DRP a BCP

Externí DRP: výhody a omezení

Externí DRP svěřuje poskytovateli místo, kde servery znovu naběhnou, a často i úschovu kopií. Malé a střední firmě ušetří nákup druhé serverovny. Neušetří jí však potřebu vědět, kdo plán spouští, kde je klíč a zda poslední test uspěl.

Aktualizováno v říjnu 20264 min čtení5 citovaných zdrojů

To nejdůležitější

Výhody: žádná druhá budova, náklady vázané hlavně na využití, kopie již mimo lokalitu, testy bez interního hardwaru.
Omezení: RPO zůstává dáno zálohou, RTO závisí na lidech a provozní době, za klíč odpovídáte vy.
ANSSI, francouzský národní úřad pro kybernetickou bezpečnost, doporučuje šifrovat před odesláním k poskytovateli a ověřit, že doba obnovy odpovídá vaší přijatelné době výpadku.
Smlouva musí uvádět místa hostingu, upravovat exit strategii a v případě zpracování osobních údajů obsahovat ustanovení článku 28 GDPR.
Automatický test spuštění není test z pohledu uživatelů.

Výhody

Žádná druhá budova. Instance existují u poskytovatele. V den havárie nemusíte narychlo kupovat server.
Náklady vázané hlavně na využití. V modelu, kde se aktivace účtuje po dnech, stojí měsíce bez incidentu jen přípravu (úložiště, agenty, adresy), ne trvale zapnutý park serverů.
Kopie již mimo lokalitu. DRP a externí zálohování se navzájem doplňují. Nepřevážejí se žádné pásky.
Technické testy možné bez interního hardwaru. Spuštění obrazu u poskytovatele nevyžaduje testovací server ve skříni.
Zvolená geografická oblast. Užitečné, když zákon nebo smlouva vyžaduje určitou zemi, za předpokladu, že to smlouva skutečně uvádí. ANSSI doporučuje požadovat od poskytovatele seznam všech míst uložení dat, včetně hlavní i záložních lokalit.

Omezení

RPO není zázrak. Zůstává rovno stáří zvolené zálohy. Poskytovatel nezrekonstruuje data, která nikdy nebyla zkopírována.
RTO závisí na lidech. Pokud je jediná oprávněná osoba nedosažitelná, instance se nespustí. Outsourcing nevytvoří pohotovostní službu, kterou jste si nekoupili. U poskytovatele, který pracuje ve všední dny od 9:00 do 17:30, havárie v sobotu večer počká, pokud smlouva nestanoví jinak. ANSSI na tento bod upozorňuje: doba obnovy u poskytovatele musí odpovídat vaší maximální přijatelné době přerušení.
Klíč. Pokud dešifrovat můžete jen vy, jen vy můžete obnovit. ANSSI právě doporučuje šifrovat zálohy vlastními prostředky organizace před odesláním k poskytovateli. Je to ochrana před neoprávněným čtením. Je to ale také odpovědnost: ztracený klíč znamená nepoužitelný DRP. Poctivý poskytovatel vám nenabídne, že si klíč ponechá „pro případ potřeby“, aniž by vám vysvětlil, že pak bude moci data číst.
Síť. Uživatelé se musí k záložnímu prostředí dostat. Externí DRP bez připravené IP adresy a otestované VPN obnoví nedosažitelné servery.
Návrat. Návrat do opravené lokality, včetně dat zadaných mezitím, je samostatný projekt. Smlouvy hovoří hodně o přepnutí tam, málo o návratu.
Test spuštění není test z pohledu uživatelů. Automatická měsíční kontrola, která ověřuje spuštění, je skutečným přínosem. Neprokazuje však, že podnikový software funguje.
Závislost. Změna poskytovatele vyžaduje přečíst kopie. Smlouva musí uvádět, v jaké lhůtě a v jaké podobě odcházíte se svými daty: ANSSI tomu říká vratnost (exit strategie), tedy možnost převzít outsourcovanou funkci zpět nebo ji svěřit třetí straně, s pomocí poskytovatele během migrace.

Co musí smlouva obsahovat

Příručka ANSSI k outsourcingu doporučuje přiložit ke smlouvě plán zajištění bezpečnosti (PAS) a počítat s auditem postupů zálohování a obnovy. Pokud kopie obsahují osobní údaje, což platí téměř vždy, je poskytovatel zpracovatelem ve smyslu GDPR. Článek 28 pak vyžaduje písemnou smlouvu a příručka pro zpracovatele vydaná CNIL, francouzským úřadem pro ochranu osobních údajů, podrobně popisuje její obsah.

