Wat NIS2 werkelijk van je back-ups vereist
Artikel 21 verandert back-upbeheer van een IT-praktijk in een wettelijke verplichting — met bewijseisen waar de meeste back-upopstellingen nog niet aan voldoen.
Een compliance officer bij een energieleverancier ontvangt de auditvragenlijst: beschrijf uw back-upbeheerbeleid, lever de resultaten van uw meest recente hersteltests, en documenteer hoe back-upintegriteit tegen manipulatie is beschermd. Het bedrijf heeft back-ups — al vijftien jaar. Wat het niet heeft: een geschreven beleid, één gedocumenteerde hersteltest, of een antwoord op de manipulatievraag. Onder de oude regels was dat slordig. Onder NIS2 is het non-conformiteit met persoonlijke gevolgen voor het bestuur.
De NIS2-richtlijn breidde de Europese cyberwetgeving uit naar duizenden "essentiële" en "belangrijke" entiteiten in energie, transport, zorg, digitale infrastructuur, industrie en meer. Van de risicomaatregelen is er één ondubbelzinnig: bedrijfscontinuïteit, expliciet inclusief back-upbeheer en disaster recovery.
De misvatting om op te helderen: back-ups hebben staat gelijk aan voldoen. NIS2 stelt drie moeilijkere vragen — wordt back-upbeheer door beleid bestuurd, is herstel getest en gemeten, en kun je beide bewijzen? De meeste legacy-opstellingen beantwoorden er geen van drieën.
Wat zegt NIS2 precies over back-ups?
De NIS2-richtlijn verplicht entiteiten binnen de reikwijdte tot "passende en evenredige" cyberrisicobeheersmaatregelen. Artikel 21, lid 2 somt het verplichte minimum op, en punt (c) benoemt het direct: bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer.
Vertaald naar operationele eisen
In de praktijk lezen toezichthouders en auditors die bepaling als: een geschreven back-upbeleid met reikwijdte, frequentie en retentie; gedefinieerde en onderbouwde RTO/RPO-doelen per kritiek systeem; bescherming van back-upintegriteit (manipulatiebestendigheid — in het ransomwaretijdperk feitelijk immutability); regelmatige hersteltests met gedocumenteerde resultaten; en integratie met incidentafhandeling en crisisprocedures, inclusief de meldplicht met vroegtijdige waarschuwing binnen 24 uur. ENISA's technische implementatierichtsnoeren werken deze verwachtingen maatregel voor maatregel uit.
Voldoet je huidige back-upopstelling al?
Waarschijnlijk niet volledig — drie gaten keren in vrijwel elke beoordeling terug. Eén: muteerbaarheid. Back-ups die een beheerder (of een aanvaller met beheerderscredentials) kan verwijderen of wijzigen, zakken voor de integriteitseis; write-once-opslag (WORM) dicht dit. Twee: bewijs. Back-ups die nooit test-hersteld zijn, zonder logs of gemeten hersteltijden, leveren niets wat een auditor kan accepteren — de maatregel bestaat alleen als bewering. Drie: jurisdictie. Kopieën bij niet-EU-providers roepen datasoevereiniteitsvragen op onder de AVG en compliceren de NIS2-ketenbeoordeling, zeker waar de Amerikaanse CLOUD Act de provider bereikt.
Geen van deze gaten is exotisch; alle drie zijn architecturaal. Daarom werkt "we documenteren wat we hebben" zelden — wat de meeste organisaties hebben, is ontworpen voor hardwarefalen, niet voor tegenstanders, auditors en grensoverschrijdend recht.
Wat non-conformiteit kost
Het boetekader heeft tanden: essentiële entiteiten riskeren bestuurlijke boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet (het hoogste bedrag geldt), belangrijke entiteiten tot €7 miljoen of 1,4%. Bestuursorganen moeten de risicomaatregelen goedkeuren en erop toezien, en kunnen bij ernstige nalatigheid persoonlijk aansprakelijk worden gesteld — een bepaling die meer back-upprojecten heeft gefinancierd dan welk technisch argument ook.
De indirecte kosten bijten eerder. Cyberverzekeraars zijn geconvergeerd op dezelfde bewijsset als NIS2-auditors — immutable kopieën, geteste restores — en prijzen of weigeren dienovereenkomstig. En het incident zelf blijft de grootste post: volgens het Cost of a Data Breach Report van IBM bedroegen de gemiddelde datalekkosten in 2024 wereldwijd 4,88 miljoen dollar, met herstelsnelheid als een van de sterkste kostendifferentiators. NIS2-compliance en incidenteconomie wijzen naar dezelfde architectuur.
