À retenir
- Aucune statistique publique française ne mesure le taux d’équipement en PCA et PRA des entreprises. Les données disponibles portent sur la sauvegarde et sur la maturité cyber.
- 78 % des TPE et PME françaises déclarent disposer de sauvegardes, selon le baromètre de la maturité cyber de Cybermalveillance.gouv.fr (deuxième édition publiée en octobre 2025).
- Les PME, TPE et ETI représentent 48 % des victimes de rançongiciels recensées par l’ANSSI en 2025.
- La transposition française de NIS2 n’était pas achevée au 10 août 2026, ce qui reporte l’effet réglementaire attendu sur le marché.
- La cyberassurance progresse vite chez les ETI : +75 % d’entreprises assurées en 2025, selon l’étude LUCY 2026 de l’AMRAE.
Ce guide sur le marché de la continuité d’activité en France porte sur les entreprises privées, PME et ETI en priorité, et sur les dispositifs de continuité et de reprise d’activité. Il réunit le niveau d’équipement observable, les moteurs de la demande, le cadre réglementaire en vigueur et l’évolution de l’offre. Les données citées proviennent des publications françaises les plus récentes disponibles, de l’automne 2025 à l’été 2026 (mise à jour du 10 août 2026).
Ce que recouvre la continuité d’activité en France
PCA, PRA et sauvegarde : trois périmètres distincts
Le plan de continuité d’activité (PCA), le plan de reprise d’activité (PRA) et la sauvegarde répondent à trois questions différentes et s’activent à des moments différents. Les confondre fausse la lecture de tout chiffre de marché. Le détail des deux premiers dispositifs figure sur la page consacrée à la différence entre un PCA et un PRA.
| Dispositif | Ce qu’il couvre | Quand il s’active |
| Sauvegarde | Copie des données et des configurations, avec politique de rétention | En permanence, selon une fréquence programmée |
| PRA | Remise en service du système d’information : données, serveurs, réseaux, applications | Après un sinistre, pour redémarrer dans un délai cible |
| PCA | Maintien des activités métier essentielles : processus, effectifs, locaux, fournisseurs | Pendant l’événement, pour éviter l’arrêt complet |
Qui sont les acteurs du marché
Cinq familles d’acteurs se partagent le marché PCA PRA en France, avec des modèles économiques distincts. Aucune ne couvre l’ensemble du besoin à elle seule.
| Type d’acteur | Périmètre d’intervention | Modèle de facturation |
| Éditeurs de solutions de sauvegarde et de réplication | Logiciels de sauvegarde, réplication de données, orchestration de bascule | Licence ou abonnement à la charge de travail |
| Hébergeurs et fournisseurs cloud | Hébergement des sauvegardes et des environnements de reprise | Abonnement à la ressource consommée |
| Infogéreurs et intégrateurs | Conception, exploitation et test du dispositif | Forfait de service géré, projet au forfait |
| Cabinets de conseil en gestion des risques | Bilan d’impact sur l’activité, gouvernance, audit | Mission au forfait ou en régie |
| Assureurs et courtiers cyber | Transfert du risque financier résiduel | Prime annuelle, avec franchise |
Où en sont les entreprises françaises : équipement et maturité ?
Le taux d’équipement varie d’abord selon la taille de l’entreprise
Aucune enquête publique française ne mesure directement la part des entreprises disposant d’un PCA ou d’un PRA formalisé. Les données disponibles portent sur les dispositifs de sécurité et sur la sauvegarde, qui constituent le socle technique de la reprise. La lecture se fait donc par approximation, ce qu’il faut assumer plutôt que masquer.
Selon le baromètre national de la maturité cyber des TPE et PME publié par Cybermalveillance.gouv.fr en octobre 2025 (et dont la deuxième édition est réalisée par OpinionWay auprès de 588 entreprises de moins de 250 salariés), 78 % des répondants déclarent disposer de sauvegardes. Le même baromètre indique que 80 % des TPE et PME se déclarent mal préparées à une attaque ou ignorent leur niveau de préparation.
Du côté des grandes entreprises et des ETI, le 11e baromètre annuel du CESIN, réalisé par OpinionWay en décembre 2025 auprès de 397 directeurs cybersécurité et RSSI, porte sur des organisations plus matures. 70 % des répondants estiment néanmoins ne pas disposer des ressources humaines et financières suffisantes pour répondre aux enjeux.
Le test du plan, principal angle mort
Aucune donnée publique française récente ne mesure la fréquence de test des PRA en entreprise. Ni le CESIN, ni Cybermalveillance.gouv.fr, ni l’Insee ne publient cet indicateur, et les chiffres mondiaux qui circulent portent sur des panels non comparables au tissu économique français.
