Backup og disaster recovery under NIS2 for SMV'er

NIS2-direktivet stiller direkte krav til virksomheders evne til at opretholde drift under og efter et cyberangreb. For ledelsen og IT-ansvarlige i mindre og mellemstore virksomheder betyder det, at **backup og disaster recovery under NIS2** ikke længere er en ren driftssag, men en lovpligtig risikostyringsdisciplin.

NIS2-kravene til backupstyring og driftskontinuitet

NIS2 fastslår i artikel 21, at omfattede virksomheder skal have passende tekniske og organisatoriske foranstaltninger på plads. Dette inkluderer eksplicit krisestyring, forretningskontinuitet og backupstyring.

I praksis stiller direktivet krav om, at virksomheden:

• Beskytter backupdata mod manipulation og uautoriseret adgang (fx via uforanderlighed/immutability).
• Har en dokumenteret nødplan (disaster recovery plan) for genetablering af forretningskritiske systemer.
• Sikrer dataopbevaring adskilt fra det primære produktionsmiljø, så et angreb ikke rammer begge dele samtidigt.

Hvorfor standard cloud-tjenester ikke er nok

Mange virksomheder benytter Microsoft 365 og forveksler den indbyggede versionshistorik i SharePoint og OneDrive med reel backup. Microsoft garanterer oppetid på infrastrukturen, men ansvaret for data, dataadskillelse og historisk gendannelse ligger altid hos jer som kunde (den såkaldte Shared Responsibility Model).

En robust model bygger på 3-2-1-princippet: Hav tre kopier af data på to forskellige medietyper, hvoraf mindst én kopi opbevares offsite eller i en separat cloud-instans. Denne kopi skal være logisk adskilt, have selvstændig adgangskontrol og være modstandsdygtig over for ransomware, der forsøger at slette backuparkiver.

Fastlæggelse af RTO og RPO

En disaster recovery-strategi er værdiløs uden klare måltal for genopretning. Ledelsen skal definere to centrale parametre for hvert kernesystem:

NIS2 forventer, at disse mål er fastlagt, dokumenteret og realistiske. Det kræver, at gendannelsesprocesser testes systematisk – en backup, der aldrig er afprøvet, kan ikke dokumenteres som en fungerende foranstaltning.

• **RPO (Recovery Point Objective):** Hvor meget data har I råd til at miste i tid? (fx seneste times transaktioner versus et helt døgns arbejde).
• **RTO (Recovery Time Objective):** Hvor hurtigt skal systemet være funktionsdygtigt igen efter et nedbrud?

Sådan kommer I i gang

1. **Kortlæg jeres data:** Identificér hvilke systemer og databaser der er forretningskritiske, herunder lokale servere og SaaS-tjenester som Microsoft 365. 2. **Etablér uforanderlig cloud backup:** Vælg en dedikeret backupløsning med immutable storage og adskilte administrative rettigheder. 3. **Dokumentér RTO og RPO:** Fastlæg virksomhedens tolerancer for nedetid og datatab sammen med ledelsen. 4. **Gennemfør faste restore-tests:** Afprøv genetablering mindst én til to gange årligt, og logfør testresultaterne som dokumentation for overholdelse.

Ofte stillede spørgsmål

Er Microsoft 365's indbyggede papirkurv tilstrækkelig under NIS2?:

Nej. Standard papirkurv og versionering beskytter ikke mod administrative kompromitteringer, malwareangreb rettet mod cloud-miljøet eller scenarier, hvor data skal genskabes efter standardbevarelsesperiodens udløb.

Hvor ofte skal vi teste vores disaster recovery-plan?:

I bør teste genetablering mindst én gang årligt, og altid når der sker væsentlige ændringer i jeres IT-infrastruktur. Resultaterne skal dokumenteres for at kunne påvise overholdelse.

Hvad er forskellen på backup og disaster recovery?:

Backup er selve kopieringen og lagringen af data. Disaster recovery er den samlede proces, teknologi og plan for at genstarte hele IT-driften og arbejdsprocesserne efter et nedbrud.

THINGGAARD IT rådgiver om og implementerer compliant cloud backup og disaster recovery-løsninger, der matcher kravene i NIS2 og jeres konkrete risikoprofil.