DRP i BCP

Zewnętrzny DRP: zalety i ograniczenia

Zewnętrzny DRP powierza dostawcy miejsce, w którym uruchamiane są serwery, a często także przechowywanie kopii. Oszczędza MŚP zakupu drugiej serwerowni. Nie zwalnia jej jednak z wiedzy, kto uruchamia procedurę, gdzie jest klucz i czy ostatni test się powiódł.

Aktualizacja: październik 20264 min czytania5 cytowanych źródeł

Najważniejsze

Zalety: brak drugiego budynku, koszt związany głównie z wykorzystaniem, kopie już poza siedzibą, testy bez własnego sprzętu.
Ograniczenia: RPO pozostaje takie jak w przypadku kopii zapasowej, RTO zależy od ludzi i godzin pracy, za klucz odpowiadają Państwo.
ANSSI, francuska krajowa agencja ds. cyberbezpieczeństwa, zaleca szyfrowanie przed wysłaniem danych do dostawcy oraz sprawdzenie, czy czas przywracania jest zgodny z dopuszczalnym czasem przestoju.
Umowa musi wymieniać lokalizacje hostingu, przewidywać odwracalność, a w przypadku przetwarzania danych osobowych – klauzule z art. 28 RODO.
Automatyczny test uruchomienia nie jest testem biznesowym.

Zalety

Brak drugiego budynku. Instancje istnieją u dostawcy. W dniu awarii nie trzeba w pośpiechu kupować serwera.
Koszt związany głównie z wykorzystaniem. W modelu, w którym aktywacja jest rozliczana dziennie, miesiące bez incydentów kosztują tylko przygotowanie (przestrzeń dyskowa, agenci, adresy), a nie stale włączoną flotę serwerów.
Kopie już poza siedzibą. DRP i zewnętrzna kopia zapasowa wzajemnie się uzupełniają. Nie trzeba przewozić taśm.
Testy techniczne możliwe bez własnego sprzętu. Uruchomienie obrazu u dostawcy nie wymaga serwera testowego w szafie.
Wybrany obszar geograficzny. Przydatne, gdy przepisy lub umowa wymagają określonego kraju, pod warunkiem że umowa rzeczywiście to przewiduje. ANSSI zaleca żądanie od dostawcy listy wszystkich lokalizacji przechowywania danych, łącznie z lokalizacją podstawową i zapasowymi.

Ograniczenia

RPO nie działa cudów. Pozostaje równe wiekowi wybranej kopii zapasowej. Dostawca nie odtworzy danych, które nigdy nie zostały skopiowane.
RTO zależy od ludzi. Jeśli jedyna upoważniona osoba jest nieosiągalna, instancja nie zostanie uruchomiona. Outsourcing nie tworzy dyżurów, których Państwo nie wykupili. U dostawcy czynnego w dni robocze od 9:00 do 17:30 awaria w sobotni wieczór musi poczekać, chyba że umowa stanowi inaczej. ANSSI zwraca uwagę na ten punkt: czas przywracania u dostawcy musi być zgodny z maksymalnym dopuszczalnym czasem przestoju.
Klucz. Jeśli tylko Państwo mogą odszyfrować dane, tylko Państwo mogą je przywrócić. ANSSI zaleca właśnie szyfrowanie kopii zapasowych własnymi środkami organizacji przed wysłaniem ich do dostawcy. To ochrona przed nieuprawnionym odczytem. To także odpowiedzialność: utrata klucza oznacza bezużyteczny DRP. Uczciwy dostawca nie zaproponuje przechowywania klucza „na wszelki wypadek”, nie wyjaśniając, że będzie wtedy mógł odczytać dane.
Sieć. Użytkownicy muszą mieć dostęp do środowiska zapasowego. Zewnętrzny DRP bez przewidzianego adresu IP i przetestowanego VPN przywraca serwery, z którymi nie można się połączyć.
Powrót. Powrót do naprawionej siedziby, wraz z danymi wprowadzonymi w międzyczasie, to osobny projekt. Umowy dużo mówią o przełączeniu, a mało o powrocie.
Test uruchomienia nie jest testem biznesowym. Automatyczna comiesięczna kontrola uruchomienia to realna korzyść. Nie dowodzi jednak, że aplikacja biznesowa działa.
Zależność. Zmiana dostawcy wymaga ponownego odczytania kopii. Umowa musi określać, w jakim terminie i w jakiej formie odzyskują Państwo swoje dane: ANSSI nazywa to odwracalnością, czyli możliwością przejęcia outsourcowanej funkcji z powrotem lub powierzenia jej innemu podmiotowi, przy wsparciu dostawcy w trakcie migracji.

Co musi zawierać umowa

Poradnik ANSSI dotyczący outsourcingu zaleca dołączenie do umowy planu zapewnienia bezpieczeństwa (PAS) oraz przewidzenie audytu procedur tworzenia kopii zapasowych i odtwarzania. Gdy kopie zawierają dane osobowe, co ma miejsce niemal zawsze, dostawca jest podmiotem przetwarzającym w rozumieniu RODO. Art. 28 wymaga wówczas pisemnej umowy, a poradnik dla podmiotów przetwarzających opracowany przez CNIL (francuski organ ochrony danych) szczegółowo opisuje jej treść.

