Hoe bied je als MSP onveranderbare back-up aan je klanten aan?

Wanneer is een back-up echt onveranderbaar?

Een back-up is onveranderbaar als niemand hem kan wijzigen of verwijderen voordat de bewaartermijn afloopt. Dat geldt voor een aanvaller, voor de beheerder van een klant en voor je eigen technici. Kan iedereen met de juiste rechten de bescherming uitzetten, dan is het een instelling en geen onveranderbaarheid.

De documentatie van AWS over S3 Object Lock laat het verschil zien. Object Lock werkt volgens het write-once-read-many-model (WORM). In governance mode kunnen gebruikers met een speciale machtiging de bewaartermijn nog wijzigen of objecten verwijderen. In compliance mode kan een vergrendeld object "door geen enkele gebruiker worden overschreven of verwijderd, ook niet door de rootgebruiker". Ook kan de bewaartermijn dan niet worden verkort.

Voor een MSP is dat verschil belangrijk. Een aanvaller die het account van een technicus overneemt, krijgt zijn rechten erbij. Op onze pagina over Backup as a Service leggen we uit hoe we onveranderbare opslag combineren met een air-gapped kopie (een kopie zonder verbinding met je netwerk). Eén gestolen account is dan niet genoeg om de back-ups van klanten te vernietigen.

Waarom zijn MSP's een doelwit, en wat betekent dat voor back-up?

Omdat één gehackte MSP de deur opent naar veel klanten. Aanvallers die bij je RMM of beheeraccounts komen, kunnen ransomware naar elk beheerd netwerk sturen. En ze zoeken eerst naar de back-ups.

De Kaseya VSA-aanval van 2021 is het standaardvoorbeeld. Volgens de berichtgeving van BleepingComputer maakte REvil misbruik van een zero-day in het on-premises product VSA van Kaseya. Dat trof ongeveer 60 directe klanten en tot 1.500 bedrijven daarachter die via MSP's werden beheerd. Derden zijn een groeiende route naar binnen: het Data Breach Investigations Report 2025 van Verizon zag betrokkenheid van derden bij 30% van de datalekken, twee keer zoveel als het jaar ervoor.

Ook tools voor beheer op afstand worden misbruikt. NSA, CISA en MS-ISAC waarschuwden in januari 2023 dat criminelen legitieme RMM-software gebruikten om anti-malwarebeveiliging te omzeilen en systemen over te nemen. En back-ups zijn een bewust doelwit: in het onderzoek van Sophos uit 2024 zei 94% van de slachtoffers van ransomware dat aanvallers hun back-ups probeerden te compromitteren.

De gezamenlijke waarschuwing over cyberdreigingen voor MSP's van cyberautoriteiten uit het Verenigd Koninkrijk, Australië, Canada en de VS geeft het praktische antwoord. Bewaar offline back-ups die met aparte sleutels zijn versleuteld. Dwing MFA af op elk account dat bij klantomgevingen kan. En scheid de datasets van klanten van elkaar en van je eigen netwerk.

Wat hoort er in een back-updienst voor MSP's?

Vier onderdelen: onveranderbare en air-gapped opslag, een control plane die los staat van je andere tools, geautomatiseerde controle en bewijs dat klanten aan auditors kunnen geven. Laat je er één weg, dan verkoop je opslag met een herstelbelofte erbij.

De principes voor ransomwarebestendige cloudback-ups van het Britse NCSC vormen een bruikbare checklist om elke leverancier te beoordelen: bestand tegen destructieve acties, herstel vanuit onbeschadigde versies en meldingen als bevoorrechte acties worden geprobeerd.

Zo ondersteunt Mindtime MSP's

Partners krijgen een multi-tenant console, betalen naar gebruik en REST API's en hooks voor hun RMM- en PSA-tools. Back-ups van klanten zijn onveranderbaar dankzij Object Lock plus een air-gapped kopie, in onze eigen Tier III-datacenters in Nederland en Duitsland. Elke back-uptaak wordt automatisch gecontroleerd, back-ups worden gescand op malware, voor beheeracties is MFA nodig en het platform wordt 24/7 bewaakt. We maken back-ups van Microsoft 365, Google Workspace, VMware, Hyper-V, Proxmox, Linux-servers, SQL Server, NAS, AWS, Azure, Google Cloud en endpoints (laptops, desktops en mobiele apparaten), met onbeperkte back-uptaken en onbeperkte opslag.

