DRP en BCP

Uitbesteed DRP: voordelen en beperkingen

Met een uitbesteed DRP vertrouwt u aan een dienstverlener de plek toe waar de servers opnieuw opstarten en vaak ook de bewaring van de kopieën. Een mkb-bedrijf hoeft dan geen tweede serverruimte te kopen. Het moet nog steeds weten wie de procedure start, waar de sleutel ligt en of de laatste test geslaagd is.

Bijgewerkt in oktober 20264 min leestijd5 geciteerde bronnen

In het kort

Voordelen: geen tweede gebouw, kosten vooral afhankelijk van het gebruik, kopieën al buiten de locatie, tests zonder eigen hardware.
Beperkingen: de RPO blijft die van de back-up, de RTO hangt af van personen en openingstijden, en de sleutel is uw verantwoordelijkheid.
Het ANSSI, het Franse nationale agentschap voor cyberbeveiliging, raadt aan te versleutelen vóór de verzending naar de dienstverlener en te controleren of de hersteltijd past bij uw maximaal aanvaardbare stilstand.
Het contract moet de hostinglocaties vermelden, de omkeerbaarheid regelen en, als er persoonsgegevens worden verwerkt, de clausules van artikel 28 van de AVG bevatten.
Een automatische opstarttest is geen zakelijke test.

Voordelen

Geen tweede gebouw. De instances bestaan bij de dienstverlener. Op de dag van de calamiteit hoeft u niet snel een server te kopen.
Kosten vooral afhankelijk van het gebruik. In een model waarin de activering per dag wordt gefactureerd, kosten de maanden zonder incident alleen de voorbereiding (opslag, agents, adressen), geen vloot die permanent draait.
Kopieën al buiten de locatie. Het DRP en de externe back-up voeden elkaar. U hoeft geen tapes te vervoeren.
Technische tests mogelijk zonder eigen hardware. Een image opstarten bij de dienstverlener vraagt geen testserver in de kast.
Gekozen geografische zone. Nuttig als de wet of het contract een land oplegt, op voorwaarde dat het contract dat ook echt vermeldt. Het ANSSI raadt aan van de dienstverlener de lijst van alle opslaglocaties van de gegevens te eisen, inclusief de hoofdlocatie en de uitwijklocaties.

Beperkingen

De RPO is geen toverij. Hij blijft gelijk aan de leeftijd van de gekozen back-up. De dienstverlener reconstrueert geen invoer die nooit is gekopieerd.
De RTO hangt af van personen. Als de enige bevoegde persoon onbereikbaar is, start de instance niet. Uitbesteding creëert geen wachtdienst die u niet hebt gekocht. Bij een dienstverlener die op werkdagen van 9.00 tot 17.30 uur open is, moet een calamiteit op zaterdagavond wachten, tenzij het contract iets anders bepaalt. Het ANSSI vraagt hier aandacht voor: de hersteltijd bij de dienstverlener moet passen bij uw maximaal aanvaardbare onderbrekingsduur.
De sleutel. Als alleen u kunt ontsleutelen, kunt alleen u herstellen. Het ANSSI raadt juist aan de back-ups vóór de verzending naar de dienstverlener te versleutelen met een eigen middel van de organisatie. Dat beschermt tegen ongeoorloofde inzage. Het is ook een verantwoordelijkheid: sleutel kwijt, DRP onbruikbaar. Een eerlijke dienstverlener zal u niet voorstellen de sleutel te bewaren ‘om u uit de nood te helpen’ zonder uit te leggen dat hij dan de gegevens kan lezen.
Het netwerk. De gebruikers moeten de noodomgeving kunnen bereiken. Een uitbesteed DRP zonder voorzien IP-adres en zonder geteste VPN herstelt onbereikbare servers.
De terugkeer. Terugkeren naar de herstelde locatie, met de gegevens die intussen zijn ingevoerd, is een project op zich. Contracten zeggen veel over de overschakeling heen, weinig over de terugkeer.
De opstarttest is geen zakelijke test. Een automatische maandelijkse controle die het opstarten verifieert, is een echte meerwaarde. Ze bewijst niet dat de bedrijfssoftware werkt.
De afhankelijkheid. Overstappen naar een andere dienstverlener vraagt dat de kopieën opnieuw worden gelezen. Het contract moet vermelden binnen welke termijn en in welke vorm u met uw gegevens vertrekt: dat noemt het ANSSI de omkeerbaarheid, de mogelijkheid om de uitbestede functie terug te nemen of aan een derde toe te vertrouwen, met hulp van de dienstverlener tijdens de migratie.

Wat het contract moet bevatten

De gids van het ANSSI over uitbesteding raadt aan een beveiligingsborgingsplan (PAS) als bijlage aan het contract toe te voegen en een audit van de back-up- en noodprocedures te voorzien. Wanneer de kopieën persoonsgegevens bevatten, wat bijna altijd het geval is, is de dienstverlener een verwerker in de zin van de AVG. Artikel 28 vereist dan een schriftelijk contract, en de verwerkersgids van de CNIL, de Franse toezichthouder voor gegevensbescherming, beschrijft de inhoud ervan.

