Backup a NIS2 – jakie wymagania powinny spełniać kopie zapasowe?

Backup w kontekście NIS2 – co warto wiedzieć?

Właśnie tak na kopie zapasowe warto patrzeć w kontekście NIS2 – jako na element zarządzania ryzykiem, ciągłości działania i odtwarzania organizacji po incydencie.

Stan prawny: wrzesień 2026 r.
Polska nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. Podmioty kluczowe i ważne, które spełniały kryteria w dniu wejścia nowych przepisów w życie, mają czas na wdrożenie nowych obowiązków zgodnie z terminami określonymi w ustawie.

Czy NIS2 rzeczywiście wymaga backupu?

Tak, choć nie w formie prostego przepisu: „firma ma wykonywać kopię raz dziennie”.

Dyrektywa NIS2 wymaga stosowania środków zarządzania ryzykiem w cyberbezpieczeństwie. W obszarze ciągłości działania wskazuje między innymi zarządzanie kopiami zapasowymi, odtwarzanie po awarii oraz zarządzanie kryzysowe.

W praktyce oznacza to, że organizacja powinna wiedzieć:

• co musi chronić,
• jakie skutki będzie miała utrata danych lub systemów,
• jak szybko trzeba je odtworzyć,
• kto odpowiada za proces odzyskiwania,
• czy wykonane kopie rzeczywiście nadają się do użycia.

NIS2 nie jest więc instrukcją konfiguracji konkretnego programu do backupu. Chodzi o stworzenie procesu odpowiadającego rzeczywistemu ryzyku organizacji.

Polska ustawa o krajowym systemie cyberbezpieczeństwa wymaga od podmiotów objętych regulacją wdrożenia odpowiednich środków technicznych i organizacyjnych wynikających z analizy ryzyka.

Co właściwie oznacza „backup zgodny z NIS2”?

Określenie „backup zgodny z NIS2” jest wygodnym skrótem, ale może być trochę mylące.

Nie istnieje jedno urządzenie NAS, program albo usługa chmurowa, których zakup automatycznie oznacza zgodność z NIS2.

Dobrze zaprojektowany backup to cały proces: wykonanie kopii → zabezpieczenie jej → przechowywanie → kontrola poprawności → odtworzenie danych → okresowe testy.

Innego rozwiązania potrzebuje mała firma posiadająca jeden serwer plików, a innego organizacja, w której zatrzymanie systemów na kilka godzin oznacza zatrzymanie produkcji lub świadczenia usług.

Dlatego najprostsza odpowiedź brzmi: dobry backup to taki, z którego wiemy, że jesteśmy w stanie odzyskać potrzebne dane w wymaganym czasie.

Jakie elementy powinien obejmować bezpieczny system backupu?

Dla części podmiotów objętych NIS2 szczegółowe wymagania określa rozporządzenie wykonawcze Komisji (UE) 2024/2690.

Nie należy traktować go jako identycznej checklisty obowiązkowej dla każdej firmy, ale bardzo dobrze pokazuje ono, jak kompleksowo unijne regulacje podchodzą do backupu.

Obszar	Co oznacza to w praktyce
Zakres kopii	Trzeba wiedzieć, które dane, systemy i konfiguracje są konieczne do wznowienia działalności.
Czas odtworzenia	Należy określić, jak szybko najważniejsze systemy muszą wrócić do pracy.
Kompletność	Kopia musi zawierać wszystko, co jest potrzebne do skutecznego odtworzenia środowiska.
Separacja	Backup nie powinien znajdować się wyłącznie w tym samym środowisku i tej samej sieci co system produkcyjny.
Kontrola dostępu	Dostęp do kopii powinien być odpowiednio ograniczony i zabezpieczony.
Retencja	Trzeba ustalić, jak długo przechowywane są poszczególne wersje kopii.
Integralność	Należy sprawdzać, czy kopie są kompletne i nieuszkodzone.
Odtwarzanie	Musi istnieć sposób przywrócenia danych do działania.
Testy	Sam fakt wykonania kopii nie wystarcza – trzeba sprawdzać możliwość jej odtworzenia.

