Backup as a Service (BaaS) pour les PME : externaliser la sauvegarde dans le cloud

« Mais on a des sauvegardes, non ? » C'est une phrase que l'on entend souvent dans les PME, généralement juste avant que quelqu'un découvre que le disque dur externe sous le bureau ne tourne plus depuis deux ans, ou que le NAS du local serveur a été chiffré par le ransomware au même titre que tout le reste. Le Backup as a Service (BaaS) est la réponse moderne : une infrastructure de sauvegarde dans le cloud, facturée par utilisateur ou par To, dont la gestion est confiée à un prestataire externe. Dans cet article, nous expliquons ce qu'est exactement le BaaS, pourquoi la règle classique du 3-2-1 ne suffit plus, ce qu'exige NIS2 et à quoi être attentif dans le choix d'un fournisseur.

Qu'est-ce que le Backup as a Service ?

Le BaaS est un service de sauvegarde dans le cloud dans lequel un fournisseur externe met à disposition l'ensemble de l'infrastructure de sauvegarde : logiciel, stockage, chiffrement, politiques de rétention et outils de restauration. Vous installez un agent sur vos serveurs, ordinateurs portables ou machines virtuelles, ou vous connectez votre tenant Microsoft 365, et tout le reste se fait automatiquement. Vous payez un abonnement mensuel par utilisateur, par charge de travail ou par To.

La différence avec « un disque externe » ou « un NAS dans le bâtiment d'à côté » tient en trois points : la sauvegarde est hors site par conception, elle est chiffrée et versionnée, et la gestion (mises à jour, supervision, capacité) incombe au fournisseur. Pour une PME, cela signifie souvent que la sauvegarde devient enfin réellement fiable, au lieu d'être réglée sur le papier mais pas dans les faits.

La règle classique du 3-2-1 : toujours la base

Tout conseiller en sauvegarde commence par la règle du 3-2-1 :

• 3 copies de vos données : la production plus deux sauvegardes.
• 2 supports différents (par exemple un disque local et un stockage objet dans le cloud).
• 1 copie hors site, c'est-à-dire physiquement séparée de votre site principal.

Cette règle existe depuis des décennies et explique pourquoi un simple disque externe sous le bureau ne suffit pas : pas de copie hors site et, le plus souvent, pas de second support. Le BaaS règle d'un coup la question du hors site et du second support : le cloud est par définition hors site, et le stockage objet d'un fournisseur cloud est un support différent de votre disque local.

Pourquoi le 3-2-1 ne suffit plus en 2026 : place au 3-2-1-1-0

Le ransomware a changé les règles du jeu. Les attaquants savent que les sauvegardes sont leur pire ennemi et les ciblent délibérément : ils scannent les serveurs de sauvegarde, utilisent des identifiants administrateur volés et suppriment ou chiffrent les sauvegardes avant de s'attaquer à la production. Des sauvegardes 3-2-1 classiques accessibles via le réseau restent alors vulnérables.

C'est pourquoi la norme moderne est le 3-2-1-1-0 :

• 3 copies, 2 supports, 1 hors site : ce socle reste valable.
• +1 copie immuable ou isolée (air-gapped) : une sauvegarde qui ne peut être ni modifiée ni supprimée pendant une période de rétention, même avec des droits administrateur volés.
• +0 erreur de restauration : une vérification régulière que la restauration fonctionne réellement.

Le stockage immuable (par exemple l'object lock sur un stockage compatible S3) est la principale mesure anti-ransomware au niveau de la sauvegarde. Tous les fournisseurs de BaaS sérieux le proposent en standard. Notre guide complet sur la stratégie de sauvegarde approfondit l'architecture.

RTO et RPO : les deux chiffres qui déterminent tout

Avant de choisir un fournisseur de BaaS, répondez à deux questions :

• RPO (Recovery Point Objective) : quelle quantité de données pouvez-vous perdre au maximum ? Un RPO de 24 heures signifie au plus une journée de travail perdue ; un RPO de 15 minutes exige une réplication quasi continue.
• RTO (Recovery Time Objective) : en combien de temps votre système doit-il être de nouveau opérationnel ? Un RTO de 4 heures signifie que tout doit fonctionner à nouveau dans les 4 heures.

Sans RTO ni RPO définis, vous choisissez au hasard une solution trop coûteuse ou trop légère. Notre guide sur le plan de continuité d'activité vous aide à fixer ces valeurs pour chaque processus.

La pression de NIS2 sur les sauvegardes

La Cyberbeveiligingswet, la loi néerlandaise de transposition de NIS2, a été adoptée par le Sénat néerlandais (Eerste Kamer) le 7 juillet 2026 et est entrée en vigueur le 15 août 2026. Plus de 8 000 organisations néerlandaises y sont soumises. Si vous relevez de NIS2 en tant qu'entité essentielle ou importante (en général à partir de 50 salariés ou plus de 10 millions d'euros de chiffre d'affaires dans un secteur visé), vous êtes tenu de prendre des mesures appropriées en matière de continuité d'activité, de gestion des sauvegardes et de réponse aux incidents.

