Hoe kies je het juiste back-upplan voor je bedrijf?

Wat hoort er in een back-upplan voor je bedrijf?

Een back-upplan is een kort, schriftelijk antwoord op zes vragen: wat je back-upt, hoe vaak, hoe lang je het bewaart, waar de kopieën staan, wie ze terugzet en hoe je dat test. Kun je alle zes de vragen per systeem beantwoorden, dan heb je een plan.

De meeste kleine en middelgrote bedrijven hebben back-ups, maar geen plan. Een server krijgt een nachtelijke taak, van Microsoft 365 wordt aangenomen dat het zichzelf regelt en niemand heeft ooit een volledig herstel geprobeerd. De gaten merk je pas op de dag dat je de data nodig hebt.

Eén pagina per systeem is genoeg. De keuze voor een tool volgt daar vanzelf uit. Op onze pagina over Backup as a Service lees je hoe een beheerde dienst elk onderdeel afdekt.

Welke data en systemen moet je bedrijf back-uppen?

Alles wat je bedrijf nodig heeft om te blijven draaien, ook data in cloudapps. De handleiding over het back-uppen van je data van het Britse NCSC adviseert een kopie te maken van alle data die je bedrijf nodig heeft om te functioneren, van e-mail en facturatie tot klantgegevens.

Loop een gewone werkweek door en noteer elk systeem dat mensen gebruiken. Controleer dan waar de data van dat systeem echt staat:

• E-mail en bestanden in de cloud: Microsoft 365 (Exchange, OneDrive, SharePoint, Teams) en Google Workspace (Gmail, Drive, Agenda, Contacten). Deze aanbieders houden geen onafhankelijke back-up voor je bij, zoals we uitleggen in Maakt Microsoft 365 een back-up van mijn data?
• Servers en virtuele machines: VMware-, Hyper-V- of Proxmox-hosts en Linux-servers.
• Databases: SQL Server-databases achter boekhoud-, ERP- of branchesoftware.
• Bestandsopslag: NAS-apparaten, die vaak jaren aan gedeelde bestanden bevatten.
• Publieke cloud: workloads in AWS, Azure of Google Cloud.
• Laptops en desktops: werk dat alleen op één apparaat staat.

Wij maken een back-up van al deze systemen, met onbeperkt veel back-uptaken en onbeperkte opslag.

Hoe vaak maak je een back-up en hoe lang bewaar je back-ups?

Maak van elk systeem zo vaak een back-up als de kosten van verloren werk rechtvaardigen. Bewaar kopieën zo lang als de wet en je eigen herstelbehoefte vragen. Dat zijn twee aparte beslissingen.

Frequentie: hoeveel werk mag je kwijtraken?

NIST definieert het recovery point objective als het tijdstip waarnaar data hersteld moet zijn na een storing. Simpel gezegd: de RPO is hoeveel werk je kunt missen en opnieuw kunt doen. Een druk bestelsysteem heeft misschien meerdere back-ups per dag nodig. Voor een naslagarchief is één per week soms genoeg. Onze uitleg over RTO en RPO helpt je bij het kiezen van doelen.

Bewaartermijn: hoe ver terug moet je kunnen?

• Wettelijke bewaartermijn: in Nederland verplicht de Belastingdienst bedrijven hun administratie 7 jaar te bewaren en gegevens over onroerend goed 10 jaar. Duitsland kent eigen bewaartermijnen voor handels- en belastinggegevens. Check die met je accountant.
• Niet langer dan nodig: AVG-artikel 5(1)(e) beperkt hoe lang je persoonsgegevens in herleidbare vorm bewaart. Een lange bewaartermijn heeft dus een reden nodig.
• Herstel na een aanval: indringers blijven vaak een tijd verborgen. Volgens M-Trends 2026 van Mandiant is de mediane verblijftijd wereldwijd 14 dagen. Bewaar dus herstelpunten die verder terug gaan dan dat.

Waar bewaar je de back-ups van je bedrijf?

Op meer dan één plek, met minstens één kopie die niet kan worden gewijzigd en niet met je netwerk is verbonden. Aanvallers zoeken eerst naar back-ups. Een kopie op hetzelfde netwerk als je servers is dus niet genoeg.

