Backup i odzyskiwanie danych — strategia ciągłości działania dla firm zgodna z NIS2, ISO 27001 i DORA
Kopia zapasowa to nie pojedyncze zadanie cron na serwerze plików — to projektowana strategia disaster recovery, w której każda decyzja techniczna wynika z analizy wpływu na biznes. Punktem wyjścia są dwa parametry: RPO (Recovery Point Objective), czyli ile danych firma może stracić w razie awarii, oraz RTO (Recovery Time Objective), czyli ile czasu może trwać przywrócenie usługi. Te liczby przekładają się na dobór technologii: częstotliwość snapshotów, replikację synchroniczną lub asynchroniczną, lokalizację kopii i metodę przywracania.
Rekomendowanym standardem branżowym jest reguła 3-2-1 — trzy kopie danych, na dwóch różnych nośnikach, jedna kopia w lokalizacji oddalonej od produkcji. W realiach 2026 roku ten model rozwijamy do 3-2-1-1-0 z dodatkową kopią immutable (niezmienialną, odpornej na ransomware) i wymogiem zerowych błędów odtwarzania w testach. Niezmienialność uzyskujemy przez technologie object lock w S3, Veeam Hardened Repository czy Synology WORM — dzięki nim nawet zaszyfrowanie środowiska produkcyjnego przez atakującego nie spowoduje utraty kopii.
Virtline projektuje, wdraża i serwisuje rozwiązania backupowe dla środowisk on-premise, chmurowych i hybrydowych — z naciskiem na powtarzalne testy odtwarzania i mapowanie kontrolek do wymogów NIS2, ISO 27001 i DORA.
Co zabezpieczamy w ramach backupu
Projektujemy backup dla całego stosu — od pojedynczych stacji roboczych po klastry wirtualizacyjne i konta chmurowe. Obejmujemy ochroną:
Maszyny wirtualne i fizyczne serwery — VMware vSphere, Microsoft Hyper-V, Proxmox, KVM oraz serwery bare-metal z Windows Server i Linux.
Bazy danych — Microsoft SQL Server, PostgreSQL, MySQL, MariaDB, Oracle DB z kopiami transakcyjnymi i point-in-time recovery.
Microsoft 365 i Google Workspace — pełna kopia poczty Exchange Online, dokumentów OneDrive i SharePoint, Teams oraz Google Drive/Gmail z polityką retencji.
Stacje robocze i laptopy — backup endpointów pracowników terenowych i biurowych z deduplikacją i szyfrowaniem klienckim.
Aplikacje i kontenery — klastry Kubernetes (Velero, Kasten K10), repozytoria Git, aplikacje SaaS przez API.
Konfiguracje urządzeń sieciowych — kopie konfiguracji firewalli, switchy, access pointów i konsoli zarządczych.
Technologie backupu — sprawdzone platformy producentów
Nie jesteśmy związani z jednym producentem. Dobieramy rozwiązanie do skali, budżetu i wymagań regulacyjnych klienta. W praktyce wdrożeniowej najczęściej pracujemy z:
Veeam Backup & Replication — lider rynku enterprise backup, wsparcie dla VMware, Hyper-V, AWS, Azure, M365, immutable repositories.
Acronis Cyber Protect — integracja backupu z ochroną antymalware i AI-based ransomware detection, sprawdza się w MŚP i u dostawców usług.
Synology Active Backup for Business — ekonomiczne rozwiązanie all-in-one dla MŚP z natywnym wsparciem dla M365, hipervisorów i stacji roboczych.
QNAP Hybrid Backup Sync — backup na macierze NAS QNAP z replikacją do chmury, snapshotami i ochroną WORM.
Object storage S3-compatible — AWS S3, Azure Blob, Wasabi, MinIO z włączonym object lock jako warstwa immutable dla strategii 3-2-1-1-0.
Dedykowane backup M365 — Veeam Backup for Microsoft 365, Acronis Cyber Protect Cloud, Datto SaaS Protection — uzupełnienie polityki retencji Microsoft.
