Serveur hors service, fichiers chiffrés, messagerie muette : les conséquences d’un crash informatique dépassent vite la simple panne. Pour une PME, chaque heure d’arrêt coûte du chiffre d’affaires, et une perte de données personnelles déclenche des obligations RGPD précises. Ce guide détaille les impacts réels, le plan d’action des premières heures et l’organisation qui permet de redémarrer vite.
- Un crash informatique provoque arrêt de production, perte de données, coûts de remise en état et risque juridique.
- Une violation de données personnelles se notifie à la CNIL dans les 72 heures si elle présente un risque pour les personnes.
- En cas de cyberattaque, l’assurance n’indemnise que si la plainte est déposée sous 72 heures.
- La règle 3-2-1 et un PRA testé réduisent la durée d’interruption de plusieurs jours à quelques heures.
Les conséquences d’un crash informatique, poste par poste
Arrêt d’activité et pertes de données
Un crash informatique désigne toute défaillance qui rend le système d’information inutilisable : panne de serveur, disque qui lâche, mise à jour défectueuse, incendie ou rançongiciel. La première conséquence est l’arrêt : devis, facturation, commandes et production s’interrompent. La seconde est la perte de données, partielle ou totale, lorsque la dernière sauvegarde est ancienne ou inexploitable.
Le crash n’est pas toujours criminel. Le 19 juillet 2024, une mise à jour défectueuse de l’agent de sécurité CrowdStrike a bloqué environ 8,5 millions d’appareils Windows selon Microsoft, immobilisant compagnies aériennes, hôpitaux et commerces. Un événement banal côté éditeur peut donc paralyser une PME qui n’a rien fait de mal.
Coûts directs et effets indirects
| Conséquence | Nature du coût | Horizon |
|---|---|---|
| Arrêt d’activité | Chiffre d’affaires perdu, salaires payés sans production | Immédiat |
| Perte de données | Ressaisie, commandes et historiques perdus | Jours à semaines |
| Remise en état | Prestataire, matériel, licences, heures supplémentaires | Semaines |
| Violation RGPD | Notification, information des personnes, sanction éventuelle | Mois |
| Image | Clients perdus, retards de livraison, pénalités contractuelles | Long terme |
Le rapport 2025 de Hiscox sur la gestion des risques cyber indique que 59 % des PME françaises interrogées ont subi une cyberattaque en douze mois, 27 % un rançongiciel, et que 33 % ont fait face à des sanctions financières après un incident.
Le coût d’un crash se mesure moins à la réparation du serveur qu’au nombre de jours pendant lesquels l’entreprise ne facture plus.
Données personnelles : ce que le RGPD impose après l’incident
Quand notifier la CNIL
La CNIL considère qu’une violation de données existe dès qu’un traitement de données personnelles perd sa disponibilité, son intégrité ou sa confidentialité, de façon accidentelle ou illicite. Un serveur crashé sans sauvegarde exploitable constitue donc une violation de disponibilité, même sans pirate. L’article 33 du RGPD impose de notifier la CNIL dans les meilleurs délais et, si possible, sous 72 heures lorsque la violation présente un risque pour les droits et libertés des personnes. L’article 34 ajoute l’information des personnes concernées quand le risque est élevé.
Documenter même sans notifier
Toute violation, même non notifiée, doit figurer dans le registre interne : nature de l’incident, catégories et nombre de personnes touchées, conséquences, mesures prises. En cas de manquement, l’article 83 du RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Le formulaire de notification se trouve sur le site de la CNIL.
Plan d’action immédiat : les premières heures
Contenir et qualifier la panne
- Isoler les machines touchées du réseau (câble et Wi-Fi) sans les éteindre si une attaque est suspectée, pour préserver les traces.
- Qualifier l’origine : panne matérielle, mise à jour, erreur humaine ou cyberattaque.
- Alerter la direction, le prestataire informatique et, en cas d’attaque, l’assureur.
- Tenir un journal horodaté de chaque action et décision.
Protéger les droits de l’entreprise et restaurer
- Porter plainte sous 72 heures en cas de cyberattaque : depuis le 24 avril 2023, l’article L12-10-1 du Code des assurances, issu de la loi LOPMI, conditionne l’indemnisation des professionnels à ce dépôt.
- Évaluer la violation de données et préparer la notification CNIL.
- Restaurer à partir d’une sauvegarde saine, en commençant par les applications critiques.
- Communiquer auprès des salariés, clients et fournisseurs avec un message factuel.
