DRP och BCP

Hur ofta ska man testa sin DRP?

Kontrollera automatiskt att kopiorna fortfarande startar, minst varje månad, och gör en verklig omkoppling, med ett verksamhetsmoment, minst en gång per år. Gör ett nytt test så snart servern, nätverket, leverantören eller den person som innehar nyckeln byts ut.

Uppdaterad oktober 20263 min läsning6 källor

Det viktigaste

Varje dag: gå igenom misslyckade säkerhetskopieringar. Varje månad: teknisk start av reservmiljön.
Varje kvartal: en tidtagen återställning. Varje år: en verklig omkoppling med återgång.
NIST föreskriver ett årligt test av återställningsförmågan; GDPR och ANSSI (Frankrike) kräver regelbundna tester.
Varje större förändring (server, ny huvudversion, administratör, leverantör, internetförbindelse) utlöser ett test.
Det viktigaste: det nedskrivna datumet för det senaste testet och de åtgärdade avvikelserna.

Vad referensramverken säger

NIST. Vägledningen SP 800-34 från den amerikanska standardiseringsmyndigheten, skriven för amerikanska federala system, föreskriver att återställningsförmågan och teamen testas varje år för att identifiera svagheter. Själva planen ska hållas uppdaterad med en frekvens som organisationen fastställer, till exempel varje år, och efter varje större förändring.
GDPR. Artikel 32 kräver förmåga att återställa tillgången till personuppgifter i rätt tid och ett förfarande för att regelbundet testa och utvärdera säkerhetsåtgärdernas effektivitet.
ANSSI (Frankrike). Enligt Frankrikes nationella cybersäkerhetsmyndighet ska säkerhetskopior testas regelbundet, och en rutin för återställning av informationssystemet ska skrivas ned och tillämpas regelbundet. För krisövningar rekommenderar myndigheten en flerårig strategi, med format som successivt trappas upp.

Ingen av dessa texter kräver ”varje månad under verkliga förhållanden”. Alla pekar mot täta kontroller och ett fullständigt test minst en gång per år.

Varför inte ”varje månad under verkliga förhållanden”

En verklig omkoppling avbryter, eller riskerar att avbryta, produktionen. Att göra den varje månad kostar mycket i timmar och trötthet, och till slut slarvar teamen med den. Hellre ett seriöst årligt test än en månatlig ritual där ingen öppnar applikationen.

Däremot är det för lång tid att vänta ett år för att upptäcka att en säkerhetskopia inte längre startar. Därav den täta, lätta tekniska kontrollen och det sällsynta, fullständiga verksamhetstestet.

Ett hållbart schema för ett litet eller medelstort företag

När	Vad
Varje dag	Gå igenom misslyckade säkerhetskopieringar. En DRP som förses av en trasig kopia är en trasig DRP
Varje månad	Teknisk start av reservmiljön, utan att stänga av produktionen
Varje kvartal	Återställning av en fil eller en databas, med tidtagning
Varje år	Verklig omkoppling eller motsvarande, med verksamhetsanvändare och återgång
Vid varje förändring	Ny server, ny huvudversion, administratören slutar, byte av leverantör eller internetförbindelse

Starkt reglerade branscher eller livsviktiga system (vård, kontinuerlig industriproduktion) kortar raden ”varje år”, ibland till varje halvår. Det är inte miniminormen för ett tjänsteföretag av mindre eller medelstor storlek. Detaljerna för varje nivå finns i Hur testar man en DRP?.

Det som betyder mer än frekvensen

Det nedskrivna datumet för det senaste testet och de åtgärdade avvikelserna. En DRP som testades för elva månader sedan, med en rapport, är i bättre skick än en DRP som ”testas hela tiden” utan någon dokumentation av vad som har kontrollerats. NIST kräver att varje övning resulterar i en rapport med iakttagelser och rekommendationer för förbättring.

Om det senaste testet är mer än tolv månader gammalt, säg det rakt ut till ledningen. Det är en upplysning, inget att skämmas över. Felet är att uppge för en kund eller ett försäkringsbolag att planen är fungerande.

Efter en verklig incident

En verklig katastrof är ett test, under förutsättning att man skriver en rapport inom en vecka: vad som tog längre tid än planerat, vad som saknades, vad man ändrar i planen. Annars drabbas man två gånger på samma sätt. Se även Servern har gått ner: vad gör man?.

Hos WeDoBack

Startkontrollen är månatlig och ingår i DRP-tjänsten, utan att röra produktionen: den täcker raden ”varje månad” i tabellen, för avbildningen, inte för verksamhetsmomentet. Testet under verkliga förhållanden planeras, upp till tio timmar, mot offert: det är den naturliga kandidaten för den årliga raden. Ingenting i erbjudandet testar den mänskliga rutinen åt er (vem som beslutar, var nyckeln finns, hur teamet informeras). Den delen följer takten för avgångar och nyanställningar, inte programvarans takt.

Upptäck erbjudandet DRP Begär en offert

Vanliga frågor

Finns det ett lagkrav på hur ofta man ska testa?

Det finns ingen allmän regel för alla små och medelstora företag. Dataskyddsförordningen (GDPR, artikel 32) och ANSSI, Frankrikes nationella cybersäkerhetsmyndighet, kräver att man testar ”regelbundet”, utan att ange någon takt. NIST rekommenderar för amerikanska federala system ett årligt test. Vissa reglerade branscher, eller era avtal och ert försäkringsbolag, kan kräva en tätare takt.

Räknas en verklig katastrof som ett test?

Ja, under förutsättning att man skriver en rapport inom en vecka: vad som tog längre tid än planerat, vad som saknades, vad som ändras i planen. Utan denna dokumentation bidrar incidenten inte till att förbättra planen.

Vad ska man säga till en kund eller ett försäkringsbolag om det senaste testet är mer än ett år gammalt?

Sanningen, med datumet. Att uppge att en plan är fungerande utan ett nyligen genomfört test riskerar att skapa ett glapp mellan löftet och verkligheten den dag katastrofen inträffar. Det är bättre att ange det planerade datumet för nästa test.

Läs vidare

Källor

Dokumenten konsulterades i oktober 2026.

SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
Förordning (EU) 2016/679 (dataskyddsförordningen, GDPR), artikel 32 — EUR-Lex
Säkerhetskopiering av informationssystem – grunderna (ANSSI-BP-100, v1.1, 27 november 2025, på franska) — ANSSI (fransk myndighet)
Att organisera en övning i cyberkrishantering (på franska) — ANSSI (fransk myndighet)
SP 800-84, Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities (september 2006) — NIST
Erbjudandet DRP: återställning efter katastrof — WeDoBack

Ett projekt inom säkerhetskopiering, DRP eller BCP?

Över 20 års erfarenhet av att skydda företags data.

Begär en offert +33 9 72 50 78 28

Skydda era data med WeDoBack

Krypterad extern säkerhetskopiering, oföränderlig lagring, DRP och BCP: beskriv era servrar för oss så föreslår vi rätt kombination.

Begär en offert Se erbjudanden och priser