Back-upbeleid ISO 27001 (A.8.13)
Een back-upbeleid volgens ISO 27001 legt vast welke gegevens je kopieert, hoe vaak, waar de kopieën staan, hoe lang je ze bewaart en hoe je test dat herstel werkt. In ISO/IEC 27001:2022 is dit beheersmaatregel A.8.13 “Information backup” uit Annex A. De maatregel vraagt dat back-ups worden gemaakt en regelmatig getest volgens een afgesproken back-upbeleid.
Het NCSC adviseert een back-upstrategie op basis van je risico’s, met de 3-2-1-methode, automatisering en regelmatige hersteltests. Het back-upbeleid hangt nauw samen met je risicoanalyse en met bedrijfscontinuïteit, waarvoor ISO 22301 de hersteltijden uitwerkt.
Kort antwoord: voor ISO 27001 A.8.13 heb je een vastgesteld back-upbeleid nodig, back-ups die volgens dat beleid draaien, monitoring op mislukte back-ups en aantoonbare hersteltests. De norm schrijft geen vaste frequentie of bewaartermijn voor: die leid je af uit hoeveel dataverlies (RPO) en hoeveel stilstand (RTO) je kunt hebben.
Wat moet er in een back-upbeleid volgens ISO 27001?
ISO 27002:2022 geeft de richtlijnen bij A.8.13. Vertaald naar een praktisch beleid leg je deze onderdelen vast:
| Onderdeel | Vraag die je beantwoordt | Voorbeeld |
|---|---|---|
| Scope | Welke systemen en gegevens vallen eronder? | ERP, fileserver, Microsoft 365, klantdatabase |
| Frequentie | Hoe vaak maak je een back-up? | Database elk uur, overige systemen dagelijks |
| RPO | Hoeveel data mag je maximaal kwijtraken? | Klantdatabase: 1 uur |
| RTO | Hoe snel moet het systeem terug zijn? | Klantdatabase: 8 uur |
| Bewaartermijn | Hoe ver kun je terug in de tijd? | 30 dagelijkse, 12 maandelijkse kopieën |
| Locatie | Waar staan de kopieën? | Tweede datacenter plus offline of onveranderbare kopie |
| Beveiliging | Wie kan erbij en is het versleuteld? | Versleuteld, aparte beheeraccounts met MFA |
| Monitoring | Wie controleert of back-ups slagen? | Dagelijkse rapportage naar IT-beheer |
| Hersteltest | Hoe vaak test je herstel? | Elk kwartaal een steekproef, jaarlijks een volledig systeem |
RPO staat voor Recovery Point Objective: het maximale dataverlies, gemeten in tijd. RTO staat voor Recovery Time Objective: de maximale tijd tot een systeem weer werkt. Het NCSC gebruikt dezelfde begrippen.
Voorbeeld back-upbeleid ISO 27001
Dit voorbeeld past bij een mkb-bedrijf met een SaaS-boekhoudpakket, Microsoft 365 en een eigen klantportaal in de cloud. Pas systemen en getallen aan je eigen situatie aan.
Back-upbeleid Versie 1.1, vastgesteld door de directie op 2 februari 2026. Eigenaar: IT-manager. Hoort bij ISO 27001 A.8.13.
1. Doel. Dit beleid zorgt dat we bedrijfsgegevens kunnen herstellen na een storing, menselijke fout, ransomware of verlies van een locatie.
2. Uitgangspunten. We volgen de 3-2-1-methode: minimaal drie kopieën, op twee verschillende soorten opslag, waarvan één op een andere locatie. Minimaal één kopie is onveranderbaar (immutable) of offline, zodat een aanvaller hem niet kan wissen of versleutelen.
3. Automatisch. Back-ups draaien automatisch. Handmatige back-ups zijn alleen een tijdelijke noodoplossing.
4. Toegang. Alleen twee aangewezen beheerders hebben toegang tot de back-upomgeving, met aparte accounts en MFA. Back-ups zijn versleuteld.
5. Monitoring. IT-beheer controleert elke werkdag het back-uprapport. Een mislukte back-up wordt dezelfde dag opgelost of gemeld als incident.
6. Hersteltest. Elk kwartaal herstellen we een steekproef van bestanden en mailboxen. Eén keer per jaar herstellen we een volledig systeem in een aparte omgeving. Resultaten leggen we vast in het hersteltestregister.
