DRP och BCP

Hur bestämmer man sitt RTO?

Man bestämmer ett RTO med två tal. Det första är ekonomiskt: efter hur många timmars avbrott kostnaden överstiger vad man är beredd att betala för att undvika det. Det andra är tekniskt: hur lång tid den senaste verkliga återställningen tog. Det angivna RTO måste vara minst lika långt som det andra talet och tillräckligt kort för att det första ska förbli hållbart; om de motsäger varandra ändrar man arkitekturen, inte stoppuret.

Uppdaterad oktober 20263 min läsning4 källor

Det viktigaste

Det ekonomiska talet: personer som inte kan arbeta × timkostnad, förlorad försäljning, viten. Beräknat tjänst för tjänst.
Det tekniska talet: tidtaget från ”vi anmäler incidenten” till det första lyckade verksamhetsmomentet.
Utan test har ni inget tekniskt RTO, ni har en förhoppning.
Om talen inte möts: minska volymen, förbered avbildningar, gå över till DRP eller BCP, eller acceptera ett nedskrivet reducerat driftläge.
Ett RTO anges inom supportens öppettider som ni faktiskt har tillgång till.

Det ekonomiska talet

NIST, den amerikanska standardiseringsmyndigheten, kallar detta steg att fastställa den längsta tolerabla avbrottstiden (MTD): vad verksamheten tål totalt, med alla konsekvenser inräknade. IT-miljöns RTO måste ligga under den. För en tjänst uppskattar man:

personer som inte kan arbeta × timkostnad inklusive sociala avgifter;
försäljning eller insatser som inte går att ta igen (en kund som går, en avbokad vårdtid);
avtalsviten, om sådana finns;
tidpunkten då företagets anseende skadas, även om den är subjektiv: skriv ned den ändå.

Exempel. Åtta personer som inte kan arbeta, 35 € i timmen inklusive avgifter, inga viten. Varje timme kostar 280 €, plus utebliven omsättning. Om ledningen accepterar störningar för 1 000 € är det ekonomiska RTO cirka tre till fyra timmar. Om den accepterar en dag eftersom orderboken bara förskjuts kan RTO vara 8 till 24 timmar.

Gör beräkningen per tjänst. Telefonväxeln kan ha ett RTO på en timme och dokumentarkivet ett RTO på en vecka.

Det tekniska talet

Ta det senaste testet, eller gör ett nu på en testkopia. Starta stoppuret vid ”vi anmäler incidenten”, inte vid ”programvaran har kopierat klart”. Stoppa det när en användare har lyckats utföra ett normalt moment.

Om ni aldrig har testat har ni inget tekniskt RTO. Ni har en förhoppning. Då är det omedelbara arbetet testet, inte valet mellan DRP och BCP. ANSSI, Frankrikes nationella cybersäkerhetsmyndighet, påminner om detta: en återställningsrutin ska skrivas ned och tillämpas regelbundet, och återställningsordningen ska fastställas i förväg utifrån beroenden (DNS, katalogtjänst) och applikationernas kritikalitet. En verksamhetsserver som väntar på katalogtjänsten ärver katalogtjänstens RTO.

Beräkningsmall

Tjänst	Kostnad per timmes avbrott	Ekonomiskt RTO	Tid vid senaste test	Differens	Beslut
Offertprogram	280 € + försäljning	4 h	9 h	5 h	DRP eller reducerat driftläge
E-post	Låg om telefon finns	24 h	6 h	Ingen	Säkerhetskopiering räcker
Arkiv	Försumbar	1 vecka	2 dagar	Ingen	Säkerhetskopiering räcker

Siffrorna ovan är exempel. Ersätt dem med era egna mätningar.

När de två talen inte möts

Återställningen tog nio timmar, verksamheten accepterar bara två.

