NIS2 stelt geen gedetailleerde technische specificaties vast voor back-ups, maar verplicht organisaties wel degelijk om passende maatregelen te treffen voor bedrijfscontinuïteit en herstel na een incident. Back-ups zijn daarmee een kernonderdeel van de NIS2-zorgplicht. Dit artikel beantwoordt de meest gestelde vragen over NIS2 back-ups, van concrete eisen tot de gevolgen van niet-naleving.
Welke specifieke back-upeisen stelt NIS2 aan organisaties?
NIS2 verplicht organisaties om maatregelen te treffen die de beschikbaarheid, integriteit en vertrouwelijkheid van gegevens en systemen waarborgen. Back-ups zijn daarbinnen een essentieel instrument voor bedrijfscontinuïteit. De richtlijn schrijft geen technische minimumspecificaties voor, maar vereist wel dat back-ups aantoonbaar bijdragen aan het vermogen om snel te herstellen na een cyberincident.
De NIS2-zorgplicht, zoals vertaald in de Nederlandse Cyberbeveiligingswet, noemt bedrijfscontinuïteit en crisisbeheer expliciet als minimummaatregel. Hieronder valt het vermogen om kritieke systemen en diensten te herstellen na een verstoring. Back-ups zijn daarvoor onmisbaar. Concreet betekent dit dat organisaties moeten kunnen aantonen dat zij:
- Regelmatig back-ups maken van alle kritieke systemen en gegevens
- Back-ups bewaren op een locatie die losstaat van de primaire omgeving
- Herstelprocessen periodiek testen en documenteren
- Hersteltijden (RTO) en herstelpunten (RPO) hebben vastgesteld op basis van een risicoanalyse
- Back-upbeleid schriftelijk hebben vastgelegd en actueel houden
De mate van detail en de technische invulling hangen af van het risicoprofiel van de organisatie. Essentiële entiteiten, zoals gemeenten, provincies en grote infrastructuurbeheerders, worden aan strengere verwachtingen gehouden dan belangrijke entiteiten. De risicogebaseerde benadering van NIS2 betekent dat een ziekenhuis andere back-upeisen zal stellen dan een middelgrote leverancier.
Hoe vaak moeten back-ups worden gemaakt onder NIS2?
NIS2 schrijft geen vaste back-upfrequentie voor. De frequentie moet worden bepaald op basis van een risicoanalyse: hoe kritiek zijn de gegevens en systemen, en hoeveel dataverlies kan de organisatie accepteren? Dit acceptabele verlies wordt uitgedrukt in het Recovery Point Objective (RPO). Hoe lager de RPO, hoe vaker back-ups nodig zijn.
In de praktijk hanteren organisaties die onder NIS2 vallen doorgaans de volgende uitgangspunten:
- Dagelijkse back-ups voor operationele systemen en klantgegevens
- Meerdere keren per dag voor kritieke processen waarbij dataverlies van meer dan een paar uur onaanvaardbaar is
- Wekelijkse of maandelijkse back-ups voor minder kritieke of zelden veranderende gegevens
Belangrijk is dat de gekozen frequentie aansluit op de risicoanalyse die de organisatie heeft uitgevoerd. Die analyse is zelf ook een NIS2-verplichting. Wie de frequentie niet onderbouwt met een gedocumenteerde risicobeoordeling, voldoet niet aan de zorgplicht, ongeacht hoe vaak er technisch gezien een back-up wordt gemaakt.
Moeten back-ups offline of offsite worden opgeslagen?
NIS2 verplicht niet expliciet tot offline of offsite opslag, maar de praktische vereiste van weerbaarheid tegen ransomware en andere cyberaanvallen maakt dit in de meeste gevallen noodzakelijk. Een back-up die verbonden is met het primaire netwerk kan bij een aanval worden versleuteld of verwijderd, waardoor het herstelplan waardeloos wordt.
De gangbare aanbeveling, ook in lijn met de risicogebaseerde benadering van NIS2, is de 3-2-1 back-upregel:
- 3 kopieën van de gegevens
- 2 verschillende opslagmedia of locaties
- 1 kopie op een volledig afgescheiden of offline locatie
Voor organisaties die werken met cloudopslag geldt dat een cloudback-up niet automatisch voldoende is. Als de cloudopslag toegankelijk is via hetzelfde account of netwerk als de primaire omgeving, biedt dit onvoldoende bescherming bij een gecompromitteerde omgeving. Immutable storage, waarbij back-ups gedurende een bepaalde periode niet kunnen worden gewijzigd of verwijderd, is een effectieve aanvulling die steeds vaker wordt aanbevolen in het kader van NIS2-compliance.
Wat moet er in een NIS2-compliant back-upbeleid staan?
Een NIS2-compliant back-upbeleid is een schriftelijk document dat beschrijft hoe de organisatie omgaat met het maken, bewaren en testen van back-ups. Het beleid moet aantoonbaar zijn afgestemd op de risico’s van de organisatie en moet worden geactualiseerd wanneer de situatie verandert.
