Sauvegardes en entreprise selon l'ISO 27001, l'ISO 22301 et NIS2

Une entreprise doit savoir quelles données elle protège, combien elle peut en perdre et en combien de temps elle peut rétablir ses fonctions critiques. La bonne exécution d'une tâche de sauvegarde n'est qu'une partie de cette réponse.

L'ISO/IEC 27001 n'impose ni une marque de logiciel précise ni l'achat d'une édition commerciale. Un outil gratuit peut contribuer à satisfaire aux exigences relatives aux copies de sauvegarde, à condition que sa licence autorise l'usage prévu et que sa mise en œuvre couvre les besoins et les risques de l'entreprise. Il faut également des preuves d'exécution et de restauration réussie.

Pour la direction, le responsable du système de management et le service informatique, la question essentielle est la même : si l'ERP, un serveur ou les fichiers de production étaient perdus aujourd'hui, l'entreprise pourrait-elle poursuivre son activité dans le délai jugé acceptable ?

Ce qu'exigent les normes et la législation en matière de sauvegarde

Les cadres ci-dessous ont des champs d'application différents. L'entreprise doit d'abord déterminer quelles exigences la concernent, puis organiser les mesures et les preuves correspondantes.

ISO/IEC 27001:2022

• Référence : Annexe A, mesure A.8.13 relative aux copies de sauvegarde ; mesures connexes A.5.29, A.5.30 et A.8.14
• Portée pratique : Copies des informations, des logiciels et des systèmes, avec des tests réguliers selon une politique définie. Lien avec la sécurité pendant une perturbation et la préparation des TIC à la continuité d'activité.
• Source : [1]

ISO/IEC 27002:2022

• Référence : Recommandations de mise en œuvre de la mesure 8.13
• Portée pratique : Aide à définir le périmètre, la fréquence, la conservation, la protection et les tests. C'est une norme de recommandations, et non une norme de certification à part entière.
• Source : [2]

ISO 22301:2019

• Référence : §8.2.2, §8.3, §8.4 et §8.5
• Portée pratique : Analyse des impacts sur l'activité, choix des stratégies, plans de continuité et exercices. La sauvegarde fait partie de la solution de reprise.
• Source : [3]

RGPD — Règlement (UE) 2016/679

• Référence : Article 32
• Portée pratique : Mesures de sécurité appropriées fondées sur les risques, capacité à rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés, et évaluation régulière des mesures.
• Source : [4]

Loi 5160/2024 — transposition de NIS2

• Référence : Article 15, paragraphe 2, point c)
• Portée pratique : Pour les entités qui relèvent de ce cadre, les mesures de continuité d'activité comprennent la gestion des copies de sauvegarde et la reprise après sinistre.
• Source : [5]

Décision ministérielle conjointe (KYA) 1689/2025, Journal officiel (FEK) B 2186/06.05.2025

• Référence : Article 25, paragraphe 1, notamment les points d) à g)
• Portée pratique : Précise les exigences relatives à une politique et à des procédures de sauvegarde écrites, à des sauvegardes automatisées selon la criticité et la politique, à la protection des accès et à des tests de restauration périodiques par échantillonnage.
• Source : [6]

Dans l'ISO 27001, le choix des mesures nécessaires découle de l'appréciation et du traitement des risques et est consigné dans la déclaration d'applicabilité (Statement of Applicability — SoA). L'installation d'un outil de sauvegarde soutient des mesures précises ; la certification évalue le système de management de la sécurité de l'information dans son ensemble.

La directive NIS2 concerne les entités essentielles et importantes qui relèvent de son champ d'application légal. Un de leurs fournisseurs peut avoir des obligations contractuelles de cybersécurité sans devenir pour autant, automatiquement, une entité soumise à NIS2. Cette qualification se détermine selon les critères de la législation et les orientations de l'Autorité nationale de cybersécurité grecque [7].

Le respect des exigences de sauvegarde constitue une partie de la conformité à chaque cadre. Il ne remplace pas les autres obligations organisationnelles et techniques.

