Wat is Recovery?
Recovery is het geplande proces waarmee een organisatie systemen, data en processen na een incident, zoals dataverlies, Ransomware, een menselijke fout of een systeemcrash, terugbrengt naar een betrouwbare, werkende en veilige toestand. Recovery is dus meer dan het terugzetten van een back-up: het omvat ook de keuze van een schoon herstelpunt, de volgorde van herstel, het controleren van de integriteit en het formeel vrijgeven van systemen voor productie. In OT-omgevingen hoort daar het veilig opstarten van een fysiek proces bij.
Backup is de voorbereiding. Recovery is het moment van waarheid.
Zonder goede back-up is recovery vaak onmogelijk. Maar met alleen een back-up bent u er nog niet: recovery bepaalt of u snel, volledig en betrouwbaar kunt herstellen.
🔄 Wat is het verschil tussen backup, restore en recovery?
De drie begrippen vormen een keten. De back-up maakt herstel mogelijk, de restore zet data of configuraties terug, en recovery is het hele traject tot het proces weer normaal draait.
| Kenmerk | Backup | Restore | Recovery |
|---|---|---|---|
| Wat | Een kopie van data, configuraties of systemen maken | Een kopie terugzetten op een systeem | Systemen en processen terugbrengen naar normale, veilige werking |
| Karakter | Preventief, vaak geautomatiseerd | Technische handeling | Reactief proces na incident of uitval |
| Plaats in het geheel | Onderdeel van Disaster Recovery | Eén stap binnen recovery | Einddoel van elk DR- of Business Continuity-plan |
| Focus | Databehoud | Juiste data op de juiste plek | Continuïteit en systeembeschikbaarheid |
| Succes betekent | Bruikbare herstelpunten | Systeem start weer op | Proces draait aantoonbaar correct en schoon |
🎯 Welke recovery-scenario’s komen voor?
Elk type incident vraagt een andere herstelroute. Het belangrijkste onderscheid: bij een technische storing kunt u uw back-ups vertrouwen, bij een cyberaanval niet vanzelfsprekend.
| Incident | Recovery-acties | Aandachtspunt |
|---|---|---|
| Ransomware | Systeem herbouwen vanuit een schone Immutable Backup | Herstelpunt van vóór de inbraak kiezen, niet van vóór de versleuteling |
| Menselijke fout | Bestanden of configuraties terugzetten vanuit een eerdere versie | Wijzigingen sinds die versie opnieuw doorvoeren |
| Corruptie in PLC-logica | Laatste goedgekeurde projectversie terugplaatsen naar de controller | Versie vergelijken met de online code vóór download |
| Servercrash | Complete VM of image herstellen via back-upsoftware | Licenties, drivers en hardware-dongles meenemen |
| SCADA-uitval | HMI- en SCADA-project herstellen vanaf een offline kopie | Verbindingen met besturingen en Historian testen |
🔢 Hoe bepalen RTO en RPO de recovery?
Twee getallen uit de Business Impact Analysis sturen het hele recovery-ontwerp:
- RTO (Recovery Time Objective) - hoe lang een systeem maximaal mag uitliggen voordat de gevolgen onaanvaardbaar worden
- RPO (Recovery Point Objective) - hoeveel data u maximaal mag verliezen, uitgedrukt in tijd; dit bepaalt de back-upfrequentie
- MTPD (Maximum Tolerable Period of Disruption) - de maximaal aanvaardbare duur van een verstoring; de RTO moet daar ruim binnen blijven
- MTTR (Mean Time to Repair, ook wel Mean Time to Recovery) - de gemiddelde werkelijk gemeten hersteltijd, waarmee u achteraf toetst of de RTO haalbaar was
Een korte RTO vraagt om voorbereide middelen, zoals reservehardware, kant-en-klare images of gevirtualiseerde servers. Een RPO van nul is alleen haalbaar met replicatie of redundantie, niet met periodieke back-ups.
