Wat is een back-up?
Een back-up is een afzonderlijk bewaarde kopie van gegevens, configuraties of complete systemen, bedoeld om die na verlies, corruptie, een storing of een cyberaanval te kunnen terugzetten (een restore) en de normale werking te herstellen (recovery). Een back-up is pas waardevol als het terugzetten ervan aantoonbaar werkt; daarom horen het maken van back-ups, het herstel van back-ups en de restoretest bij elkaar. Back-ups vormen de basis van digitale veerkracht: ze beperken de schade van een ransomware-aanval, een hardwarestoring, een menselijke fout of een brand. In OT-omgevingen gaat het niet alleen om data, maar vooral om de programma’s en instellingen van PLC’s, HMI’s, SCADA- en DCS-systemen waarmee een fabriek of installatie draait.
🧠 Welke soorten back-ups bestaan er?
Back-ups verschillen in wat er wordt gekopieerd en waar de kopie staat:
| Type | Omschrijving | Typisch gebruik |
|---|---|---|
| Bestandsback-up | Kopie van documenten, databases of logbestanden | Fileservers, historian-databases |
| Volledige systeemback-up (image) | Schijfkopie inclusief besturingssysteem, software en instellingen | Servers, engineering stations, operator stations |
| Configuratieback-up | Export van programma’s en instellingen van apparaten | PLC-projecten, HMI-projecten, switchconfiguraties |
| Snapshot | Momentopname van een volume of virtuele machine | Gevirtualiseerde SCADA-servers (virtualisatie) |
| Cloudback-up | Kopie bij een externe dienst of een private cloud | Kantoor-IT, langetermijnarchief |
| Offline / air-gapped | Kopie die fysiek of logisch van het netwerk is gescheiden (air gap) | Tape, verwisselbare schijven, kluisopslag |
| Immutable back-up | Kopie die gedurende een bewaartermijn niet te wijzigen of te verwijderen is | Bescherming tegen ransomware en misbruikte beheeraccounts |
🔧 Wat is het verschil tussen volledige, incrementele en differentiële back-ups?
De back-upmethode bepaalt hoeveel opslag en tijd een back-up kost, en hoe snel u kunt terugzetten:
| Methode | Wat wordt gekopieerd | Voordeel | Nadeel |
|---|---|---|---|
| Volledig (full) | Alle gegevens, elke keer | Eenvoudigste en snelste restore | Veel opslag en lange back-upduur |
| Incrementeel | Alleen wijzigingen sinds de vorige back-up (van welk type ook) | Snel en zuinig met opslag | Restore vraagt de volledige back-up plus alle incrementen |
| Differentieel | Alle wijzigingen sinds de laatste volledige back-up | Restore vraagt maar twee sets | Groeit elke dag tot de volgende volledige back-up |
Een gangbaar schema is een wekelijkse volledige back-up met dagelijkse incrementele of differentiële back-ups. Hoe vaak u een back-up maakt, volgt uit de RPO (Recovery Point Objective: hoeveel data u maximaal mag verliezen); hoe snel u moet kunnen terugzetten, volgt uit de RTO (Recovery Time Objective).
🎯 Wat is de 3-2-1-regel?
De 3-2-1-regel, gepopulariseerd door fotograaf Peter Krogh, is de bekendste vuistregel voor een robuuste back-upstrategie:
- 3 kopieën van uw gegevens: het origineel plus twee back-ups
- 2 verschillende media, bijvoorbeeld schijf en tape of schijf en objectopslag
- 1 kopie op een andere locatie, buiten het gebouw of de site
Omdat ransomware-groepen tegenwoordig gericht op zoek gaan naar back-ups om die te wissen of te versleutelen, is de regel uitgebreid tot 3-2-1-1-0:
- +1 kopie offline of immutable - onbereikbaar of onveranderbaar, ook voor een aanvaller met gestolen beheerdersrechten
- 0 fouten - elke back-up wordt gecontroleerd en met een proefrestore bewezen bruikbaar
🏭 Wat moet u back-uppen in een OT-omgeving?
