Uw expert in back-up en gegevensbescherming!De oplossing die past bij uw behoeften
IT-back-up
Onveranderlijke back-up: hoe lang bewaart u de gegevens?
De termijn van een onveranderlijke back-up is die van het risico dat u wilt dekken, niet de maximale termijn die de dienstverlener verkoopt. Tegen ransomware of een vergissing volstaat doorgaans 30 tot 90 dagen; voor een wettelijke verplichting is het de wettelijke termijn, toegepast op alleen de betrokken documenten.
In het kort
- Tegen ransomware: minimaal 30 dagen, 90 dagen als de monitoring beperkt is of de activiteit seizoensgebonden.
- Wettelijke verplichting: de termijn die het recht van uw land vastlegt (in Frankrijk bijvoorbeeld: boekhoudkundige stukken 10 jaar, loonstroken 5 jaar, patiëntendossier 20 jaar in een zorginstelling).
- Die termijnen veranderen: in Frankrijk gaan fiscale documenten van 6 naar 10 jaar voor documenten waarvan de termijn na 1 januari 2027 verstrijkt.
- Scheid een operationele ruimte (kort) van een archiefruimte (lang, beperkt tot de stukken die u moet kunnen bewijzen).
- Gegevens die tien jaar onveranderlijk zijn, moeten tien jaar lang ontsleutelbaar en leesbaar blijven: sleutel en formaat inbegrepen.
Tegen ransomware en vergissingen: 30 tot 90 dagen
De vergrendeling moet langer duren dan de detectietijd.
- Een verkeerde verwijdering wordt meestal binnen enkele dagen opgemerkt. Veertien tot dertig dagen onveranderlijkheid dekken dat geval.
- Ransomware die wordt voorafgegaan door een stille inbraak, wordt vaak pas na een tot meerdere weken ontdekt. Dertig dagen is een minimum. Negentig dagen geeft marge als de monitoring beperkt is of als het bedrijf in de zomer meerdere weken sluit.
- Na enkele maanden wordt het duur om alle dagelijkse back-ups van alle servers te vergrendelen, en legt u ook persoonsgegevens vast die u niet meer nodig hebt. U spreidt dan de herstelpunten (één per week) of reserveert langdurige onveranderlijkheid voor een deelverzameling.
Omdat een compliance-vergrendeling niet kan worden ingekort, kiest u de termijn nadat u het volume hebt gemeten. Een geobserveerde test van een maand is beter dan een verbintenis van tien jaar voor een volledige server. De aanvullende maatregelen (gescheiden accounts, offline kopie, waarschuwingen) worden beschreven in Hoe beschermt u uw back-ups tegen ransomware?.
Tegen de plicht om een stuk te bewaren: de wettelijke termijn
De termijn wordt bepaald door het recht van uw land (boekhouding, fiscaliteit, gezondheid): informeer bij uw boekhouder of de bevoegde overheid. Voorbeeld: Frankrijk.
| Document | Bewaartermijn | Wat u moet vergrendelen |
|---|---|---|
| Boeken en boekhoudkundige stukken | 10 jaar vanaf de afsluiting van het boekjaar (Frans wetboek van koophandel, art. L123-22) | De stukken, niet het dagelijkse schijfimage |
| Fiscale documenten | 6 jaar, verlengd tot 10 jaar voor documenten waarvan de termijn na 1 januari 2027 verstrijkt | De fiscale bewijsstukken |
| Duplicaten van loonstroken | 5 jaar (Frans arbeidswetboek) | De loonstroken |
| Gewoon handelscontract | 5 jaar; 10 jaar vanaf de levering voor een elektronisch gesloten contract van ten minste € 120 | Het ondertekende contract |
| Patiëntendossier in een zorginstelling | 20 jaar vanaf het laatste verblijf of de laatste externe consultatie (Frans wetboek volksgezondheid, art. R1112-7) | Het dossier |
Deze termijnen zijn die welke de Franse overheid publiceert voor Franse bedrijven, zoals geraadpleegd in oktober 2026; ze gelden niet voor de andere lidstaten van de Europese Unie. De sector, het land van de klant en het contract kunnen iets anders opleggen. De wijziging van de termijn voor fiscale documenten in Frankrijk, voortvloeiend uit een wet van juni 2026, toont aan dat een vergrendeling die vandaag wordt ingesteld soms een langere termijn moet dekken dan oorspronkelijk gepland: een redelijke marge is beter dan een te korte vergrendeling.
