Back-up-eisen onder NIS2: waarom Microsoft 365 alleen niet genoeg is

Denk je dat je bestanden en mail veilig zijn omdat ze in Microsoft 365 staan? Dat is een begrijpelijke aanname, maar hij klopt niet helemaal. NIS2 verwacht dat je je data kunt herstellen na een incident, en Microsoft maakt daar standaard geen back-up van. In dit artikel lees je wat de back-up-eisen praktisch betekenen en waarom een aparte back-up voor het mkb geen luxe is.

Wil je eerst weten wat NIS2 precies is en voor wie het geldt? Lees dan NIS2 voor het mkb. Dit stuk gaat specifiek over het back-up-deel.

Vraagt NIS2 om een back-up?

Ja. NIS2 verwacht dat je de continuïteit van je organisatie kunt waarborgen, en een betrouwbare back-up is daar een kernonderdeel van. De richtlijn schrijft geen specifiek product voor, maar wel dat je na een incident, zoals ransomware of een menselijke fout, je gegevens kunt terugzetten. Zonder werkende back-up kun je dat niet aantonen, en loop je onnodig risico.

Waarom maakt Microsoft 365 niet automatisch een back-up?

Omdat Microsoft verantwoordelijk is voor de infrastructuur, en jij voor je data. Dat heet het gedeelde verantwoordelijkheidsmodel. Microsoft zorgt dat de dienst beschikbaar is en repliceert data tegen hardwarestoringen, maar herstelt niet jouw individuele bestanden als een medewerker ze verwijdert of als ransomware toeslaat. De prullenbak en bewaartermijnen in Microsoft 365 zijn beperkt: na een tijd is verwijderde data definitief weg.

Wat moet een goede back-up onder NIS2 kunnen?

Een goede back-up dekt alles en is aantoonbaar herstelbaar. Let op deze punten:

• Volledige dekking. Niet alleen mail, maar ook OneDrive, SharePoint en Teams. Juist de gedeelde bestanden zijn bedrijfskritisch.
• Voldoende bewaartermijn. Een fout of aanval merk je soms pas weken later. Een back-up die maar dertig dagen teruggaat, is dan te kort.
• Geteste herstelbaarheid. Een back-up die je nooit hebt teruggezet, is geen back-up. Herstel moet aantoonbaar werken.
• Gescheiden van je omgeving. Staat de back-up los van je Microsoft 365-omgeving, dan raak je hem niet kwijt als die omgeving zelf besmet raakt.

Wat als je geen aparte back-up hebt?

Dan ben je bij een incident je data mogelijk definitief kwijt, en kun je richting NIS2 niet aantonen dat je continuïteit op orde is. In de praktijk zien we dat organisaties dit pas ontdekken op het moment dat het misgaat, wanneer het te laat is. Een aparte back-up voorkomt precies dat scenario.

Hoe IT-gemak dit regelt

Wij verzorgen een dagelijkse, geautomatiseerde Microsoft 365 back-up van je mail, bestanden en Teams, gescheiden van je omgeving en met een bewaartermijn die bij je situatie past. Herstel testen we, zodat je zeker weet dat het werkt als het nodig is. Zo staat dit deel van je NIS2-basis aantoonbaar op orde.

Wil je weten of jouw omgeving hier goed voor staat? Plan een vrijblijvend adviesgesprek. We kijken mee en vertellen eerlijk waar je staat.