De richtlijnen van het NCSC voor kleine bedrijven waarschuwen dat een back-upapparaat niet verbonden mag blijven als je het niet gebruikt, omdat malware aangesloten opslag kan bereiken. Het risico is reëel voor kleinere bedrijven: het Data Breach Investigations Report 2025 van Verizon vond ransomware in 88% van de datalekken bij kleinere organisaties. En in het onderzoek van Sophos uit 2024 zei 94% van de ransomware-slachtoffers dat aanvallers hun back-ups probeerden aan te tasten.

De 3-2-1-1-0-regel vat het antwoord samen: drie kopieën, op twee soorten opslagmedia, één off-site, één onveranderbaar of air-gapped, en nul fouten na een gecontroleerd herstel. Kijk ook welk land zijn wetgeving van toepassing heeft op de opslagaanbieder. In ons artikel over datasoevereiniteit lees je waarom dat voor Europese bedrijven telt.

Zelf beheerde back-up, cloudsynchronisatie of Backup as a Service: wat past?

Voor de meeste mkb-bedrijven zonder eigen IT-team geeft Backup as a Service de meeste bescherming voor de minste moeite. Synchronisatietools zijn geen back-up. Zelf beheerde oplossingen hangen af van iemand die ze elke dag controleert.

In onze gids over cloudopslag of cloudback-up lees je waarom synchronisatie geen back-up is.

Onze antwoorden: je data blijft in onze eigen Tier III-datacenters in Nederland en Duitsland, onder EU-recht. Back-ups zijn onveranderbaar met Object Lock, plus een air-gapped kopie. Elke back-uptaak wordt automatisch gecontroleerd en kritieke workloads herstellen we binnen een SLA van 4 uur. Je zet gericht terug: één bestand of een hele server. We zijn ISO 27001- en NEN 7510-gecertificeerd, sluiten bij elk contract een verwerkersovereenkomst af en bieden persoonlijke support in het Nederlands, Duits en Engels.

Hoe test en documenteer je je back-upplan?

Zet op een vast moment echte data terug, meet de tijd aan de hand van je doelen en schrijf het resultaat op. Een plan dat je niet hebt getest, is een hoop en geen plan.

1. Wijs een eigenaar aan voor het plan en een plaatsvervanger, plus de contactgegevens van je IT-partner.
2. Schrijf de herstelstappen op voor elk systeem, inclusief waar de inloggegevens liggen als je gewone systemen uitvallen.
3. Test regelmatig. Zet minstens één keer per kwartaal een bestand, een mailbox en een volledige server terug en vergelijk de tijd met je RTO.
4. Bewaar het bewijs: datum, wat je hebt teruggezet, hoe lang het duurde en wat er misging.
5. Evalueer jaarlijks, of als je een systeem toevoegt, verhuist of van leverancier wisselt.

Dit verwachten ook toezichthouders. AVG-artikel 32(1)(c) vraagt om het vermogen om de beschikbaarheid van en de toegang tot persoonsgegevens tijdig te herstellen, en artikel 32(1)(d) om regelmatige tests van je maatregelen. In onze gids over hoe je controleert of je back-up werkt lees je waar je op let.

Wat je nu kunt doen

Kies je back-upplan door eerst de zes vragen te beantwoorden: wat, hoe vaak, hoe snel, hoe lang, waar en wie test het. Kies dan de optie die elk systeem dekt waar je op vertrouwt, een onveranderbare kopie buiten je netwerk bewaart en je laat bewijzen dat herstel werkt.

Valt je organisatie onder NIS2, dan is back-up ook een wettelijke plicht. NIS2-artikel 21(2)(c) van Richtlijn (EU) 2022/2555 noemt bedrijfscontinuïteit, zoals back-upbeheer en disaster recovery, en crisisbeheer. Op onze pagina over Backup as a Service zie je hoe de onderdelen samenhangen.

Wil je een second opinion over je huidige opzet? Vraag een gratis assessment aan of plan een demo van 15 minuten om te zien hoe een herstel vanuit een EU-datacenter gaat.

Dit artikel is algemene informatie, geen juridisch advies.