Punt	Waarom	Waar u het controleert
Hostinglocaties, hoofd- en uitwijklocatie	Wettelijke of contractuele eis inzake locatie	Contract, PAS
Tijden voor ondersteuning en activering	Ze maken deel uit van de werkelijke RTO	Servicevoorwaarden
Inbegrepen tests en tests op offerte	De RTO meten vóór de calamiteit	Commercieel aanbod
Bezit van de encryptiesleutel	Vertrouwelijkheid en vermogen om te herstellen	Contract, interne procedure
Omkeerbaarheid	Met uw gegevens vertrekken bij een overstap	Specifieke clausule
Bestemming van de gegevens aan het einde van het contract	AVG: teruggave of vernietiging van alle kopieën	Verwerkersovereenkomst
Subverwerkers	AVG: voorafgaande schriftelijke toestemming	Verwerkersovereenkomst
Melding bij een inbreuk	AVG: de verwerker waarschuwt de klant	Verwerkersovereenkomst

Artikel 32 van de AVG vraagt daarnaast om middelen waarmee de beschikbaarheid van en de toegang tot persoonsgegevens tijdig kunnen worden hersteld, en om een procedure om de doeltreffendheid van de maatregelen regelmatig te testen. Een uitbesteed DRP draagt daaraan bij, als het echt wordt getest.

Wanneer het de juiste keuze is

Een mkb-bedrijf zonder tweede serverruimte, met één tot enkele servers waarvan de stilstand in uren en niet in minuten wordt geteld, dat niet wil investeren in slapende hardware. Telt de stilstand in minuten, kijk dan eerder naar een BCP, met kennis van de permanente kosten ervan: zie Uitbesteed BCP: voordelen en beperkingen.

Bij WeDoBack

Het uitbestede DRP komt overeen met het gepubliceerde DRP-aanbod: opslag vanaf € 175 excl. btw per TB per maand, agents, publieke IP-adressen tegen € 0,54 excl. btw per maand, instances, activering bij een calamiteit per dag gefactureerd, een maandelijkse opstarttest zonder de productie te raken en een test onder reële omstandigheden tot 10 uur op offerte. De gegevens worden op de machine versleuteld vóór de verzending, met een sleutel die de klant bezit, en opgeslagen op servers die aan back-up zijn toegewijd, redundant in meerdere Europese landen of in de zone die de wetgeving van de klant oplegt. De gebruikte datacenters en oplossingen zijn ISO 27001- en HDS-gecertificeerd, en de verwerking volgt de AVG. Menselijke ondersteuning is bereikbaar van 9.00 tot 13.00 uur en van 14.00 tot 17.30 uur (Parijse tijd). Die tijden maken deel uit van de werkelijke RTO. Lees ze vóór u tekent, niet na de calamiteit.

Het DRP-aanbod bekijken Offerte aanvragen

Veelgestelde vragen

Welke clausules controleert u in een contract voor een uitbesteed DRP?

De hostinglocaties (hoofd- en uitwijklocatie), de tijden voor ondersteuning en activering, de manier van activeren, de inbegrepen tests, de omkeerbaarheid (in welke vorm en binnen welke termijn u uw gegevens terugkrijgt) en, voor persoonsgegevens, de AVG-clausules: gedocumenteerde instructies, beveiliging, subverwerkers en wat er met de gegevens gebeurt aan het einde van het contract.

Kan de leverancier de encryptiesleutel bewaren voor extra zekerheid?

Dat kan, maar dan kan hij uw gegevens ook lezen. Bent u de enige die de sleutel bezit, dan kan niemand anders de kopieën ontsleutelen, maar moet u hem op een veilige plek bewaren, buiten de locatie, met minstens twee personen die hem kunnen terugvinden. Het ANSSI, het Franse nationale agentschap voor cyberbeveiliging, raadt aan te versleutelen met een eigen middel van de organisatie vóór de verzending.

Volstaat een uitbesteed DRP om aan de AVG te voldoen?

Het draagt bij aan artikel 32, dat middelen vraagt om de beschikbaarheid van persoonsgegevens tijdig te herstellen en een procedure om de maatregelen regelmatig te testen. Op zichzelf volstaat het niet: u hebt ook een verwerkersovereenkomst volgens artikel 28 nodig, een register van inbreuken en gedocumenteerde tests.

Verder lezen

Bronnen

Documenten geraadpleegd in oktober 2026.

Uitbesteding en beveiliging van informatiesystemen: een gids om de risico’s te beheersen (2010, in het Frans) — ANSSI (Frans agentschap)
Back-up van informatiesystemen – De basisprincipes (ANSSI-BP-100, v1.1, 27 november 2025, in het Frans) — ANSSI (Frans agentschap)
Europese verordening inzake de bescherming van persoonsgegevens – Gids voor verwerkers (editie september 2017, in het Frans) — CNIL (Franse toezichthouder)
Verordening (EU) 2016/679 (AVG), artikelen 28 en 32 — EUR-Lex
DRP-aanbod: herstel van de activiteit na een calamiteit — WeDoBack

Een project voor back-up, DRP of BCP?

Meer dan 20 jaar ervaring in de bescherming van bedrijfsgegevens.

Offerte aanvragen +33 9 72 50 78 28

Bescherm uw gegevens met WeDoBack

Versleutelde offsite back-up, onveranderlijke opslag, DRP en BCP: beschrijf uw servers en wij stellen de juiste combinatie voor.

Offerte aanvragen Bekijk aanbod en tarieven