Sauvegarde 3-2-1 : la règle anti-ransomware 2026

Un rançongiciel qui chiffre vos serveurs ne détruit pas seulement vos données de production : il cherche d’abord vos sauvegardes, parce que leur destruction transforme un incident en catastrophe et une rançon en seule issue apparente. La règle 3-2-1 est le socle qui empêche exactement ce scénario. C’est une méthode simple, ancienne, et redoutablement efficace — à condition de comprendre pourquoi chaque chiffre compte et ce qu’il faut y ajouter en 2026.

La règle 3-2-1 : trois chiffres, trois risques couverts

La règle 3-2-1 tient en une phrase : conservez 3 copies de vos données, sur 2 supports de nature différente, dont 1 copie hors site. Chaque chiffre neutralise une catégorie de risque distincte.

3 copies — la donnée originale plus deux sauvegardes. La logique est probabiliste : si une copie a une probabilité de défaillance donnée sur une période, deux copies indépendantes rendent la perte simultanée statistiquement négligeable. Une seule sauvegarde ne suffit jamais, car elle peut être corrompue au moment précis où vous en avez besoin.

2 supports différents — par exemple un NAS local et un stockage cloud, ou un disque et une bande LTO. L’objectif est d’éviter les défaillances corrélées : deux disques issus du même lot de fabrication peuvent tomber en panne dans la même fenêtre, et un logiciel de sauvegarde défectueux peut corrompre de la même façon deux supports identiques. Diversifier les technologies casse cette corrélation.

1 copie hors site — pour survivre à un sinistre physique. Un incendie, un dégât des eaux, un vol ou une inondation qui touche votre local détruit d’un coup toutes les copies qui s’y trouvent, aussi nombreuses soient-elles. La copie distante — data center, cloud, coffre bancaire — est ce qui reste quand le bâtiment a disparu.

Ayant travaillé six ans au sein de la DCSSI (aujourd’hui l’ANSSI), j’ai vu combien la robustesse d’une organisation face à un incident tient à des principes de base appliqués sans exception, bien plus qu’à des dispositifs sophistiqués mal maîtrisés. La règle 3-2-1 est précisément ce genre de principe.

Pourquoi 3-2-1 ne suffit plus : l’évolution 3-2-1-1-0

La règle 3-2-1 a été conçue à une époque où le risque dominant était la panne matérielle et le sinistre physique. Les rançongiciels ont changé la donne : un attaquant qui a compromis votre réseau ne se contente pas de chiffrer la production, il recherche activement les serveurs de sauvegarde, tente de supprimer les copies et d’invalider les restaurations. Une sauvegarde en ligne, accessible depuis le réseau compromis, est vulnérable au même titre que le reste.

D’où l’évolution vers la règle 3-2-1-1-0, qui ajoute deux exigences :

1 copie hors ligne ou immuable (le principe de l’air gap). Il s’agit d’une copie que le réseau ne peut pas atteindre ni modifier : bande sortie du lecteur, stockage immuable (WORM, object lock) qui interdit toute suppression avant une date d’expiration, ou compte de sauvegarde totalement cloisonné. C’est la copie que le rançongiciel ne peut pas chiffrer, parce qu’aucune commande venue du système d’information compromis n’a le droit d’y écrire.

0 erreur de restauration — c’est-à-dire une restauration testée et vérifiée, sans anomalie. Une sauvegarde jamais restaurée n’est pas une sauvegarde : c’est une hypothèse. Le zéro impose de tester régulièrement la remise en service à partir des copies, de mesurer le temps réel de restauration et de valider l’intégrité des données restaurées.

En pratique, pour une PME, la traduction est simple : gardez la logique 3-2-1, ajoutez au moins une copie immuable ou déconnectée, et planifiez des tests de restauration périodiques. C’est cette dernière brique qui distingue une organisation qui redémarre en 48 heures d’une organisation qui découvre, le jour de l’attaque, que ses sauvegardes étaient chiffrées elles aussi.

Ce que le droit impose vraiment

La sauvegarde n’est pas qu’une bonne pratique technique : elle relève d’obligations juridiques précises, qu’il faut distinguer.

RGPD : la disponibilité comme obligation de sécurité

L’article 32 du RGPD impose au responsable de traitement et au sous-traitant des mesures de sécurité adaptées au risque. Il vise explicitement, à l’article 32(1)(b), « la capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes », et à l’article 32(1)©, « la capacité à rétablir la disponibilité des données et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ». Autrement dit, une stratégie de sauvegarde éprouvée n’est pas optionnelle : c’est une composante directe de la conformité à l’article 32. J’ai détaillé l’ensemble de ces exigences dans mon analyse de l’article 32 du RGPD sur la sécurité du traitement.

Ce point a des conséquences concrètes. Une perte de données consécutive à un rançongiciel, faute de sauvegarde restaurable, constitue une violation de données au sens de l’article 4(12) — une atteinte à la disponibilité — susceptible de déclencher l’obligation de notification à la CNIL sous 72 heures. L’absence de sauvegarde fiable est régulièrement retenue par la CNIL comme un manquement aggravant à l’article 32.

NIS2 : des sauvegardes vérifiées explicitement exigées

Pour les entités concernées par la directive NIS2, la sauvegarde devient une obligation formalisée. L’article 21 de la directive impose dix mesures minimales de gestion des risques, dont « la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités ». La sauvegarde n’y est pas une recommandation : c’est un élément du socle exigé.

