Juli 2026. Ransomware-aanvallen richten zich op back-up consoles en cloud snapshots. Auditors, verzekeraars en NIS2-ketenpartners vragen in 2026 expliciet naar immutability, offline kopieën en bewezen restore binnen RTO.
Minimale architectuur MKB
- 3-2-1 regel: drie kopieën, twee media, één offsite/offline;
- immutable object lock of WORM waar mogelijk;
- separate admin voor back-up, geen domain admin overlap;
- encryptie back-ups + key management gedocumenteerd.
Testen = auditbewijs
Jaarlijkse restore-test van kritieke systeem, datum, resultaat, lessons learned in verbeterregister. Job logs zonder succesvolle restore tellen niet. Koppel aan BCM RTO/RPO en ISO 27001 SoA backup-controls.
Cloud nuance
SaaS-back-up (M365, Salesforce) is niet hetzelfde als infrastructure back-up. Inventariseer per app: wie is verantwoordelijk, retentie, restore-test. Meer: BCM en incidentmanagement.
Verzekeraars vragen steeds vaker naar screenshots of rapporten van restore-tests vóór polisverlenging, plan test vóór renewal-gesprek.
Ransomware-specifieke tests
Test of back-up admin accounts gescheiden zijn van domain admin, auditors simuleren compromis van admin en proberen back-ups te wissen. Immutable lock moet dat blokkeren; documenteer testresultaat.
Cloud snapshots zijn niet automatisch immutable, configureer object lock of equivalent en review quarterly. SaaS-back-up (M365) heeft eigen retentie; koppel aan RPO per workload.
Leg restore-verantwoordelijkheid vast in BCM: wie beslist, wie voert uit, binnen welke RTO, en oefen dat.
Vervolgstappen in uw ISMS
Vertaal dit artikel naar één concrete actie in uw risicoregister of verbeterplan: eigenaar, deadline, gewenst bewijs. Bespreek voortgang in het eerstvolgende management review-overleg, auditors en ketenpartners willen besluiten zien, niet alleen beleidsintentie. Koppel waar mogelijk aan bestaande ISO 27001-, NIS2- of AVG-documentatie zodat u geen parallelle mappen onderhoudt.
Heeft u vragen over scope, certificering of keteneisen? Gebruik onze readiness-overzicht en kennisbank-pagina’s voor diepere guidance. Dit artikel vervangt geen juridisch of auditorisch advies voor uw specifieke situatie.
Deel relevante bevindingen kort met lijnmanagement en inkoop, compliance wordt pas werkbaar wanneer de hele organisatie dezelfde prioriteiten herkent. Herhaal de gekozen actie kwartaal in teamoverleg en update evidence-locaties in uw SoA of controleplan zodat surveillance steekproeven snel te beantwoorden zijn.