Een OT-back-up is meer dan een kopie van de servers. Voor herstel van een productielijn of procesinstallatie heeft u nodig:
| Onderdeel | Wat vastleggen | Aandachtspunt |
|---|---|---|
| PLC- en safety-PLC-programma’s | Projectbestanden, hardwareconfiguratie, datablokken en actuele waarden | Online versie kan afwijken van het projectbestand op de laptop |
| Firmware | Exacte firmwareversie per apparaat en het bijbehorende installatiebestand van de leverancier | Firmware wordt teruggezet uit het pakket van de leverancier, niet uit de PLC |
| HMI- en SCADA-projecten | Projecten, schermen, alarmdefinities, gebruikersbeheer | Draait alleen met de juiste softwareversie en licentie |
| DCS-configuratie | Engineeringdatabase, regelstrategieën, I/O-toewijzing | Vaak alleen te herstellen met tooling van de leverancier |
| Netwerkcomponenten | Configuraties van switches, routers en firewalls | Ook VLAN’s, firewallregels en certificaten |
| Engineering stations | Volledige image inclusief engineeringsoftware, licenties en drivers | Oude softwareversies zijn vaak niet meer te downloaden |
| Procesdata en recepten | Historian-data, recepten, batchinstellingen, operatorparameters | Recepten wijzigen vaak buiten het projectbestand om |
| Identiteit en infrastructuur | Active Directory, DNS, back-upcatalogus | Zonder deze diensten start niets op |
🔁 Hoe verloopt een restore?
Een restore is het terugzetten van data, software of configuraties vanaf een back-up. Het is de praktische uitvoering van uw back-upstrategie en het moment waarop blijkt of die deugt. Een gecontroleerde restore verloopt in vijf stappen:
- Kies het herstelpunt - welke back-up gebruikt u, en van welk moment? Bij een cyberaanval moet het herstelpunt vóór de besmetting liggen. Aanvallers zitten vaak al weken in een netwerk voordat ze toeslaan, dus de nieuwste back-up is niet automatisch schoon. Controleer de kandidaat-back-up op bekende indicators of compromise.
- Bereid een schone omgeving voor - herstel naar een geïsoleerd, schoon netwerksegment, niet naar het systeem dat nog besmet is. De Amerikaanse CISA waarschuwt dat u schone systemen tijdens het herstel niet opnieuw moet laten infecteren, en dat achtergebleven malware eerst moet worden gevonden voordat u vanuit back-ups opnieuw opbouwt.
- Herstel in volgorde van prioriteit - eerst de basisinfrastructuur (identiteit, DNS, netwerk), dan de systemen met de kortste RTO, volgens een vooraf opgestelde lijst van kritieke assets. In OT betekent dat vaak: veiligheidsfuncties en besturingen vóór rapportage en historian.
- Valideer - controleer checksums en integriteit, test de werking en de communicatie met andere systemen, zoals PLC, SCADA en historian. Vergelijk een teruggezet PLC-programma met de laatst goedgekeurde versie.
- Leg vast en geef vrij - registreer wie wat wanneer heeft teruggezet (audittrail), en laat de proceseigenaar het systeem formeel vrijgeven voordat de productie herstart.
Welke vorm van restore u kiest, hangt af van wat er mis is:
| Soort restore | Wat wordt teruggezet | Typisch OT-scenario |
|---|---|---|
| Bestands- of configuratierestore | Losse bestanden, een PLC-project of een switchconfiguratie | Foutieve wijziging, per ongeluk verwijderd recept |
| Volledige systeemrestore | Het hele systeem naar een eerder moment | Mislukte update van een SCADA-server |
| Bare-metal restore | Besturingssysteem, drivers, software en data op kale of nieuwe hardware | Defecte schijf of vervangen engineering station |
| Live of instant restore | Een virtuele machine die direct vanaf de back-upopslag start, terwijl de definitieve restore op de achtergrond loopt | Gevirtualiseerde operator- of SCADA-servers met een korte RTO |
| Herbouw vanuit golden image | Een vooraf geconfigureerde, geteste standaardimage, aangevuld met de nieuwste data | Ransomware op vele werkstations tegelijk |
Let bij bare-metal restore en golden images op de hardware: CISA wijst erop dat sommige images niet correct installeren op andere hardware of platforms. Voor oudere industriële pc’s is het daarom verstandig reservehardware of een gevirtualiseerde terugvaloptie achter de hand te houden.
🧪 Hoe test u of een restore werkt?
Een restoretest is het proefsgewijs terugzetten van een back-up om te bewijzen dat herstel binnen de afgesproken tijd en zonder onacceptabel dataverlies lukt. Het is de “0” in 3-2-1-1-0. Tests verschillen sterk in diepgang:
| Testvorm | Wat u aantoont | Gangbare frequentie |
|---|---|---|
| Automatische integriteitscontrole | De back-up is compleet en niet beschadigd (checksum, leesbaarheid) | Na elke back-up |
| Steekproefrestore | Losse bestanden of een PLC-project zijn terug te zetten en bruikbaar | Maandelijks of per kwartaal |
| Volledige systeemrestore | Een server of engineering station is in een testomgeving volledig op te bouwen | Minimaal jaarlijks per kritiek systeem |
| Disaster-recoveryoefening | De hele keten, inclusief mensen, volgorde en communicatie, haalt RTO en RPO | Jaarlijks en na grote wijzigingen |
NIST SP 800-53 maakt dit concreet: maatregel CP-9(1) vraagt om back-ups periodiek te testen op betrouwbaarheid en integriteit, en CP-9(2) om een steekproef van back-ups te gebruiken bij het herstel van geselecteerde systeemfuncties als onderdeel van de test van het continuïteitsplan. Meet bij elke test hoe lang het herstel duurde en vergelijk dat met de RTO; een gemeten hersteltijd die structureel boven de RTO ligt, hoort als bevinding in uw risicoregister.