W przypadku podmiotów objętych rozporządzeniem 2024/2690 przepisy wprost wskazują między innymi czasy odtworzenia, kompletność kopii, kontrolę dostępu, retencję, integralność oraz regularne testowanie odzyskiwania danych.

Czy backup musi być offline?

Nie ma uniwersalnego wymagania, że każda kopia musi być offline. Dla podmiotów objętych szczegółowymi wymaganiami rozporządzenia 2024/2690 możliwe jest stosowanie kopii online lub offline. Istotne jest natomiast odpowiednie zabezpieczenie kopii i takie zaprojektowanie środowiska, aby pojedynczy incydent nie zniszczył jednocześnie danych produkcyjnych i wszystkich ich kopii.

Sens jest prosty: jedno zdarzenie nie powinno zniszczyć jednocześnie danych produkcyjnych i backupu.

Jeżeli serwer i NAS stoją obok siebie, a backup jest cały czas dostępny z tej samej sieci i tych samych kont administracyjnych, poważna awaria albo ransomware może dotknąć obu urządzeń. Dlatego często stosuje się kilka warstw ochrony: szybką kopię lokalną oraz dodatkową kopię poza główną infrastrukturą.

A co z zasadą 3-2-1?

Zasada 3-2-1 jest bardzo dobrą praktyką backupową, ale nie należy przedstawiać jej jako literalnego wymagania NIS2.

W klasycznym ujęciu zakłada:

• trzy kopie danych,
• dwa różne rodzaje nośników lub środowisk,
• jedną kopię poza podstawową lokalizacją.

Można ją realizować na różne sposoby, na przykład: serwer → NAS → zewnętrzne repozytorium backupowe lub Centrum Danych. Najważniejszy nie jest jednak sam numer „3-2-1”, ale ograniczenie ryzyka, że jedna awaria lub jeden atak zniszczy wszystkie kopie.

Czy NAS wystarczy jako backup?

NAS może być bardzo ważnym elementem backupu. Nie zawsze powinien być jego jedynym elementem.

Urządzenia Synology, QNAP i podobne rozwiązania dobrze nadają się do wykonywania lokalnych kopii serwerów, komputerów czy maszyn wirtualnych. Mogą również obsługiwać wersjonowanie, snapshoty, szyfrowanie i replikację.

Problem zaczyna się wtedy, gdy NAS:

• jest jedyną kopią danych,
• znajduje się obok chronionego serwera,
• stale pozostaje dostępny z tych samych kont,
• ransomware może uzyskać do niego dostęp,
• nikt nie kontroluje wykonywanych kopii,
• nigdy nie przeprowadzono prawdziwego testu odtworzenia.

Samo urządzenie nie tworzy więc bezpiecznego systemu backupu. Liczy się cała architektura.

Przy ważniejszych środowiskach można połączyć lokalny serwer lub NAS z dodatkowym repozytorium albo infrastrukturą znajdującą się poza firmą.

RAID nie jest backupem

To jeden z najczęstszych błędów. Macierz RAID może pozwolić serwerowi pracować dalej po awarii jednego z dysków. Nie chroni jednak przed wieloma innymi problemami.

Użytkownik usuwa katalog – dane znikają z macierzy.
Ransomware szyfruje pliki – zaszyfrowane dane znajdują się na wszystkich dyskach.
Administrator popełnia błąd – RAID nie cofnie jego działań.
Serwer lub NAS zostaje skradziony – wszystkie dyski znikają razem.

RAID zwiększa przede wszystkim dostępność danych w przypadku awarii dysku. Backup pozwala wrócić do wcześniejszego stanu danych. To dwa różne zadania.

A co z OneDrive, SharePoint i synchronizacją w chmurze?

Synchronizacja jest bardzo przydatna, ale nie powinna być automatycznie utożsamiana z backupem.

Jeżeli użytkownik usunie plik albo złośliwe oprogramowanie zmieni lub zaszyfruje dane, zmiana może zostać zsynchronizowana również z usługą chmurową.

Dlatego ważne dane przechowywane w Microsoft 365 mogą wymagać dodatkowej polityki ochrony oraz – zależnie od potrzeb organizacji – niezależnego backupu Exchange Online, OneDrive, SharePoint czy Teams.

Jak często wykonywać backup?

