C’est quoi la RTO ?
La RTO, ou Recovery Time Objective, désigne la durée maximale pendant laquelle une activité peut rester interrompue après un incident, avant que les conséquences ne deviennent inacceptables pour l’entreprise. C’est un seuil de temps décidé à l’avance, pas une performance technique constatée après coup.
Concrètement, si votre logiciel de facturation tombe à 9h et que la RTO est fixée à 4 heures, l’objectif est que tout soit remis en service avant 13h. Passé ce délai, on considère que la perte commerciale, opérationnelle ou réputationnelle dépasse le seuil toléré. Ce chiffre n’est pas magique : il se négocie entre la direction, les métiers et le prestataire technique.
Chaque application a sa propre valeur de RTO. Un ERP qui gère la production tolère rarement plus de quelques heures. Une plateforme interne de gestion documentaire peut, elle, encaisser deux jours d’indisponibilité sans casser l’activité. C’est cette hiérarchisation qui rend les indicateurs RTO RPO utiles : sans elle, on protège tout au même niveau, et on paie beaucoup trop cher.
Définir une RTO réaliste pour une PME suppose de mesurer d’abord le coût d’une heure d’arrêt. Selon l’Uptime Institute – Annual Outage Analysis 2024, 54 % des entreprises ayant subi une panne significative déclarent qu’elle leur a coûté plus de 100 000 dollars (Source : Uptime Institute, 2024). Face à ce chiffre, la RTO cesse d’être un jargon technique pour devenir une vraie décision de gestion, au cœur d’un plan de reprise d’activité.
C’est quoi le RPO ?
Le RPO, Recovery Point Objective, mesure la quantité de données que l’entreprise accepte de perdre entre la dernière sauvegarde utilisable et le moment de l’incident. Ce n’est pas une durée d’interruption : c’est une perte de données acceptable, exprimée en minutes, heures ou jours de travail.
Prenons un cas simple. Si votre serveur comptable est sauvegardé chaque nuit à 2h et qu’un ransomware frappe à 17h, vous perdez potentiellement quinze heures de saisies : factures, écritures, bons de commande. Si ce volume vous paraît supportable, le RPO est cohérent. S’il vous fait blêmir, il faut sauvegarder plus souvent — toutes les heures, voire en continu pour les données critiques.
Le RPO dépend directement de la fréquence de sauvegarde des données et de la technologie choisie. Une sauvegarde quotidienne donne un RPO de 24 heures. Une réplication synchrone tend vers zéro, mais le coût grimpe. Notre guide sur les trois grands types de sauvegarde adaptés aux PME détaille comment ces choix techniques influent sur le seuil de perte tolérée.
Attention à ne pas confondre les indicateurs RTO RPO avec la simple existence d’une sauvegarde. Beaucoup de dirigeants pensent être couverts parce qu’un disque tourne quelque part. La vraie question n’est pas « sauvegardez-vous ? » mais « jusqu’où pouvez-vous remonter le temps si tout brûle ce matin ? ». Cette définition, exprimée en heures perdues plutôt qu’en téraoctets stockés, change complètement la conversation.
Quelle est la différence entre RTO et RPO ?
La différence entre RTO et RPO tient en une phrase : la RTO regarde vers l’avant (combien de temps avant de repartir ?), le RPO regarde vers l’arrière (jusqu’à quand puis-je récupérer mes données ?). Les deux seuils encadrent l’incident, l’un côté remise en service, l’autre côté fraîcheur de la donnée restaurée.
| Critère | RTO | RPO |
|---|---|---|
| Question posée | Combien de temps d’arrêt ? | Combien de données perdues ? |
| Unité | Heures d’indisponibilité | Heures de travail perdues |
| Levier principal | Vitesse de restauration système | Fréquence de sauvegarde |
| Exemple PME 5-20 postes | 4 h pour l’ERP | 1 h pour la compta |
| Exemple TPE artisan | 24 h pour la bureautique | 24 h pour les devis |
| Exemple e-commerce | 30 min pour le site | 15 min pour les commandes |
Cette distinction a des conséquences budgétaires directes. Baisser la RTO exige d’investir dans des serveurs de secours prêts à démarrer, une bande passante correcte et des procédures testées. Réduire le RPO implique de sauvegarder plus souvent, donc plus de stockage et une supervision fine. Fixer les deux à zéro coûterait une fortune à une PME de vingt personnes, et n’apporterait aucun bénéfice réel.
L’arbitrage se fait métier par métier, application par application. C’est le cœur d’un vrai plan de reprise d’activité : accepter que tout ne vaille pas la même chose. Les valeurs cibles de RTO et RPO servent ensuite de cahier des charges au prestataire, qui sait exactement quelle infrastructure de disaster recovery bâtir. Sans ces deux seuils écrits noir sur blanc, une discussion sur la sauvegarde externalisée ou interne tourne vite à l’aveugle. Poser ces seuils avant de choisir l’outil, c’est éviter d’acheter une Ferrari pour rouler en zone 30, ou l’inverse.
Pourquoi ces seuils sont-ils critiques pour une PME ?
Les indicateurs RTO RPO dictent la survie opérationnelle après un incident. Un mauvais réglage se paie cash : journées perdues, clients furieux, données irrécupérables. Pour une PME sans DSI interne, poser des cibles réalistes évite de découvrir le vrai coût d’une panne le jour où elle survient.
