Deux chiffres suffisent à chiffrer un plan de reprise : le temps pendant lequel vous acceptez d’être à l’arrêt, et la quantité de travail que vous acceptez de ressaisir. Un RTO de 4 heures avec un RPO de 24 heures ne coûte pas la même chose qu’un RTO de 15 minutes avec un RPO de 5 minutes. Entre ces deux configurations, la ligne « reprise » d’un budget cloud peut varier d’un facteur dix.
La plupart des devis cloud que je relis ne contiennent qu’une seule mention du sujet : « sauvegarde quotidienne incluse ». Pas de RTO, pas de RPO, pas un mot sur les tests de restauration. C’est la ligne qui se paie après l’incident plutôt qu’avant.
Pourquoi le plan de reprise n’apparaît pas dans le premier devis
Un devis d’hébergement répond à une question confortable : combien pour faire tourner l’application. La reprise répond à une question nettement moins vendeuse : combien pour la remettre en marche après une panne matérielle, un ransomware ou une suppression malheureuse par un administrateur pressé. Le premier chiffre se compare ligne à ligne entre deux prestataires. Le second oblige à parler de risque devant un dirigeant qui veut surtout signer cette semaine.
La raison technique compte autant. Chiffrer une vraie reprise suppose de connaître la criticité de chaque application, les dépendances entre elles (l’ERP qui refuse de démarrer sans son serveur de licences, le site e-commerce qui interroge une base de stock hébergée ailleurs, l’annuaire sur lequel repose l’authentification) et le volume de données réellement en jeu. C’est une mission d’analyse de quelques jours, pas une ligne de catalogue. Si vous comparez des devis, vérifiez d’abord qu’ils parlent du même niveau de reprise : un budget d’hébergement cloud sans PRA et un budget avec environnement de secours ne sont pas comparables, même à spécifications serveur identiques.
Le sujet remonte presque toujours de la même façon : un questionnaire d’assurance cyber, un audit de votre plus gros client, un appel d’offres qui réclame votre plan de continuité d’activité, ou un sinistre qui vient d’arriver.
Sauvegarde et plan de reprise après sinistre : la confusion qui coûte cher
Une sauvegarde copie des données pour pouvoir les récupérer plus tard. Un plan de reprise après sinistre (PRA) organise le redémarrage d’un service complet : machines, réseau, DNS, certificats, licences, comptes, procédure écrite et personne désignée pour l’exécuter. On peut donc avoir des sauvegardes impeccables et aucun PRA, et c’est la situation la plus fréquente dans les PME marocaines que je rencontre.
La différence devient concrète le jour de l’incident. Vos données existent, quelque part, dans un stockage objet. Il faut maintenant provisionner de nouvelles machines, réinstaller les systèmes, remonter les bases, retrouver qui détient la licence de l’ERP, repointer les enregistrements DNS, régénérer les certificats, reconnecter la caisse ou le terminal de paiement, et prévenir les clients. Chacune de ces étapes prend des heures quand elle n’a jamais été écrite ni répétée.
Les conséquences budgétaires ne sont pas les mêmes non plus. La sauvegarde se vend au volume et à la rétention, le PRA se vend au temps de remise en service. Vous ne négociez donc pas les mêmes clauses. Pour la sauvegarde : volume, fréquence, durée de conservation, immuabilité, coût de restauration. Pour le PRA : RTO, RPO, qui déclenche, qui exécute, et à quelle fréquence on le teste.
Prix d’une sauvegarde cloud Maroc : les fourchettes 2026
Les ordres de grandeur ci-dessous correspondent à ce que l’on voit sur le marché marocain en 2026 pour une PME de 20 à 200 postes. Ils bougent avec le volume, le niveau de service et le fournisseur, donc traitez-les comme un repère de négociation et pas comme un tarif.
- Mise en place de la sauvegarde (inventaire, politique de rétention, agents, premier jeu de restaurations) : 8 000 à 35 000 MAD en une fois.
- Sauvegarde de serveurs ou de machines virtuelles : 150 à 450 MAD par VM et par mois, supervision incluse.
- Stockage de sauvegarde : 0,80 à 3 MAD par Go et par mois selon la classe de stockage et la rétention, hors frais de restauration.
