Externaliser ses sauvegardes ne se résume ni à un prix au téraoctet ni à un lieu de stockage. Le bon modèle dépend de ce qu'il faut restaurer et en combien de temps, de qui peut modifier ou supprimer les copies, de la manière dont le service est exploité, de la possibilité d'en sortir et des contrôles réellement mis en œuvre.
Cette page compare trois modèles de fourniture : le cloud mutualisé, l'infrastructure dédiée ou privée, et l'offre localisée avec des critères vérifiables. Pour les fondamentaux (périmètre, rétention, restauration, choix du prestataire), reportez-vous à notre guide de la sauvegarde externalisée.
Aucune de ces architectures ne suffit, à elle seule, à démontrer une conformité NIS2, DORA, RGPD ou HDS. Ce qui compte est la cohérence entre l'analyse de risque, les objectifs de reprise et les mesures appliquées puis testées.
Points clés :
Ce tableau ne classe aucun modèle comme conforme ou non conforme. Il indique, pour chaque critère, ce qu'il faut vérifier auprès du prestataire ou dans votre propre architecture.
Un service de sauvegarde en cloud mutualisé, opéré par un grand fournisseur ou par un acteur européen, peut convenir lorsque les besoins sont standardisés, que les volumes évoluent, qu'une réplication distante est recherchée ou que l'organisation préfère un service opéré à une infrastructure à maintenir.
Points à contrôler :
Un cloud mutualisé peut porter une copie externalisée parmi d'autres ou constituer le cœur de la stratégie. Dans les deux cas, c'est l'analyse de risque et les résultats des tests qui justifient le choix, pas le modèle lui-même.
Une infrastructure dédiée, installée chez le client ou hébergée chez un tiers, peut se justifier lorsque des contraintes particulières pèsent sur la reprise :
Ce modèle n'est ni la seule option acceptable ni systématiquement préférable. Il suppose de dimensionner le matériel, d'en assurer l'exploitation, en interne ou par un prestataire, et de tester régulièrement la restauration.
La protection des copies repose sur les mêmes questions que pour le cloud : qui peut les modifier, comment elles sont isolées et comment elles sont restaurées. Pour distinguer les mécanismes d'isolation, voir notre article sur l'air-gap et l'isolation réseau, et pour la protection contre l'effacement, celui sur la sauvegarde immuable et le WORM.
Une offre présentée comme « localisée en France » ou « souveraine » peut répondre à un besoin réel, à condition de préciser ce que recouvre le terme. Cinq points sont à distinguer :
Ces éléments se vérifient dans le contrat, les annexes de sécurité et la liste des sous-traitants. Une localisation du stockage en France ne dit rien, à elle seule, des accès distants ni du droit applicable aux intervenants.
Pour des données de santé, l'article L.1111-8 du Code de la santé publique encadre leur hébergement pour le compte de tiers. La vérification porte alors à la fois sur l'hébergeur et sur le périmètre des prestations couvertes par un certificat HDS valide.
Le modèle d'hébergement compte moins que la capacité à restaurer ce qui est critique dans un délai acceptable. Avant de choisir, il faut pouvoir répondre aux questions suivantes :
Les objectifs et le périmètre de restauration doivent être contractualisés, puis validés par des tests représentatifs. Un délai annoncé sans rapport de test récent reste une hypothèse. Dans un scénario de rançongiciel, les sauvegardes elles-mêmes peuvent être visées : notre guide sur la protection des sauvegardes face aux ransomwares détaille les points d'attention.
Pour relier ces objectifs à l'architecture de reprise, voir comment choisir une architecture de backup pour votre PRA.
Le contrat et ses annexes doivent permettre de vérifier, selon le cas :
Pour les entités financières soumises à DORA, l'article 30 du règlement (UE) 2022/2554 précise les clauses attendues dans les contrats de services TIC, notamment sur les lieux de fourniture et de traitement, l'accès aux données et les stratégies de sortie. Pour les autres organisations, ces mêmes points constituent une base de négociation utile.
Cette page aide à comparer les modèles de fourniture et d'hébergement d'une sauvegarde externalisée. Le comparatif PRA cité plus haut traite l'autre volet : identifier les applications critiques, fixer leurs objectifs RPO et RTO et organiser la reprise dans le bon ordre.
Les deux décisions se nourrissent. Un objectif de reprise court sur une application volumineuse peut orienter vers une capacité de restauration locale ; un besoin de copie distante peut orienter vers un service externalisé. L'une ne se décide pas sans l'autre.
Cloud mutualisé, infrastructure dédiée ou offre localisée : chaque modèle peut se justifier, et aucun ne garantit à lui seul la conformité ni la reprise. Le choix se fonde sur l'analyse de risque, le périmètre à protéger, les accès aux copies, la restauration testée, la localisation réelle et la réversibilité.
Ces critères se vérifient dans l'architecture, le contrat et les rapports de test. C'est sur eux qu'il faut comparer les offres.
Pour passer en revue vos contraintes de restauration, de localisation et de contrat, planifiez un échange de 30 minutes avec un expert VYTALX.
