Når I bruger SaaS, altså software som abonnement i leverandørens miljø, kan I ikke gendanne selve systemet. I kan teste tre ting selv: at data kan komme ud, at de kan læses og bruges uden tjenesten, og at enkelte data kan hentes tilbage. Resten må bygge på leverandørens oplysninger, og dem skal I bede om at se og skrive ind i planen adskilt fra det, I selv har set.
En SaaS backup test ser derfor anderledes ud end en test af noget, I selv driver. Producentens side af sagen står på cto-as-a-service.dk om backup af et SaaS-produkt. Her er det kundens side. Fremgangsmåden er generel viden.
Formål
Testen skal vise, hvad I har i hænderne, hvis tjenesten forsvinder eller stopper, og den skal skille planens viden i to bunker. Det, I selv har set, og det, I har fået at vide. Begge dele må gerne stå i planen. De må bare ikke blandes.
Forudsætninger
- En liste over data og opsætning fra eksporterbare data og digitale aktiver.
- Administratorrettigheder i tjenesten, eller en aftale med den, der har dem.
- Et blik i aftalen om, hvad leverandøren lover om backup, gendannelse og opbevaring.
- Et sted uden for tjenesten, hvor data må ligge.
Fremgangsmåde i trin
- Skriv kriterierne. Se afsnittet nedenfor.
- Eksporter. Kør en eksporttest på de vigtigste datatyper. Brug også den bredere grænseflade, hvis leverandøren har en, og mål tiden.
- Læs data uden for tjenesten. Åbn og sammenlign dem, som beskrevet i er det hele kommet med?.
- Gendan et enkelt element. Slet en testpost, som I selv har oprettet, og hent den frem igen med tjenestens egne funktioner, papirkurv, versioner eller lignende. Notér tiden og hvor langt tilbage det går.
- Bed leverandøren om en enkelt gendannelse. Aftal en lille prøve, hvis det kan lade sig gøre: en testkonto eller en mappe, der er sat tilbage til et bestemt tidspunkt. Mål svartid. Spørg først, om det koster noget, og hvad det kræver.
- Prøv at opbygge en del et andet sted. Findes der en anden løsning med prøvekonto, så indlæs en lille del, som en lille udgave af gendannelse et andet sted.
- Kør en skrivebordsøvelse på resten: tjenesten er væk, hvad gør I så med det, I har? Se skrivebord, delvis eller fuld.
- Sortér viden i de to bunker, og skriv, hvad der er set, og hvad der er oplyst.
Det, I beder om at se
Testen kan ikke dække leverandørens drift. Stil derfor spørgsmål som disse, gerne ud fra SAMSIK’s vejledning til NIS2-loven, der som eksempel spørger, hvordan det verificeres, at backups kan gendannes, og hvor lang gendannelsestid der er acceptabel for driftskritiske systemer. Den kilde er en vejledning til enheder under loven, så for andre er det et godt spørgsmål og intet krav.
- Hvor ofte tages backup, og hvor længe gemmes den?
- Ligger den uden for det primære miljø? Bilaget til gennemførelsesforordning 2024/2690, punkt 4.2.2, nævner lagring uden for samme netværk, og den gælder bl.a. cloududbydere, som SaaS-leverandører kan være. Om jeres leverandør er omfattet, afgøres konkret.
- Hvornår har I sidst testet gendannelse, og hvad var resultatet?
- Kan en enkelt kunde gendannes, eller kun hele platformen?
- Hvilke tider lover I, og hvor står det?
- Hvad sker der med vores data, hvis I går konkurs?
- Hvilken cloud kører tjenesten på, og hvad afhænger den af? Se bagved ligger en anden cloud.
Bed om dokumentation: en testopsummering, en revisionserklæring eller en beskrivelse. Svarer leverandøren kun med et løfte, så skriv det ned som et løfte. Hvordan I stiller spørgsmålene, gennemgås i spørg leverandøren om exit.
Data Act (dataforordningen) kan hjælpe på én del. Omfattede udbydere skal efter art. 26 beskrive deres metoder, formater og kendte begrænsninger, og efter art. 25, stk. 2, litra b, støtte kundens exitstrategi med relevante oplysninger. Efter art. 30, stk. 2, skal andre tjenester end infrastruktur have åbne grænseflader uden betaling. Ifølge Kommissionens FAQ dækker kapitel VI alle former for SaaS, der opfylder definitionen. Reglerne handler om skift, så de siger intet om leverandørens backup. Gengivelsen er forenklet, og hvor langt det rækker hos jer, afgøres konkret, se om tjenesten er omfattet.
Kriterier, skrevet på forhånd
Eksport af de valgte datatyper lykkes med jeres egne rettigheder. Data kan læses uden tjenesten. Et slettet element kan hentes tilbage inden for en tid, I har besluttet. Leverandørens svar er modtaget skriftligt og dateret. Hvad I ikke har kunnet teste, står på en liste.
Det, der skrives ned, og hvem der godkender
Brug testrapportens felter, og tilføj en tabel med to kolonner: set af os og oplyst af leverandøren, med dato og kilde. Systemejeren godkender resultatet. Den, der ejer planen, afgør, om det, der hviler på oplysninger, er godt nok. Er det ikke godt nok, kan svaret være en egen kopi, og det er en ledelsesbeslutning.
Hvad det kræver, og hvad det koster at lade være
Testen koster en administrator nogle timer, en bruger lidt tid og en mailudveksling med leverandøren, der kan trække ud. Sæt et lavt og et højt tal på hver tjeneste, og datér det. Leverandørens hjælp kan have en pris, som I selv spørger til.
Springer I testen over, står planen på et løfte fra den leverandør, I gerne vil kunne undvære. Regn i egne tal på tre udfald: en enkelt slettet mappe, flere dages stop og en tjeneste, der aldrig kommer tilbage. Det sidste er sjældent, men det er der, kopien afgør alt. Testen giver også svar til jeres egne kunder og et bedre overblik over, hvad I har købt.
Det skal I lade være med
- At læse en lovet tid som en målt tid · skriv hvem der har målt hvad.
- At antage, at leverandørens backup også er jeres · den er ofte beregnet på platformens drift.
- At teste på rigtige kunders data i en delt tjeneste · brug jeres egne testposter.
Det skal planen kunne vise
- ☐ Hvad der er set af jer selv, og hvad der er oplyst af leverandøren.
- ☐ Resultat af eksport og gendannelse af et enkelt element.
- ☐ Leverandørens skriftlige svar med dato.
- ☐ En liste over det, der ikke kunne testes.
- ☐ En beslutning om egen kopi.
- ☐ Godkendelse fra systemejeren.
Kilder
- SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: eksempelspørgsmål om backup og gendannelse. Vejledning, ikke lovkrav.
- Gennemførelsesforordning (EU) 2024/2690: bilag, punkt 4.2.2.
- Forordning (EU) 2023/2854 (Data Act): art. 25, 26 og 30.
- Europa-Kommissionen: FAQ om Data Act, version 1.4: afsnit 58 a. Vejledende.
Senest gennemgået: november 2026.
Næste skridt
Vælg den vigtigste SaaS-tjeneste, og lav de to kolonner: set af os og oplyst af leverandøren. Send spørgsmålene i denne uge, og lad ledelsen afgøre, om det, der er tilbage, kan accepteres.
Læs også: Leverandøren går konkurs · Lille leverandør med et kritisk system
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