Nie istnieje jedna właściwa odpowiedź typu:

NIS2 wymaga backupu raz dziennie.

Częstotliwość powinna wynikać przede wszystkim z tego, ile danych organizacja może zaakceptować jako utracone. Jeżeli system księgowy lub ERP zmienia się przez cały dzień, kopia wykonywana raz na tydzień może być praktycznie bezużyteczna. Jeżeli określone dane zmieniają się raz w miesiącu, wykonywanie pełnej kopii co pięć minut może nie mieć większego sensu. Pomagają tutaj poniższe dwa pojęcia.

RPO – Recovery Point Objective

RPO określa, ile danych możemy stracić. Jeżeli RPO wynosi cztery godziny, rozwiązanie backupowe powinno umożliwiać odtworzenie danych do stanu nie starszego niż około cztery godziny.

RTO – Recovery Time Objective

RTO określa, jak długo możemy czekać na przywrócenie działania systemu. Jeżeli firma musi wznowić pracę w ciągu dwóch godzin, nie wystarczy wiedzieć, że „gdzieś mamy kopię”. Trzeba również posiadać infrastrukturę i procedurę pozwalającą odzyskać system w wymaganym czasie.

Dopiero po ustaleniu RPO i RTO warto wybierać technologię, harmonogram oraz sposób przechowywania kopii.

Backup i Disaster Recovery to nie to samo

Backup odpowiada przede wszystkim na pytanie: „Skąd odzyskamy dane?” Disaster Recovery odpowiada na znacznie szersze pytanie: „Jak przywrócimy działanie organizacji?” Jeżeli w wyniku awarii stracimy serwer, sama kopia bazy danych może nie wystarczyć.

Trzeba jeszcze:

• przygotować środowisko, na którym zostanie odtworzona,
• uruchomić system operacyjny,
• przywrócić usługi i aplikacje,
• odtworzyć konfigurację,
• uruchomić sieć i dostęp użytkowników,
• wiedzieć, w jakiej kolejności wszystko zrobić.

Dlatego system backupu powinien być częścią większego planu ciągłości działania.

Najważniejszy test backupu: czy naprawdę można z niego odzyskać dane?

Komunikat:

Backup completed successfully

jest dobrą wiadomością. Nie jest jednak jeszcze dowodem, że system uda się odtworzyć. Problemem może okazać się:

• uszkodzone archiwum,
• brak części danych,
• niewłaściwe hasło,
• utracony klucz szyfrujący,
• nieaktualna konfiguracja,
• brak wiedzy, jak uruchomić środowisko od zera.

Dlatego jednym z najważniejszych elementów systemu backupowego są testy odtworzeniowe.

Dla podmiotów objętych szczegółowymi wymaganiami rozporządzenia 2024/2690 regularne testowanie odtwarzania kopii i dokumentowanie wyników jest wskazane wprost. Nawet jeśli dana organizacja nie podlega temu konkretnemu rozporządzeniu, trudno mówić o skutecznym planie odtworzenia, jeśli nikt nigdy nie sprawdził, czy dane rzeczywiście można odzyskać.

W ramach nadzoru informatycznego APROKS może objąć kontrolą również wykonywanie backupów oraz możliwość skutecznego odtworzenia danych.

Jak wdrożyć backup w firmie krok po kroku?

Nie warto zaczynać od pytania:

Jaki NAS kupić?

Najpierw trzeba ustalić, co właściwie próbujemy chronić.

1. Zidentyfikuj najważniejsze dane i systemy

Sprawdź, bez czego firma nie może normalnie pracować.

Może to być:

• system ERP,
• baza programu księgowego,
• dokumenty użytkowników,
• maszyny wirtualne,
• poczta,
• konfiguracja serwera,
• dane Microsoft 365,
• konfiguracje urządzeń sieciowych.

2. Określ skutki utraty danych

Inaczej chronimy archiwum, do którego zaglądamy raz w miesiącu, a inaczej system wykorzystywany przez kilkudziesięciu pracowników przez cały dzień. Warto odpowiedzieć sobie na pytanie: co stanie się z firmą, jeśli tych danych nie będzie przez godzinę, jeden dzień albo tydzień?

3. Ustal RPO i RTO

Określ:

• ile danych można stracić,
• jak szybko trzeba odzyskać system.

