Cloud backup og disaster recovery: Hvad NIS2 kræver af SMV'er

Som SMV står I over for nye udfordringer med NIS2-direktivet, der kræver en markant styrkelse af jeres IT-sikkerhed. Et centralt element heri er at sikre, at jeres data er beskyttet mod tab, og at I hurtigt kan genoprette driften efter en IT-incident. Effektive strategier for **cloud backup** og disaster recovery er ikke længere kun "nice-to-have", men et lovkrav for mange. Det handler om at minimere nedetid og bevare jeres forretningskontinuitet.

Hvad er Cloud Backup, og hvorfor er det kritisk under NIS2?

**Cloud backup** er en metode til at sikkerhedskopiere data til en fjern server, typisk hostet af en tredjepart. Dette adskiller sig fra traditionel lokal backup ved at data opbevares offsite, hvilket beskytter mod fysiske skader, lokale nedbrud og ransomware-angreb, der kan ramme jeres interne systemer. NIS2-direktivet fremhæver behovet for at kunne **genoprette informationssystemer** hurtigt efter en hændelse. En robust cloud backup-løsning opfylder dette krav ved at tilbyde:

For SMV'er, der håndterer kritiske data eller leverer essentielle tjenester, er en velimplementeret cloud backup-strategi fundamental for at demonstrere efterlevelse og modstandsdygtighed over for cybertrusler. Dette omfatter alt fra Microsoft 365 data som SharePoint og OneDrive til kritiske forretningsapplikationer.

• **Geografisk adskillelse:** Data er sikret mod lokale katastrofer.
• **Versionskontrol:** Mulighed for at rulle tilbage til tidligere, intakte versioner af data.
• **Automatisering:** Minimering af menneskelige fejl og sikring af regelmæssig backup.

Disaster Recovery-planer: Mere end bare backup

En **disaster recovery (DR) plan** går videre end blot at have en backup. Det er en detaljeret, dokumenteret proces, der beskriver, hvordan jeres organisation vil genoprette IT-drift efter en større forstyrrelse, uanset om det er et cyberangreb, en naturkatastrofe eller et systemnedbrud. NIS2 kræver, at relevante SMV'er har **effektive procedurer for genopretning** på plads. En solid DR-plan bør indeholde:

Uden en klar DR-plan kan en backup-løsning være værdiløs, da I mangler den nødvendige vejledning til at anvende den effektivt under pres. En veldefineret og testet plan er et bevis på jeres modenhed inden for cyber robusthed.

• **Identifikation af kritiske systemer:** Hvilke systemer og data skal genoprettes først for at opretholde kerneforretningen?
• **Recovery Time Objective (RTO):** Den maksimale acceptable nedetid for hvert kritisk system.
• **Recovery Point Objective (RPO):** Den maksimale mængde data, I er villige til at miste (mellem backup-punkter).
• **Testprocedurer:** Regelmæssige test af DR-planen for at sikre dens effektivitet og identificere flaskehalse. En test kan eksempelvis vise, at den faktiske genoprettelsestid for et system er længere end antaget.
• **Rollefordeling og ansvarsområder:** Hvem gør hvad under en genoprettelsesproces?

Hvordan NIS2 påvirker jeres krav til Cloud Backup og DR

NIS2-direktivet pålægger ledelsen et større ansvar for implementering af cybersikkerhedsforanstaltninger. For SMV'er betyder dette, at I aktivt skal forholde jer til jeres risikoprofil og træffe passende foranstaltninger. I forhold til **data backup** og **genoprettelsessystemer** specificerer direktivet, at I skal implementere "politikker for analyse af informationssystemers sikkerhed og erhvervelse, udvikling og vedligeholdelse af sikkerheden i net- og informationssystemer, herunder håndtering af sårbarheder og **disaster recovery**".

Det handler ikke kun om at have en backup, men om at have en **sikker, testet og dokumenteret backup-strategi** samt en **operationel disaster recovery-plan**. Dette kan inkludere krav om at vælge leverandører, der lever op til specifikke sikkerhedsstandarder, samt at sikre, at jeres backup-data er beskyttet mod kompromittering – for eksempel gennem kryptering og adgangskontrol. En vurdering af jeres nuværende backup-løsning i lyset af NIS2 er afgørende for at identificere eventuelle mangler.

Sådan kommer I i gang

1. **Identificer kritiske data og systemer:** Få et overblik over, hvad der er essentielt for jeres drift, og hvilke data der er mest følsomme. 2. **Vurder jeres nuværende backup-strategi:** Er den i cloud? Hvor ofte tager I backup? Og hvor langt tilbage kan I gendanne? 3. **Udvikl en disaster recovery-plan:** Dokumenter trin for trin, hvordan I vil agere ved en incident, inklusiv RTO og RPO for jeres kritiske systemer. 4. **Test jeres planer regelmæssigt:** En plan er kun god, hvis den virker i praksis. Simuler en genoprettelse for at afdække svagheder. 5. **Involver ledelsen:** Sørg for at ledelsen er informeret og involveret i beslutninger omkring backup og disaster recovery, da NIS2 placerer et direkte ansvar hos dem.

Ofte stillede spørgsmål

**Hvad er forskellen på backup og disaster recovery?** Backup er kopier af data, mens disaster recovery er den plan og de processer, der anvendes til at genoprette systemer og drift efter en større forstyrrelse, baseret på disse backups.

**Er min nuværende Microsoft 365 backup nok under NIS2?** Standard Microsoft 365 backup dækker ikke nødvendigvis alle de krav, NIS2 stiller til jeres genoprettelsessystemer, især ift. lang tids bevaring, hurtig granulær genoprettelse og testprocedurer. Tredjepartsløsninger til Microsoft 365 backup kan være nødvendige.

**Skal alle SMV'er overholde NIS2?** Nej, NIS2 gælder for specifikke sektorer og virksomhedstyper, der er klassificeret som væsentlige eller vigtige entiteter. Det er dog en god praksis at overveje kravene, da de repræsenterer best practice for cybersikkerhed.

THINGGAARD IT kan hjælpe jer med at vurdere jeres nuværende backup- og disaster recovery-løsninger og sikre, at de lever op til kravene i NIS2-direktivet, så jeres forretningskontinuitet er sikret.