7. SaaS-diensten. Voor elke clouddienst leggen we vast wat de leverancier back-upt en wat wij zelf moeten regelen.
8. Review. Het beleid en de tabel met systemen worden jaarlijks en bij grote wijzigingen herzien.
Voeg aan het beleid een tabel toe met de afspraken per systeem:
| Systeem | Frequentie | RPO | RTO | Bewaartermijn | Kopieën |
|---|---|---|---|---|---|
| Klantportaal (database) | Elk uur | 1 uur | 8 uur | 35 dagen | Cloudregio A, cloudregio B, onveranderbare kopie |
| Microsoft 365 (mail, OneDrive, SharePoint) | Dagelijks | 24 uur | 2 werkdagen | 1 jaar | Back-uptool van derde partij, eigen opslag |
| Boekhoudpakket (SaaS) | Leverancier, plus maandexport | 24 uur | 3 werkdagen | 7 jaar (exports) | Leverancier, versleutelde export in archief |
| Laptops | Geen lokale opslag van bedrijfsdata | n.v.t. | 1 werkdag (herinstallatie) | n.v.t. | Bestanden staan in OneDrive |
Hersteltesten: zo toon je aan dat je back-up werkt
Een back-up die je nooit hebt teruggezet, is een aanname. De auditor vraagt bij A.8.13 bijna altijd naar hersteltests. Leg elke test vast in een eenvoudig register.
| Datum | Systeem | Soort test | Doel-RTO | Werkelijke tijd | Resultaat | Actie |
|---|---|---|---|---|---|---|
| 15-01-2026 | SharePoint, map Projecten | Bestandsherstel | 4 uur | 25 minuten | Geslaagd | Geen |
| 20-04-2026 | Klantportaal database | Volledig herstel in testomgeving | 8 uur | 11 uur | Deels geslaagd | Herstelscript versnellen, hertest in juni |
De tweede regel laat zien wat een test waardevol maakt: hij laat een gat zien dat je kunt dichten. Een overschreden RTO is geen probleem voor de audit, zolang je er een verbeteractie aan koppelt.
Kies het systeem en het scenario
Bijvoorbeeld: “De klantdatabase is door ransomware versleuteld.”
Herstel in een aparte omgeving
Zet de back-up terug zonder productie te raken. Meet de tijd vanaf de start.
Controleer de inhoud
Laat de eigenaar van het systeem controleren of de gegevens compleet en bruikbaar zijn.
Leg resultaat en acties vast
Noteer de gemeten tijd, de afwijking van de RTO en de verbeteracties in het register.
Wat vraagt de auditor als bewijs voor A.8.13?
Bij een ISO 27001-audit kun je deze vragen verwachten:
- Laat het back-upbeleid en de tabel met systemen, RPO en RTO zien.
- Toon de back-uprapportage van de afgelopen weken. Hoe zijn mislukte back-ups opgevolgd?
- Wanneer was de laatste hersteltest en wat was de uitkomst?
- Hoe is de back-up beschermd tegen ransomware?
- Wat back-upt je SaaS-leverancier en wat regel je zelf?
Veelgemaakte fouten bij een back-upbeleid
Denken dat de cloud alles back-upt. Veel SaaS-leveranciers beschermen hun platform, niet jouw per ongeluk verwijderde gegevens. Lees de voorwaarden en leg vast wat jij zelf doet. Neem dit ook mee in je leveranciersbeheer.
Back-up op hetzelfde netwerk. Het NCSC waarschuwt dat aanvallers bij ransomware gericht back-ups versleutelen. Scheid de back-upomgeving van productie en houd een offline of onveranderbare kopie.
Nooit herstellen. Een groen vinkje in de back-upsoftware zegt niets over de bruikbaarheid van de data.
Geen RPO en RTO afgesproken. Zonder die getallen kun je niet onderbouwen waarom dagelijks genoeg is.
Bewaartermijn vergeten. Fiscale gegevens moet je jaren bewaren, maar persoonsgegevens niet langer dan nodig. Stem de bewaartermijn af met je AVG-afspraken.
Back-up en andere ISO 27001-maatregelen
A.8.13 staat niet alleen. Redundantie (A.8.14) zorgt dat een systeem doorloopt bij een storing, de back-up zorgt dat je terug kunt in de tijd. ICT-gereedheid voor bedrijfscontinuïteit (A.5.30) koppelt je herstelafspraken aan je continuïteitsplan. Wie verder wil, vindt in ISO 22301 een volledig kader voor continuïteit.
Meer informatie
- Annex A: alle 93 maatregelen, waaronder gegevensbescherming A.8.10 tot en met A.8.13
- Incidentmanagement: wat je doet als herstel nodig is
- Kwetsbaarheidsbeheer en patching: voorkom dat je de back-up nodig hebt
- Assetregister: de lijst met systemen waarvoor je back-ups regelt
- Business impact analyse en RTO: hersteltijden bepalen
- NCSC: wat te doen bij een ransomware-aanval