🏭 Waarom is recovery in OT-omgevingen anders?
In OT herstelt u niet alleen IT-systemen, maar ook de besturing van een fysiek proces. Dat maakt recovery complexer en soms zelfs een veiligheidskwestie.
- Configuraties en Firmware - herstel van PLC-programma’s, firmwareversies en parameters van drives en veldapparatuur na corruptie
- Herbouw van servers - re-deploy van SCADA-servers met de juiste drivers, licenties en communicatieverbindingen
- Engineering stations - zonder werkende engineeringsoftware in de juiste versie kunt u geen enkele besturing herstellen
- Historian-data - synchronisatie van Historian-data uit lokale buffers na netwerkherstel
- Recepten en instellingen - validatie van operatorinstellingen, integriteit van receptdata en alarminstellingen uit back-upbronnen
- Veilig opstarten - een installatie start in een vaste volgorde, met operators en procesveiligheid voorop; een systeem dat technisch werkt is nog niet veilig vrijgegeven
- Testen - oefen herstel in een offline testomgeving of digital twin wanneer dat mogelijk is
Leveranciers zijn hierbij vaak onmisbaar: oude hardware is soms niet meer leverbaar en sommige software laat zich alleen met hulp van de fabrikant opnieuw activeren.
🔧 Hoe pakt u recovery stap voor stap aan?
Het NIST CSF 2.0 (februari 2024) beschrijft recovery in de functie Recover, met de categorieën RC.RP (uitvoering van het herstelplan) en RC.CO (communicatie tijdens herstel). Vertaald naar de praktijk:
- Start het herstelplan vanuit de incidentrespons - recovery begint pas als de dreiging is ingedamd; anders herstelt u systemen die opnieuw worden besmet.
- Bepaal scope en prioriteit - herstel eerst wat veiligheid en kritieke processen ondersteunt, zoals Active Directory, netwerk en besturing, daarna rapportage.
- Controleer de herstelmiddelen - verifieer de integriteit van back-ups en images vóór gebruik en kies een herstelpunt van vóór de eerste inbraak; forensisch onderzoek helpt dat moment te bepalen.
- Herbouw in een schone omgeving - gebruik voorbereide golden images, zet herstelde systemen in een apart netwerksegment en voeg alleen aantoonbaar schone systemen toe.
- Verifieer en geef vrij - controleer de integriteit van herstelde systemen, test de communicatie en laat proces- en veiligheidsverantwoordelijken de installatie vrijgeven.
- Communiceer en sluit af - houd interne en externe belanghebbenden op de hoogte, verklaar het herstel op basis van vooraf afgesproken criteria afgerond en leg alles vast.
Oefen deze stappen vooraf, bijvoorbeeld met een tabletop-oefening en een echte hersteltest op reservehardware. Pas dan weet u of de RTO realistisch is.
🔐 Welke wetten en normen eisen aantoonbare recovery?
| Kader | Wat het vraagt over recovery |
|---|---|
| NIS2 (Richtlijn (EU) 2022/2555) | Artikel 21, lid 2, onder c: bedrijfscontinuïteit, zoals back-upbeheer en herstel na rampen, en crisisbeheer |
| Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) | De Nederlandse omzetting; het Cyberbeveiligingsbesluit vraagt in artikel 9 herstelprocedures, periodiek geverifieerde back-ups en een continuïteits-, herstel- en crisisplan |
| ISO 27001:2022 | A.5.29 en A.5.30 (beveiliging tijdens verstoring en ICT-gereedheid voor continuïteit), A.8.13 (back-up) en A.8.14 (redundantie) |
| IEC 62443-3-3 | SR 7.3 (back-up van het besturingssysteem) en SR 7.4 (herstel en reconstitutie naar een bekende, veilige toestand) |
| NIST CSF 2.0 | Functie Recover (vrijwillig kader); volgens uitkomst RC.RP-03 controleert u de integriteit van back-ups vóór een restore |
| NIST SP 800-184 (december 2016) | Handleiding voor het plannen, oefenen en verbeteren van herstel na cyberincidenten |
| ISO 22301 | Managementsysteem voor bedrijfscontinuïteit waarin recovery is ingebed |
📚 Wat leren grote incidenten over recovery?