- Sauvegarde Microsoft 365 ou Google Workspace (messagerie, OneDrive ou Drive, SharePoint) : 15 à 45 MAD par utilisateur et par mois.
- Environnement de secours froid (copies prêtes, machines à construire au moment de l’incident) : 1 500 à 6 000 MAD par mois.
- Secours tiède (machines préprovisionnées éteintes ou réduites, bases répliquées plusieurs fois par jour) : 6 000 à 20 000 MAD par mois.
- Secours chaud (réplication continue, bascule en minutes) : à partir de 20 000 MAD par mois, et bien davantage dès qu’il y a plusieurs bases transactionnelles.
- Rédaction du PRA et du plan de continuité d’activité : 25 000 à 80 000 MAD selon le nombre d’applications et de sites.
- Test de bascule annuel documenté : 10 000 à 30 000 MAD par exercice.
Deux coûts se font oublier systématiquement. Les frais de sortie de données chez les hyperscalers, facturés au Go restauré, qui transforment une grosse restauration en facture imprévue. Et le temps interne : remonter un ERP mobilise votre responsable administratif et financier pour vérifier les écritures, pas seulement l’infogérant.
RTO et RPO : les deux chiffres à négocier avant de signer
Le RTO (Recovery Time Objective) est le délai maximal entre la panne et le retour du service. Le RPO (Recovery Point Objective) est la quantité de données que vous acceptez de perdre, exprimée en temps. Une sauvegarde unique à 2 heures du matin donne un RPO de 24 heures : si le serveur tombe à 18 h, vous perdez une journée de saisie.
Chiffrez cette perte avant de discuter technique. Une société de distribution qui enregistre 180 commandes par jour et perd une journée complète doit ressaisir 180 commandes depuis les bons papiers et les e-mails, en espérant que tout a laissé une trace. Ce travail se compte en jours-homme et en écarts de stock. Face à ça, passer d’un RPO de 24 heures à 1 heure (sauvegarde des journaux de transactions toutes les heures) coûte souvent quelques centaines de dirhams par mois. Passer de 1 heure à 5 minutes suppose de la réplication, et là le prix change d’échelle.
Ce qui doit figurer au contrat, idéalement par application et non globalement : le RTO et le RPO engagés, ce qui se passe s’ils ne sont pas tenus, le délai de mise à disposition des données en cas de restauration massive, la durée de rétention, et votre droit de tester la restauration quand vous le décidez. Un prestataire qui refuse d’écrire ces chiffres vous vend du stockage, pas une reprise.
Là où ça échoue vraiment
Les échecs de reprise que j’ai vus ne venaient presque jamais d’une technologie défaillante. Ils venaient de cinq habitudes.
- La sauvegarde jamais restaurée. Le rapport est vert depuis deux ans et personne n’a jamais remonté une base complète pour vérifier qu’elle s’ouvre. Un job qui copie un fichier de base verrouillé produit une copie inutilisable et un rapport en succès.
- La copie dans la même zone de panne. Un disque de sauvegarde dans la même baie, un snapshot dans la même région, un NAS branché sur l’onduleur du serveur. Le ransomware, l’incendie et la coupure prolongée emportent les deux.
- Des sauvegardes accessibles avec les comptes de production. C’est exactement ce que cherche un attaquant : chiffrer les données, puis effacer les copies avec les droits qu’il vient d’obtenir. D’où l’intérêt du stockage immuable, où une copie ne peut être ni modifiée ni supprimée avant la fin de sa rétention.
- Une rétention trop courte. Sept jours ne protègent ni contre une corruption découverte au bout de trois semaines, ni contre un attaquant resté discret un mois avant de déclencher.
- Aucune procédure écrite. Le seul administrateur qui connaît l’ordre de redémarrage est en congé, les mots de passe sont dans sa session, et le PRA tient dans sa mémoire.
Le correctif le moins cher de la liste reste le test. Une restauration complète par an, chronométrée, avec un compte rendu écrit, vous dit si votre RTO est réaliste et vous donne le document que réclament auditeurs et assureurs. Un audit de sécurité cloud sérieux commence d’ailleurs par demander la date de la dernière restauration réussie.