NIS2-conforme back-up bouwen: een stappenplan in vijf stappen
Doe een gap-assessment tegen artikel 21. Vergelijk huidige back-upreikwijdte, integriteitsbescherming, testpraktijk en documentatie met de eisen — en leg de bevindingen schriftelijk vast; het assessment zelf is auditbewijs.
Schrijf het beleid en stel onderbouwde doelen. Definieer RTO/RPO per kritiek systeem op basis van bedrijfsimpact, en documenteer waarom die doelen evenredig zijn — de NIS2-maatstaf is risicogebaseerd, niet one-size-fits-all.
Dicht het integriteitsgat met immutability. Verplaats kritieke back-ups naar opslagafgedwongen WORM-kopieën, geïsoleerd van productiecredentials, via beheerde backup-as-a-service met uitsluitend EU-datacenters — dat beslecht meteen de jurisdictievraag.
Institutionaliseer getest herstel. Plan kwartaallijkse hersteltests en minstens jaarlijkse disaster recovery-oefeningen; registreer duur, uitkomsten en verbeteracties. Dit dossier leest de auditor het eerst.
Verbind back-ups met incidentrespons. Zorg dat crisisprocedures naar herstelstappen verwijzen, en dat een ransomwarescenario — inclusief ransomwarespecifieke bescherming met verificatie van schone herstelpunten — geoefend is, niet alleen opgeschreven.
Het bewijs waar auditors om vragen
| Eis | Zwak antwoord | Auditklaar antwoord |
|---|---|---|
| Back-upbeheerbeleid | "IT regelt de back-ups" | Geschreven, door bestuur goedgekeurd beleid met reikwijdte & retentie |
| Herstelcapaciteit | "We zouden kunnen herstellen" | Kwartaalrapporten met gemeten RTO/RPO |
| Integriteitsbescherming | Repository met wachtwoord | Opslagafgedwongen immutability, geïsoleerde credentials |
| Keten | Onbekende subverwerkers | Provider onder EU-jurisdictie, vastgelegd in leveranciersregister |
| Governance | Geen bestuursbetrokkenheid | Bestuursakkoord, jaarlijkse herzieningscyclus |
De tabel van onder naar boven lezen is leerzaam: elk auditklaar antwoord is ook gewoon betere engineering. NIS2 heeft geen nieuwe back-upwetenschap uitgevonden — het heeft het verschil tussen geclaimde en bewezen weerbaarheid juridisch zichtbaar gemaakt.
Conclusie
NIS2 veranderde de vraag van "heb je back-ups?" in "kun je ze besturen, beschermen, testen en bewijzen?" — en hing boetes en persoonlijke bestuurdersaansprakelijkheid aan het antwoord. De conforme architectuur is gelukkig dezelfde die ransomware overleeft: beleidsgestuurde, immutable, EU-gehoste kopieën met hersteltests die volgens schema bewijs produceren. Organisaties die haar bouwen, krijgen auditgereedheid, verzekerbaarheid en echte weerbaarheid uit één investering. Wil je een gestructureerd gap-assessment van je huidige back-upopstelling tegen artikel 21? We voeren het graag samen uit.
Veelgestelde Vragen
Wat zijn de NIS2-eisen voor back-ups?
NIS2-artikel 21, lid 2, onder c verplicht essentiële en belangrijke entiteiten tot bedrijfscontinuïteitsmaatregelen, met expliciete vermelding van back-upbeheer en disaster recovery. In de praktijk betekent dit een geschreven back-upbeleid, gedefinieerde en onderbouwde RTO/RPO-doelen, bescherming van back-upintegriteit tegen manipulatie, regelmatige gedocumenteerde hersteltests en integratie met incidentresponsprocedures. Toezichthouders beoordelen bewijs, geen intenties — testlogs en immutability-documentatie tonen naleving aan.
Wie valt onder NIS2?
NIS2 dekt "essentiële" en "belangrijke" entiteiten in sectoren als energie, transport, bankwezen, zorg, drinkwater, digitale infrastructuur, openbaar bestuur, productie van kritieke goederen, post en voedsel — doorgaans organisaties met 50+ medewerkers of €10M+ omzet in die sectoren, met enkele groottenonafhankelijke uitzonderingen. Elke EU-lidstaat zet de richtlijn om in nationaal recht, dus exacte reikwijdte en handhavingsdetails verschillen per land.
Welke boetes kunnen onder NIS2 worden opgelegd?
Essentiële entiteiten riskeren bestuurlijke boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, welk bedrag hoger is; voor belangrijke entiteiten is het maximum €7 miljoen of 1,4%. Naast boetes kunnen toezichthouders bindende aanwijzingen geven en bij essentiële entiteiten bestuurders tijdelijk schorsen. NIS2 vestigt bovendien persoonlijke verantwoordelijkheid van bestuursorganen voor het goedkeuren van en toezien op cyberrisicomaatregelen, inclusief back-up en herstel.