Un cabinet comptable qui perd une matinée de saisie en pleine liasse fiscale ne vit pas le même drame qu’un artisan dont le devis part avec 24 h de retard. Le temps d’interruption toléré varie selon le métier, la saison, le poids de l’application. Les défaillances IT et réseau représentent d’ailleurs 23 % des pannes impactantes en 2024, selon l’Uptime Institute Annual Outage Analysis (Source : Uptime Institute, 2024). Sans indicateurs RTO RPO écrits, la sauvegarde des données devient une police d’assurance qu’on n’a jamais lue. Le dirigeant découvre alors que la restauration système prend trois jours quand il en espérait trois heures.
Pour aller plus loin sur les bonnes pratiques, notre article Cybersécurité PME : mesures concrètes complète utilement la démarche, ainsi qu’un rappel du bonnes pratiques CNIL sur la sauvegarde.
Comment définir ses objectifs RTO et RPO ?
La méthode tient en trois temps : cartographier les applications critiques, chiffrer le coût d’une heure d’arrêt, puis confronter ces montants au budget disponible. Chaque application reçoit ses propres seuils RTO RPO, jamais une valeur unique pour toute l’entreprise. La cohérence naît de l’arbitrage métier, pas d’une norme technique.
Commencez par lister ce qui fait tourner la boîte au quotidien : messagerie, ERP, comptabilité, fichiers partagés, site vitrine. Pour chacun, posez deux questions au dirigeant. Combien coûte une heure sans cet outil ? Jusqu’où peut-on retaper les données manuellement sans y laisser sa semaine ? Les réponses dessinent la perte de données acceptable et le temps d’arrêt supportable, application par application.
Testez ensuite ces valeurs par une simulation. Un vrai exercice de disaster recovery révèle souvent que la restauration réelle prend le double du délai promis. Ajustez, documentez, intégrez le tout dans un PRA écrit — ce document sert autant au prestataire qu’à l’assureur cyber.
Questions fréquentes
C’est quoi la RTO en une phrase ?
La RTO, ou Recovery Time Objective, désigne la durée maximale pendant laquelle une application ou un service peut rester indisponible après un incident sans mettre l’activité en danger. Exprimée en minutes, heures ou jours, elle fixe l’objectif de remise en service. Une cible de quatre heures signifie que l’ERP doit repartir dans les quatre heures suivant la panne.
C’est quoi le RPO concrètement ?
Le RPO, Recovery Point Objective, correspond au volume maximal de données qu’une entreprise accepte de perdre entre la dernière sauvegarde exploitable et l’incident. Un seuil d’une heure impose une sauvegarde toutes les heures. Plus il est court, plus l’infrastructure de sauvegarde doit être fréquente, donc coûteuse en stockage et en supervision.
Que signifie l’abréviation RTO ?
RTO est l’acronyme anglais de Recovery Time Objective, littéralement objectif de temps de reprise. Le terme est issu du vocabulaire du plan de reprise d’activité et de la continuité d’activité. Il s’utilise partout dans l’IT, du contrat d’infogérance au cahier des charges d’un plan de reprise, sans traduction française vraiment stabilisée.
Quel est le rôle de ces indicateurs ?
Les indicateurs RTO RPO servent de contrat entre le métier et la technique. Ils traduisent en chiffres ce que le dirigeant tolère : combien d’heures sans outil, combien de données perdues. Le prestataire dimensionne ensuite la sauvegarde et l’infrastructure en fonction. Sans ces repères, impossible de comparer deux offres ou de vérifier qu’une solution tient ses promesses.
Comment calculer une cible réaliste pour une PME ?
Multipliez la perte de chiffre d’affaires horaire par le nombre d’heures d’interruption envisagées, puis ajoutez les coûts de reprise et les éventuelles pénalités contractuelles. Comparez ce total au surcoût d’un seuil plus court. Le point d’équilibre donne une cible crédible. Un exercice de restauration réel valide ensuite la faisabilité technique du seuil retenu.
Ces deux seuils doivent-ils être identiques ?
Non, et c’est même rarement souhaitable. Une messagerie tolère souvent une perte de données limitée mais un délai de reprise plus long ; un site e-commerce exige l’inverse. Différencier les deux, application par application, optimise le budget sauvegarde. Aligner mécaniquement les deux conduit soit à surinvestir, soit à sous-protéger ce qui compte vraiment.
Fixer ses seuils de reprise n’est ni un exercice théorique ni une case à cocher pour l’assureur : c’est la fondation d’une sauvegarde qui tient ses promesses le jour de l’incident. Cyber-LID accompagne les PME du Val-d’Oise et de l’Oise pour poser leurs indicateurs RTO RPO sans jargon, application par application, en cohérence avec le budget réel. Un échange sur cyber-lid.com permet de dresser un premier diagnostic en quelques minutes.
À propos de Cyber-LID
Basée à Viarmes (95270), Cyber-LID est une équipe d’infogérance et de cybersécurité dédiée aux PME, TPE et indépendants du nord du Val-d’Oise et du sud de l’Oise. La technologie doit aider une entreprise à travailler, pas lui compliquer le quotidien : notre approche privilégie la proximité, l’écoute et des solutions réalistes. Découvrez notre offre de sauvegarde informatique pour PME et bénéficiez d’un interlocuteur unique identifiable.
