serveur, ransomware, incendie, coupure — dans combien de temps votre PME retravaille-t-elle, et combien de données a-t-elle perdues ? En 2026, la réponse repose sur quatre piliers : des sauvegardes réellement testées, des objectifs de reprise chiffrés (RTO/RPO), de la redondance sur les éléments critiques et un plan écrit que quelqu'un d'autre que votre informaticien peut exécuter. Voici comment les mettre en place à l'échelle d'une PME romande.

Ce qui arrête réellement les PME

Les scénarios qui immobilisent une PME ne sont pas exotiques : un serveur qui meurt un lundi matin, un ransomware qui chiffre les fichiers partagés pendant la nuit — le NCSC suisse en recense en augmentation constante chez les PME, comme le détaille notre guide cybersécurité 2026 —, un dégât d'eau dans le local serveur, une coupure Internet prolongée quand toute l'activité passe par le cloud, ou le départ de la seule personne qui connaissait les mots de passe.

Le point commun de ces scénarios : leur coût ne vient pas de la réparation, mais de l'arrêt. Salaires payés sans production, commandes perdues, clients déçus, heures supplémentaires de rattrapage. Pour une PME de 20 personnes, un incident ransomware complet dépasse fréquemment 50 000 CHF — sans même payer de rançon.

Pilier 1 : des sauvegardes qui restaurent

La règle 3-2-1 reste le standard : trois copies de vos données, sur deux supports différents, dont une hors-site — physiquement séparée de vos bureaux, et hors de portée d'un ransomware qui chiffrerait tout ce qu'il atteint. N'oubliez pas les données cloud : Microsoft 365 ne sauvegarde pas vos données au sens propre, comme l'explique notre article sur la gestion de Microsoft 365.

Pilier 2 : des objectifs chiffrés (RTO et RPO)

Deux chiffres dimensionnent toute votre stratégie. Le RTO — en combien de temps devons-nous retravailler ? — et le RPO — combien d'heures de travail pouvons-nous perdre au maximum ? Ces chiffres appartiennent à la direction, pas à l'informatique : c'est un arbitrage entre coût et risque. Tolérer 24 heures d'arrêt coûte peu ; exiger 2 heures impose de la redondance. L'erreur classique est de ne jamais poser la question et de découvrir l'arbitrage implicite le jour de la panne.

Pilier 3 : la redondance des éléments critiques

Cherchez les points de défaillance uniques : le serveur sans virtualisation, l'unique lien Internet alors que toute l'activité passe par le cloud, le NAS de sauvegarde posé à côté du serveur qu'il sauvegarde, la personne unique qui détient les accès. Chaque point critique appelle une réponse proportionnée : second lien Internet 4G/5G de secours (quelques dizaines de francs par mois), serveur virtualisé restaurable sur un autre matériel, accès documentés dans un coffre-fort partagé.

Pilier 4 : un plan écrit et exécutable

Le jour de l'incident, le stress est maximal et la mémoire défaillante. Le plan de reprise tient en quelques pages : les scénarios couverts, qui décide et qui exécute, les procédures de restauration pas à pas, les contacts (prestataire, assurance, fournisseurs), et l'ordre de redémarrage des systèmes. Critère de qualité : une personne compétente mais qui ne connaît pas votre entreprise doit pouvoir l'exécuter. Testez-le une fois par an, en conditions réalistes.

Le rôle du prestataire IT

La continuité n'est pas un projet ponctuel : les sauvegardes doivent être surveillées chaque jour, les tests exécutés chaque trimestre, la documentation maintenue à chaque changement. C'est typiquement ce qu'un contrat d'infogérance sérieux intègre par construction — sauvegardes vérifiées, supervision, documentation à jour font partie du périmètre standard d'AlpenCare. Pour l'élaboration initiale du plan ou la remise à niveau d'une infrastructure fragile, un projet IT ponctuel avec livrable documenté est le bon format. Et si vos serveurs vieillissants sont eux-mêmes le risque, la migration vers un cloud suisse supprime une partie du problème à la source.

Questions fréquentes

Qu'est-ce que la continuité IT pour une PME ?

C'est la capacité de continuer à travailler quand l'informatique casse : serveur en panne, ransomware, incendie, coupure prolongée, ou départ de la seule personne qui connaissait les systèmes. Concrètement, elle repose sur des sauvegardes testées, un plan de reprise écrit avec des objectifs chiffrés (RTO/RPO), de la redondance sur les éléments critiques et une documentation à jour.

Quelle est la différence entre RTO et RPO ?

Le RTO (Recovery Time Objective) est le temps maximal acceptable pour redémarrer après un incident : « nous devons pouvoir retravailler en 4 heures ». Le RPO (Recovery Point Objective) est la quantité maximale de données que vous acceptez de perdre : « au pire, les dernières 24 heures de travail ». Ces deux chiffres, fixés par la direction, dimensionnent toute la stratégie de continuité — et son budget.

Une sauvegarde suffit-elle pour assurer la continuité ?

Non. Une sauvegarde protège les données, pas l'activité : si votre serveur brûle, restaurer les données ne sert à rien sans matériel de remplacement, sans documentation pour reconstruire les systèmes et sans plan qui dit qui fait quoi. La sauvegarde est la fondation de la continuité, pas la continuité elle-même.

Combien coûte un plan de continuité IT pour une PME ?

Pour une PME de 20 à 50 personnes : la sauvegarde hors-site coûte 50 à 150 CHF/mois, la redondance des éléments critiques (second lien Internet, virtualisation) quelques centaines de francs par mois, et l'élaboration du plan de reprise documenté 2 000 à 6 000 CHF en prestation ponctuelle. À comparer au coût d'un arrêt : plusieurs jours d'inactivité dépassent vite 50 000 CHF.

À quelle fréquence tester son plan de continuité ?

Une restauration de données au moins trimestrielle, et un test du scénario complet (reconstruire un serveur critique, basculer sur le lien de secours) une fois par an. Un plan jamais testé est une hypothèse, pas un plan : c'est précisément lors des tests qu'on découvre le mot de passe manquant, la sauvegarde incomplète ou la procédure obsolète.