IT-back-up

Moet u uw back-ups uitbesteden?

Ja, als het verlies van het pand of een compromittering van het interne netwerk ten minste één herstelbare kopie moet laten bestaan. Uitbesteden sluit een lokale kopie niet uit: het voorkomt dat alle kopieën hetzelfde lot ondergaan als de productieomgeving.

Bijgewerkt in oktober 20263 min leestijd5 geciteerde bronnen

In het kort

Besteed de noodkopie en de historiek uit; houd lokaal een recente kopie voor kleine herstelacties.
Eis schriftelijk: het land van de kopieën, een niet-verwijderbare kopie, de vastgestelde hersteltijd en de exitregeling van het contract.
Het ANSSI, het Franse nationale agentschap voor cyberbeveiliging, raadt aan vóór verzending te versleutelen en na te gaan of de gegevens binnen de Europese Unie worden bewaard.
De dienstverlener is een verwerker in de zin van de AVG: het contract moet bepalen dat de gegevens aan het einde van de dienstverlening worden gewist of teruggegeven.
Bewaar de versleutelingssleutel niet in dezelfde kluis als de gegevens.

Wanneer uitbesteden het verschil maakt

Brand, waterschade, diefstal van apparatuur: de back-up-NAS in dezelfde ruimte gaat mee met de servers.
Ransomware die binnenkomt via een beheerdersaccount: die versleutelt de gekoppelde netwerkshares, ook de share ‘Backup’ op het netwerk.
Afwezigheid van de enige medewerker die de schijven wisselde: de rotatie stopt zonder dat de directie het weet.
De verplichting om gegevens in een bepaald land of een bepaalde zone te bewaren, zonder zelf een tweede locatie te beheren.

Een bedrijf dat al twee gebouwen op afstand van elkaar heeft, een eigen team en een onveranderlijke kopie die echt offline staat, kan minder uitbesteden. In een kmo is dat zeldzaam.

Wat u uitbesteedt en wat u zelf houdt

Besteed de noodkopie en de historiek uit. Houd lokaal, als de bandbreedte het toelaat, een recente kopie om een bestand te herstellen zonder te wachten op het downloaden van meerdere terabytes. Besteed ook de back-up van uw cloudmail uit aan een andere partij dan de leverancier van die maildienst: wie in dezelfde tenant blijft, blijft blootgesteld aan dezelfde beheerdersaccounts. Zie Moet u Microsoft 365 back-uppen?.

De versleutelingssleutel bewaart u niet in dezelfde logische kluis als de gegevens, en het enige beheerderswachtwoord laat u niet zonder schriftelijke procedure bij de dienstverlener.

Wat het ANSSI aanbeveelt voor een externe back-up

De back-upgids van het ANSSI wijdt een tabel aan back-ups buiten de eigen locatie, bij een cloudhostingpartij of een onderaannemer. De aandachtspunten:

Aandachtspunt	Wat u moet controleren
Gevoeligheid van de gegevens	Versleuteling vóór verzending naar de dienstverlener
Locatie	Opslag op het grondgebied van de Europese Unie
Hersteltijd	Verenigbaar met de maximaal toelaatbare onderbrekingsduur, inclusief de in het contract vastgelegde herstelprioriteit
Bestendigheid tegen wissen	Een WORM-oplossing (niet-wijzigbaar) is mogelijk, met gescheiden beheerdersaccounts
Offline kopie	Blijft als robuuster beschouwd; een aanvaardbaar compromis combineert regelmatige WORM-kopieën met minder frequente offline kopieën

De CNIL, de Franse toezichthouder voor gegevensbescherming, voegt eraan toe dat de transmissiekanalen versleuteld moeten zijn wanneer de back-ups de organisatie verlaten, en dat back-ups hetzelfde beveiligingsniveau verdienen als de productieservers.

