Strategia backupu i odzyskiwania danych w NIS2

W organizacji backup nie powinien być traktowany wyłącznie jako techniczna kopia plików. Jego rzeczywistym celem jest umożliwienie organizacji odtworzenia danych, systemów i procesów biznesowych po awarii, cyberataku lub innym incydencie.

Rosnąca liczba ataków ransomware pokazuje, że samo wykonywanie kopii zapasowych nie gwarantuje bezpieczeństwa. Jeżeli cyberprzestępca uzyska dostęp do infrastruktury backupowej, może również zaszyfrować, usunąć lub zmanipulować kopie. Dlatego współczesna strategia backupu powinna uwzględniać nie tylko częstotliwość wykonywania kopii, ale również ich izolację, niezmienność, możliwość odtworzenia oraz regularne testowanie.

W tym kontekście istotne są wymagania wynikające z NIS2 dotyczące zarządzania ryzykiem, ciągłości działania, tworzenia kopii zapasowych i odzyskiwania danych. NIS2 nie narzuca jednak konkretnej reguły backupu, takiej jak 3-2-1-1-0. Jest ona praktycznym sposobem budowania odporności danych, który może wspierać realizację tych wymagań.

Dlaczego strategia backupu jest elementem odporności organizacji?

Awaria serwera, błąd administratora, uszkodzenie infrastruktury, przerwa w działaniu centrum danych czy ransomware mogą doprowadzić do utraty dostępu do kluczowych systemów. W takiej sytuacji pytanie nie powinno brzmieć: „Czy mamy backup?” Znacznie ważniejsze są pytania:

Jakie dane możemy utracić?
Ile danych możemy utracić?
Jak szybko musimy odtworzyć system?
Czy kopia zapasowa przetrwa atak na środowisko produkcyjne?
Czy faktycznie potrafimy odtworzyć system z backupu?

To właśnie tutaj backup zaczyna być elementem odporności cyfrowej, a nie tylko procedurą techniczną.

Strategia 3-2-1 jako fundament backupu

Współczesne zagrożenia sprawiają, że klasyczna reguła 3-2-1 może być niewystarczająca jako jedyny element strategii.

Dlatego coraz częściej stosuje się rozszerzenie 3-2-1-1-0:

3 – trzy kopie danych
2 – dwa różne rodzaje nośników
1 – jedna kopia przechowywana poza podstawową lokalizacją
1 – jedna kopia offline, odizolowana lub niezmienna
0 – zero niezweryfikowanych błędów po procesie kontroli kopii

Ostatni element jest szczególnie istotny. Backup, którego nigdy nie testowano, jest jedynie założeniem, że dane będzie można odzyskać.

Kopia offline lub immutable

Kopia odizolowana od sieci ogranicza możliwość jej zaatakowania z poziomu środowiska produkcyjnego. Alternatywnym mechanizmem jest immutable backup, czyli kopia, której nie można zmienić ani usunąć przez określony czas. Nie oznacza to jednak, że samo zastosowanie technologii immutable rozwiązuje problem bezpieczeństwa. Należy również kontrolować dostęp administracyjny, konfigurację oraz proces odzyskiwania.

RPO i RTO. Dwa parametry, które powinny definiować strategię backupu

Sama liczba kopii nie mówi jeszcze, czy strategia backupu odpowiada potrzebom biznesowym. Dlatego należy określić przede wszystkim RPO i RTO.

RPO – ile danych organizacja może utracić?

Recovery Point Objective (RPO) określa maksymalną akceptowalną utratę danych wyrażoną w czasie. Przykład: Jeżeli RPO wynosi 4 godziny, organizacja powinna być przygotowana na scenariusz, w którym w przypadku awarii utracone zostaną dane z maksymalnie około ostatnich 4 godzin. RPO wpływa więc bezpośrednio na częstotliwość wykonywania kopii.

RTO – jak szybko trzeba przywrócić system?

Recovery Time Objective (RTO) określa maksymalny akceptowalny czas potrzebny na przywrócenie systemu lub procesu do działania. Jeżeli krytyczny system musi zostać odtworzony w ciągu 2 godzin, strategia backupu musi uwzględniać nie tylko możliwość odzyskania danych, ale również techniczne możliwości osiągnięcia takiego czasu.

RPO mówi więc o tym, ile danych możemy stracić, a RTO o tym, jak długo możemy pozostawać bez działania systemu.

Backup to nie wszystko. Czy Twoja organizacja potrafi odzyskać dane?

osiadanie kopii zapasowej nie oznacza jeszcze, że organizacja jest przygotowana na awarię lub cyberatak. Backup może być uszkodzony, niekompletny, niedostępny albo po prostu niemożliwy do wykorzystania w wymaganym czasie. Dlatego skuteczna strategia backupu powinna obejmować nie tylko tworzenie kopii, ale również ich regularną weryfikację i testowanie procesu odzyskiwania. Dobrym podejściem jest sprawdzanie całego procesu: backup → weryfikacja → odtworzenie → uruchomienie systemu → test działania aplikacji. Sam komunikat „Success” w systemie backupowym nie mówi jeszcze, czy w sytuacji kryzysowej rzeczywiście uda się przywrócić dane.

Ma to szczególne znaczenie w przypadku ransomware. Współczesny atak może objąć nie tylko środowisko produkcyjne, ale również infrastrukturę służącą do tworzenia i przechowywania kopii. Atakujący mogą próbować usunąć backupy, zaszyfrować repozytoria lub przejąć konta administratorów. Dlatego kopie zapasowe powinny być odpowiednio izolowane i chronione, m.in. poprzez MFA, zasadę najmniejszych uprawnień, separację kont administracyjnych, segmentację sieci oraz wykorzystanie kopii offline lub immutable storage.

Strategia backupu powinna obejmować całą infrastrukturę organizacji, a nie tylko serwery znajdujące się w centrum danych. W zależności od środowiska mogą to być również maszyny wirtualne, bazy danych, systemy chmurowe i SaaS, urządzenia użytkowników, a także środowiska OT/ICS i IoT. Co do systemów przemysłowych istotne może być nie tylko odzyskanie samych danych, ale również konfiguracji urządzeń i systemów sterowania.

W kontekście NIS2 takie podejście wpisuje się w szersze wymagania dotyczące zarządzania ryzykiem, ciągłości działania, tworzenia kopii zapasowych i odzyskiwania danych. Warto jednak pamiętać, że reguła 3-2-1-1-0 nie jest bezpośrednim wymogiem NIS2. Jest praktycznym modelem, który może pomóc organizacji uporządkować strategię ochrony danych i przygotować się na sytuację, w której konieczne będzie odtworzenie infrastruktury po awarii lub cyberincydencie.

Podsumowanie

Dobra strategia backupu to coś więcej niż regularne wykonywanie kopii. Liczy się przede wszystkim zdolność do ich skutecznego wykorzystania wtedy, gdy będą naprawdę potrzebne. Reguła 3-2-1-1-0, odpowiednio określone RPO i RTO oraz regularne testy odzyskiwania pomagają budować odporność organizacji na awarie i ransomware.

Bo najważniejsze pytanie nie brzmi: „Czy mamy backup?” Brzmi: „Czy wiemy, że potrafimy z niego odzyskać dane?”

źródło: Źródło: Opracowanie na podstawie schematu Xopero NIS2 Compliance and Data Resilience Blueprint; webinar CyberMadeInPoland Academy 30.09.2026 r.