RPO et RTO : combien de données et combien de temps pouvez-vous perdre ?

Deux objectifs aident la direction et l'informatique à traduire les besoins de l'activité en spécifications techniques :

• RPO — Recovery Point Objective : la limite acceptable de perte de données, exprimée en durée. Un RPO de quatre heures signifie que l'entreprise accepte de perdre jusqu'à quatre heures de données.
• RTO — Recovery Time Objective : le délai visé pour rétablir une fonction ou un service après une interruption.

Si l'ERP a un RPO de quatre heures, une seule sauvegarde quotidienne ne suffit généralement pas. Si le RTO est de quatre heures mais que le test de restauration prend deux jours, il faut revoir la solution ou la planification opérationnelle.

Les objectifs découlent de la criticité, des impacts sur l'activité et des dépendances de chaque fonction. Un même programme de sauvegarde pour tous les systèmes peut laisser sans protection les données les plus critiques.

Exemple d'une entreprise industrielle

Dans une PME industrielle, la restauration de l'ERP peut dépendre de la base de données, du serveur d'application, du service d'authentification et des licences logicielles disponibles. La production peut en outre nécessiter des plans CAO, des programmes CNC, des paramètres d'équipement et des enregistrements du contrôle qualité.

Lors d'un exercice indicatif, avec des objectifs RPO et RTO de quatre heures, l'entreprise restaure l'ERP dans un environnement isolé. Elle vérifie les dernières transactions, ouvre l'application avec un utilisateur autorisé et confirme qu'un document commercial de test peut être émis.

Si le service est rétabli en six heures, l'exercice consigne un écart par rapport au RTO, même si tous les fichiers ont été récupérés. S'il manque les transactions des sept dernières heures, il y a aussi un écart par rapport au RPO. Les constats débouchent sur des actions correctives précises.

Sept points pour une procédure de sauvegarde documentée

Ce qui suit constitue une liste de contrôle pratique, et non un inventaire exhaustif des exigences de certification. L'évaluation porte sur la procédure, sur les fonctionnalités et le paramétrage de la solution, ainsi que sur son efficacité.

1. Une politique approuvée et des responsabilités claires

La politique définit ce qui est sauvegardé, quand, où les copies sont stockées, combien de temps elles sont conservées et qui vérifie l'exécution. Elle prévoit un responsable et un suppléant, le traitement des échecs et un programme de tests.

Preuves : politique approuvée, répartition des responsabilités et revue consignée.

2. Un périmètre et des dépendances recensés

Recensez les serveurs, machines virtuelles, postes de travail, bases de données, services cloud, fichiers et configurations critiques. Les exclusions doivent être justifiées et le risque associé évalué.

Pour l'ERP et les bases de données, convenez avec l'éditeur de l'application de la méthode permettant d'obtenir une copie cohérente et de la procédure de restauration. La simple copie de fichiers de base de données ouverts ne prouve pas que l'application fonctionnera.

Preuves : inventaire des systèmes, correspondance avec les tâches de sauvegarde et instructions de restauration des applications.

3. Une fréquence fondée sur les objectifs de reprise

Alignez la planification sur le RPO et évaluez si l'infrastructure permet d'atteindre le RTO. Tenez compte du volume de données, du débit de connexion, du matériel disponible et de l'ordre de reprise.

Preuves : objectifs approuvés, paramètres des tâches et mesures issues des tests.

4. Une conservation adaptée et un historique des versions

Plusieurs points de restauration sont utiles lorsqu'une suppression ou une altération est détectée tardivement. La durée de conservation dépend des besoins de récupération, des obligations et du type de données.

Distinguez la sauvegarde opérationnelle de l'archivage des documents à long terme. L'obligation de conserver certaines pièces comptables ne justifie pas automatiquement la conservation indéfinie de toutes les données à caractère personnel dans chaque sauvegarde.

Preuves : règles de conservation, points de restauration disponibles et procédure d'expiration ou de suppression.