De beperkingen, eerlijk benoemd

De bandbreedte. De eerste back-up van een groot volume kost tijd. De volgende verzenden alleen de wijzigingen, als de software incrementeel werkt. Een te krappe verbinding verlengt ook het volledige herstel.
De afhankelijkheid. Op de dag van het incident bent u afhankelijk van de openingstijden, het contract en het vermogen van de dienstverlener om zijn kopieën terug te lezen. Het NIST noemt de toegankelijkheid (hersteltermijn en openingsuren) als een van de criteria om externe opslag te kiezen. Een hersteltest vóór de calamiteit is de enige eerlijke test.
De terugkerende kosten. U betaalt elke maand voor het bewaarde volume. Een bewaartermijn van vijf jaar voor de hele server kost evenveel als een slecht afgebakende archivering.
De verantwoordelijkheid voor de gegevens. Het contract moet vermelden waar de gegevens staan, wie er toegang toe heeft en hoe ze aan het einde van het contract worden gewist. De AVG (artikel 28) staat alleen toe een verwerker in te schakelen die voldoende garanties biedt, en verplicht die verwerker de gegevens na afloop van de dienstverlening te wissen of terug te bezorgen. Versleuteling waarvan u de sleutel bezit, beperkt wat de dienstverlener kan lezen; ze neemt uw verplichtingen niet weg.

Hoe kiezen

Vraag schriftelijk vier dingen: het land van de kopieën, de mogelijkheid van een niet-verwijderbare kopie, de vastgestelde tijd om een volume zoals het uwe te herstellen, en wat er gebeurt als u vertrekt. Een verhaal over ‘hoge beveiliging’ zonder deze vier antwoorden laat u niet toe een beslissing te nemen.

Is het doel de dienstverlening opnieuw op te starten, en niet alleen de gegevens terug te halen, lees dan ook Uitbesteed DRP: voordelen en beperkingen.

Bij WeDoBack

Uitbesteding is de basisdienst: de kopieën verlaten het netwerk van de klant, worden vóór vertrek op de machine versleuteld en redundant opgeslagen in meerdere Europese landen, of in de zone die de wetgeving van de klant oplegt. De gebruikte datacenters en oplossingen zijn ISO 27001- en HDS-gecertificeerd (HDS is de Franse certificering voor het hosten van gezondheidsgegevens), en de verwerking volgt de AVG. SMART laat het beheer aan de klant, waarbij ondersteuning per interventie wordt gefactureerd. INTEGRAL omvat twee uur ondersteuning per maand. De ondersteuning is bereikbaar op +33 9 72 50 78 28 of via [email protected], van 9.00 tot 13.00 uur en van 14.00 tot 17.30 uur (Parijse tijd). ONVERANDERLIJK, DRP en BCP zijn opties wanneer een herstelbare kopie niet volstaat voor het doel (langdurig bewijs, of hervatting van de dienstverlening).

Bekijk het aanbod en de prijzen Offerte aanvragen

Veelgestelde vragen

Kan de dienstverlener mijn gegevens lezen?

Niet als ze vóór verzending op uw eigen machine worden versleuteld, met een sleutel die alleen u bezit. De dienstverlener bewaart dan onleesbare blokken. Keerzijde: wie de sleutel verliest, kan niets meer herstellen. Bewaar hem daarom op meerdere veilige plaatsen.

Hoe lang duurt een herstel vanaf een externe locatie?

Dat hangt af van het volume, de bandbreedte van uw verbinding en de methode. Eén bestand herstellen duurt enkele minuten; meerdere terabytes via internet terugzetten kan dagen duren. Het ANSSI vraagt na te gaan of de hersteltijd verenigbaar is met de maximaal toelaatbare onderbrekingsduur. Vandaar het nut van een lokale kopie of van een herstart op een noodinstance.

Wat gebeurt er met mijn back-ups als ik van dienstverlener verander?

Dat moet in het contract staan. De AVG verplicht de verwerker om na afloop van de dienstverlening de persoonsgegevens te wissen of terug te bezorgen, naar keuze van de verwerkingsverantwoordelijke. Voorzie een overlapperiode: bewaar de oude historiek tot de nieuwe de gewenste bewaartermijn heeft bereikt.

Verder lezen

Bronnen

Documenten geraadpleegd in oktober 2026.

Back-up van informatiesystemen – De basisprincipes (ANSSI-BP-100, v1.1, 27 november 2025) — ANSSI (Frans agentschap)
Verordening (EU) 2016/679 (AVG), artikel 28: verwerker — EUR-Lex
SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
Beveiliging: back-ups maken — CNIL (Franse toezichthouder)
Aanbod en prijzen — WeDoBack

Een project voor back-up, DRP of BCP?

Meer dan 20 jaar ervaring in de bescherming van bedrijfsgegevens.

Offerte aanvragen +33 9 72 50 78 28

Bescherm uw gegevens met WeDoBack

Versleutelde offsite back-up, onveranderlijke opslag, DRP en BCP: beschrijf uw servers en wij stellen de juiste combinatie voor.

Offerte aanvragen Bekijk aanbod en tarieven