Pour la phase technique, les meilleures pratiques actuelles de restauration insistent sur l’ordre de redémarrage et le test des sauvegardes. Lorsque les disques sont physiquement endommagés, un spécialiste de la récupération après crash peut extraire les fichiers en laboratoire : n’essayez pas d’outils grand public sur un disque qui émet des bruits anormaux. Pour un panorama complet, découvrez les étapes clés de la reprise d’activité après un sinistre informatique.
Si le crash vient d’un rançongiciel, suivez aussi notre méthode pour protéger une PME contre les ransomwares : l’ANSSI relève que les TPE, PME et ETI représentent 48 % des victimes de rançongiciels traitées en 2025, contre 37 % en 2024.
Sauvegarde 3-2-1 : la seule assurance-vie des données
Le principe
- 3 copies des données, dont l’original ;
- 2 supports différents (NAS, disque, bande, cloud) ;
- 1 copie hors site, idéalement déconnectée ou immuable pour résister au chiffrement.
Les éditeurs de sauvegarde ajoutent souvent un « 3-2-1-1-0 » : une copie hors ligne et zéro erreur lors des tests de restauration. Microsoft 365 ou Google Workspace ne dispensent pas d’une sauvegarde externe : leur rétention native ne couvre pas toutes les suppressions ni un chiffrement synchronisé.
Choisir les supports
| Support | Atout | Limite |
|---|---|---|
| NAS local | Restauration rapide | Exposé au même sinistre que le serveur |
| Disque externe tournant | Déconnecté, peu coûteux | Dépend d’une discipline humaine |
| Cloud avec immuabilité | Hors site, protégé contre l’effacement | Restauration limitée par le débit Internet |
| Bande LTO | Stockage long, hors ligne | Lecteur et manipulation spécifiques |
Le choix dépend aussi de votre infrastructure : notre comparatif serveur local ou cloud et notre dossier sur la sécurité du cloud computing aident à arbitrer. Pour les volumes importants, le stockage NVMe accélère nettement les restaurations locales.
PRA, PCA et cyberassurance : préparer le prochain incident
PRA et PCA, deux niveaux de préparation
Le plan de reprise d’activité (PRA) décrit comment redémarrer après l’arrêt ; le plan de continuité d’activité (PCA) vise à ne pas s’arrêter du tout, grâce à des systèmes redondants ou des modes dégradés. Les deux reposent sur deux indicateurs : le RTO, durée maximale d’interruption acceptable, et le RPO, perte de données maximale tolérée, qui fixe la fréquence des sauvegardes. Une comptabilité peut tolérer une journée de perte, un site e-commerce quelques minutes. Ce guide spécialisé sur la reprise après sinistre détaille la construction de ces scénarios. Pour les équipes itinérantes, des solutions de mobilité comme Extreme Mobility de DBC permettent de continuer à travailler hors des locaux sinistrés.
La cyberassurance, un complément et non un substitut
Une police cyber couvre généralement les frais d’expertise, de restauration, de notification et la perte d’exploitation, sous conditions : double authentification, sauvegardes hors ligne, mises à jour appliquées. L’assureur vérifie ces points à la souscription et après sinistre. Les erreurs de cybersécurité courantes en PME sont justement celles qui font refuser une indemnisation.
Questions fréquentes
Un crash sans cyberattaque doit-il être notifié à la CNIL ?
Oui si des données personnelles sont devenues indisponibles ou ont été perdues et que cela présente un risque pour les personnes. Dans tous les cas, l’incident s’inscrit au registre des violations.
Quelle différence entre PRA et PCA ?
Le PRA organise le redémarrage après une interruption, le PCA cherche à maintenir l’activité pendant l’incident. Une PME commence généralement par un PRA.
Combien de temps garder les sauvegardes ?
Il n’existe pas de durée unique : elle dépend du RPO, des obligations légales de conservation et du risque qu’un rançongiciel dormant contamine les copies récentes. Plusieurs générations de sauvegarde s’imposent.
La cyberassurance paie-t-elle la rançon ?
La loi LOPMI encadre l’indemnisation des pertes liées à une cyberattaque et exige une plainte sous 72 heures. Les conditions exactes dépendent du contrat.
Limiter les conséquences d’un crash informatique avant qu’il arrive
Les conséquences d’un crash informatique se jouent avant l’incident : une sauvegarde 3-2-1 testée, un PRA écrit avec des RTO et RPO réalistes, des accès protégés et un contrat d’assurance lu attentivement. Le jour de la panne, ce travail préparatoire transforme une crise existentielle en simple interruption de quelques heures.