In OT test u bij voorkeur niet op de draaiende installatie. Gebruikelijk is een testopstelling met een reserve-PLC, of een gevirtualiseerde kopie van SCADA- en engineeringservers in een OTAP-achtige testomgeving. Zo ontdekt u vooraf dat een licentie aan oude hardware vastzit, dat een firmwareversie niet meer te downloaden is of dat een herstelprocedure een stap mist.
🔐 Hoe beschermt u back-ups tegen ransomware?
Aanvallers weten dat een werkende back-up hun losgeld waardeloos maakt. De Amerikaanse CISA waarschuwt dat ransomware-groepen bereikbare back-ups opzoeken en wissen, en met gestolen inloggegevens of bekende kwetsbaarheden back-upsoftware aanvallen. Belangrijke maatregelen:
- Offline of immutable kopie - minimaal één kopie buiten bereik van het productie- en domeinnetwerk
- Gescheiden beheer - eigen accounts voor de back-upomgeving, niet gekoppeld aan het gewone domein, en met MFA
- Versleuteling - back-ups versleutelen, zodat gestolen kopieën geen datalek opleveren
- Integriteitscontrole - checksums of hashes, zodat u weet dat een back-up niet is aangetast
- Golden images - vooraf geconfigureerde, geteste images van kritieke systemen om snel opnieuw op te bouwen
- Bevoegd herstel - alleen geautoriseerde beheerders mogen een restore uitvoeren (RBAC), met een audittrail van elke herstelactie
De les van NotPetya (juni 2017) is in dit verband klassiek. Maersk moest ongeveer 4.000 servers en 45.000 pc’s opnieuw installeren. Back-ups van de servers waren er, maar van de domeincontrollers niet: alle domeincontrollers synchroniseerden met elkaar en werden tegelijk gewist. Herstel lukte alleen dankzij één domeincontroller in Ghana die door een stroomstoring offline was geweest. De les: een restore is zo sterk als de minst beschermde schakel, en ook identiteitsdiensten hebben een offline kopie nodig.
🧱 Welke normen en wetten eisen back-ups?
| Kader | Eis over back-ups |
|---|---|
| IEC 62443-3-3 | SR 7.3 Control system backup vanaf security level 1, zonder de normale procesvoering te verstoren; RE 1 backup verification vanaf SL 2; RE 2 backup automation vanaf SL 3; SR 7.4 regelt herstel en reconstitutie |
| NIS2 | Artikel 21(2)(c) noemt bedrijfscontinuïteit, zoals back-upbeheer, disaster recovery en crisisbeheer |
| Uitvoeringsverordening (EU) 2024/2690 | Voor digitale-infrastructuur- en ICT-dienstverleners onder NIS2 (zoals cloud-, datacenter- en managed service providers): back-upplannen inclusief configuratiedata, opslag buiten het netwerk van het systeem en op voldoende afstand van de hoofdlocatie, regelmatige integriteitscontroles en gedocumenteerde hersteltests |
| Cyberbeveiligingswet | Nederlandse invulling van NIS2, sinds 15 augustus 2026 van kracht |
| NIST SP 800-53 | CP-9 System backup, met CP-9(1) testen op betrouwbaarheid en integriteit, CP-9(2) steekproefsgewijze restoretests en CP-9(8) cryptografische bescherming |
| ISO 27001 | Beheersmaatregel 8.13 (information backup) uit bijlage A van de editie 2022 |
| BIO | Overheidsbaseline, gebaseerd op ISO 27001/27002, die de back-upmaatregel daaruit overneemt |
Voor compliance telt niet alleen dat er back-ups zijn, maar dat u kunt aantonen dat herstel werkt, bijvoorbeeld bij een audit.
🛠️ Hoe richt u OT-back-ups stap voor stap in?
- Inventariseer - begin bij een actuele asset-inventaris: welke besturingen, servers, netwerkcomponenten en engineeringtools zijn er, en welke versies draaien?
- Bepaal RPO en RTO per systeem - via een business impact analysis. Een PLC-programma wijzigt zelden, een historian-database continu.
