Backup plan template voor e-mail en bedrijfsdata

Een back-up zonder plan is willekeurig bewaren. Dit template helpt u een backup plan op te stellen dat past bij uw organisatie: wat back-upt u, hoe vaak, hoe lang bewaart u het, en wie pakt op als er iets gebeurt. Kopieer de structuur direct naar uw eigen beveiligingsbeleid (of handig voor een NIS2-audit).

Waarom een backup plan verplicht goed is

De verantwoordelijkheid voor back-up en herstel ligt bij ú als organisatie, óók als uw data in Microsoft 365 staat. En in de praktijk: verlies van mailbox, SharePoint-bibliotheek of serverschijf betekent productieverlies, klanten die u niet te woord kunt staan en reputatieschade. Een plan vangt dat op: u weet wat waar staat, en hoe snel u terug online bent.

Stap 1. Inventariseren: wat moet veiliggesteld worden?

Maak een tabel met de volgende kolommen:

Stap 2. RPO en RTO bepalen (dit is uw hele plan)

RPO (Recovery Point Objective) = hoeveel data mag u maximaal verliezen? Kiest u RPO = 24 uur, dan heeft u 1x per dag back-up nodig. RPO = 6 uur betekent 4x per dag. RTO (Recovery Time Objective) = hoe snel moet u hersteld zijn? RTO = 4 uur betekent dat uw herstelproces binnen 4 uur een werkende omgeving moet opleveren.

Regel van daum MKB: e-mail en bestanden RPO 6 uur / RTO 4 uur. Productie-omgevingen en databases RPO 1 uur / RTO 1 uur.

Stap 3. Backuptype en -schema kiezen

Voor Microsoft 365: alle workloads (Exchange, OneDrive, SharePoint, Teams) in één schema, met aparte retentie per workload. Voor servers: dagelijks incrementeel + wekelijks full.

Stap 4. Retentie: hoe lang bewaart u?

Gebruik de 3-2-1-1-0-regel: 3 kopieën, 2 verschillende media, 1 off-site, 1 offline/immutable, 0 fouten bij verificatie. Voor retentietermijnen: dagelijks bewaren 30 dagen, wekelijks 12 weken, maandelijks 12 maanden. Dat bedekt zowel "gisteren per ongeluk verwijderd" als "half jaar geleden gewijzigd contract".

Stap 5. Onafhankelijk opslaan (dit is waar 3-2-1-1-0 verschilt van 3-2-1)

Uw back-up moet buiten de productie-omgeving staan, anders heeft een ransomware-aanval of een beheerfout beide tegelijk. Voor Microsoft 365 betekent dit: opslag in een aparte, versleutelde omgeving buiten uw tenant. Voor servers: aparte storage of cloud, versleuteld met AES-256 in transport én at-rest.

Stap 6. Herstelproces en rollen

Stap 7. Testen: uw plan is pas een plan na een test

  1. Kwar-taal-audit: kies willekeurig één bestand en één e-mail, herstel elk naar een testlocatie, controleer de inhoud.
  2. Jaarlijks: volledige herstel-simulatie (bare-metal of complete mailbox) en meet de werkelijke RTO.
  3. Documenteer de testresultaten. Bij een audit (NIS2/AVG) is "we testen elk kwartaal" de helft van het bewijs.

Template-download in acties (per vandaag uitvoerbaar)

  1. Kopieer de structuur van stap 1-7 naar uw eigen document.
  2. Vul per datasoort uw RPO en RTO in.
  3. Bepaal wie de verantwoordelijke per soort is.
  4. Afspraak: 1x per kwartaal een hersteltest uit stap 7.
  5. Voor Microsoft 365: zet automatische 4x-per-dag back-up aan via MKB-Backup (€4,32/gebruiker/maand, excl. btw).
  6. Voor servers en VM's: kies Online File Backup via Online File Backup vanaf €25/maand.

Veelgestelde vragen

Is een backup plan verplicht? NIS2 stelt aantoonbaarheid van continuïteitsmaatregelen eisen voor betrokken sectoren; AVG stelt dat u passende technische maatregelen neemt. Zonder plan is het moeilijk om dat aan te tonen.

Wat is het verschil tussen RPO en RTO? RPO = maximaal te verliezen data (hoe vaak back-up). RTO = maximaal te herstellen tijd (hoe snel herstelt). Samen bepalen ze uw schema en technologie.

Volstaat de Office 365-prullenbak als back-up? Nee. Maximaal 93 dagen, en een aanval of verwijdering die de gebruiker doet raakt ook de prullenbak. Een onafhankelijke back-up is nodig.

Hoe vaak moet ik mijn backup plan testen? Minimaal kwar-taal: enkele herstelhandelingen. Jaarlijks: volledige simulatie.