5. Des copies qui résistent à une défaillance ou à une attaque commune

La règle 3-2-1-1-0 est une bonne pratique de conception utile :

• 3 copies au total, données de production comprises.
• 2 supports ou technologies de stockage différents.
• 1 copie hors du site principal.
• 1 copie hors ligne ou immuable (immutable).
• 0 erreur lors des contrôles de vérification et des tests.

Cette combinaison n'est pas une exigence chiffrée universelle des normes ISO. L'entreprise choisit et documente une architecture adaptée en fonction des risques.

Une copie stockée sur le même NAS et soumise aux mêmes droits de suppression peut être perdue en même temps que les données de production. Le RAID assure la redondance des disques, mais ne remplace pas la sauvegarde. Un instantané (snapshot) n'est pas automatiquement immuable : il faut des fonctionnalités et des paramètres de protection appropriés.

Preuves : schéma de stockage, paramètres d'isolement ou d'immuabilité et récupération réussie à partir de la copie protégée.

6. Protection des accès et des clés

Appliquez le principe du moindre privilège, une séparation adéquate des comptes et l'authentification multifacteur lorsqu'elle est prise en charge. Choisissez un chiffrement proportionné à la sensibilité des données et aux risques liés au stockage et au transfert.

Les clés doivent rester disponibles même lorsque les systèmes principaux sont hors service. Leur perte peut rendre inexploitable une copie correctement stockée. L'immuabilité protège contre la modification ou la suppression ; la confidentialité nécessite des mesures distinctes.

Preuves : droits d'accès, paramètres de protection, procédure de gestion des clés et accès d'urgence contrôlé.

7. Surveillance et véritables tests de restauration

Définissez qui reçoit les alertes d'échec, quand il les examine et comment chaque problème est clos. Testez la restauration de fichiers, d'applications et de services critiques, selon l'environnement.

Une PME peut, par exemple, planifier des tests trimestriels sur des fichiers et un exercice annuel de reprise d'un service critique. Il s'agit d'un programme indicatif, et non d'un minimum universel des normes ISO. Des systèmes critiques ou des changements importants peuvent exiger des tests plus fréquents.

Le contrôle d'intégrité d'une copie, la récupération réussie de fichiers et le rétablissement opérationnel d'un service vérifient des choses différentes. Un résultat de tâche « vert » ne prouve pas à lui seul que l'ERP peut fonctionner.

Preuves : journaux, traitement des alertes, résultats des tests et actions correctives.

Outils de sauvegarde gratuits : que permet la licence ?

La mention « Free » ne suffit pas pour une installation en entreprise. Vérifiez l'édition exacte, la licence, l'environnement d'utilisation autorisé et les conditions applicables aux services fournis par des tiers.

Par exemple, AOMEI présente Backupper Standard [8] parmi ses éditions pour particuliers et distingue ses éditions pour entreprises. Hasleo Backup Suite Free [9] exclut l'usage professionnel dans son tableau comparatif des éditions. Considérer que tout logiciel gratuit est autorisé sur un ordinateur d'entreprise peut donc conduire à un mauvais choix.

Pour les produits Veeam Free et Community, une distinction importante s'applique : la Politique de licences, §1.17.2 [10], autorise l'utilisation dans l'environnement de production de l'entreprise elle-même, mais restreint l'utilisation pour des services fournis à des tiers. Ces restrictions couvrent les services d'assistance et de conseil portant sur des installations existantes de ces éditions. L'utilisation interne autorisée ne doit donc pas être considérée comme une licence permettant à un prestataire externe de servir ses clients.

Les licences open source autorisent généralement l'usage commercial, tout en maintenant des obligations qui dépendent de la licence et du mode d'utilisation ou de distribution. Archivez les conditions applicables dans le registre des logiciels et revérifiez-les avant toute installation ou tout changement de service.

Outils de sauvegarde pour les entreprises : licences, usages et limites

Cette présentation est un aperçu fondé sur la documentation publique des éditeurs, et non un test de performance indépendant ni une attestation d'adéquation. Les options répondent à des besoins différents et ne sont pas entièrement interchangeables.