En France, la transposition de NIS2 par la future loi dite de résilience n’était pas encore promulguée à l’été 2026 — le texte, adopté en première lecture au Sénat en mars 2025, restait en cours d’examen. Pour autant, les organisations qui anticipent n’ont pas de raison d’attendre : l’ANSSI a publié en mars 2026 son Référentiel Cyber France (ReCyF), qui traduit les exigences de l’article 21 en mesures concrètes et auditables. Les entités qui relèveront de NIS2 ont tout intérêt à structurer dès maintenant leur dispositif de sauvegarde, dont je rappelle qu’il s’articule étroitement avec le plan de continuité d’activité (PCA) et le plan de reprise d’activité (PRA).

Mettre en œuvre le 3-2-1 : la démarche pratique

Passer du principe à la mise en œuvre suppose quelques décisions structurantes.

Cartographier les données à sauvegarder. Toutes les données ne se valent pas. Identifiez les données vitales (bases métier, systèmes de production, données à caractère personnel), leur volumétrie et leur criticité. C’est ce qui déterminera la fréquence des sauvegardes et le dimensionnement des supports.

Définir vos objectifs RPO et RTO. Le Recovery Point Objective (RPO) est la quantité de données que vous acceptez de perdre, exprimée en temps : un RPO de 24 heures signifie une sauvegarde quotidienne. Le Recovery Time Objective (RTO) est le délai maximal de remise en service acceptable. Ces deux paramètres, issus d’une analyse d’impact, conditionnent toute l’architecture de sauvegarde et sont au cœur de la logique PCA/PRA.

Choisir les supports et l’emplacement distant. Le trio le plus courant en 2026 pour une PME combine une sauvegarde locale rapide (NAS, serveur dédié), une copie cloud chez un hébergeur — idéalement qualifié SecNumCloud pour les données sensibles — et une copie immuable ou déconnectée. La copie cloud satisfait à la fois l’exigence du hors-site et celle d’un second support.

Verrouiller la copie immuable. Activez l’object lock sur le stockage objet, sortez physiquement les bandes, ou cloisonnez le compte de sauvegarde avec des identifiants distincts et une authentification forte. L’objectif est qu’aucune compromission du système d’information de production ne puisse atteindre cette copie.

Tester, mesurer, documenter. Planifiez des restaurations de test à intervalle régulier, mesurez le temps réel de remise en service, vérifiez l’intégrité des données restaurées et consignez les résultats. Ce sont ces tests qui font passer votre dispositif du « 1 » au « 0 » de la règle 3-2-1-1-0. Ils s’inscrivent naturellement dans le cadre plus large des 12 mesures de sécurité attendues par la CNIL.

La sauvegarde participe d’une hygiène de sécurité globale qui, face aux rançongiciels, doit combiner prévention, détection et capacité de reprise. Je renvoie sur ce point à mon guide dédié à la prévention et à la gestion de crise ransomware, dont la sauvegarde constitue le dernier rempart.

Cartographier ses traitements, documenter ses mesures de sécurité et démontrer la conformité à l’article 32 sur la durée représente un travail continu. C’est précisément ce type de suivi — mesures de sécurité, registre, preuves de conformité — que Legiscope aide à structurer et à tenir à jour.

Ce qu’il faut retenir

• La règle 3-2-1 — 3 copies, 2 supports différents, 1 copie hors site — reste le socle de toute stratégie de sauvegarde professionnelle et couvre les pannes matérielles et les sinistres physiques.
• Face aux rançongiciels, la règle évolue en 3-2-1-1-0 : une copie immuable ou hors ligne (air gap) que le réseau compromis ne peut pas atteindre, et zéro erreur de restauration prouvée par des tests réguliers.
• Le RGPD impose la disponibilité et la capacité de rétablissement des données à l’article 32(1)(b) et © : une sauvegarde restaurable est une composante directe de la conformité, pas un simple confort technique.
• La directive NIS2 exige explicitement, à l’article 21, la gestion des sauvegardes au titre de la continuité d’activité ; en France, le ReCyF de l’ANSSI (mars 2026) en donne la déclinaison opérationnelle.
• Une sauvegarde jamais testée n’est qu’une hypothèse : définissez vos objectifs RPO/RTO et vérifiez vos restaurations, sinon vous découvrirez leur inefficacité le jour de l’attaque.

FAQ

Qu’est-ce que la règle de sauvegarde 3-2-1 ?

C’est une méthode qui consiste à conserver 3 copies de ses données, sur 2 types de supports différents, dont 1 copie stockée hors du site principal. Chaque élément couvre un risque distinct : la corruption d’une copie, la défaillance corrélée d’un support, et le sinistre physique du local.

Quelle différence entre 3-2-1 et 3-2-1-1-0 ?

La règle 3-2-1-1-0 ajoute deux exigences pensées pour les rançongiciels : 1 copie immuable ou hors ligne (air gap), inaccessible depuis le réseau compromis, et 0 erreur de restauration, c’est-à-dire des sauvegardes testées et vérifiées. C’est la version recommandée en 2026.

La sauvegarde est-elle une obligation légale ?

Oui, indirectement. L’article 32 du RGPD impose de garantir la disponibilité des données et la capacité à les rétablir en cas d’incident, ce qui suppose des sauvegardes fiables. Pour les entités soumises à NIS2, l’article 21 de la directive exige explicitement la gestion des sauvegardes au titre de la continuité d’activité.

À quelle fréquence faut-il tester ses sauvegardes ?

Il n’existe pas de délai imposé par les textes, mais une bonne pratique consiste à réaliser des tests de restauration réguliers — au minimum trimestriels pour les données critiques — et systématiquement après toute modification importante de l’infrastructure. L’objectif est de mesurer le temps réel de remise en service et de vérifier l’intégrité des données restaurées.