Back-up en uitwijk: zo blijft uw bedrijf draaien

Op een gewone werkdag opent bij een installatiebedrijf met twintig man de planning niet meer. De bestanden staan nog in de gedeelde map, alleen hebben ze een vreemde extensie gekregen. Dezelfde onleesbare versies staan inmiddels op elke laptop, want de map werd keurig gesynchroniseerd.

Dan telt één vraag: hoe snel werkt het bedrijf weer, en hoeveel werk is verloren? Het antwoord ligt zelden in wat de IT-partner die dag doet, maar in keuzes die maanden eerder zijn gemaakt.

Synchroniseren is geen back-up

OneDrive, Dropbox en een NAS (een netwerkschijf op kantoor) die met de laptops meeloopt, doen in de kern hetzelfde: ze houden overal dezelfde versie van uw bestanden bij. Elke wijziging gaat mee, ook een gewiste map of bestanden die door ransomware (gijzelsoftware die bestanden versleutelt) onleesbaar zijn gemaakt. Het NCSC zegt het nuchter: een realtime kopie is in zekere zin geen back-up, omdat u er niet mee terug in de tijd gaat (bron: NCSC, november 2026).

Een echte back-up staat los van het origineel, bewaart meerdere momenten en wordt beheerd met andere rechten. Een prullenbak in de cloud helpt bij een vergissing, maar valt onder hetzelfde account; wie dat overneemt, kan er ook bij.

Drie kopieën, twee soorten opslag, één elders

De bekendste vuistregel is de 3-2-1-regel: minstens drie kopieën van uw gegevens, op twee soorten opslag, waarvan één op een andere locatie (bron: NCSC, november 2026). Het origineel telt mee. Een accountantskantoor met dossiers in SharePoint kan dat zo invullen: het origineel in de cloud, een dagelijkse back-up bij een aparte back-updienst en een kopie op een schijf buiten kantoor en buiten het netwerk.

De gedachte erachter: één gebeurtenis mag nooit alle kopieën tegelijk raken. Tegen brand, een defecte schijf of een verkeerd gewiste map werkt de regel goed. Tegen een aanvaller met beheerrechten helpt hij alleen als minstens één kopie onbereikbaar is via het netwerk.

Een kopie waar een aanvaller niet bij kan

Criminelen die in het netwerk van een slachtoffer zitten, gaan bewust op zoek naar back-ups en verwijderen die (bron: NCSC, april 2025). Promotieonderzoek naar ransomware bij het mkb liet zien dat bedrijven met een goed ingericht back-upsysteem 27 keer minder vaak losgeld betalen (bron: NCSC, april 2025).

Een offline kopie heeft geen verbinding met het netwerk: een schijf die na de back-up wordt losgekoppeld, of tapes in een kluis elders. Een onveranderbare kopie staat wel online, maar de opslag weigert gegevens binnen een vaste termijn te wijzigen of te wissen, ook op last van een beheerder. Vraag door, want de term wordt ruim gebruikt: Microsoft schrijft over zijn eigen back-updienst dat back-ups niet te overschrijven zijn, maar door de beheerder wel te verwijderen (bron: Microsoft, november 2026).

Gebruik voor de back-up andere accounts dan voor de dagelijkse omgeving. Het NCSC adviseert dat online en offline back-ups niet met dezelfde accounts toegankelijk zijn (bron: NCSC, mei 2022). Beveilig het beheer met MFA (inloggen met een tweede stap, zoals een code op uw telefoon). Meer basismaatregelen staan in informatiebeveiliging: de basis.

Back-up van clouddiensten: wat Microsoft wel en niet doet

Een veelgehoorde gedachte is dat Microsoft de mail en bestanden wel bewaart. Dat klopt maar ten dele. Microsoft is helder: bij elke clouddienst bent u eigenaar van uw gegevens en accounts, en verantwoordelijk voor de bescherming ervan (bron: Microsoft, augustus 2026).

Er zit wel herstel in de dienst zelf. Verwijderde bestanden in SharePoint blijven 93 dagen in de prullenbak, en een documentbibliotheek kunt u terugzetten naar elk moment in de afgelopen 30 dagen, ook na ransomware (bron: Microsoft, september 2025). Exchange Online, de maildienst, houdt verwijderde mail een beperkte tijd vast. Nuttige vangnetten, maar geen back-up: de termijnen zijn kort, alles staat onder dezelfde beheerders, en bestanden kunnen via technische koppelingen ook buiten de prullenbak om worden gewist (bron: Microsoft, september 2025).

