Wat heb je aan een Microsoft 365-back-updienst in Europa?

Waarom maak je een back-up van Microsoft 365 buiten Microsoft?

Omdat Microsoft de dienst draaiende houdt, niet de geschiedenis van je data. In de eigen documentatie over gedeelde verantwoordelijkheid staat dat klanten altijd verantwoordelijk blijven voor hun data, accounts en toegangsbeheer, ook bij SaaS-diensten zoals Microsoft 365.

In de praktijk zijn de herstelperiodes kort. Verwijderde items in SharePoint en OneDrive blijven 93 dagen in de prullenbak, volgens Microsoft Support. Daarna zijn ze weg, tenzij je ergens anders een kopie hebt bewaard. Voor die aparte kopie is Backup as a Service er.

Denk aan een projectmanager in Utrecht die in maart vertrekt. In juli betwist een klant een factuur en de ondertekende goedkeuring stond in haar OneDrive. Zonder onafhankelijke back-up van vóór het verwijderen van haar account is dat bestand vrijwel zeker weg. De ingebouwde beperkingen leggen we uitgebreider uit in Maakt Microsoft 365 een back-up van mijn data?

Wat zijn de 8 voordelen van een Microsoft 365-back-updienst?

Langer en nauwkeuriger herstel, bescherming tegen aanvallen op je tenant, EU-rechtsgebied, minder werk voor je IT-team en bewijs voor auditors. Dit zijn de acht voordelen, op volgorde van hoe vaak ze ertoe doen.

1. Herstel na meer dan 93 dagen. Zet e-mail, bestanden en sites terug van ruim voorbij de termijn van de prullenbak van Microsoft, volgens je eigen bewaarbeleid.
2. Een weg terug na ransomware. Aanvallers komen steeds vaker binnen via identiteiten. Het Microsoft Digital Defense Report 2025 constateerde dat aanvallen op identiteiten in de eerste helft van 2025 met 32% stegen. Een onveranderbare kopie buiten de tenant kan niet worden versleuteld of gewist met een gestolen beheerderswachtwoord.
3. Granulair herstel. Zet één e-mail, één map, een hele mailbox of een hele SharePoint-site terug, zonder al het andere terug te draaien.
4. Alle vier de kernworkloads. Exchange, OneDrive, SharePoint en Teams in één beleid, zodat Teams en SharePoint niet tussen wal en schip vallen.
5. Opslag en rechtsgebied in de EU. Back-updata blijven in datacenters in de EU bij een EU-aanbieder. Hieronder meer over waarom dat ertoe doet.
6. Geen back-upinfrastructuur om te beheren. Geen servers, opslag of patches aan je eigen kant. De aanbieder controleert en bewaakt de back-uptaken.
7. Bewijs voor audits en verzekeraars. Back-uprapporten en hersteltests geven je iets concreets om te laten zien voor NIS2, ISO 27001 of een vragenlijst van een cyberverzekeraar.
8. Ruimte om te groeien. Opslag groeit mee met je data, dus een groeiend SharePoint-landschap vraagt niet om een nieuw project.

Waarom is opslag in de EU belangrijk voor een Microsoft 365-back-up?

Omdat de plek waar data staan en de wet die erbij kan twee verschillende vragen zijn. Bewaar je een back-up bij een EU-aanbieder in datacenters in de EU, dan hangt je herstelkopie niet af van dezelfde leverancier of hetzelfde rechtsgebied als je productiedata.

Microsoft heeft hier veel aan gedaan. Met de EU Data Boundary legt Microsoft zich erop vast om klantdata van Microsoft 365 in de EU en de EFTA op te slaan en te verwerken, met beperkte gedocumenteerde uitzonderingen. Maar Microsoft is een Amerikaans bedrijf, en de Amerikaanse CLOUD Act verplicht aanbieders om data te verstrekken die zij "in bezit hebben, onder hun hoede of onder hun controle, ongeacht of die communicatie, dat record of die andere informatie zich binnen of buiten de Verenigde Staten bevindt", zoals 18 U.S.C. § 2713 het stelt.

Anton Carniaux van Microsoft France kreeg hierover in juni 2025 onder ede vragen van een onderzoek van de Franse Senaat. Op de vraag of hij kon garanderen dat Franse data niet zonder Franse toestemming aan Amerikaanse autoriteiten worden doorgegeven, zei hij: "Nee, dat kan ik niet garanderen", waarbij hij toevoegde dat het nooit was gebeurd, aldus The Register.

De AVG voegt een eigen regel toe. AVG-artikel 48 bepaalt dat een bevel van een rechter of autoriteit uit een derde land om persoonsgegevens over te dragen alleen wordt erkend als het berust op een internationale overeenkomst, zoals een verdrag over wederzijdse rechtsbijstand. Lees voor meer verdieping wat datasoevereiniteit betekent.

Microsoft 365 Backup of een Europese back-updienst: wat past bij je?

Microsoft 365 Backup is een degelijke ingebouwde optie als je vooral een langere bewaartermijn binnen Microsoft wilt. Een Europese back-updienst past beter als je een tweede leverancier, aparte inloggegevens en EU-rechtsgebied voor je herstelkopie wilt.

De gegevens over Microsoft 365 Backup komen uit de FAQ over Microsoft 365 Backup van Microsoft. De eigen richtlijnen van Microsoft over bescherming tegen ransomware in Microsoft 365 raden aan om ofwel de eigen add-on ofwel een oplossing van een partner te beoordelen, dus de keuze is aan jou. Op onze pagina over Microsoft 365-back-up staat de volledige specificatie van onze dienst, die ISO 27001- en NEN 7510-gecertificeerd is.

Waar let je op voordat je een Microsoft 365-back-upaanbieder kiest?

Stel zeven vragen. Een aanbieder die ze niet duidelijk schriftelijk kan beantwoorden, is zelf een risico.

• Dekking: zijn Exchange, OneDrive, SharePoint en Teams allemaal inbegrepen, ook de accounts van vertrokken medewerkers?
• Onveranderbaarheid: kan iemand, ook je eigen beheerder of medewerkers van de aanbieder, back-ups verwijderen voordat ze verlopen?
• Scheiding: is er een air-gapped of offline kopie, volgens de 3-2-1-1-0-regel?
• Locatie en wetgeving: welke datacenters, in welke landen en van welk bedrijf?
• Controle: wordt elke back-uptaak gecontroleerd en wie kijkt naar mislukte taken?
• Herstel: hoe gericht, hoe snel en kun je het zelf testen? Zie hoe je controleert of je back-up werkt.
• Papierwerk: certificeringen, een verwerkersovereenkomst en bewijs dat je aan een auditor kunt geven.

Wat je nu kunt doen

Een Microsoft 365-back-updienst in Europa geeft je wat de eigen tools van Microsoft niet bieden: herstel na meer dan 93 dagen, een kopie waar een aanvaller niet bij kan via je tenant en een herstelplan dat op een tweede leverancier in de EU rust. Val je onder NIS2, dan noemt NIS2-artikel 21(2)(c) back-upbeheer en disaster recovery bij de verplichte maatregelen.

Zie op onze pagina over Backup as a Service hoe Microsoft 365 past in de rest van je bescherming. Of plan een gratis demo van 15 minuten. Dan tonen we je een herstelactie vanuit onze datacenters in Nederland en Duitsland, in je eigen taal.

Dit artikel is algemene informatie, geen juridisch advies.