Concrètement, le niveau attendu correspond étroitement au 3-2-1-1-0 : une stratégie de sauvegarde démontrable, au moins une copie immuable et une capacité de restauration vérifiée régulièrement. Point important : NIS2 ne porte pas seulement sur la sauvegarde elle-même, mais sur la preuve que vous testez et documentez vos restaurations. Pour en savoir plus, consultez notre guide NIS2 pour les PME.

Microsoft 365 et le malentendu de la responsabilité partagée

L'un des malentendus les plus tenaces dans les PME : « Nous sommes sur Microsoft 365, donc Microsoft s'occupe des sauvegardes. » Non. Microsoft fournit l'infrastructure, la disponibilité et la sécurité au niveau du service. Vous êtes responsable des données, de la gestion des accès, de la configuration de conformité et de la restauration de ce que vous supprimez par erreur ou laissez chiffrer.

La réplication n'est pas une sauvegarde : si quelqu'un efface une bibliothèque SharePoint ou si un ransomware chiffre un OneDrive, Microsoft réplique fidèlement ce changement. Les politiques de rétention aident à la conformité, mais ne constituent pas une sauvegarde restaurable. Pour une véritable sauvegarde de M365, il vous faut une solution distincte. Le module complémentaire payant Microsoft 365 Backup coûte environ 0,15 dollar par Go et par mois ; un BaaS tiers se situe généralement entre 2 et 6 dollars par utilisateur et par mois.

Combien coûte le BaaS pour une PME néerlandaise ?

Les prix varient selon le fournisseur, le type de licence et le nombre de charges de travail. Repères pour 2026 :

• Sauvegarde M365 via un BaaS tiers (Veeam Data Cloud, Acronis, Datto, AvePoint) : de 2 à 6 dollars par utilisateur et par mois.
• Acronis Cyber Protect Cloud : plateforme de base à partir d'environ 85 dollars par charge de travail et par an ; avec les modules de reprise d'activité (DR) et de sécurité, le prix par charge de travail augmente.
• Veeam Data Cloud : par utilisateur ou par To. Hausse de prix de 4 à 8 % depuis janvier 2026.
• Datto : prix réduits d'environ 10 % en janvier 2026, après la suppression par Kaseya du modèle de facturation High Watermark en décembre 2025.

Pour une PME de 30 salariés disposant d'un serveur local et d'un tenant M365, une solution BaaS complète avec rétention immuable revient souvent à 4 000 à 10 000 euros par an. Comptez en plus 2 000 à 6 000 euros de mise en place, en coût ponctuel.

Les points à vérifier dans le choix d'un fournisseur de BaaS

Avant de signer un contrat, passez en revue cette liste :

1. Rétention immuable. Le fournisseur prend-il en charge des sauvegardes non modifiables pendant au moins 30 jours ? Sans cela, vous êtes exposé aux ransomwares qui s'attaquent à vos sauvegardes.
2. Hébergement des données dans l'UE. Où se trouvent vos données ? Pour le RGPD, l'hébergement dans l'UE est la norme, et certains secteurs (santé, finance, administration) privilégient explicitement un hébergement aux Pays-Bas.
3. Chiffrement au repos et en transit. C'est la norme, mais vérifiez si vous gérez vous-même les clés (BYOK) ou si le fournisseur les conserve.
4. Tests de restauration. À quelle fréquence les restaurations sont-elles vérifiées ? Le fournisseur vous remet-il un rapport périodique ?
5. RTO et RPO inscrits au contrat. Ces engagements de SLA sont-ils formalisés, et quelles sont les pénalités s'ils ne sont pas tenus ? Notre guide sur les SLA de services IT décrit les éléments à exiger.
6. Frais de sortie (egress). Combien coûte la récupération de l'ensemble de vos données depuis le cloud en cas d'incident majeur ? Certains fournisseurs facturent des frais de bande passante qui grimpent vite.
7. Stratégie de sortie. À la fin du contrat, pouvez-vous récupérer vos données dans un format exploitable ? La dépendance à un fournisseur cloud pour les sauvegardes est un risque réel.

Avantages et limites en un coup d'œil

Avantages :

• Hors site par conception, automatiquement conforme au 3-2-1.
• Pas de matériel de sauvegarde à remplacer tous les 3 à 5 ans.
• Des dépenses d'exploitation (OpEx) prévisibles par utilisateur ou par To, au lieu d'un investissement (CapEx) ponctuel.
• Rétention immuable et chiffrement disponibles en standard.

Limites :

• Dépendance à la connexion Internet et à la disponibilité du fournisseur ; lors d'une restauration importante, la bande passante devient un véritable goulot d'étranglement.
• Des coûts mensuels récurrents qui peuvent fortement augmenter avec de gros volumes de données.
• Des frais de sortie lors d'une restauration à grande échelle qui réservent parfois de mauvaises surprises.
• Dépendance au fournisseur : changer de prestataire est complexe et chronophage.