Veeam Agent for Microsoft Windows Free

• Licence et usage en entreprise : Gratuit, selon les conditions Veeam Free/Community
• Usage principal : Sauvegardes du système, de volumes ou de fichiers sous Windows
• Limite ou point de vigilance : Vérifiez l'édition et les fonctions de gestion dont vous avez besoin. Les restrictions relatives aux services fournis à des tiers s'appliquent.
• Source : [11]

Veeam Backup & Replication Community Edition

• Licence et usage en entreprise : Gratuit pour l'entreprise elle-même, selon les conditions correspondantes
• Usage principal : Machines virtuelles, agents et autres workloads pris en charge
• Limite ou point de vigilance : Jusqu'à 10 workloads selon les règles de licence. Les limites applicables aux NAS et à d'autres objets nécessitent une vérification spécifique.
• Source : [12]

Veeam Backup for Microsoft 365 Community Edition

• Licence et usage en entreprise : Gratuit, selon les conditions Free/Community
• Usage principal : Données Microsoft 365 prises en charge
• Limite ou point de vigilance : Limites de 10 comptes utilisateurs, 10 équipes Teams et 1 To de données SharePoint, au total pour l'ensemble des organisations. Les conditions de l'édition s'appliquent.
• Source : [13]

UrBackup

• Licence et usage en entreprise : Open source, AGPLv3+
• Usage principal : Sauvegardes centralisées de fichiers et d'images système sur les plateformes prises en charge
• Limite ou point de vigilance : Vérifiez le système d'exploitation et le système de fichiers pour la sauvegarde d'image. Nécessite une planification du stockage et de l'administration.
• Source : [14]

Duplicati

• Licence et usage en entreprise : Le cœur est distribué sous licence MIT ; certains composants font l'objet de licences distinctes
• Usage principal : Sauvegardes chiffrées de fichiers vers des destinations locales ou distantes
• Limite ou point de vigilance : Ne fournit pas d'image système complète. Les services de gestion complémentaires ont leurs propres formules et conditions.
• Source : [15]

Kopia

• Licence et usage en entreprise : Open source, Apache 2.0 [17]
• Usage principal : Sauvegardes chiffrées de fichiers et de répertoires
• Limite ou point de vigilance : Ce n'est pas un outil de sauvegarde d'image complète. Il faut organiser les politiques, les accès et les clés.
• Source : [16]

Proxmox Backup Server

• Licence et usage en entreprise : Open source, AGPLv3 ; abonnements facultatifs
• Usage principal : Environnements Proxmox VE et sauvegardes prises en charge via un client
• Limite ou point de vigilance : Nécessite une infrastructure et une administration technique. L'abonnement ajoute l'accès à l'enterprise repository et des services d'assistance, selon la formule.
• Source : [18]

Synology Active Backup

• Licence et usage en entreprise : Sans licence supplémentaire pour les paquets concernés, sur un NAS Synology compatible
• Usage principal : Ordinateurs, serveurs et VM ; paquets distincts pour Microsoft 365 [20] et Google Workspace [21]
• Limite ou point de vigilance : Nécessite l'achat et la gestion d'un NAS. L'échelle dépend du modèle, de la capacité et des exigences de performance.
• Source : [19]

Windows Server Backup / wbadmin

• Licence et usage en entreprise : Fonctionnalité de Windows Server, sous réserve d'une licence appropriée
• Usage principal : Sauvegarde et restauration dans un environnement Windows Server
• Limite ou point de vigilance : La solution globale nécessite une conception complémentaire pour la supervision, l'isolement et la reprise des applications.
• Source : [22]

Sans coût de licence supplémentaire ne veut pas dire sans coût global. Prévoyez l'espace de stockage, le matériel, la connectivité, le temps d'administration, les tests, l'assistance et les éventuels frais de récupération depuis le cloud.