Minska den volym som ska återställas (skilj arkiven från levande data).
Ha avbildningar som är redo att starta i stället för en ominstallation.
Flytta tjänsten till DRP (förberedd reservmiljö) eller BCP (reservmiljö som redan är igång). Se DRP eller BCP: vilken ska man välja?.
Eller acceptera, skriftligt, att det verkliga RTO är nio timmar och organisera ett reducerat driftläge på papper under dessa nio timmar. Det är ett legitimt val om det är medvetet.

ANSSI betonar i sin vägledning om cyberkrishantering den sista punkten: organisationen måste kunna upprätthålla sina mest kritiska verksamheter, eventuellt i reducerat läge, till och med utan digitala tjänster. Efter ett angrepp kan återuppbyggnaden sträcka sig över flera veckor: RTO för ett hårdvarufel gäller inte för ransomware.

Glöm inte öppettiderna

Ett RTO på fyra timmar som förutsätter en tillgänglig tekniker håller inte på en söndag om supporten är öppen vardagar kl. 9.00–17.30. Ange RTO i arbetstimmar för den support ni faktiskt har tillgång till, eller betala för jour. Annars är RTO på fredag kl. 18.00 i realiteten ”måndag morgon plus fyra timmar”.

Hos WeDoBack

Personlig support nås kl. 9.00–13.00 och 14.00–17.30 (Paris-tid), på +33 9 72 50 78 28 och via [email protected]. Övervakningen av säkerhetskopieringarna är däremot i drift dygnet runt: det förkortar tiden för att upptäcka en misslyckad kopiering, inte återställningstiden en söndag. DRP förkortar den tekniska tiden genom att starta om servrarna på reservinstanser, utan att vänta på en ersättningsserver; ett starttest görs varje månad, och ett test under verkliga förhållanden, upp till 10 timmar, kan göras mot offert för att mäta ert RTO. BCP förkortar den ytterligare genom att instansen redan är igång. Ingen av dem tar bort beslutstiden eller tiden för verksamhetskontroll, som ingår i ert RTO.

Upptäck DRP Begär en offert

Vanliga frågor

Hur beräknar man kostnaden för en timmes avbrott?

Lägg ihop timkostnaden inklusive sociala avgifter för de personer som inte kan arbeta, omsättning som inte går att ta igen och eventuella avtalsviten. Till exempel kostar åtta personer á 35 € i timmen inklusive avgifter 280 € per timme, före förlorad försäljning. Siffran används för jämförelse med årskostnaden för en DRP eller en BCP.

Är RTO och längsta avbrottstid samma sak?

Inte riktigt. Den längsta tolerabla avbrottstiden (MTD hos NIST, DMIA hos ANSSI) är vad verksamheten tål totalt. RTO är tiden för att återställa IT-miljön till drift. NIST rekommenderar att RTO är kortare än MTD, för att behålla en marginal.

Vad gör man om det beräknade RTO inte går att hålla?

Antingen ändrar ni arkitekturen (startklara avbildningar, DRP, BCP), eller så skriver ni ned det verkliga RTO och organiserar ett reducerat driftläge under hela den tiden. Båda är legitima. Det som inte är legitimt är att behålla en siffra som det senaste testet har motbevisat.

Läs vidare

Källor

Dokumenten konsulterades i oktober 2026.

SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
Säkerhetskopiering av informationssystem – grunderna (ANSSI-BP-100, v1.1, 27 november 2025, på franska) — ANSSI (fransk myndighet)
Cyberkris: nycklarna till en operativ och strategisk hantering (december 2021, på franska) — ANSSI (fransk myndighet)
Erbjudandet DRP: återställning efter katastrof — WeDoBack

Ett projekt inom säkerhetskopiering, DRP eller BCP?

Över 20 års erfarenhet av att skydda företags data.

Begär en offert +33 9 72 50 78 28

Skydda era data med WeDoBack

Krypterad extern säkerhetskopiering, oföränderlig lagring, DRP och BCP: beskriv era servrar för oss så föreslår vi rätt kombination.

Begär en offert Se erbjudanden och priser