Hoe maken scholen en non-profits een goede back-up van hun data?

Waarom hebben scholen en non-profits een eigen back-up nodig?

Omdat ze een van de gevoeligste soorten persoonsgegevens beheren, en de wet en hun verzekeraar verwachten dat ze die kunnen herstellen. Het platform dat ze gebruiken, doet dat niet voor ze.

Neem een basisschool waarvan de Google Workspace-tenant leerlingdossiers, zorgnotities, ontwikkelingsperspectieven en jaren aan oudercorrespondentie bevat. IT is één persoon die ook de wifi en de digiborden onderhoudt. Vraagt het bestuur, op aandringen van de verzekeraar, of leerlinggegevens na een ransomware-aanval terug te halen zijn, dan is het eerlijke antwoord nee. Dat is geen nalatigheid. Niemand heeft ooit de tijd gekregen om er ja van te maken, en dat lost een eenvoudige Backup as a Service-opzet op.

Omvang verandert de regels niet. AVG-artikel 32(1)(c) eist "het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig te herstellen". Artikel 5(2) eist dat je kunt aantonen dat je je aan de regels houdt. En overweging 38 stelt dat kinderen "met betrekking tot hun persoonsgegevens recht op specifieke bescherming" hebben. Een school of goed doel heeft dezelfde verantwoordingsplicht als een groot bedrijf.

Welke data beschermen scholen en non-profits als eerste?

De data waarvan het verlies mensen schaadt, een wettelijke plicht schendt of je werk stillegt. Zet die op volgorde en bescherm van boven naar beneden.

Bewaartermijnen verschillen per categorie en per land. Leg daarom per categorie een eenvoudig schema vast in plaats van per geval te beslissen. Lesplannen kunnen wachten. Het zorgdossier niet.

Maken Google of Microsoft niet al een back-up van schooldata?

Nee. Beide houden de dienst beschikbaar en bieden korte hersteltermijnen, maar leggen de verantwoordelijkheid voor je content bij jou.

Volgens de Workspace for Education data protection implementation guide beschermt Google "de infrastructuur onder Google Workspace for Education", terwijl de school verantwoordelijk is "voor de beveiliging van onderdelen die je zelf levert of beheert, zoals de content" die je in de diensten zet. Het ingebouwde herstel is beperkt in tijd. Verwijderde Gmail blijft 30 dagen in de prullenbak, daarna hebben beheerders nog 25 dagen om het terug te zetten. Een verwijderd account van een leerling of medewerker kun je maar 20 dagen herstellen: Googles helppagina over het herstellen van gebruikers zegt dat de data na 20 dagen weg is. In Microsoft 365 bewaart de prullenbak verwijderde items maximaal 93 dagen.

De praktische test: kun je voor een accreditatie het volledige dossier van één leerling van twee jaar geleden terugzetten? Met alleen de ingebouwde tools lukt dat niet. Lees meer over de gaten in het ingebouwde herstel van Google Workspace en of Microsoft 365 een back-up van je data maakt.

Hoe groot is het ransomwarerisico voor scholen?

Reëel en goed gedocumenteerd. Onderwijs is vaak doelwit omdat de verdediging dun is en de data gevoelig, en de meeste slachtoffers vallen terug op hun back-ups.

Voor Sophos' State of Ransomware in Education 2025 zijn 441 IT- en securityverantwoordelijken in het onderwijs in 17 landen ondervraagd. In het primair en voortgezet onderwijs versleutelden aanvallers bij 29% van de aanvallen data, en 59% van wie data was versleuteld, gebruikte back-ups om die terug te halen. In het hoger onderwijs leidde 58% van de aanvallen tot versleuteling en herstelde 47% vanuit back-ups. Phishing lag in het primair en voortgezet onderwijs aan 22% van de aanvallen ten grondslag.

Dichter bij huis noemt het Dreigingsbeeld Cybersecurity primair en voortgezet onderwijs 2025 van Kennisnet DDoS-aanvallen, afhankelijkheid van leveranciers, infostealers, phishing en ransomware als de vijf belangrijkste dreigingen voor Nederlandse scholen. School-CERT ziet sinds het dreigingsbeeld van 2023 meer digitale aanvallen. Het rapport benadrukt dat een goed plan voor back-up en herstel van groot belang is, inclusief back-ups die niet afhangen van je hoofdleverancier.