Le besoin d'une assistance avec un délai de réponse défini doit également être évalué séparément. Les éditions gratuites commerciales et les outils open source ne comportent pas automatiquement de SLA contractuel pour la production.

Microsoft 365 et Google Workspace : que devez-vous vérifier ?

La synchronisation de fichiers ne constitue pas à elle seule une stratégie de sauvegarde indépendante : elle peut propager une suppression ou une altération à tous les appareils synchronisés.

Les services cloud disposent de différents mécanismes de récupération, comme l'historique des versions, les corbeilles et les stratégies de rétention. Il existe aussi des solutions de sauvegarde dédiées, dont Microsoft 365 Backup [23], qui offre des fonctions de restauration pour les données Exchange, OneDrive et SharePoint prises en charge.

Le choix suppose de vérifier les capacités réelles du service ou de l'abonnement :

• Quelles données et quels objets sont couverts ?
• Combien de temps les points de restauration restent-ils disponibles ?
• Qui peut supprimer des données, des sauvegardes ou des stratégies ?
• Les objectifs RPO et RTO sont-ils atteints ?
• La récupération des données dont l'entreprise a besoin a-t-elle été testée ?

Le besoin d'une solution complémentaire ou indépendante découle de cette évaluation. Il n'existe pas d'obligation universelle, pour chaque entreprise, d'acheter un outil tiers déterminé.

Quelles preuves doivent être disponibles ?

Un dossier de preuves organisé relie l'exigence à la mise en œuvre et au résultat :

• Responsabilités et règles : Politique de sauvegarde approuvée, responsable et suppléant
• Couverture et priorités : Inventaire des systèmes, dépendances, objectifs RPO/RTO et exclusions justifiées
• Exécution et échecs : Paramètres des tâches, journaux, alertes et preuves de résolution des problèmes
• Protection des copies : Droits d'accès, chiffrement lorsque nécessaire, protection des clés et copie isolée
• Efficacité : Enregistrement des restaurations, durée de reprise, contrôle d'exhaustivité et confirmation du bon fonctionnement
• Usage licite et amélioration : Conditions de licence, revue périodique et actions correctives menées à terme

Dans le formulaire de test de restauration, consignez au minimum le système, le scénario, le point de sauvegarde, les heures de début et de fin, la perte de données constatée, les contrôles de fonctionnement, le résultat et les actions en suspens.

Les rapports et les captures d'écran doivent prouver les contrôles sans exposer de mots de passe, de clés de chiffrement ni de données à caractère personnel superflues.

Questions fréquentes sur la sauvegarde et la conformité

Une entreprise peut-elle soutenir sa démarche ISO 27001 avec une sauvegarde gratuite ?

Oui, à condition que l'outil soit autorisé pour l'usage concerné, qu'il couvre les exigences de protection et de reprise et que son efficacité soit démontrée par des preuves. Une licence gratuite ne prouve ni n'exclut la conformité.

Une copie quotidienne sur un disque externe suffit-elle ?

Cela dépend du RPO, de l'historique des versions, de la protection et de l'isolement du disque. Un disque connecté en permanence et accessible depuis un compte compromis peut être touché par la même attaque.

La règle 3-2-1-1-0 est-elle obligatoire ?

C'est une bonne pratique d'architecture, et non une exigence chiffrée universelle des normes ISO. Les exigences réglementaires ou contractuelles particulières sont examinées séparément. L'entreprise doit justifier que la solution retenue traite les risques correspondants.

Une sauvegarde réussie signifie-t-elle que le RTO est atteint ?

Non. La durée de reprise comprend des opérations telles que la mise à disposition de l'infrastructure, la récupération des données, le rétablissement des dépendances et la vérification du fonctionnement. Un test chronométré est nécessaire.

En cas de perte de données à caractère personnel, faut-il toujours notifier ?

La perte ou l'indisponibilité peut constituer une violation de données à caractère personnel. La notification à l'autorité de contrôle et la communication aux personnes concernées sont évaluées selon les critères de risque distincts des articles 33 et 34 du RGPD. L'existence d'une sauvegarde aide au rétablissement, mais n'annule pas automatiquement une violation. Les lignes directrices du CEPD (EDPB) sur les violations de données fournissent des orientations utiles [24].