Dzięki temu można dobrać odpowiednią częstotliwość wykonywania kopii i sposób ich przechowywania.

4. Zaprojektuj odpowiednią liczbę warstw ochrony

Lokalna kopia może zapewnić bardzo szybkie odtworzenie. Dodatkowa kopia poza głównym środowiskiem może ochronić organizację przed poważniejszym incydentem. Nie każda firma potrzebuje identycznego rozwiązania. Liczba warstw powinna wynikać z ryzyka i znaczenia danych.

5. Ogranicz dostęp do backupu

Konto używane do codziennej pracy nie powinno bez potrzeby posiadać możliwości usunięcia wszystkich kopii. Warto:

• rozdzielać uprawnienia,
• ograniczać dostęp administracyjny,
• stosować MFA tam, gdzie jest dostępne,
• oddzielać środowisko backupowe od produkcyjnego.

6. Określ retencję

Jedna najnowsza kopia może nie wystarczyć. Błąd użytkownika, uszkodzenie bazy albo infekcja mogą zostać zauważone dopiero po kilku dniach. Wtedy potrzebna będzie starsza wersja danych. Retencja określa, jak długo takie wersje pozostają dostępne.

7. Testuj odtwarzanie

Od czasu do czasu rzeczywiście przywróć:

• pojedynczy plik,
• katalog,
• bazę danych,
• maszynę wirtualną,
• a w przypadku najważniejszych systemów – całe środowisko.

Dopiero wtedy wiadomo, że backup nie istnieje wyłącznie „na papierze”.

Czy każda firma podlega NIS2?

Nie. Polska ustawa o krajowym systemie cyberbezpieczeństwa obejmuje określone rodzaje podmiotów i działalności oraz rozróżnia między innymi podmioty kluczowe i podmioty ważne. Kwalifikacja zależy od rodzaju prowadzonej działalności, sektora, wielkości organizacji oraz szczegółowych kryteriów wynikających z przepisów. Brak obowiązku wynikającego z NIS2 nie oznacza jednak, że firma nie potrzebuje porządnego backupu. Ransomware, awaria serwera czy przypadkowe usunięcie danych nie sprawdzają przed zdarzeniem, czy przedsiębiorstwo znajduje się w Wykazie KSC. Dlatego wymagania związane z NIS2 mogą być również dobrym punktem odniesienia przy porządkowaniu backupu w organizacjach, które formalnie nie podlegają tym regulacjom.

Jak sprawdzić, czy obecny backup ma sens?

Na początek wystarczy odpowiedzieć sobie na kilka prostych pytań:

• Czy wiemy dokładnie, gdzie znajdują się wszystkie kopie?
• Czy awaria jednego urządzenia może zniszczyć również backup?
• Czy ransomware działające z konta administratora może dostać się do wszystkich kopii?
• Ile danych stracimy, jeśli awaria wydarzy się dziś o 15:00?
• Ile czasu zajmie uruchomienie najważniejszego systemu od zera?
• Kiedy ostatnio ktoś naprawdę odtworzył dane z kopii?
• Czy wynik takiego testu został zapisany?
• Czy wiemy, kto odpowiada za odtworzenie systemów?

Jeżeli na część z tych pytań odpowiedź brzmi „nie wiem”, właśnie od tego warto zacząć.

Chcesz sprawdzić, czy z obecnego backupu naprawdę da się odtworzyć firmę?

Sam komunikat o poprawnie wykonanej kopii nie daje jeszcze odpowiedzi na to pytanie.

APROKS pomaga firmom i instytucjom przeanalizować obecny sposób wykonywania kopii zapasowych, zaprojektować rozwiązanie backupowe, wdrożyć dodatkowe warstwy ochrony oraz objąć backup cykliczną kontrolą i testami odtwarzania.

Nie zaczynamy od wyboru urządzenia czy programu, najpierw ustalamy:

• co organizacja musi chronić,
• jakie są rzeczywiste ryzyka,
• ile danych można stracić,
• jak szybko najważniejsze systemy powinny wrócić do działania.

Dzięki temu backup staje się elementem ciągłości działania firmy, a nie tylko zadaniem wykonywanym każdej nocy przez serwer.