Ce manque est le point aveugle du sujet. Disposer d’un plan et avoir prouvé qu’il fonctionne sont deux états différents, et seul le second protège réellement. En l’absence de mesure nationale, le seul indicateur exploitable reste interne : la date du dernier test complet et son périmètre.
Le cas des PME et des ETI
Trois caractéristiques distinguent la situation des PME et des ETI françaises. L’absence de fonction dédiée à la continuité d’activité : le sujet incombe au responsable informatique, quand il existe. La dépendance à un prestataire unique, qui concentre le risque au lieu de le répartir. Il y a aussi les contraintes de moyens.
Le baromètre Cybermalveillance.gouv.fr d’octobre 2025 cite le manque de connaissances (63 %), les contraintes budgétaires (61 %) et le manque de temps (59 %) comme principaux obstacles. Trois quarts des TPE et PME interrogées consacrent moins de 2 000 € par an à la cybersécurité. La restauration après un incident informatique se prépare donc rarement à froid.
Ce qui tire la demande
Fréquence et durée des interruptions d’activité
La sinistralité recule en fréquence, mais s’aggrave en conséquences. Selon le 11e baromètre du CESIN publié en janvier 2026, portant sur l’année 2025, 40 % des organisations interrogées déclarent avoir subi au moins une cyberattaque significative, contre 57 % en 2020.
Le même baromètre indique que 81 % des entreprises touchées font état de perturbations de production, de pertes d’image ou de compromissions de données. Chez les TPE et PME, le baromètre Cybermalveillance.gouv.fr d’octobre 2025 relève 16 % d’entreprises victimes d’au moins un incident sur douze mois.
Aucune source publique française ne publie de durée moyenne d’interruption vérifiable pour les entreprises privées. Les durées qui circulent ne sont rattachées à aucune étude identifiable, et ne sont pas reprises ici.
Le rançongiciel, premier scénario de reprise
L’ANSSI a recensé 128 compromissions par rançongiciel en 2025, contre 141 en 2024, dans son Panorama de la cybermenace 2025 publié le 11 mars 2026. Les PME, TPE et ETI représentent 48 % des victimes recensées.
Ce scénario a modifié les exigences techniques de la reprise. Un attaquant présent sur le système d’information cherche à supprimer ou chiffrer les sauvegardes avant de déclencher l’attaque. La reprise doit donc s’appuyer sur des copies inaccessibles depuis le domaine compromis, dans un environnement reconstruit et sain. Le déclenchement d’un PRA change de nature.
Les scénarios non cyber restent majoritaires en volume
Panne matérielle, coupure réseau, incident électrique sur un site d’hébergement, défaillance d’un prestataire, dégât des eaux : les causes d’indisponibilité sans origine malveillante restent les plus nombreuses, même si elles font moins de bruit. Un plan calibré sur le seul rançongiciel laisse ces scénarios sans réponse.
| Chiffres clés – 1 366 incidents de sécurité confirmés par l’ANSSI en 2025, contre 1 361 en 2024 (Panorama de la cybermenace 2025, publié le 11 mars 2026). – 128 compromissions par rançongiciel en 2025, dont 48 % visant des TPE, PME et ETI (ANSSI, Panorama de la cybermenace 2025). – 40 % des organisations victimes d’au moins une cyberattaque significative en 2025 (CESIN, 11e baromètre, 397 répondants, janvier 2026). – 78 % des TPE et PME équipées de sauvegardes (Cybermalveillance.gouv.fr, baromètre maturité cyber, 588 répondants, octobre 2025). |
Le cadre réglementaire, nouveau moteur du marché
NIS2 et la loi Résilience : où en est la France
La directive (UE) 2022/2555, dite NIS2, impose à son article 21 des mesures de gestion des risques couvrant la continuité des activités, la gestion des sauvegardes, la reprise des activités et la gestion des crises. Le texte élargit fortement le périmètre des entités concernées par rapport au régime précédent.
La directive n’impose pas un PRA en tant que tel. Elle impose des mesures de continuité, dont le PRA constitue un moyen parmi d’autres. La nuance est structurante.
En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience, a été adopté par le Sénat en première lecture le 12 mars 2025. Les échéances d’application dépendront du calendrier parlementaire et des décrets, et ne peuvent être annoncées à ce stade.
DORA, le précédent du secteur financier
Le règlement (UE) 2022/2554, dit DORA, applicable depuis le 17 janvier 2025, fixe un niveau d’exigence supérieur en matière de résilience opérationnelle numérique. Son article 24, paragraphe 6, impose de soumettre au moins une fois par an à des tests appropriés tous les systèmes qui soutiennent des fonctions critiques ou importantes.
Le périmètre est strictement sectoriel : DORA vise les entités financières et leurs prestataires informatiques, pas les autres secteurs. Le texte sert toutefois de référence de niveau d’exigence, sur les tests et sur l’encadrement contractuel des prestataires tiers.