Quand le BaaS n'est pas le premier choix

Pour une petite PME qui n'utilise que M365 et n'a pas de serveurs locaux, une sauvegarde ciblée de M365 suffit souvent, sans plateforme BaaS complète. Pour les entreprises qui manipulent de très gros volumes de données (médias, bureaux d'études avec des To de fichiers de projet), un modèle hybride combinant un snapshot local immuable et un étagement vers le cloud peut s'avérer plus économique. Faire le calcul en amont est payant : estimez le volume total de données, le taux de croissance et la fréquence de restauration attendue. Si vous avez des exigences de souveraineté des données, vérifiez explicitement où le fournisseur héberge son stockage et quels sont ses sous-traitants ultérieurs.

Comment mener un projet de BaaS ?

Dans une PME, un déploiement de BaaS prend généralement de 3 à 8 semaines :

1. Inventaire des données : quelles charges de travail faut-il sauvegarder (serveurs, machines virtuelles, terminaux, M365, bases de données) ?
2. Définition du RTO et du RPO par charge de travail ; tout n'a pas besoin d'être restauré aussi vite.
3. Choix du fournisseur et négociation du contrat, en prêtant attention à la rétention immuable, à l'hébergement dans l'UE et aux frais de sortie.
4. Chargement initial. C'est un goulot d'étranglement pour les gros volumes ; certains fournisseurs proposent un amorçage physique via un appareil envoyé sur site.
5. Configuration des politiques de rétention conformément au RGPD, à NIS2 et aux exigences sectorielles.
6. Supervision et alertes : qui reçoit une notification lorsqu'une sauvegarde échoue ?
7. Test de restauration dans le mois qui suit la mise en service. Une sauvegarde jamais restaurée n'est pas une sauvegarde qui fonctionne.

Questions fréquentes sur le Backup as a Service pour les PME

Quelle est la différence entre le BaaS et le Disaster Recovery as a Service ? Le BaaS se concentre sur la conservation et la restauration des données. Le DRaaS va plus loin : il couvre aussi l'infrastructure et les applications dans leur intégralité, avec une bascule en quelques minutes à quelques heures vers une réplique dans le cloud. Le DRaaS est plus cher, mais nécessaire si votre RTO est de quelques heures ou moins. Pour une PME dont le RTO est de 8 à 24 heures, le BaaS suffit généralement.

Le BaaS remplace-t-il ma sauvegarde locale ? C'est possible, mais pas obligatoire. Une configuration hybride associant un snapshot local immuable rapide et un BaaS dans le cloud permet une restauration rapide lors des incidents courants et une protection hors site complète en cas de sinistre. Une solution 100 % cloud convient très bien aux volumes de données plus modestes.

Microsoft 365 est-il déjà protégé sans sauvegarde distincte ? Non. Microsoft fait tourner l'infrastructure ; vos données (e-mails, SharePoint, OneDrive, Teams) relèvent de votre responsabilité. Les politiques de rétention et la corbeille ne permettent pas une véritable restauration. Un BaaS tiers pour M365 coûte généralement de 2 à 6 dollars par utilisateur et par mois.

Que signifie exactement une sauvegarde immuable ? Non modifiable : pendant une période définie, même un administrateur ne peut ni supprimer, ni modifier, ni écraser la sauvegarde. Elle protège contre les ransomwares qui tentent de détruire les sauvegardes. L'object lock sur un stockage S3 ou les bandes WORM en sont des formes bien connues.

Combien coûte le BaaS pour une entreprise de 30 salariés ? Environ 4 000 à 10 000 euros par an pour une solution complète couvrant M365, un serveur local et les terminaux, rétention immuable comprise. S'y ajoutent 2 000 à 6 000 euros de mise en place, en coût ponctuel.

À quelle fréquence faut-il tester la restauration ? Au minimum une restauration partielle chaque trimestre et un exercice de reprise complet une fois par an. Dans le cadre de NIS2, il est recommandé de documenter ces tests : quel test, à quelle date, avec quel résultat.

Conclusion

En 2026, le BaaS est pour les PME néerlandaises la voie la plus pragmatique vers une stratégie de sauvegarde qui fonctionne vraiment : automatiquement hors site, immuable face aux ransomwares et sans les contraintes d'une infrastructure de sauvegarde en propre. La règle du 3-2-1 reste la base, mais le 3-2-1-1-0 est la nouvelle norme, et NIS2 attend d'un nombre croissant d'organisations qu'elles puissent démontrer qu'elles l'atteignent. Pour la plupart des environnements de PME, l'investissement se situe entre 4 000 et 15 000 euros par an, selon la taille et le périmètre.

Vous voulez savoir quelle solution de BaaS correspond à votre volume de données, à votre RTO et à vos exigences de conformité, ou devez-vous mettre en place quelque chose en urgence pour NIS2 ou une cyberassurance ? TRON Group accompagne les PME néerlandaises dans la sélection, le déploiement et la supervision 24 h/24, 7 j/7 de solutions BaaS pour Microsoft 365, les serveurs et les terminaux, avec rétention immuable et restaurations vérifiées. Découvrez nos services cloud ou appelez le +31 85 303 5869 pour un échange sans discours commercial. TRON Group. Moving IT Forward - Une informatique qui fonctionne, évolue et protège.