DRP i BCP

Czym jest DRP?

Plan odtwarzania po awarii (DRP, ang. Disaster Recovery Plan) obejmuje środki i czynności przewidziane do ponownego uruchomienia systemów IT po awarii, w środowisku zastępczym, w czasie, który firma uznała za akceptowalny. Zaczyna działać, gdy produkcja jest już zatrzymana, a kończy się po powrocie do zwykłego środowiska.

Aktualizacja: październik 20264 min czytania5 cytowanych źródeł

Najważniejsze

DRP nie jest oprogramowaniem: to dokumentacja, która określa, co uruchomić, gdzie, w jakiej kolejności, kto decyduje i jak wrócić.
Dla każdej usługi wyznacza dwa progi: akceptowalny czas przestoju (RTO, po francusku DMIA) i akceptowalną utratę danych (RPO, po francusku PDMA).
RPO planu jest równe RPO zasilającej go kopii zapasowej: DRP nigdy nie przywróci stanu nowszego niż ostatnia nieuszkodzona kopia.
Bez udokumentowanego testu z datą to tylko dokument, a nie plan. CNIL (francuski organ ochrony danych) zaleca regularne testowanie stosowania planu.

Definicja referencyjna

NIST, amerykański instytut normalizacyjny, definiuje plan odtwarzania po awarii jako plan skoncentrowany na systemie informatycznym, którego celem jest przywrócenie działania systemu, aplikacji lub infrastruktury w lokalizacji zastępczej po sytuacji kryzysowej. Plan ciągłości działania ma natomiast utrzymać procesy biznesowe w trakcie zakłócenia i po nim.

SGDSN, francuski organ odpowiedzialny za bezpieczeństwo narodowe, traktuje odtwarzanie jako część planu ciągłości działania: utrzymanie kluczowych działań, w razie potrzeby w trybie ograniczonym, a następnie planowe wznowienie. Oba plany się uzupełniają; różnicę omawiamy w artykule Czym różni się DRP od BCP?.

Co zawiera

DRP nie jest oprogramowaniem. To żywa dokumentacja:

lista usług do uruchomienia, w ustalonej kolejności (katalog użytkowników, bazy danych, aplikacje, a następnie stanowiska pracy);
maksymalny akceptowalny czas przestoju (RTO) i ilość danych, które firma jest gotowa wprowadzić ponownie (RPO);
miejsce przechowywania kopii i sposób przekształcenia ich w działające serwery;
kto decyduje o przełączeniu, kto przechowuje klucz szyfrowania, kto informuje użytkowników;
jak wrócić do pierwotnego środowiska po jego naprawie;
data ostatniego testu i jego wnioski.

Bez ostatniego punktu mamy dokument. Nie mamy planu.

NIST dzieli plan na trzy fazy, przydatne do uporządkowania kilku stron dokumentu w MŚP:

Faza	Na jakie pytanie odpowiada
Aktywacja i powiadomienie	Kto stwierdza incydent, kto decyduje o uruchomieniu planu, kto kogo powiadamia?
Odtwarzanie	Jakie kroki prowadzą do ponownego uruchomienia usług, w jakiej kolejności i w jakim środowisku?
Powrót do normalnego działania	Jak potwierdzić poprawne działanie, wrócić do pierwotnego środowiska i zamknąć incydent?

ANSSI, francuska krajowa agencja ds. cyberbezpieczeństwa, kładzie nacisk na kolejność: należy określić strategię i kolejność odtwarzania, uwzględniając w szczególności zależności od usług infrastrukturalnych (DNS, katalog użytkowników, synchronizacja czasu).

DRP a kopia zapasowa

Kopia zapasowa dostarcza dane, a jeśli jest obrazem, także system. DRP wskazuje miejsce, w którym ten system zostanie uruchomiony, oraz procedurę, dzięki której ludzie będą mogli z niego korzystać: sieć, adresy, DNS lub IP, licencje, konta. Kopie zapasowe w chmurze bez przewidzianego serwera zapasowego oznaczają możliwość odtworzenia „gdzieś”, kiedyś. DRP wskazuje to „gdzieś” i to „kiedyś”.

RPO planu DRP jest równe RPO zasilającej go kopii zapasowej. Jeśli ostatnia nieuszkodzona kopia pochodzi z poprzedniego dnia z godziny 22:00, nawet najszybszy DRP na świecie przywróci stan z 22:00, a nie z 10:00 następnego dnia. ANSSI wymaga zresztą, aby strategia kopii zapasowych uwzględniała maksymalną dopuszczalną utratę danych (PDMA) i maksymalny dopuszczalny czas przerwy (DMIA): to francuskie odpowiedniki RPO i RTO, opisane szczegółowo w artykułach Czym jest RPO? i Czym jest RTO?.

Czym DRP nie jest

Planem ciągłości działania (BCP). BCP dąży do tego, by usługa praktycznie nie została przerwana. DRP akceptuje przerwę, a następnie wznowienie.
Samą replikacją. Replika podąża za oryginałem, także w trakcie ataku. DRP musi umożliwiać wybór wcześniejszej wersji.
Ustną obietnicą usługodawcy. „Pomożemy Państwu” bez zmierzonego RTO i corocznego testu nie jest planem.