ISO 22301 et ISO/IEC 27031 : les référentiels de méthode
L’ISO 22301 définit les exigences d’un système de management de la continuité d’activité, dans sa version 2019. L’ISO/IEC 27031 traite de la préparation des technologies de l’information et de la communication à la continuité d’activité. Les deux normes relèvent d’une démarche volontaire.
| Texte ou norme | Nature | Qui est concerné | Ce qui est exigé en matière de continuité |
| Directive (UE) 2022/2555 (NIS2) | Contraignant, après transposition | Entités essentielles et importantes | Mesures de continuité, gestion des sauvegardes et des crises (article 21) |
| Règlement (UE) 2022/2554 (DORA) | Contraignant, applicable depuis le 17 janvier 2025 | Entités financières et prestataires TIC | Tests annuels des systèmes soutenant des fonctions critiques (article 24) |
| Directive (UE) 2022/2557 (REC) | Contraignant, après transposition | Entités critiques désignées par les États membres | Mesures de résilience physique et organisationnelle |
| ISO 22301, version 2019 | Volontaire, certifiable | Toute organisation | Système de management de la continuité, programme d’exercices |
Comment l’offre évolue
Du site de secours dédié au PRA managé
Le modèle historique reposait sur un investissement matériel dupliqué : une seconde salle, un second parc, immobilisés pour un usage exceptionnel. Le PRA managé substitue à cet investissement un service facturé à l’usage, mutualisé sur une infrastructure partagée.
Pour une PME, la conséquence est directe : des délais de reprise courts deviennent accessibles sans doubler l’infrastructure ni les compétences internes. C’est le principal facteur d’élargissement du marché à des entreprises qui en étaient exclues par le coût. Une solution de PRA managé se dimensionne à partir des délais visés, pas du parc existant.
Sauvegardes immuables et environnements de reprise isolés
La sauvegarde immuable repose sur une rétention non modifiable pendant une durée définie, y compris par un compte disposant des droits d’administration. L’environnement de reprise isolé, lui, s’authentifie hors du domaine de production, ce qui empêche un attaquant présent sur le système d’information d’atteindre les copies.
Localisation des données et des sites de reprise
La localisation des données en France et des sites de reprise en France figure de plus en plus souvent dans les cahiers des charges, sous l’effet des exigences des donneurs d’ordres. La réversibilité contractuelle relève de la même logique : récupérer ses données dans un format exploitable et dans un délai connu. Une offre de cloud 100 % français répond au premier volet.
Automatisation et tests continus
Le plan documenté cède la place au plan vérifié périodiquement de façon automatisée : contrôle d’intégrité des sauvegardes, restauration test programmée et bascule d’une application non critique sans intervention manuelle. Ces mécanismes ne remplacent pas un exercice complet, mais comblent en partie l’angle mort du test.
Freins et perspectives
Ce qui freine encore l’équipement
L’arbitrage entre coût et délai de reprise arrive en premier. Diviser par deux la durée maximale d’interruption admissible ne divise pas le budget par deux, il l’augmente. Les notions de RTO et RPO structurent cette discussion et méritent d’être posées avant tout chiffrage.
L’absence de ressource interne dédiée constitue le deuxième frein. Dans une PME, la continuité relève de personne en particulier, donc de personne tout court une fois l’urgence passée.
Les plans obsolètes ferment la liste. Un dispositif conçu avant une migration ou la mise en production d’une application critique décrit une infrastructure qui n’existe plus. Le plan vieillit sans que personne ne le constate, jusqu’au jour où il sert.
Ce qui devrait faire bouger le marché d’ici 2028
Trois facteurs paraissent déterminants, par ordre d’effet attendu. Il s’agit d’hypothèses de lecture, pas de prévisions chiffrées. L’entrée en application effective du cadre réglementaire français vient en premier : tant que la loi Résilience n’est pas promulguée et ses décrets publiés, l’effet d’entraînement sur les tendances de la continuité d’activité reste anticipatoire.
Les exigences contractuelles des grands comptes envers leurs fournisseurs suivent. Le CESIN relève dans son 11e baromètre que 35 % des incidents déclarés proviennent d’un tiers, ce qui pousse les donneurs d’ordres à contrôler la résilience de leur chaîne de sous-traitance.
Les conditions de souscription en cyber assurance ferment la marche. L’étude LUCY 2026 de l’AMRAE, sixième édition portant sur l’exercice 2025 et fondée sur 20 996 polices et 1 251 sinistres, relève une hausse de 75 % du nombre d’ETI assurées et un ratio sinistres sur primes des ETI passé de 13 % à 42 % en un an. Une sinistralité qui se dégrade à un tel rythme finit par durcir les conditions.