Is jouw back-upstrategie klaar voor de Cyberbeveiligingswet?
Almir Iriskic, Technology Director Eurofiber Cloud Infrastructure
Op 7 juli 2026 stemde de Eerste Kamer in met de Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn. De wet treedt op 15 augustus 2026 in werking en brengt nieuwe verplichtingen met zich mee op het gebied van cyberrisicobeheersing, incidentmeldingen en bestuurlijke verantwoordelijkheid.
Voor veel organisaties is dit een goed moment om opnieuw te kijken naar digitale weerbaarheid. Niet alleen naar preventie, maar ook naar één cruciale vraag: hoe snel kunnen we onze systemen en data herstellen?
Back-up en storage spelen daarin een cruciale rol. De Cyberbeveiligingswet legt meer nadruk op digitale weerbaarheid. Daardoor verschuift de aandacht van beschikbaarheid naar herstelbaarheid: niet alleen de vraag of systemen blijven draaien, maar ook hoe snel zij weer operationeel zijn na een incident.
Klantcase: databeveiliging volgens het 3-2-1-principe
Eurofiber heeft een grote klant ondersteund bij het verder versterken van zijn digitale weerbaarheid. Eerst werden beveiligingsmaatregelen, toegangsrechten, beheerprocessen, back-upprocedures en mogelijke kwetsbaarheden geanalyseerd.
De klant wilde data beschermen volgens het bekende 3-2-1-principe:
- drie kopieën van data;
- op twee verschillende opslagmedia;
- waarvan minimaal één kopie op een externe locatie staat.
De organisatie maakte zich vooral zorgen over ransomware en dataverlies. Daarom werd gekozen voor een aanpak waarin databescherming centraal staat. Data repliceren naar meerdere locaties vergroot de beschikbaarheid, maar biedt niet automatisch bescherming tegen ransomware. Wanneer versleutelde of gemanipuleerde data wordt gerepliceerd, verspreidt het probleem zich immers net zo snel als de data zelf.
Welke eisen stelt de Cyberbeveiligingswet aan back-up en storage?
Organisaties moeten steeds beter kunnen aantonen dat zij risico’s beheersen en de gevolgen van incidenten beperken. Dat stelt ook eisen aan opslag- en back-upomgevingen. Denk aan:
- het beschermen van opslaginfrastructuur tegen cyberaanvallen;
- het opslaan van back-ups op meerdere locaties;
- het regelmatig testen van herstelprocedures;
- het continu monitoren van opslagomgevingen;
- het afstemmen van back-upstrategieën op herstel- en continuïteitsplannen;
- het beperken van ongeautoriseerde toegang tot kritieke data.
Het gaat daarbij niet alleen om technologie. Ook processen, verantwoordelijkheden en periodieke controles spelen een belangrijke rol.
Sterk beveiligde back-ups en toegang zonder malware
In de beschreven klantomgeving werd gebruikgemaakt van tamperproof snapshot-technologie. Naast reguliere snapshots werd een extra kopie gedurende twee weken onveranderbaar opgeslagen of ‘bevroren’. Deze immutable back-up kan worden teruggezet wanneer ransomware productiedata heeft versleuteld.
Ook het verwijderen van data is sterk beveiligd. Grootschalige verwijderacties vereisen goedkeuring van meerdere beheerders en alle back-upverwerking verloopt via een geharde Linux-omgeving. Hierdoor wordt voorkomen dat malware ongemerkt wordt meegenomen naar de back-upomgeving.
Daarnaast wordt data naar tape gekopieerd en extern opgeslagen. Voor Microsoft 365-back-ups kunnen gegevens bovendien via het peering-netwerk met Microsoft worden uitgewisseld, zonder afhankelijk te zijn van het openbare internet.
Herstelbaarheid wordt de nieuwe maatstaf
Veel organisaties hebben de afgelopen jaren fors geïnvesteerd in beschikbaarheid. De aandacht verschuift nu steeds meer naar herstelbaarheid. De relevante vraag is niet meer alleen hoe je een incident voorkomt, maar ook hoe je herstelt wanneer het toch gebeurt.
Dat vraagt om meer dan alleen een back-up. Organisaties moeten weten welke systemen prioriteit hebben, hoe snel herstel mogelijk is, wie verantwoordelijk is tijdens een incident en of herstelprocedures daadwerkelijk zijn getest.
Vier stappen die wij organisaties aanraden
1. Bepaal de scope
Breng eerst in kaart welke systemen, processen en data bedrijfskritisch zijn en wat valt onder zorgplicht, meldplicht en toezicht. Niet iedere omgeving vraagt dezelfde beschermingsmaatregelen. Definieer vervolgens maatregelen voor de eigen scope, zoals het opstellen van een Business Continuity Plan.
2. Analyseer de risico’s
Voer een risicoanalyse uit van systemen, processen en afhankelijkheden. Kijk daarbij niet alleen naar techniek, maar ook naar procedures, toegangsrechten, leveranciers en menselijk handelen.
3. Stel prioriteiten en maak een stappenplan
Niet alles kan en hoeft tegelijk. Door eerst de belangrijkste risico’s te identificeren, ontstaat een realistisch verbeterplan. Daarna volgen ontwerp, inrichting, migratie en het testen van herstelprocedures.
4. Zie weerbaarheid als een continu proces
Digitale weerbaarheid is nooit af. Organisaties moeten risico’s blijven beoordelen, processen testen en beveiligingsmaatregelen aanpassen aan nieuwe dreigingen. Dat betekent ook dat medewerkers op de hoogte moeten blijven van procedures en veiligheidsrichtlijnen, herstelplannen regelmatig moeten worden getest en audits periodiek moeten worden uitgevoerd.
Daarnaast is het belangrijk om verder te kijken dan de eigen organisatie. Ook leveranciers, cloudproviders en andere dienstverleners spelen een belangrijke rol in de digitale weerbaarheid van de keten.
Zie dit daarom niet als een eenmalig project, maar als een doorlopend verbeterproces. Denk ook na over de samenhang tussen connectiviteit, cloud, beveiliging, herstelbaarheid en continuïteit, zodat je een solide basis kunt bouwen voor digitale weerbaarheid.
De komst van de Cyberbeveiligingswet maakt één ding duidelijk: cyberweerbaarheid draait niet alleen om het voorkomen van incidenten, maar ook om het vermogen om snel te herstellen.
Een moderne back-up- en storagestrategie is daarom geen operationele IT-keuze meer, maar een onderdeel van bedrijfscontinuïteit.