Voor persoonsgegevens vereist de AVG een termijn die in verhouding staat tot het doel. De CNIL, de Franse toezichthouder voor gegevensbescherming, beschrijft drie fasen: de actieve gegevens, de tussentijdse archivering (beperkte toegang, voor een geschil of een wettelijke verplichting), en daarna de verwijdering of definitieve archivering. Langdurige onveranderlijkheid stemt overeen met de tussentijdse archivering van een deelverzameling, niet met het bewaren van alles. Tien jaar onveranderlijkheid voor een volledige mailbox is in het licht van de AVG vaak buitensporig, terwijl het voor een boekhoudkundig dagboek past. De functionaris voor gegevensbescherming of een adviseur beslist.
Eén termijn, twee ruimtes
Ruimte A, operationeel: dagelijkse back-ups, 30 of 90 dagen onveranderlijk, daarna automatisch verlopen. Doel: terugkeren in de tijd.
Ruimte B, archief: alleen de documenten die u moet kunnen bewijzen, onveranderlijk gedurende de wettelijke termijn, in een formaat dat op die vervaldatum nog leesbaar is (PDF/A, database-export, geen volledig besturingssysteem). Doel: het stuk kunnen voorleggen.
Wie A en B in dezelfde vergrendeling van tien jaar mengt, vermenigvuldigt het volume met het aantal nachten. Het onderscheid tussen beide toepassingen wordt uitgewerkt in Wat is het verschil tussen back-up en archivering?.
De sleutel en de software
Gegevens die tien jaar onveranderlijk zijn, moeten tien jaar ontsleutelbaar blijven. Dat veronderstelt een procedure voor het bewaren van de sleutel, los van personen die het bedrijf kunnen verlaten, en een formaat dat u ook dan nog kunt openen. De onveranderlijkheid van de opslag houdt de leessoftware niet up-to-date.
Bij WeDoBack
De onveranderlijke termijn wordt bij de intekening gekozen, binnen de grens van tien jaar die voor het aanbod ONVERANDERLIJK geldt. De publieke prijs volgt het vergrendelde volume: € 20 excl. btw per blok van 100 GB per maand, plus een agent. Voorbeeld: 500 GB vergrendeld kost € 100 excl. btw per maand, plus een agent (€ 6 excl. btw voor een virtuele server). Op de vervaldatum start een nieuwe intekening een nieuwe periode. Niets op de website laat toe een lopende vergrendeling in te korten: dat is consistent met WORM, en het wordt beslist voordat de gegevens worden weggeschreven. De versleutelingssleutel blijft bij de klant: het is aan hem om die gedurende de hele gekozen termijn te bewaren.
Veelgestelde vragen
Kan ik mijn volledige mailomgeving tien jaar onveranderlijk maken?
Technisch wel, maar dat is zelden gerechtvaardigd. De AVG vereist een bewaartermijn die in verhouding staat tot het doel, en de CNIL (de Franse toezichthouder) onderscheidt de actieve gegevens, de tussentijdse archivering en de verwijdering. Vergrendel tien jaar wat een wettekst tien jaar laat bewaren, niet alle communicatie.
Wat gebeurt er aan het einde van de onveranderlijkheidsperiode?
De vergrendeling vervalt. De gegevens kunnen dan via de normale bewaarcyclus worden verwijderd, of opnieuw worden vergrendeld voor een nieuwe periode. Er wordt niets automatisch gewist als er geen verwijderregel is ingesteld.
Loopt de wettelijke termijn vanaf de datum van de back-up?
Nee, hij loopt vanaf de gebeurtenis die de wettekst bepaalt, bijvoorbeeld in Frankrijk: de afsluiting van het boekjaar voor de boekhouding, het laatste verblijf van de patiënt voor het medisch dossier, de laatste verrichting voor fiscale documenten. Een stuk dat laat is geback-upt, moet dus worden vergrendeld tot de juiste vervaldatum, niet tot tien jaar na de back-up.
Verder lezen
Bronnen
Documenten geraadpleegd in oktober 2026.
- Wat zijn de bewaartermijnen van documenten voor bedrijven? — Entreprendre.Service-Public.gouv.fr (voorbeeld: Frankrijk)
- Wijziging van de bewaartermijn van fiscale documenten — Entreprendre.Service-Public.gouv.fr (voorbeeld: Frankrijk)
- Medisch dossier — Service-Public.gouv.fr (voorbeeld: Frankrijk)
- Praktische gids: bewaartermijnen (juli 2020) — CNIL (Franse toezichthouder)
- ONVERANDERLIJK-aanbod: WORM-opslag en prijzen — WeDoBack
Een project voor back-up, DRP of BCP?
Meer dan 20 jaar ervaring in de bescherming van bedrijfsgegevens.
Offerte aanvragen+33 9 72 50 78 28Bescherm uw gegevens met WeDoBack
Versleutelde offsite back-up, onveranderlijke opslag, DRP en BCP: beschrijf uw servers en wij stellen de juiste combinatie voor.