W przypadku MŚP

Przydatny DRP mieści się na kilku stronach i obejmuje dwa lub trzy serwery, a nie pięćdziesiąt aplikacji z mapy dużej grupy. Odpowiada na scenariusze: pożar serwerowni, fizyczny serwer nie do naprawienia w ciągu 48 godzin, ransomware, który uniemożliwił pracę systemów produkcyjnych. Jeśli traktuje wszystko jednakowo, nie zostanie przetestowany.

Artykuł 32 RODO wymaga zdolności do szybkiego przywrócenia dostępu do danych osobowych po incydencie. CNIL w swoim przewodniku dotyczącym bezpieczeństwa danych osobowych zaleca opracowanie planu ciągłości działania i odtwarzania IT zawierającego listę osób zaangażowanych, upewnienie się, że użytkownicy i usługodawcy wiedzą, kogo powiadomić, oraz regularne testowanie odtwarzania kopii zapasowych i stosowania planu. Metodę krok po kroku opisujemy w artykule Jak zbudować DRP dla MŚP?.

W WeDoBack

DRP WeDoBack uruchamia serwery klienta na instancjach zapasowych, z wersji kopii zapasowej wybranej przez klienta. Zasoby obliczeniowe są przydzielane w momencie odtwarzania, a nie na stałe. Comiesięczny automatyczny test sprawdza, czy te instancje się uruchamiają, bez wpływu na produkcję. Test w warunkach rzeczywistych, trwający do dziesięciu godzin, jest dostępny na podstawie wyceny. Aktywacja w dniu awarii jest rozliczana dziennie. Przestrzeń dyskowa DRP kosztuje od 175 € netto za TB miesięcznie, do tego jeden agent na serwer, instancje oraz, dla usług dostępnych z Internetu, publiczne adresy IP po 0,54 € netto miesięcznie. Kopie są szyfrowane na maszynie przed wysłaniem, kluczem będącym w posiadaniu klienta: odtworzenie wymaga dostępności tego klucza. Powrót na pierwotny serwer po jego naprawie jest częścią planu: dane zostają na nim odtworzone, a tworzenie kopii zapasowych zostaje wznowione.

Poznaj ofertę DRP Poproś o wycenę

Najczęściej zadawane pytania

Czy DRP jest obowiązkowy dla MŚP?

Żaden przepis nie nakłada obowiązku posiadania DRP na wszystkie MŚP. Artykuł 32 RODO wymaga jednak zdolności do szybkiego przywrócenia dostępu do danych osobowych po incydencie, a CNIL, francuski organ ochrony danych, zaleca opracowanie planu ciągłości działania i odtwarzania IT, nawet skróconego, oraz jego regularne testowanie. Mogą go też wymagać umowy z klientami, ubezpieczyciel lub regulacje sektorowe.

Czym DRP różni się od zwykłej kopii zapasowej?

Kopia zapasowa przechowuje dane, a czasem obraz systemu. DRP określa ponadto miejsce, w którym systemy zostaną uruchomione, kolejność uruchamiania, sieć, konta oraz osobę, która decyduje o przełączeniu. Mając tylko kopię zapasową, wiadomo, że da się ją kiedyś odtworzyć „gdzieś”; DRP wskazuje to miejsce i ten termin.

Kto powinien opracować DRP?

Zarząd ustala priorytety i akceptowalne terminy; osoba administrująca IT lub usługodawca opisuje czynności techniczne. SGDSN, francuski organ ds. bezpieczeństwa narodowego, zaleca weryfikację dokumentów, najlepiej przez stronę trzecią, a następnie sprawdzenie ich w testach i ćwiczeniach.

Dowiedz się więcej

Źródła

Dokumenty sprawdzone w październiku 2026 r.

SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
Przewodnik opracowania planu ciągłości działania (wydanie 2013, w języku francuskim) — SGDSN (Francja)
Kopie zapasowe systemów informatycznych – podstawy (ANSSI-BP-100, v1.1, 27 listopada 2025, w języku francuskim) — ANSSI (agencja francuska)
Praktyczny przewodnik RODO – bezpieczeństwo danych osobowych (wersja 2024, w języku francuskim) — CNIL (organ francuski)
Oferta DRP: odtwarzanie działalności po awarii — WeDoBack

Planują Państwo projekt kopii zapasowych, DRP lub BCP?

Ponad 20 lat doświadczenia w ochronie danych firmowych.

Poproś o wycenę +33 9 72 50 78 28

Proszę chronić swoje dane z WeDoBack

Szyfrowana kopia zapasowa poza siedzibą firmy, niezmienna pamięć masowa, DRP i BCP: proszę opisać nam swoje serwery, a zaproponujemy właściwe połączenie rozwiązań.

Poproś o wycenę Zobacz ofertę i cennik