CNDP et loi 09-08 : où doivent vivre vos copies
Une sauvegarde qui contient des données personnelles (clients, salariés, candidats, patients) reste un traitement de données personnelles. Première conséquence pratique : vos durées de conservation s’appliquent aussi aux copies. Effacer une fiche client de la base et la garder dix ans dans les sauvegardes est une incohérence que relèvera n’importe quel contrôle, et la question des durées de conservation CNDP mérite d’être tranchée avant de choisir une rétention de sauvegarde.
Ensuite, le transfert de données personnelles vers l’étranger est encadré par la loi 09-08 et passe par la CNDP. Si vos sauvegardes partent dans une région européenne ou américaine, cela fait partie du dossier, avec le pays de stockage, l’identité du sous-traitant et les garanties contractuelles. Les formalités exactes évoluent : vérifiez leur état sur le site de la CNDP avant de vous engager, ou appuyez-vous sur une checklist de conformité loi 09-08 pour cadrer le dossier.
Enfin, le contrat d’hébergement doit nommer les localisations de stockage, y compris celles des réplicas, et prévoir la restitution puis la destruction des données en fin de contrat. Beaucoup de contrats détaillent la production et restent muets sur les sauvegardes.
Cloud souverain marocain ou hyperscaler : l’effet sur le coût du PRA
Le choix se joue moins sur le prix du gigaoctet que sur trois paramètres. Le premier est administratif : héberger les copies au Maroc simplifie le volet cloud souverain CNDP de vos dossiers et vos réponses aux appels d’offres publics, ce qui vaut du temps de direction. Le deuxième est le débit de restauration. Remonter 2 To depuis un stockage distant sur un lien à 100 Mbps prend environ 45 heures dans des conditions parfaites, donc davantage en vrai. Si votre RTO est de 8 heures, la copie doit être proche de l’endroit où vous allez redémarrer, quel que soit le fournisseur.
Le troisième est l’élasticité. Chez un hyperscaler, un secours tiède coûte peu tant qu’il est éteint et devient cher à la seconde où vous l’allumez, ce qui colle bien à un sinistre rare. Chez un fournisseur local, la ressource est souvent réservée, donc payée en permanence, mais avec des frais de sortie faibles ou nuls et une facture prévisible en dirhams. La combinaison que nous mettons en place le plus souvent : production et sauvegarde primaire au Maroc, copie secondaire chez un second fournisseur, pour éviter qu’un même incident de plateforme emporte les deux. La comparaison des offres de cloud souverain bouge chaque année, donc reposez la question à chaque renouvellement.
Construire un plan de reprise sans exploser le budget
Personne n’a besoin d’un RTO de quinze minutes sur l’intégralité du système. L’économie vient du classement. Prenez la liste de vos applications et rangez-les en trois niveaux : celles qui arrêtent le chiffre d’affaires en une heure (caisse, site de commande, ligne de production), celles qui tiennent une journée (ERP, comptabilité, paie) et celles qui tiennent une semaine (intranet, archives, outils internes). Vous ne payez de la réplication que pour le premier niveau.
Pour le reste, l’ossature classique suffit à la plupart des PME : trois copies des données, sur deux supports différents, dont une hors site et immuable. Ajoutez une procédure de redémarrage écrite avec l’ordre des dépendances, un test annuel chronométré et la liste des personnes à appeler. Une migration cloud est le bon moment pour poser ces questions, puisque la sauvegarde des données d’entreprise se reconfigure de toute façon à cette occasion.
Budget réaliste pour une PME marocaine qui part de zéro : 15 000 à 40 000 MAD de mise en place, puis 3 000 à 12 000 MAD par mois pour une sauvegarde correcte avec copie hors zone, plus un test annuel. La réplication chaude ne se justifie que si une heure d’arrêt vous coûte plus que son abonnement mensuel, et ce calcul se fait en une demi-journée avec votre contrôleur de gestion.
Arrowlancer conçoit et met en œuvre ces stratégies de sauvegarde et ces plans de reprise sur cloud souverain marocain comme chez les hyperscalers, dans le cadre de nos services cloud et infrastructure, avec des contrats d’hébergement cohérents avec la loi 09-08. Si vous devez chiffrer un RTO et un RPO avant de signer, ou simplement vérifier que vos sauvegardes actuelles sont restaurables, parlons-en.