Hoe verpak je back-uptiers voor klanten?

Maak tiers op uitkomst: hoe snel een klant weer draait, hoe vaak herstel wordt getest en welk bewijs hij krijgt. Klanten begrijpen "binnen vier uur weer aan het werk" veel beter dan "500 GB".

De namen en inhoud van de tiers bepaal je zelf. Wat Mindtime eronder legt: kritieke workloads hersteld met een SLA van 4 uur, instant VM boot in een geïsoleerde herstelomgeving op een apart, schoon netwerk en, voor disaster recovery, standby-infrastructuur met elk kwartaal geautomatiseerde DR-tests en bewijs voor auditors. Een gecertificeerde engineer valideert de eerste testfailover, meestal binnen 10 dagen.

Gebruik de downtimekosten om de tiers samen met elke klant vast te stellen. In onze gids over de kosten van downtime vind je een berekening die je samen kunt doorlopen.

Wat verandert NIS2 voor back-up bij MSP's?

Het maakt back-up voor veel MSP's en hun klanten tot een wettelijke plicht. De NIS2-richtlijn (Richtlijn (EU) 2022/2555) noemt managed service providers en managed security service providers in bijlage I. Artikel 21 eist risicobeheersmaatregelen van entiteiten die eronder vallen.

• NIS2-artikel 21(2)(c): bedrijfscontinuïteit, waaronder back-upbeheer, disaster recovery en crisisbeheer.
• NIS2-artikel 21(2)(d): ketenbeveiliging. Je klanten beoordelen je dus als leverancier.
• NIS2-artikel 23: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand.
• NIS2-artikel 34: boetes van ten minste € 10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten en € 7 miljoen of 1,4% voor belangrijke entiteiten.

Nationale wetten gelden nu. In Nederland is de Cyberbeveiligingswet op 15 augustus 2026 in werking getreden, en in Duitsland het NIS-2-Umsetzungsgesetz op 6 december 2025. Of je eronder valt, controleer je in ons overzicht van de NIS2-scope. Wat klanten je gaan vragen, lees je in onze gids over NIS2-ketenbeveiliging.

Hoe voer je onveranderbare back-up in bij al je klanten?

Begin met je eigen omgeving. Laat daarna klanten in golven overstappen, te beginnen met de klanten die een storing het hardst zou raken.

1. Controleer je eigen toegang. Breng in kaart welke accounts de bewaartermijn van back-ups kunnen wijzigen of back-ups kunnen verwijderen, en haal elke koppeling met RMM- of domeininloggegevens weg.
2. Bepaal tiers op uitkomst. Spreek per tier hersteldoelen en testfrequentie af en leg ze vast in je dienstverleningsovereenkomsten.
3. Migreer in golven. Zet gereguleerde klanten en klanten met veel impact als eerste over, en doe na de onboarding bij elke klant een hersteltest.
4. Automatiseer het bewijs. Koppel resultaten van taken en tests via API's aan je PSA, zodat maandelijkse klantrapporten zichzelf opbouwen.
5. Evalueer elk kwartaal. Kijk naar mislukte taken, hersteltijden en wijzigingen in klantsystemen die nog niet onder de scope vallen.

In onze gids over hoe je controleert of je back-up werkt staat wat elke hersteltest moet aantonen.

Wat je nu kunt doen

Bied onveranderbare back-up aan als aantoonbaar herstel. Bewaar kopieën die geen beheerder kan verwijderen, scheid de back-upconsole van je RMM, controleer elke taak, test herstel volgens een schema en geef klanten het bewijs. Zo bescherm je hen en jezelf. Een inbraak die in jouw tools begint, mag er niet toe leiden dat de data van al je klanten verloren gaat.

Hoe de dienst is opgebouwd, lees je op onze pagina over Backup as a Service. Over het partnerprogramma lees je meer op onze partnerpagina.

Wil je de multi-tenant console zien met een echt herstel? Plan een gratis demo van 15 minuten met ons team, in het Nederlands, Duits of Engels.

Dit artikel is algemene informatie, geen juridisch advies.