Ledelsen skal kende tre svar. Hvor meget data kan virksomheden tåle at miste? Hvor hurtigt skal de vigtigste systemer være tilbage? Og hvem har senest bekræftet, at en fuld genskabelse faktisk er lykkedes? De to første svar er ledelsens egne beslutninger. Det tredje er et faktum, som skal kunne dokumenteres med en dato og et resultat. Selve backupløsningen er driftens og leverandørens område. At en backup findes, siger intet om, hvorvidt virksomheden kan komme op at køre igen.
Backup i NIS2-loven
Backup står direkte i lovteksten. I NIS2-loven handler § 6, stk. 1, nr. 3, om driftskontinuitet og nævner udtrykkeligt backupstyring og reetablering efter katastrofer. Ledelsens godkendelse og tilsyn følger af § 7, stk. 1.
SAMSIK’s vejledning til implementering går længere ned i emnet. Backuppen skal omfatte de relevante data, også konfigurationer og data i cloudtjenester. Kopierne bør ligge adskilt fra det system, de beskytter, så et angreb eller en brand ikke tager begge dele. Og virksomheden bør jævnligt teste, at kopierne er hele og kan genskabes. Vejledningen anbefaler, at testresultaterne dokumenteres og godkendes af den relevante ledelse.
To tal, som ledelsen fastsætter
Fagsproget har to forkortelser, som er værd at kende:
- RPO, recovery point objective, er det datatab, virksomheden kan acceptere, målt i tid. En RPO på fire timer betyder, at en formiddags arbejde i værste fald må gøres om.
- RTO, recovery time objective, er den tid, der må gå, før systemet kører igen.
Tallene kommer fra konsekvensanalysen af forretningsprocesserne, som er beskrevet i Driftskontinuitet og krisestyring. For ordresystemet i handelsvirksomheden kan en RPO på én time give mening, fordi tabte ordrer er svære at genskabe. For et arkiv med gamle tegninger kan et døgn være rimeligt. Kortere tider koster mere, og derfor skal valget træffes af dem, der også ejer budgettet.
Spørgsmål til driften og leverandørerne
Ledelsen behøver ikke at forstå teknikken for at stille de rigtige spørgsmål. Disse fem dækker det vigtigste:
- Hvilke systemer og data er med i backuppen, og hvilke er ikke?
- Er data i cloudtjenester, fx mail og dokumenter, dækket af en backup, som I selv har adgang til?
- Ligger mindst én kopi et sted, hvor en angriber med administratoradgang til netværket ikke kan slette den?
- Hvornår blev et vigtigt system senest genskabt fuldt ud som prøve, og hvor længe varede det?
- Hvem må sætte en genskabelse i gang, og hvem godkender det?
Det tredje spørgsmål er vigtigt, fordi angreb med ransomware ofte forsøger at slette eller kryptere backuppen, før selve angrebet bliver synligt. Svarene bør komme skriftligt og indgå i ledelsens tilsyn. Hvis svarene viser, at aftalen med driftsleverandøren ikke dækker backup af cloudtjenester eller afprøvning af genskabelse, hører kravet ind i aftalen. Formuleringen er beskrevet under krav til IT-leverandøren. Når kopierne ligger hos samme udbyder som de systemer, de beskytter, opstår en afhængighed, som er beskrevet på digital-suveraenitet.dk om backup hos samme udbyder.
Afprøvningen er det, der tæller
Mange backupløsninger melder dagligt, at alt er gået godt. Den melding fortæller, at kopien er taget. Den siger intet om, hvor længe det tager at bygge en server, et regnskabssystem og alle adgange op igen, når kun kopien er tilbage. Derfor skal genskabelse prøves af under realistiske forhold med jævne mellemrum, og resultatet skal sammenlignes med den RTO, ledelsen har besluttet.
Et godt afprøvningsreferat er kort. Det angiver dato, hvilket system der blev genskabt, hvor lang tid det tog, hvad der gik galt, og hvad der nu bliver rettet. Vejledningen fra SAMSIK peger på, at resultatet skal godkendes af relevant ledelse. For ledelsesorganet giver det mening at se en sammenfatning én gang om året og straks, hvis en afprøvning mislykkes. Afprøvningen bør skifte mellem systemerne, så de vigtigste alle er genskabt inden for en periode, ledelsen har fastsat.
Når kravene ikke kan opfyldes
Viser afprøvningen, at genskabelsen tager tre dage, mens ledelsen har besluttet én, er der to veje. Enten tilfører ledelsen ressourcer, eller den accepterer en længere tid som en dokumenteret beslutning. § 6, stk. 2, pålægger virksomheden at rette en sådan mangel uden unødigt ophold. Hvordan sådanne mangler håndteres, er emnet i Når et krav ikke er opfyldt.
Det skal I lade være med
- At tage den grønne statusmail som bevis. Kun en gennemført genskabelse viser, at backuppen kan bruges.
- At gå ud fra, at cloudtjenesten tager backup for jer. Vilkårene afgør det, og de skal læses.
- At lade samme administratorkonto styre både systemerne og backuppen. Et angreb på kontoen rammer så begge dele.
- At fastsætte tider uden at kende prisen for dem. Beslutningen skal tage stilling til både krav og omkostning.
- At glemme konfigurationerne. Data uden opsætning kan tage dage at gøre brugbare.
Det skal I kræve af den eksterne
- ☐ Et beslutningsoplæg med RPO og RTO for de vigtigste systemer, begrundet i forretningen.
- ☐ Skriftlige svar fra driften og leverandørerne på de fem spørgsmål.
- ☐ En plan for afprøvning af genskabelse og et kort referat efter hver afprøvning.
- ☐ En oversigt over, hvor ledelsens krav og den faktiske evne ikke passer sammen.
- ☐ Anbefalinger, der ikke er farvet af leverandørinteresser. Oplysning om eventuelle aftaler med producenter af backupløsninger.
Backup hænger sammen med resten af beredskabet, som I finder under beredskab. Næste skridt er at spørge jeres driftsleverandør, hvornår en fuld genskabelse sidst blev afprøvet, og bede om resultatet skriftligt.
Kilder
- NIS2-loven, lov nr. 434 af 6. maj 2025: § 6, stk. 1, nr. 3 (backupstyring og reetablering), § 6, stk. 2 (korrigerende foranstaltninger), § 7, stk. 1 (godkendelse og tilsyn).
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: kapitel 3.b om backup, adskilt opbevaring, test af genskabelse og ledelsens godkendelse af testresultater.
- NIS2-direktivet, (EU) 2022/2555: artikel 21, stk. 2, litra c.
Senest gennemgået: november 2026.
Næste skridt
- Driftskontinuitet og krisestyring: de beslutninger, der skal tages før krisen
- Beredskab og hændelser set fra ledelsen
Læs også: MFA og backup er på plads: hvad mangler så? · Beredskabsøvelse for ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
