Test af gendannelse under NIS2: det, der skal kunne dokumenteres

Under NIS2 bør I kunne vise, at I jævnligt tester gendannelse, hvad resultatet blev, og at den relevante ledelse har godkendt det. Loven kræver driftskontinuitet og backupstyring, og SAMSIK’s vejledning beskriver test og dokumentation mere præcist. Vejledningen er ingen lov, og vurderingen af kravene ligger hos den sektoransvarlige myndighed. Som bud på, hvad en dokumentation bør rumme, er den det bedste, vi har.

Artiklen handler om papirsporet. Backup som sikkerhedsemne, herunder offline og uforanderlige kopier, er beskrevet under backup og reetablering. Selve testen står i gendannelse et andet sted.

Hvad loven siger

Lov nr. 434 af 6. maj 2025, § 6, stk. 1, nr. 3, nævner driftskontinuitet med backupstyring og reetablering. Nr. 6 handler om at vurdere effektiviteten af foranstaltningerne. § 7, stk. 1, siger, at ledelsesorganet godkender dem og fører tilsyn. Loven nævner ingen bestemt test, hyppighed eller rapport. Det er lovkravene, og resten af denne artikel er vejledning og vores vurdering.

Hvad vejledningen siger

SAMSIK’s vejledning fra juni 2025 har et afsnit om backup. På s. 23 kan backupplaner efter risikovurderingen blandt andet tage hensyn til:

• reetableringstider, altså hvor lang tid det må tage at få data tilbage i almindelig drift
• at backups er fuldstændige og omfatter konfigurationsdata og data i cloudtjenester
• jævnlige test af backup og af procedurer for gendannelse

Under dokumentation står, at enheden bør dokumentere, at den med jævne mellemrum tester, at backup er fuldstændig og tilgængelig efter det, procedurerne beskriver. Backuppen skal også have den fornødne integritet, altså være uændret og brugbar, også selv om den ser fuldstændig ud. Og så en sætning, I kan bygge på: “Resultatet af tests bør dokumenteres og godkendes af den relevante ledelse.”

Eksemplet på s. 27 spørger, hvordan virksomheden verificerer, at backups er intakte og kan gendannes, og hvilken gendannelsestid der kan accepteres for de driftskritiske systemer (RTO, den tid, I højst må bruge på at komme op). Se RTO og RPO for ledelsen.

En stærkere model for digitale udbydere

Gennemførelsesforordning 2024/2690 gælder cloud, datacentre og andre digitale udbydere. Almindelige virksomheder er ikke omfattet, og den bruges her som model. Bilagets punkt 4.2.6 kræver regelmæssige test af genopretning fra backup, så backup kan bruges i en reel situation og omfatter kopier, processer og viden. Testresultater skal dokumenteres, og om nødvendigt skal der følge korrigerende foranstaltninger. Punkt 4.2.2 nævner genopretningstider, fuldstændighed, også for data i cloud, og lagring uden for samme netværk. Ordene kopier, processer og viden er værd at låne, for de siger, at en vellykket filgendannelse sjældent er hele svaret.

Det bør kunne fremvises

Vi kender ingen dansk tilsynspraksis om, præcis hvad der bliver bedt om, så listen er vores vurdering ud fra vejledningens ord. Forvent, at en myndighed eller revisor vil spørge efter noget i denne stil:

1. Proceduren. Hvad tages der backup af, hvor ligger den, og hvem må gendanne?
2. En testplan. Hvilke systemer testes, hvor ofte, og hvorfor netop det. Begrund rytmen ud fra risikovurderingen, for vejledningen sætter intet tal på.
3. Testresultater. Dato, system, omfang, målt tid mod den acceptable tid, fuldstændighed og hvem der stod for testen. Felterne står i testrapporten.
4. Afvigelser. Hvad gik galt, hvem retter det, og hvornår? § 6, stk. 2, om korrigerende foranstaltninger gør dette spor vigtigt.
5. Godkendelsen. Hvem i ledelsen har set resultatet, og hvornår? Aftal, hvem det er hos jer, se hvem ejer exit-planen?.
6. Kriterierne. Hvad skulle testen vise, skrevet før den blev gennemført, se hvad er en bestået test?.

Et skærmbillede af, at et backupjob er lykkedes, opfylder ingen af punkterne. Det viser, at der er taget en kopi. En gendannelse viser, at den kan bruges.

Data hos cloududbydere

Vejledningens punkt om data i cloud rammer mange. Ligger arbejdsdata i en SaaS-tjeneste, kan I ikke selv gendanne hele miljøet. Hvad en kunde kan teste, og hvad der må bygge på leverandørens oplysninger, står i test af gendannelse, når I ikke styrer miljøet. Skriv det i dokumentationen, så det er tydeligt, hvad I selv har set, og hvad I har fra leverandøren.

Samme test kan bruges til exit

Her er koblingen til planen. En test, der gendanner hos samme leverandør, viser, at backup virker til et almindeligt uheld. Flyttes gendannelsen til et andet sted, viser den også, at data kan bruges uden leverandøren. Loven kræver det ikke, og det er vores vurdering, at det er værd at gøre for de få vigtigste systemer. Dokumentationen er den samme, så I får to svar for en ekstra indsats.

Det gør også jeres svar til SAMSIK’s spørgsmål om at skifte leverandør stærkere.

Hvad det kræver, og hvad det koster at lade være

Procedure og testplan tager nogle dage første gang. Hver test kræver forberedelse, gennemførelse og rapport og kan vurderes i timer pr. system, lavt og højt, med dato. Dertil kommer miljø til gendannelse og et punkt på ledelsesmødet. En fast skabelon gør den næste test billigere.

Uden dokumentation står I med et påstået resultat. Uden selve testen risikerer I, at backup først afprøves, når den skal bruges. Brug jeres egne tal for et døgn uden de vigtigste data. Sammenhold tre ting: arbejdet med test og papirspor, tabet ved en gendannelse, der ikke virker, og det, I får nu: en målt tid, der kan bruges i planen, i svar til kunder og over for bestyrelsen.

Det skal I lade være med

• At vise et backupjob som bevis for gendannelse · testen er selve gendannelsen.
• At lade testen slutte hos IT · vejledningen peger på, at resultatet bør godkendes af ledelsen.
• At lade fejl stå uden opfølgning · en dokumenteret fejl uden en ansvarlig og en dato er værre end en, I selv har rettet.

Det skal planen kunne vise

• ☐ Testplan med systemer, rytme og begrundelse.
• ☐ Rapporter med målt tid, omfang og fuldstændighed.
• ☐ Afvigelser med ansvarlig og dato.
• ☐ Den relevante ledelses godkendelse.
• ☐ Oplysning om, hvad der bygger på leverandørens oplysninger.

Kilder

• Lov nr. 434 af 6. maj 2025 (NIS2-loven): § 6, stk. 1, nr. 3 og 6, § 6, stk. 2, og § 7, stk. 1.
• SAMSIK: Vejledning til implementering af cybersikkerhedsforanstaltninger: PDF-s. 2, 23 og 27. Vejledning, ingen lov.
• Gennemførelsesforordning (EU) 2024/2690: bilag, punkt 4.2.2 og 4.2.6. Gælder digitale udbydere og bruges her som model.

Senest gennemgået: november 2026.

Næste skridt

Find den seneste test af gendannelse, og se, om de seks punkter kan fremvises. Mangler de, så skriv en testplan og aftal en dato for den næste test og for ledelsens godkendelse.

• NIS2 og Datatilsynet
• Test af eksport og gendannelse

Læs også: Testrapporten · Kræver NIS2 en exit-plan?

→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT