L’essentiel
Un incident informatique — panne serveur, rançongiciel, vol d’ordinateur portable, dégât des eaux — peut paralyser un cabinet en quelques minutes. Le plan de reprise d’activité (PRA) est la réponse structurée qui permet de rouvrir les dossiers, de recontacter les clients et de reprendre les audiences dans les meilleurs délais. Sans lui, chaque heure d’arrêt coûte en temps facturable, en image et, potentiellement, en responsabilité professionnelle.
Ce guide vous donne la méthode pas à pas pour constituer ce plan, le tester et le déclencher si nécessaire — sans service informatique dédié.
—
Ce qui est en jeu
Le secret professionnel, consacré par l’article 66-5 de la loi n° 71-1130 du 31 décembre 1971, ne s’interrompt pas avec une panne. Les données de vos clients restent protégées même lorsque vos systèmes sont hors ligne, et leur reconstitution non maîtrisée peut constituer une violation. Le RGPD (Règlement général sur la protection des données) ajoute une obligation de notification à la CNIL en cas de violation de données personnelles, dans un délai de soixante-douze heures. Ces deux ancres réglementaires rendent le PRA non optionnel : il ne s’agit pas d’une précaution de confort mais d’une exigence professionnelle.
Au-delà du cadre légal, un incident non anticipé expose le cabinet à des retards d’audience, à des délais de procédure manqués et à une perte de confiance des clients — des conséquences très concrètes sur l’activité et la réputation.
—
Étape par étape : construire et déclencher son plan de reprise d’activité
1. Cartographier ce qui compte vraiment
Avant tout incident, listez vos actifs critiques : les logiciels sans lesquels le cabinet ne peut pas travailler (logiciel de gestion de dossiers, accès RPVA, messagerie, GED — gestion électronique de documents), les données prioritaires (dossiers en cours, agendas, CARPA), et les contacts indispensables (greffes, confrères, assureur, prestataire informatique).
Cette cartographie tient sur une page. Elle est la colonne vertébrale de votre PRA.
2. Définir votre tolérance à l’arrêt
Deux mesures suffisent pour cadrer le plan :
- RTO (Recovery Time Objective) : durée maximale acceptable avant reprise. Pour la plupart des cabinets, elle se situe entre quelques heures et deux jours ouvrés.
- RPO (Recovery Point Objective) : perte de données maximale tolérable. Si votre sauvegarde est quotidienne, vous acceptez de perdre jusqu’à vingt-quatre heures de travail.
Formulez ces deux seuils par écrit. Ils conditionnent toutes les décisions techniques qui suivent.
3. Organiser la sauvegarde avant l’incident
Un PRA sans sauvegarde fiable est une liste de vœux. La règle dite 3-2-1 est simple : trois copies des données, sur deux supports différents, dont une hors site (cloud ou support externe stocké ailleurs que le cabinet). Consultez notre page dédiée à la sauvegarde des données pour le détail des solutions adaptées aux cabinets.
Vérifiez que la sauvegarde couvre bien votre logiciel de gestion de cabinet — certains éditeurs proposent une sauvegarde intégrée, d’autres délèguent cette responsabilité au cabinet. Posez la question explicitement lors de votre prochaine démonstration.
4. Documenter les procédures de crise
Rédigez une fiche réflexe d’une page, accessible hors ligne (version papier ou clé USB), comprenant :
- les numéros de votre prestataire informatique, de votre assureur cyber, de votre responsable de traitement CNIL ;
- la localisation des sauvegardes et les identifiants d’accès (stockés dans un gestionnaire de mots de passe ou une enveloppe sécurisée) ;
- les étapes de restauration dans l’ordre.
Cette fiche doit pouvoir être lue et appliquée par n’importe quel membre du cabinet, y compris en l’absence du responsable habituel.
5. Déclencher le plan au moment de l’incident
Dès qu’un incident survient, appliquez cette séquence dans l’ordre :
1. Isoler : déconnectez la machine ou le segment réseau affecté pour éviter la propagation (particulièrement important en cas de rançongiciel).
2. Évaluer : identifiez la nature de l’incident (panne matérielle, intrusion, sinistre physique) avant toute manipulation.
3. Alerter : contactez votre prestataire informatique et votre assureur cyber. Si des données personnelles sont compromises, préparez la notification CNIL dans les soixante-douze heures.
4. Restaurer : activez la sauvegarde selon la procédure documentée à l’étape 4.
5. Communiquer : informez sobrement les clients et confrères concernés par les dossiers urgents, sans divulguer la nature technique de l’incident.
6. Documenter : conservez une trace horodatée de toutes les actions prises — utile pour l’assureur et pour améliorer le plan ensuite.
6. Tester le plan au moins une fois par an
Un PRA non testé est un plan non vérifié. Organisez un exercice à blanc : débranchez le serveur principal et vérifiez que la restauration fonctionne réellement dans votre RTO cible. Notez les écarts, corrigez-les, mettez le document à jour.
—
Tableau de référence : scénarios d’incident et réponses prioritaires
| Scénario | Priorité immédiate | Ressource à activer | Point de vigilance |
|---|---|---|---|
| Panne serveur local | Basculer sur sauvegarde cloud ou poste de secours | Prestataire informatique | Vérifier que la sauvegarde est récente avant restauration |
| Rançongiciel | Isoler le réseau, NE PAS payer | Assureur cyber, prestataire | Ne jamais restaurer sans nettoyer l’environnement |
| Vol d’ordinateur portable | Effacer à distance si possible, changer les mots de passe | Prestataire, assureur RC/cyber | Vérifier si des données CARPA ou RPVA étaient stockées localement |
| Dégât des eaux / incendie | Activer le travail à distance immédiatement | Sauvegardes hors site, cloud | Vérifier la couverture de l’assurance multirisque |
| Défaillance d’un éditeur SaaS | Exporter les données si possible, contacter l’éditeur | Contrat de service (SLA) | Anticiper la réversibilité dès la signature du contrat |
| Violation de données personnelles | Notification CNIL sous 72 h | DPO ou correspondant RGPD | Conserver les preuves de l’incident pour le dossier CNIL |
—
Conseils pratiques et checklist
Les erreurs fréquentes à éviter
- Confondre sauvegarde et synchronisation : un dossier synchronisé sur le cloud (type Dropbox) n’est pas une sauvegarde — si un fichier corrompu se synchronise, la corruption se propage.
- Stocker les mots de passe dans la même machine que les données : en cas de ransomware, ils sont chiffrés avec le reste.
- Ne tester le plan qu’après un vrai incident : la découverte que la sauvegarde ne fonctionne pas doit se faire à froid, pas en crise.
- Omettre le volet humain : qui décide de déclencher le plan ? Qui communique vers les clients ? Ces rôles doivent être nommés avant l’incident.
La méthode pour bien préparer son plan de reprise d’activité
- Définissez d’abord vos besoins réels : quels dossiers, quelles applications et quels délais ne souffrent d’aucune interruption dans votre cabinet ?
- Associez à la réflexion toutes les personnes qui utilisent les outils au quotidien — collaborateurs, assistants de direction, secrétaires —, pas seulement l’associé gérant.
- Testez vos sauvegardes sur vos propres données de test, pas uniquement sur la base de démo fournie par votre éditeur.
- Posez les questions qui fâchent à vos prestataires : où sont hébergées les données, que se passe-t-il si vous résiliez le contrat, dans quel format pouvez-vous exporter vos dossiers, l’intégration RPVA/e-Barreau est-elle maintenue en mode dégradé ?
- Calculez le coût complet de l’arrêt, pas seulement le coût de la solution de reprise : temps facturable perdu, pénalités potentielles, heures de reconstitution de dossiers.
- Évaluez au moins deux ou trois dispositifs (sauvegarde cloud, NAS local, solution hybride) avant de retenir une architecture.
- Admettez honnêtement qu’aucune solution ne convient à tous les cabinets : le bon dispositif dépend de la taille du cabinet, des matières pratiquées (urgences pénales, dossiers CARPA lourds, contentieux en série) et des processus existants.
—
Cas particuliers
Avocat individuel sans support informatique
La priorité est de contractualiser avec un prestataire informatique de proximité avant tout incident, ne serait-ce que pour disposer d’un numéro à appeler. En attendant, un abonnement à un service de sauvegarde cloud automatique (paramétrage en une heure) et un gestionnaire de mots de passe constituent le socle minimal. Consultez également notre page sur la cybersécurité du cabinet pour les mesures de base adaptées aux structures solo.
Cabinet multi-sites
Chaque site doit disposer de sa propre fiche réflexe et d’un accès aux sauvegardes centralisées. La communication de crise doit prévoir un canal de coordination entre sites (messagerie distincte de la messagerie principale, susceptible d’être hors service).
Collaborateurs en télétravail
Les postes distants sont souvent le point d’entrée d’une attaque. Vérifiez que chaque poste distant bénéficie des mêmes protections que les postes au cabinet : chiffrement du disque, VPN, authentification à double facteur sur les accès RPVA et logiciel métier. La cyber-assurance doit explicitement couvrir les incidents survenant depuis un poste distant.
—
Outils et ressources
- Sauvegarde des données au cabinet — solutions et architecture recommandées
- Cybersécurité du cabinet — tour d’horizon des mesures de protection
- Gestionnaire de mots de passe — choisir et déployer un coffre-fort numérique
- Cyber-assurance avocat — ce que couvre une police cyber, ce qu’elle exclut
- RGPD au cabinet — obligations de notification et tenue du registre de traitements
- Logiciel de gestion de cabinet — critères d’évaluation incluant réversibilité et hébergement
—
FAQ
Qu’est-ce qu’un plan de reprise d’activité (PRA) exactement ?
C’est un document opérationnel qui décrit, dans l’ordre, les actions à mener pour rétablir les fonctions critiques du cabinet après un incident. Il couvre les aspects techniques (restauration des données), organisationnels (qui fait quoi) et communicationnels (comment informer les clients).
Le PRA est-il obligatoire pour un avocat ?
Il n’existe pas de texte qui impose explicitement un « PRA » aux cabinets d’avocats sous ce nom. En revanche, le RGPD impose des mesures de sécurité adaptées aux données personnelles traitées, et le secret professionnel impose une protection continue des données clients. Le PRA est la traduction pratique de ces obligations.
Combien de temps faut-il pour construire un PRA minimal ?
Pour un cabinet individuel ou une petite structure, une journée de travail suffit à produire un document opérationnel : cartographie des actifs, choix de la solution de sauvegarde, rédaction de la fiche réflexe. La difficulté est rarement technique ; elle est dans la prioritisation.
Faut-il souscrire une cyber-assurance pour que le PRA soit efficace ?
Les deux sont complémentaires, pas substituables. Le PRA réduit la durée et l’impact de l’incident ; la cyber-assurance prend en charge les coûts résiduels (prestataires de crise, notification, responsabilité). L’un sans l’autre laisse un angle mort.
Que faire si le logiciel de gestion de dossiers est hébergé en SaaS et indisponible ?
Vérifiez dans votre contrat le SLA (Service Level Agreement) : taux de disponibilité garanti et délai de rétablissement promis par l’éditeur. Si l’éditeur ne garantit rien de contractuellement contraignant, négociez ou prévoyez un mode dégradé (accès aux dernières sauvegardes exportées, traitement temporaire sur fichier). La réversibilité et le format d’export sont à négocier avant la signature, pas après.
Comment gérer la notification CNIL en cas de violation de données ?
La notification doit intervenir dans les soixante-douze heures suivant la découverte de l’incident si celui-ci est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Le portail de notification de la CNIL est accessible en ligne. Pour votre situation propre, rapprochez-vous de votre DPO ou de votre correspondant déontologique.
Le RPVA est-il accessible en mode dégradé ?
En cas de panne locale, le RPVA reste accessible depuis tout poste disposant d’une connexion internet et de la clé ou du certificat valide. Prévoyez donc un poste de secours (ordinateur portable ou tablette) disposant de l’installation nécessaire, et vérifiez régulièrement que votre certificat est à jour.
—
Conclusion
Le plan de reprise d’activité n’est pas un document de plus à classer dans un tiroir : c’est le filet de sécurité qui transforme une crise en incident gérable. La méthode est simple — cartographier, sauvegarder, documenter, tester — mais elle exige d’être réalisée avant l’incident, pas pendant.
Si vous souhaitez identifier les solutions de sauvegarde, de cybersécurité ou de gestion de cabinet les mieux adaptées à votre profil, le diagnostic gratuit d’Avocat.com en quatre questions (environ deux minutes) vous oriente sans engagement : accéder au diagnostic. Vous trouverez également sur nos pages cybersécurité du cabinet et logiciel de gestion de cabinet les critères pour évaluer vos outils actuels à l’aune de leur résilience.
Avocat.com est un guide indépendant de solutions professionnelles pour avocats et cabinets. Nous ne fournissons pas de conseil juridique. Certains liens peuvent être des liens partenaires, toujours signalés comme tels.