Welke Eisen Stelt NIS2 Aan Back-up En Herstel?

Bijna elke organisatie maakt back-ups. Veel minder organisaties hebben ooit geprobeerd om er daadwerkelijk iets uit terug te zetten. Dat verschil valt pas op het slechtst denkbare moment op: als de productieomgeving versleuteld is en iemand voor het eerst de herstelknop indrukt.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de Europese NIS2-richtlijn. Ruim 8.000 organisaties in Nederland moeten aantoonbaar passende maatregelen nemen. NIS2 back-up valt onder maatregel 3 van artikel 21, samen met bedrijfscontinuïteit en crisisbeheer. De nadruk ligt daarbij niet op het maken van kopieën, maar op het kunnen herstellen.

Welke eisen stelt NIS2 aan back-up en herstel?

Back-upbeheer staat in artikel 21 als onderdeel van maatregel 3. De zorgplicht vraagt om maatregelen die passend en evenredig zijn, gelet op de risico’s die u loopt en de gevolgen van uitval. Er staan geen aantallen kopieën of bewaartermijnen in de wet.

Wat wel vaststaat, is de bewijslast. De toezichthouder kan vragen om uw back-upbeleid, om het overzicht van wat er wel en niet in de back-up zit, en om het verslag van uw laatste hersteltest. Een schermafbeelding waarop staat dat de laatste taak is geslaagd, is daarvoor te mager.

Uw back-upstrategie is bovendien afgeleid, geen beginpunt. De frequentie volgt uit de hersteldoelen in uw bedrijfscontinuïteitsplan, en de reikwijdte volgt uit uw risicoanalyse. Wie een dagelijkse back-up maakt terwijl het maximaal aanvaardbare gegevensverlies vier uur is, voldoet feitelijk niet aan zijn eigen afspraak.

Wat hoort er in een back-upbeleid?

Een back-upbeleid past op een paar pagina’s. Het beantwoordt vooral de vraag wie waarvoor tekent, zodat niet één beheerder in stilte alle keuzes maakt.

• Reikwijdte. Welke systemen, databases, bestandsopslag, e-mail en clouddiensten vallen onder de back-up, en welke uitdrukkelijk niet.
• Frequentie. Hoe vaak een kopie wordt gemaakt per systeem, afgeleid van het aanvaardbare gegevensverlies.
• Bewaartermijn. Hoe lang u kopieën bewaart, en hoe u omgaat met wettelijke bewaarplichten en met verwijderverzoeken onder de AVG.
• Opslaglocaties. Waar de kopieën staan, fysiek en logisch, en hoe die gescheiden zijn van de productieomgeving.
• Versleuteling. Hoe back-ups worden beschermd en waar de sleutels staan, want een sleutel in de versleutelde omgeving is geen sleutel.
• Verantwoordelijkheden. Wie beheert, wie controleert de meldingen en wie escaleert bij mislukte taken.
• Testprogramma. Wat wordt wanneer teruggezet, door wie, en waar wordt dat vastgelegd.

Wat houdt het 3-2-1-principe in?

Het 3-2-1-principe is de meest gebruikte vuistregel voor back-ups en het is een goed vertrekpunt voor uw NIS2-invulling. Het schrijft voor dat u drie kopieën van uw gegevens heeft, op twee verschillende soorten media, waarvan één kopie op een andere locatie staat.

De achterliggende gedachte is dat elke bedreiging op een ander punt toeslaat. Een defecte schijf raakt één medium. Een brand raakt één locatie. Ransomware raakt alles wat vanaf het besmette netwerk bereikbaar is. Alleen door te spreiden voorkomt u dat één gebeurtenis al uw kopieën tegelijk meeneemt.

Veel organisaties breiden de regel uit met een extra eis: één kopie die offline of onveranderlijk is, en een hersteltest met nul fouten. Die uitbreiding sluit goed aan bij wat NIS2 vraagt, omdat de nadruk daarmee verschuift van bewaren naar terugzetten.

Waarom zijn offline en onveranderlijke back-ups zo belangrijk?

Moderne ransomware zoekt actief naar back-ups. Aanvallers zitten vaak al weken in het netwerk voordat zij versleutelen, en gebruiken die tijd om beheeraccounts te bemachtigen en back-upopslag te wissen. Een kopie die met dezelfde inloggegevens bereikbaar is als de productieomgeving, is daarom geen echte reservekopie.

Er zijn twee beproefde antwoorden. Een offline kopie staat fysiek los, bijvoorbeeld op een medium dat na het schrijven wordt losgekoppeld of naar een kluis gaat. Een onveranderlijke kopie staat wel online, maar kan gedurende een vastgestelde periode door niemand worden gewijzigd of verwijderd, ook niet door een beheerder.

De hersteltijden in deze tabel zijn richtinggevend en hangen sterk af van uw datavolume en verbindingen. Meet uw eigen tijden tijdens een test en vergelijk die met de hersteldoelen die het bestuur heeft vastgesteld.