Een volledig back-upbeleid bevat minimaal de volgende onderdelen:
- Scope: welke systemen, applicaties en gegevens vallen onder het back-upbeleid
- Frequentie: hoe vaak back-ups worden gemaakt per categorie van gegevens
- Bewaartermijnen: hoe lang back-ups worden bewaard en wanneer ze worden verwijderd
- Opslaglocaties: waar back-ups worden bewaard en hoe de scheiding van de productieomgeving is geregeld
- Encryptie: hoe back-ups worden beveiligd, zowel in opslag als tijdens transport
- Toegangsbeheer: wie toegang heeft tot back-ups en onder welke voorwaarden
- Herstelprocedures: stapsgewijze beschrijving van hoe herstel plaatsvindt en wie daarvoor verantwoordelijk is
- Testprotocol: hoe en hoe vaak de werking van back-ups wordt getest
- Rollen en verantwoordelijkheden: wie binnen de organisatie eigenaar is van het back-upproces
Het beleid moet ook worden gekoppeld aan het bredere bedrijfscontinuïteitsplan van de organisatie. NIS2 beoordeelt back-ups niet als losstaande technische maatregel, maar als onderdeel van een samenhangend stelsel van beveiligingsmaatregelen.
Hoe test je of back-ups voldoen aan de NIS2-herstelvereisten?
Het testen van back-ups is een expliciete vereiste onder NIS2. Het is onvoldoende om back-ups te maken zonder periodiek te verifiëren of herstel ook daadwerkelijk werkt. Een back-up die technisch bestaat maar in de praktijk niet herstelbaar is, biedt geen weerbaarheid en voldoet niet aan de zorgplicht.
Een effectief testprogramma voor back-ups bestaat uit meerdere niveaus:
Reguliere hersteltest
Minstens eenmaal per jaar, maar bij voorkeur vaker, voert de organisatie een volledige hersteltest uit. Daarbij worden systemen of datasets daadwerkelijk teruggezet vanuit de back-up, bij voorkeur in een geïsoleerde testomgeving. De test bevestigt dat de back-up leesbaar is, de hersteltijd realistisch is en de herstelde data volledig en correct zijn.
Tabletop- en crisisoefeningen
Naast technische tests is het waardevol om scenario-oefeningen te doen waarbij het herstelproces als simulatie wordt doorlopen. Red team oefeningen kunnen hierbij helpen door realistische aanvalsscenario’s te simuleren die de back-ups en herstelprocedures onder druk zetten. Dit type oefening test niet alleen de techniek, maar ook de menselijke en organisatorische kant van het herstelproces.
Alle testresultaten moeten worden gedocumenteerd, inclusief eventuele tekortkomingen en de maatregelen die zijn genomen om die te verhelpen. Toezichthouders kunnen om bewijs van deze tests vragen bij een audit of na een incident.
Wat zijn de gevolgen als back-ups niet voldoen aan NIS2?
Als back-ups niet voldoen aan de NIS2-vereisten, loopt een organisatie het risico op handhavingsmaatregelen door de toezichthouder. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.
De financiële sancties zijn echter niet het enige risico. Ontoereikende back-ups kunnen bij een ransomware-aanval of een ernstig incident leiden tot langdurige uitval van dienstverlening, reputatieschade en verlies van klantvertrouwen. Voor organisaties die essentiële diensten leveren, zoals zorginstellingen of gemeenten, kan dat ook maatschappelijke schade veroorzaken.
Daarnaast geldt de meldplicht: significante incidenten moeten binnen 24 uur worden gemeld bij het NCSC. Als bij zo’n melding blijkt dat het incident had kunnen worden beperkt of hersteld met adequate back-ups, maar dat die ontbraken of niet werkten, vergroot dat de kans op toezichtsmaatregelen. Toezichthouders beoordelen niet alleen of een incident heeft plaatsgevonden, maar ook of de organisatie aantoonbaar alles had gedaan om de schade te beperken.
Hoe Q-Cyber helpt met NIS2 back-upbeleid en compliance
NIS2-compliance rondom back-ups vraagt om meer dan een technische oplossing. Het gaat om beleid, aantoonbaarheid en een aanpak die past bij de specifieke risico’s van uw organisatie. Wij helpen organisaties om dit concreet en werkbaar te maken, zonder onnodige complexiteit.
Wat wij bieden:
- Gap-analyse: we brengen in kaart waar uw huidige back-upbeleid en -processen tekortschieten ten opzichte van de NIS2-vereisten
- Beleidsschrijving: we stellen een volledig NIS2-compliant back-upbeleid op, afgestemd op uw organisatie en risicoprofiel
- Hersteltesten: via onze pentestdiensten en security assessments beoordelen we of uw herstelprocedures in de praktijk werken
- Virtuele CISO: via Continuous-Q ondersteunen we uw organisatie structureel bij het borgen van NIS2-compliance, inclusief back-up en continuïteit
- Bestuurstraining: we verzorgen trainingen voor bestuurders zodat zij hun verantwoordelijkheid onder NIS2 kunnen waarmaken
Wacht niet tot de wet volledig in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, staat straks veel sterker. Neem contact op en ontdek hoe wij uw organisatie pragmatisch en onafhankelijk begeleiden naar NIS2-compliance.
Gerelateerde artikelen
- AVG en marketing: wat mag je wel en niet?
- Hoe richt je een NIS2-incidentresponsplan in?
- Security awareness training: wat moet erin staan?
- Sterk wachtwoordbeleid: wat moet erin staan?
- Wat is de 3-2-1 back-upregel?
- Hoe kies je tussen verschillende pentest methodologieën?
- Welke specialisaties zijn er binnen pentesten?
- Welke deliverables krijg je na een pentest?
- Welke remediation stappen volgen na pentesten?
- Hoe prioriteer je pentest aanbevelingen?