Voor een echte back-up biedt Microsoft een aparte, betaalde dienst: Microsoft 365 Backup, voor SharePoint, OneDrive en Exchange, afgerekend naar verbruik (bron: Microsoft, november 2026). De back-ups blijven binnen de omgeving van Microsoft. Dat beschermt tegen fouten en versleuteling, maar alle kopieën staan bij één leverancier. Wie één kopie echt elders wil, kiest voor een back-up bij een andere partij. Kijk voor de actuele prijs op de site van de leverancier.

Bij een online boekhoudpakket of CRM (het klantenbestand) vraagt u hetzelfde: wat bewaart de leverancier, hoe lang, en kunt u zelf exporteren? Meer daarover in cloud of eigen server.

Hersteltijd en dataverlies: RTO en RPO in gewone woorden

Twee grenzen bepalen hoe uw back-up eruit moet zien, en de directie stelt ze vast, niet de IT-partner. De eerste is het maximale dataverlies, in het vak RPO (recovery point objective). Maakt u elke nacht een back-up, dan verliest u in het slechtste geval een volle werkdag. De tweede is de maximale hersteltijd, de RTO (recovery time objective): hoe lang mag een systeem plat liggen voordat het echt pijn doet? Het NCSC gebruikt dezelfde begrippen in zijn advies voor een back-upstrategie (bron: NCSC, november 2026).

Stel ze per systeem vast. Een groothandel kan een dag zonder archief, maar niet zonder orderverwerking. Hoe korter de tijden, hoe duurder de oplossing, dus zet wat een dag stilstand kost af tegen de kosten. Zie ook IT-kosten in kaart.

Voorbeeld van een groothandel. Uw eigen grenzen hangen af van wat stilstand en verloren werk bij u kosten.

Herstellen testen

Een back-up die nooit is teruggezet, is een belofte. Een groen vinkje in de software zegt dat er iets is weggeschreven, niet dat u er een werkend systeem mee terugkrijgt. Het NCSC raadt aan periodiek echt te herstellen, van losse bestanden tot een compleet systeem, en te controleren of de belangrijkste bedrijfsprocessen weer werken (bron: NCSC, november 2026). Test daarbij tegen de afgesproken hersteltijd en het maximale dataverlies (bron: NCSC, mei 2022).

Begin klein: elk kwartaal een paar willekeurige bestanden en een mailbox, eens per jaar het systeem waar het bedrijf het meest van afhangt. Noteer wat misging en hoe lang het duurde.

Een uitwijkplan voor als het toch misgaat

Herstel kost tijd, ook met een goede back-up. Een continuïteitsplan beschrijft hoe het bedrijf in die tussentijd doorwerkt; het NCSC rekent zulke plannen tot de voorbereiding op incidenten (bron: NCSC, november 2026). Een installatiebedrijf moet weten hoe monteurs hun opdrachten krijgen als de planning plat ligt, een accountantskantoor hoe het een deadline haalt zonder dossiers.

Wat u in de eerste uren van een aanval doet, staat in gehackt of ransomware: de eerste uren.

Als een IT-partner het beheer doet

Uitbesteden verplaatst het werk, niet de verantwoordelijkheid. Ook als u de back-up volledig heeft uitbesteed, hoort u volgens het NCSC de rapportages te ontvangen en te controleren, en kunt u de afspraken vastleggen in de SLA, de overeenkomst met prestatieafspraken (bron: NCSC, november 2026). Gaat het om persoonsgegevens, dan blijft uw organisatie zelf verantwoordelijk voor het melden van een datalek (bron: Autoriteit Persoonsgegevens, november 2026). Leg uw IT-partner deze vragen voor:

• Reikwijdte: valt ook de omgeving van Microsoft en andere clouddiensten onder de back-up?
• Kopie buiten bereik: is er een offline of onveranderbare kopie, los van de accounts van de IT-partner zelf?
• Testen: hoe vaak wordt herstel getest, en krijgt u een verslag met de gemeten hersteltijd?
• SLA: gelden de hersteltijden ook na een aanval, of alleen bij een storing?

Zie ook IT uitbesteden: een IT-partner kiezen en de kennisbank ICT en data.

Hersteltest, continuïteitsplan en werkblad

Hieronder vindt u een draaiboek voor een hersteltest, een voorbeeld van een ingevuld continuïteitsplan, en een werkblad om per systeem hersteltijd en dataverlies naast de huidige back-up te zetten.