Bod	Proč	Kde ho ověřit
Místa hostingu, hlavní a záložní	Zákonný nebo smluvní požadavek na umístění	Smlouva, PAS
Hodiny podpory a aktivace	Jsou součástí skutečného RTO	Podmínky služby
Zahrnuté testy a testy na základě cenové nabídky	Změřit RTO před havárií	Obchodní nabídka
Držení šifrovacího klíče	Důvěrnost a schopnost obnovit	Smlouva, interní postup
Exit strategie	Odejít se svými daty při změně poskytovatele	Samostatné ustanovení
Naložení s daty po skončení smlouvy	GDPR: vrácení nebo výmaz všech kopií	Smlouva o zpracování
Další zpracovatelé	GDPR: předchozí písemné povolení	Smlouva o zpracování
Upozornění v případě porušení	GDPR: zpracovatel informuje zákazníka	Smlouva o zpracování

Článek 32 GDPR dále vyžaduje schopnost včas obnovit dostupnost osobních údajů a přístup k nim, jakož i proces pravidelného testování účinnosti opatření. Externí DRP k tomu přispívá, pokud je skutečně testován.

Kdy je to správná volba

Malá a střední firma bez druhé serverovny, jeden až několik serverů, jejichž výpadek se počítá v hodinách, nikoli v minutách, a snažha neinvestovat do nečinného hardwaru. Pokud se výpadek počítá v minutách, zvažte spíše BCP s vědomím jeho trvalých nákladů: viz Externí BCP: výhody a omezení.

U WeDoBack

Externí DRP odpovídá zveřejněné nabídce DRP: úložiště od 175 € bez DPH za TB měsíčně, agenti, veřejné IP adresy za 0,54 € bez DPH měsíčně, instance, aktivace při havárii účtovaná po dnech, měsíční test spuštění bez zásahu do produkce, test v reálných podmínkách v délce až 10 hodin na základě cenové nabídky. Data se šifrují na zařízení před odesláním klíčem, který drží zákazník, a ukládají se na servery vyhrazené pro zálohování, redundantně v několika evropských zemích nebo v oblasti, kterou vyžaduje legislativa zákazníka. Použitá datová centra a řešení jsou certifikována podle ISO 27001 a HDS (francouzská certifikace pro hosting zdravotnických dat) a zpracování probíhá v souladu s GDPR. Lidská podpora je k zastižení od 9:00 do 13:00 a od 14:00 do 17:30 (pařížského času). Tato provozní doba je součástí skutečného RTO. Je třeba ji znát před podpisem smlouvy, ne až po havárii.

Zobrazit nabídku DRP Vyžádat cenovou nabídku

Časté otázky

Která ustanovení ve smlouvě o externím DRP zkontrolovat?

Místa hostingu (primární a záložní), hodiny podpory a aktivace, způsob spuštění, zahrnuté testy, exit strategii (v jaké podobě a v jaké lhůtě získáte svá data zpět) a u osobních údajů ustanovení GDPR: zdokumentované pokyny, zabezpečení, další zpracovatelé, naložení s daty po skončení smlouvy.

Může si poskytovatel pro větší bezpečnost ponechat šifrovací klíč?

Může, ale pak bude moci vaše data číst. Pokud klíč držíte jen vy, nikdo jiný kopie dešifrovat nemůže, musíte ho však uchovávat na bezpečném místě mimo lokalitu a alespoň dvě osoby musí vědět, kde ho najít. ANSSI, francouzský národní úřad pro kybernetickou bezpečnost, doporučuje šifrovat vlastními prostředky organizace ještě před odesláním.

Stačí externí DRP ke splnění GDPR?

Přispívá ke splnění článku 32, který vyžaduje schopnost včas obnovit dostupnost osobních údajů a proces pravidelného testování opatření. Sám o sobě nestačí: potřebujete také smlouvu o zpracování osobních údajů v souladu s článkem 28, záznam o porušeních a zdokumentované testy.

Další čtení

Zdroje

Dokumenty konzultovány v říjnu 2026.

Outsourcing a bezpečnost informačních systémů: příručka pro řízení rizik (2010, ve francouzštině) — ANSSI (Francie)
Zálohování informačních systémů – základy (ANSSI-BP-100, v1.1, 27. listopadu 2025, ve francouzštině) — ANSSI (Francie)
Evropské nařízení o ochraně osobních údajů – příručka pro zpracovatele (vydání září 2017, ve francouzštině) — CNIL (Francie)
Nařízení (EU) 2016/679 (GDPR), články 28 a 32 — EUR-Lex
Nabídka DRP: obnova provozu po havárii — WeDoBack

Plánujete projekt zálohování, DRP nebo BCP?

Více než 20 let zkušeností s ochranou firemních dat.

Vyžádat cenovou nabídku +33 9 72 50 78 28

Chraňte svá data s WeDoBack

Šifrované zálohování mimo pracoviště, neměnné úložiště, DRP a BCP: popište nám své servery a my vám navrhneme vhodnou kombinaci.

Vyžádat cenovou nabídku Zobrazit nabídky a ceny