De la politique de sauvegarde à la préparation opérationnelle

Commencez par trois actions concrètes : recensez les systèmes critiques, approuvez les objectifs de reprise et réalisez un test de restauration d'un service critique. Le résultat montrera quelles lacunes doivent être traitées en priorité.

Pour vous accompagner dans l'organisation du système de management, l'analyse des écarts et le lien entre politique, risques et preuves, contactez Certway [25]. L'évaluation peut servir de base à un plan d'action et à un programme de tests, en collaboration avec les responsables informatiques et dans le respect des conditions de licence applicables.

Contact : sales@certway.gr · +30 213 038 1235

Cet aperçu s'appuie sur les sources primaires citées à la fin de l'article et sur la documentation publique consultée le 11 octobre 2026. Avant tout choix ou toute installation, vérifiez les fonctionnalités et les conditions de l'édition concernée. Les recommandations pratiques et les exemples de l'article doivent être adaptés aux besoins de chaque entreprise.

Sources et documentation officielle

1. ISO/IEC 27001:2022 : https://www.iso.org/standard/27001
2. ISO/IEC 27002:2022 : https://www.iso.org/standard/75652.html
3. ISO 22301:2019 : https://www.iso.org/standard/75106.html
4. RGPD — Règlement (UE) 2016/679 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
5. Loi 5160/2024 — transposition de NIS2 : https://cyber.gov.gr/wp-content/uploads/2024/12/ENOTHTA_5_%CE%9D%CE%9F%CE%9C%CE%9F%CE%98%CE%95%CE%A3%CE%99%CE%91_fek_a_195_2024-5160-2024-1.pdf
6. Décision ministérielle conjointe (KYA) 1689/2025, Journal officiel (FEK) B 2186/06.05.2025 : https://cyber.gov.gr/wp-content/uploads/2025/05/20250202186.pdf
7. Autorité nationale de cybersécurité (Grèce) — champ d'application de NIS2 : https://cyber.gov.gr/nis2-scope/
8. AOMEI Backupper — comparaison des éditions : https://www.aomeitech.com/ab/comparison.html
9. Hasleo Backup Suite Free : https://www.easyuefi.com/backup-software/backup-suite-free.html
10. Politique de licences, §1.17.2 : https://www.veeam.com/legal/licensing-policy.html
11. Veeam Agent for Microsoft Windows Free : https://www.veeam.com/products/free/microsoft-windows.html
12. Veeam Backup & Replication Community Edition : https://www.veeam.com/products/free/backup-recovery.html
13. Veeam Backup for Microsoft 365 Community Edition : https://helpcenter.veeam.com/docs/vbo365/guide/vbo_licensing.html
14. UrBackup : https://www.urbackup.org/features.html
15. Duplicati : https://github.com/duplicati/duplicati
16. Kopia : https://kopia.io/docs/
17. Kopia — code source et licence Apache 2.0 : https://github.com/kopia/kopia
18. Proxmox Backup Server : https://pbs.proxmox.com/docs/introduction.html
19. Synology Active Backup : https://www.synology.com/en-global/dsm/feature/active-backup-business/physical-server
20. Synology Active Backup for Microsoft 365 : https://www.synology.com/en-global/dsm/feature/active_backup_office365
21. Synology Active Backup for Google Workspace : https://www.synology.com/en-global/dsm/feature/active_backup_google_workspace
22. Windows Server Backup / wbadmin : https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/wbadmin
23. Microsoft 365 Backup : https://learn.microsoft.com/en-us/microsoft-365/backup/backup-overview
24. CEPD (EDPB) — lignes directrices sur les violations de données : https://www.edpb.europa.eu/system/files/documents/2022-01/edpb_guidelines_012021_pdbnotification_adopted_en.pdf
25. Certway — contact : https://www.certway.gr/