- NotPetya (2017) - Maersk moest circa 49.000 laptops en 4.000 servers herbouwen. Active Directory kon alleen worden hersteld dankzij één domeincontroller in Ghana die door een stroomstoring offline was geweest. Les: zorg voor offline kopieën van identiteitssystemen.
- Colonial Pipeline (2021) - na een ransomware-aanval op IT lag de pijpleiding zes dagen stil. De decryptietool na betaling van het losgeld werkte zo traag dat het bedrijf grotendeels op eigen back-ups vertrouwde. Les: betalen is geen herstelstrategie.
Beide incidenten laten zien dat netwerksegmentatie en een air gap voor back-ups de schaal van recovery sterk beperken.
❓ Veelgestelde vragen
Wat is het verschil tussen recovery en disaster recovery?
Recovery is elk herstel van systemen, data of processen na een incident, van één verloren bestand tot een complete fabriek. Disaster recovery is het geplande herstel na een ernstige verstoring, met vooraf vastgelegde procedures, uitwijkmiddelen en hersteltijden. Disaster recovery is dus een specifieke, georganiseerde vorm van recovery.
Hoe vaak moet u een recovery testen?
Recovery moet u periodiek en aantoonbaar testen; het Cyberbeveiligingsbesluit noemt geen vaste termijn, maar een jaarlijkse hersteltest is een gangbaar minimum. Test daarnaast na grote wijzigingen, zoals een migratie of nieuwe besturing. Alleen een geteste recovery geeft zekerheid dat de RTO haalbaar is.
Waarom is recovery na ransomware lastiger dan na een storing?
Bij ransomware kunnen de aanvallers al weken in het netwerk zitten, waardoor ook recente back-ups besmet kunnen zijn. Recovery vraagt dan eerst forensisch onderzoek naar het moment van inbraak en een herbouw in een schone omgeving. Anders loopt u het risico dat herstelde systemen direct opnieuw worden besmet.
Wat moet u in OT minimaal kunnen herstellen?
In OT moet u minimaal PLC-programma’s, HMI- en SCADA-projecten, firmwareversies, netwerkconfiguraties en de engineeringsoftware om die terug te zetten kunnen herstellen. Bewaar daarvan een goedgekeurde, offline kopie met versiebeheer. Zonder engineering station en licenties is OT-recovery vaak onmogelijk.
Wie beslist dat een systeem na recovery weer in productie mag?
Na recovery beslissen de proceseigenaar en de verantwoordelijke voor procesveiligheid samen met IT- of OT-beheer dat een systeem weer in productie gaat. Die vrijgave volgt op vooraf afgesproken criteria, zoals integriteitscontroles en een geslaagde functionele test. Leg het besluit vast als onderdeel van de afsluiting van het incident.
Is het betalen van losgeld een vorm van recovery?
Het betalen van losgeld is geen betrouwbare vorm van recovery: er is geen garantie dat de decryptie werkt, en die is vaak traag of onvolledig. Bij Colonial Pipeline vertrouwde het bedrijf na betaling grotendeels op eigen back-ups. Investeer daarom in offline en onveranderbare back-ups en geoefende herstelprocedures.
📌 Samengevat
Recovery is de praktische toepassing van Backup - het moment waarop duidelijk wordt of u écht voorbereid bent. Een goede recovery begint bij RTO en RPO, gebruikt geverifieerde, schone herstelpunten en eindigt pas als het proces aantoonbaar veilig draait. Zonder getest herstelplan is een back-up slechts een vals gevoel van veiligheid.