Hoe toont u aan dat terugzetten echt werkt?

Dit is de kern van de NIS2-eis. Een geslaagde back-uptaak zegt alleen dat er data is weggeschreven. Pas een hersteltest bewijst dat de gegevens compleet, leesbaar en bruikbaar zijn, en dat uw mensen weten hoe de procedure werkt.

Werk met een oplopende reeks. Zet eerst een enkel bestand terug, daarna een volledige map of postbus, vervolgens een complete database in een testomgeving, en ten slotte een kritiek systeem in een schone omgeving. Laat een medewerker uit het betrokken proces controleren of de teruggezette gegevens inhoudelijk kloppen.

Leg per test vast: datum, systeem, wie het uitvoerde, hoe lang het duurde, wat er misging en welke verbeteringen volgen. Bewaar die verslagen bij uw NIS2-documentatie. Zo vult u meteen maatregel 6 in, het beoordelen van de effectiviteit van uw maatregelen, en heeft u bewijs klaarliggen als de toezichthouder erom vraagt.

Hoe past herstel in uw incidentaanpak?

Bij een aanval is terugzetten zelden de eerste stap. Herstelt u naar een omgeving waarin de aanvaller nog aanwezig is, dan bent u binnen enkele dagen opnieuw versleuteld. Uw incident response plan hoort daarom voor te schrijven dat indamming en onderzoek voorafgaan aan herstel.

Leg ook vast wie besluit vanaf welk moment u terugzet. Kiest u de meest recente kopie met risico op herbesmetting, of een oudere kopie met meer gegevensverlies? Dat is een bestuurlijke afweging tussen tijd, geld en veiligheid, geen technische keuze. Herstel raakt bovendien meerdere van de tien maatregelen van artikel 21 tegelijk, van toegangsbeheer tot cryptografie.

Veelgestelde vragen over back-up en herstel onder NIS2

1. Schrijft NIS2 voor hoe vaak ik een back-up moet maken?

Nee. De wet noemt geen frequentie en geen bewaartermijn. U leidt die zelf af uit uw risicoanalyse en uit het maximaal aanvaardbare gegevensverlies per proces. Belangrijk is dat die keuze is vastgelegd, door het bestuur is goedgekeurd en dat de praktijk aantoonbaar aansluit bij wat u heeft afgesproken.

2. Is een cloudback-up voldoende voor NIS2?

Een clouddienst kan prima voldoen, mits de kopie los staat van uw productieomgeving en niet met dezelfde beheeraccounts te verwijderen is. Let op synchronisatiediensten: die kopiëren een versleuteld bestand meteen door. Kies bewust voor versiebeheer en een onveranderlijke bewaarperiode, en leg de gemaakte afspraken vast met uw leverancier.

3. Hoe vaak moet ik een hersteltest doen?

De wet noemt geen frequentie. Een kleine test per kwartaal en minstens één keer per jaar een volledige hersteltest van een kritiek systeem is voor de meeste organisaties verdedigbaar. Voer daarnaast een extra test uit na een migratie of een grote wijziging, want juist dan verschuiven paden en rechten ongemerkt.

4. Moeten back-ups versleuteld zijn?

NIS2 noemt cryptografie apart als maatregel, en een back-up bevat doorgaans uw meest complete gegevensset. Versleuteling is daarom in vrijwel alle gevallen passend, zeker bij transport of opslag buiten uw eigen locatie. Bewaar de sleutels gescheiden van de back-up en neem sleutelherstel op in uw herstelprocedure.

5. Wat als mijn ICT-leverancier de back-ups beheert?

U blijft zelf verantwoordelijk voor het voldoen aan de zorgplicht. Leg in het contract vast wat er wordt geback-upt, hoe vaak, hoe lang het wordt bewaard, binnen welke tijd wordt hersteld en hoe u testbewijs ontvangt. Vraag jaarlijks om een testverslag en beoordeel dat, want uitbesteden van werk is geen uitbesteden van verantwoordelijkheid.

Conclusie

Back-up onder NIS2 is geen technische bijzaak, maar de laatste verdedigingslinie van uw organisatie. Drie kopieën, twee soorten media, één kopie buiten bereik van een aanvaller, en een herstelprocedure die iemand daadwerkelijk heeft uitgevoerd: dat is de kern. Alles daarboven is verfijning.

Begin deze maand met één concrete actie: zet een kritiek systeem terug in een testomgeving en klok hoe lang dat duurt. De uitkomst vertelt u meer over uw weerbaarheid dan welk beleidsstuk ook. Wilt u het beleid en de vastlegging niet zelf opbouwen, dan bevatten de NIS2 document templates een back-upbeleid, een herstelprocedure en een testregistratie. Het NIS2 compliance pakket combineert die documenten met de digitale Coach die u per maatregel begeleidt.