- Kies de methode - handmatige exports volstaan zelden bij tientallen besturingen. Gespecialiseerde tools zoals octoplant van AMDT (opvolger van versiondog en AutoSave) of Rockwell FactoryTalk AssetCentre halen programma’s automatisch op en vergelijken ze met de vorige versie.
- Koppel aan wijzigingsbeheer - maak een back-up vóór en na elke wijziging, en leg verschillen vast via change management en versiebeheer.
- Sla veilig op - volgens 3-2-1-1-0, met een kopie buiten het OT-netwerk en een offline of immutable kopie.
- Test het herstel - zet periodiek een PLC-programma terug op een testopstelling en herstel een engineering station of SCADA-server in een virtuele omgeving.
- Leg het vast - neem herstelprocedures op in uw disaster-recoveryplan en incidentresponsplan, inclusief wie welke stap uitvoert.
Een veelgebruikte praktijk is een dagelijkse automatische vergelijking van alle PLC-programma’s met de laatst goedgekeurde versie. Zo vangt u niet alleen een back-up op, maar ziet u ook ongeautoriseerde wijzigingen, of die nu van een collega, een leverancier of malware komen.
🔄 Wat is het verschil tussen back-up en disaster recovery?
| Back-up | Disaster recovery |
|---|---|
| Kopie van data, configuratie of systeem | Volledig herstelproces van IT- en OT-diensten |
| Gericht op gegevensbehoud | Gericht op bedrijfscontinuïteit en het beperken van uitval |
| Technische maatregel, vaak geautomatiseerd | Georkestreerd proces met rollen, prioriteiten en draaiboeken |
| Bouwsteen van disaster recovery | Gebruikt back-ups als bron voor herstel |
❓ Veelgestelde vragen
Hoe vaak moet u een back-up maken?
Hoe vaak u een back-up maakt, hangt af van de RPO: de hoeveelheid data die u maximaal mag verliezen. Voor kantoorsystemen en historians is dat vaak dagelijks of vaker. Voor PLC- en HMI-programma’s is een back-up na elke wijziging plus een periodieke automatische controle gebruikelijk.
Is RAID of replicatie een back-up?
RAID en replicatie zijn geen back-up, omdat ze een fout, een verwijdering of een versleuteling door ransomware direct meekopiëren. Ze verhogen de beschikbaarheid, maar bieden geen terugweg naar een eerdere, schone versie. Een echte back-up is een afzonderlijke kopie met versiegeschiedenis.
Waarom is een PLC-back-up anders dan een IT-back-up?
Een PLC-back-up bestaat uit het projectbestand en de configuratie, niet uit een schijfimage, en is alleen te herstellen met de juiste engineeringsoftware en firmwareversie. Bovendien kan het programma in de PLC afwijken van het bestand op de laptop van de engineer. Daarom halen OT-back-uptools de online versie rechtstreeks uit de besturing.
Wat is het verschil tussen back-up, restore en recovery?
Een back-up is de bewaarde kopie, een restore is het terugzetten van die kopie, en recovery is het bredere herstel van de dienst tot de normale werking. Een restore is dus één stap binnen recovery, naast onder meer het opsporen van de oorzaak, het opschonen van besmette systemen en het vrijgeven van de installatie. Zonder werkende restore is er geen recovery.
Hoe vaak moet u een restoretest uitvoeren?
Een gangbare praktijk is een automatische integriteitscontrole na elke back-up, steekproefsgewijze restores per maand of kwartaal en een volledige restoretest van kritieke systemen minimaal jaarlijks en na grote wijzigingen. IEC 62443-3-3, NIST SP 800-53 en de NIS2-uitvoeringsverordening (EU) 2024/2690 vragen expliciet om geteste back-ups. Een back-up die nooit is teruggezet, is een aanname, geen garantie.
Moeten back-ups van OT-systemen in het OT-netwerk staan?
Een werkkopie van OT-back-ups staat meestal in het OT-netwerk, zodat herstel snel kan zonder afhankelijkheid van IT. Er moet echter ook een kopie buiten dat netwerk staan, offline of immutable, zodat een aanval op de OT-omgeving niet ook alle back-ups treft. Overdracht verloopt bij voorkeur via een gecontroleerde route, zoals een DMZ.
📌 Samengevat
Een back-up is een afzonderlijk bewaarde, geteste kopie van data, configuraties en systemen, en daarmee de laatste verdedigingslinie tegen dataverlies, uitval en ransomware. In OT gaat het vooral om PLC-, HMI-, SCADA- en DCS-configuraties, firmwareversies en engineering stations; volg 3-2-1-1-0, koppel back-ups aan wijzigingsbeheer en bewijs met regelmatige restoretests dat u binnen de RTO kunt terugzetten, zoals IEC 62443-3-3 en NIS2 vragen.