Punkt	Dlaczego	Gdzie to sprawdzić
Lokalizacje hostingu, podstawowa i zapasowa	Prawny lub umowny wymóg lokalizacji	Umowa, PAS
Godziny wsparcia i aktywacji	Są częścią rzeczywistego RTO	Warunki świadczenia usług
Testy w cenie i testy na podstawie wyceny	Zmierzenie RTO przed awarią	Oferta handlowa
Posiadanie klucza szyfrowania	Poufność i zdolność do przywrócenia danych	Umowa, procedura wewnętrzna
Odwracalność	Odzyskanie danych w przypadku zmiany dostawcy	Dedykowana klauzula
Los danych po zakończeniu umowy	RODO: zwrot lub usunięcie wszystkich kopii	Umowa powierzenia przetwarzania
Dalsze podmioty przetwarzające	RODO: uprzednia pisemna zgoda	Umowa powierzenia przetwarzania
Powiadomienie o naruszeniu	RODO: podmiot przetwarzający informuje klienta	Umowa powierzenia przetwarzania

Art. 32 RODO wymaga ponadto zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich, a także procedury regularnego testowania skuteczności środków. Zewnętrzny DRP przyczynia się do tego, jeśli jest rzeczywiście testowany.

Kiedy to właściwy wybór

MŚP bez drugiej serwerowni, z jednym lub kilkoma serwerami, których przestój liczy się w godzinach, a nie w minutach, i z zamiarem nieinwestowania w nieużywany sprzęt. Gdy przestój liczy się w minutach, warto raczej rozważyć BCP, mając świadomość jego stałego kosztu: zob. Zewnętrzny BCP: zalety i ograniczenia.

W WeDoBack

Zewnętrzny DRP odpowiada opublikowanej ofercie DRP: przestrzeń dyskowa od 175 € netto za TB miesięcznie, agenci, publiczne adresy IP po 0,54 € netto miesięcznie, instancje, aktywacja w razie awarii rozliczana dziennie, comiesięczny test uruchomienia bez wpływu na środowisko produkcyjne, test w warunkach rzeczywistych trwający do 10 godzin na podstawie wyceny. Dane są szyfrowane na maszynie przed wysłaniem, kluczem będącym w posiadaniu klienta, i przechowywane na serwerach przeznaczonych wyłącznie do kopii zapasowych, redundantnych w kilku krajach Europy lub w strefie wymaganej przez przepisy obowiązujące klienta. Wykorzystywane centra danych i rozwiązania posiadają certyfikaty ISO 27001 i HDS (francuski certyfikat hostingu danych medycznych), a przetwarzanie odbywa się zgodnie z RODO. Wsparcie jest dostępne w godz. 9:00–13:00 i 14:00–17:30 (czasu paryskiego). Te godziny są częścią rzeczywistego RTO. Należy się z nimi zapoznać przed podpisaniem umowy, a nie po awarii.

Poznaj DRP Poproś o wycenę

Najczęściej zadawane pytania

Jakie klauzule należy sprawdzić w umowie na zewnętrzny DRP?

Lokalizacje hostingu (podstawową i zapasową), godziny wsparcia i aktywacji, sposób uruchamiania procedury, testy w cenie, odwracalność (w jakiej formie i w jakim terminie odzyskują Państwo swoje dane), a w przypadku danych osobowych – klauzule RODO: udokumentowane polecenia, bezpieczeństwo, dalsze podmioty przetwarzające, los danych po zakończeniu umowy.

Czy dostawca może przechowywać klucz szyfrowania dla większego bezpieczeństwa?

Może, ale wówczas będzie mógł odczytać Państwa dane. Jeśli tylko Państwo posiadają klucz, nikt inny nie może odszyfrować kopii, ale trzeba go przechowywać w bezpiecznym miejscu, poza siedzibą, tak aby co najmniej dwie osoby mogły go odnaleźć. ANSSI, francuska krajowa agencja ds. cyberbezpieczeństwa, zaleca szyfrowanie własnymi środkami organizacji przed wysłaniem danych.

Czy zewnętrzny DRP wystarczy, aby spełnić wymogi RODO?

Przyczynia się do spełnienia art. 32, który wymaga zdolności do szybkiego przywrócenia dostępności danych osobowych oraz procedury regularnego testowania środków. Sam w sobie nie wystarczy: potrzebne są również umowa powierzenia przetwarzania zgodna z art. 28, rejestr naruszeń i udokumentowane testy.

Dowiedz się więcej

Źródła

Dokumenty sprawdzone w październiku 2026 r.

Outsourcing a bezpieczeństwo systemów informatycznych: poradnik zarządzania ryzykiem (2010) — ANSSI (agencja francuska)
Kopie zapasowe systemów informatycznych – podstawy (ANSSI-BP-100, v1.1, 27 listopada 2025) — ANSSI (agencja francuska)
Europejskie rozporządzenie o ochronie danych osobowych – poradnik dla podmiotów przetwarzających (wydanie z września 2017) — CNIL (organ francuski)
Rozporządzenie (UE) 2016/679 (RODO), art. 28 i 32 — EUR-Lex
Oferta DRP: wznowienie działalności po awarii — WeDoBack

Planują Państwo projekt kopii zapasowych, DRP lub BCP?

Ponad 20 lat doświadczenia w ochronie danych firmowych.

Poproś o wycenę +33 9 72 50 78 28

Proszę chronić swoje dane z WeDoBack

Szyfrowana kopia zapasowa poza siedzibą firmy, niezmienna pamięć masowa, DRP i BCP: proszę opisać nam swoje serwery, a zaproponujemy właściwe połączenie rozwiązań.

Poproś o wycenę Zobacz ofertę i cennik