Hoe ziet een betaalbare back-up eruit die klaar is voor een audit?

Automatische back-ups van je belangrijkste data, beleid op één A4 en een hersteltest per schoolkwartaal. Eén of twee parttime beheerders kunnen het draaien.

1. Inventariseer in één middag. Zet op een rij waar gevoelige data staat, zoals de Workspace- of Microsoft 365-tenant, het leerling- of donateurssysteem en lokale netwerkmappen, en geef elk onderdeel een prioriteit en bewaartermijn.
2. Automatiseer de back-up van de hoogste prioriteiten. Dagelijks, zonder apparaat om te onderhouden en zonder tapes om mee naar huis te nemen.
3. Eis onveranderbare kopieën in de EU. Onveranderbaar betekent dat niemand de kopie kan wijzigen of verwijderen, ook een aanvaller met beheerdersrechten niet. Opslag in de EU houdt de kopie onder Europees recht.
4. Schrijf het beleid op één A4. Waarvan maak je een back-up, hoe vaak, waar, hoe lang, wie is verantwoordelijk en hoe test je. Die pagina plus de systeemrapporten vormen je auditdossier.
5. Test één herstel per schoolkwartaal. Zet een mailbox of map terug, noteer de datum en hoe lang het duurde, en bewaar het rapport. Onze gids over hoe je controleert of je back-up werkt legt uit wat je vastlegt.

De cyber security standards for schools and colleges van het Britse ministerie van Onderwijs zijn ook buiten het Verenigd Koninkrijk een bruikbare maatstaf. Ze vragen scholen om drie kopieën van data te bewaren, twee op aparte apparaten en één buiten de deur, back-ups onveranderbaar te maken en ze elk schoolkwartaal te testen. Dat sluit aan op de 3-2-1-1-0-regel die wij hanteren.

Hoe helpt Mindtime scholen en non-profits?

We nemen het technische werk over van een klein team en geven je het bewijs dat je aan het bestuur, de auditor en de verzekeraar laat zien.

• Workloads: Google Workspace-back-up (Gmail, Drive, Agenda, Contacten) en Microsoft 365-back-up (Exchange, OneDrive, SharePoint, Teams), plus servers, NAS en endpoints.
• Waar je data staat: alleen in onze eigen Tier III-datacenters in Nederland en Duitsland, onder Europees recht en onafhankelijk van Amerikaanse hyperscalers (grote cloudaanbieders).
• Bescherming: onveranderbare back-ups met Object Lock plus een air-gapped kopie (zonder verbinding met je netwerk), gescand op malware. Elke back-uptaak wordt automatisch gecontroleerd en 24/7 bewaakt.
• Papierwerk: een verwerkersovereenkomst bij elk contract, en ISO 27001- en NEN 7510-certificering.
• Mensen: persoonlijke support in het Nederlands, Duits en Engels, zonder callcenter in het buitenland en zonder chatbots.

Onbeperkt aantal back-uptaken en onbeperkte opslag: je hoeft niet te kiezen welk jaar je bewaart omdat de opslag vol raakt.

Wat je nu kunt doen

Scholen en non-profits beheren gevoelige data en krijgen geen korting op de regels omdat hun budget klein is. Het werkbare antwoord is geen infrastructuur op enterpriseniveau. Het zijn duidelijke prioriteiten en automatisering: bescherm eerst zorgdossiers, leerlingdossiers en donateursgegevens, met onveranderbare back-ups in de EU die hun eigen bewijs leveren, onder beleid dat op één A4 past.

Kies dit schoolkwartaal één dataset uit je hoogste prioriteit en probeer die terug te zetten van twee maanden geleden. Lukt dat niet, begin dan met de basis van Backup as a Service.

Wil je hulp bij het dimensioneren van een opzet voor je school of goede doel? Vraag een gratis assessment aan en we denken met je mee.

Dit artikel is algemene informatie, geen juridisch advies.