Oktober 2026. Vrijwel elk bedrijf maakt back-ups. De vraag die een auditor of toezichthouder stelt is een andere: wanneer hebt u voor het laatst een herstel gedaan, en hoe lang duurde dat? ISO 27001 (control 8.13) en NIS2 verwachten dat herstel getest is. Zie ook onze pagina over back-up en herstel.
Waarom een succesvolle back-upjob niet genoeg is
Een groene status zegt dat de job is gelopen, niet dat de data bruikbaar is. Corrupte back-ups, ontbrekende sleutels en vergeten systemen komen pas aan het licht bij een herstel. Beveiligde, onveranderbare kopieën helpen tegen ransomware, zoals beschreven in onveranderbare back-ups, maar ook die moeten hersteld kunnen worden.
Wat u test
Kies per kritisch systeem een herstelscenario en test het minstens jaarlijks, kritieke systemen vaker. Leg vast: welk systeem, welke back-up (datum), wie voerde het uit, hoe lang duurde het en of de data compleet en bruikbaar was. Vergelijk de gemeten tijd met de afgesproken hersteltijd (RTO) en de gemeten dataverlies met het RPO.
Drie typen test
Bestandsherstel: steekproef van losse bestanden of mailboxen, eenvoudig en maandelijks haalbaar. Systeemherstel: een volledige server of database in een testomgeving terugzetten. Scenario-oefening: herstel van meerdere systemen in volgorde, bijvoorbeeld na een ransomware-aanval; combineer dit met een tabletop.
Het bewijs
Bewaar per test een korte rapportage met datum, scope, resultaat en afwijkingen, plus een screenshot of logbestand. Een afwijking, zoals een hersteltijd die langer is dan het RTO, is geen falen maar input: leg de verbeteractie vast. Dat is precies wat clausule 10 van ISO 27001 vraagt.
Wat auditors vaak vinden
Back-ups die nooit zijn teruggezet, SaaS-data zonder eigen back-up, en herstelafspraken (RTO/RPO) die nooit met de business zijn besproken. Los dat op voor de audit; de readiness-scan helpt u inschatten waar u staat.