Jak projektujemy backup — 4 etapy wdrożenia
Wdrożenie kopii zapasowej nie zaczyna się od instalacji oprogramowania, tylko od rozmowy o tym, co dla biznesu znaczy „awaria”. Każdy etap kończy się konkretnym artefaktem — od macierzy RPO/RTO po pierwsze udane testowe odtworzenie.
1. Analiza wpływu na biznes (BIA) i polityka backupu — warsztaty z klientem, ustalenie krytyczności systemów, parametrów RPO/RTO dla każdej aplikacji, retencji prawnej (księgowość, dane osobowe, dokumentacja medyczna) i przygotowanie polityki backupu jako dokumentu zgodnego z ISO 27001 A.8.13.
2. Projekt architektury — dobór technologii (Veeam, Acronis, Synology), zaprojektowanie topologii 3-2-1, lokalizacji repozytoriów (on-premise, secondary site, cloud), warstwy immutable, oszacowanie pojemności i okna backupowego.
3. Wdrożenie i konfiguracja — instalacja repozytoriów, konfiguracja jobów, szyfrowania, kompresji i deduplikacji, integracja z monitoringiem (Zabbix, PRTG, SIEM), szkolenie administratorów klienta.
4. Testy odtwarzania i runbook DR — pierwsze pełne testowe odtworzenie krytycznej aplikacji, opracowanie runbook'a disaster recovery, ustalenie harmonogramu cyklicznych testów (kwartalnie lub półrocznie) oraz wskaźników raportowanych do zarządu.
Backup w wymaganiach NIS2, ISO 27001 i DORA
Kopia zapasowa i odtwarzanie to obszar wymieniony wprost w trzech kluczowych dla polskiego rynku regulacjach. Brak udokumentowanej polityki i testów oznacza niezgodność i ryzyko sankcji.
- NIS2 art. 21 ust. 2 lit. c — ciągłość działania i zarządzanie kopiami zapasowymi. Podmioty kluczowe i ważne muszą wdrożyć polityki kopii zapasowych, plany ciągłości i odtwarzania po awarii (BCDR) oraz zarządzania kryzysowego. Polska ustawa wdrażająca NIS2 utrzymuje ten wymóg w pełnym zakresie.
- ISO/IEC 27001:2022 A.8.13 — Information backup. Organizacja musi utrzymywać kopie zapasowe informacji, oprogramowania i obrazów systemów, regularnie je testować i przechowywać zgodnie z uzgodnioną polityką retencji.
- ISO/IEC 27001:2022 A.5.30 — ICT readiness for business continuity. Wymaga planowania, wdrażania, utrzymywania i testowania gotowości ICT do zapewnienia ciągłości działania — bezpośrednie powiązanie z RTO/RPO i testami DR.
- DORA art. 11 — polityka i procedury kopii zapasowych. Podmioty finansowe są zobowiązane do wdrożenia polityk i procedur tworzenia kopii zapasowych obejmujących zakres danych, częstotliwość, sposób przechowywania i procedury odtwarzania.
- DORA art. 12 — ciągłość działania ICT i procedury odtwarzania. Wymaga zdolności do szybkiego, bezpiecznego i kompletnego odtwarzania danych z minimalnym przestojem oraz cyklicznego testowania planów odtwarzania.
- RODO art. 32 — bezpieczeństwo przetwarzania. Administrator musi zapewnić zdolność do szybkiego przywrócenia dostępności danych osobowych w razie incydentu fizycznego lub technicznego — w praktyce realizowane przez kopie zapasowe i DR.
Najczęściej zadawane pytania o backup i odzyskiwanie danych
Czym jest reguła 3-2-1 i czy nadal obowiązuje w 2026 roku?
Reguła 3-2-1 to standard branżowy: trzy kopie danych (produkcja + dwie zapasowe), na dwóch różnych nośnikach (np. dysk i taśma albo dysk i obiektowy storage), z jedną kopią poza lokalizacją produkcyjną. W 2026 roku rozszerzamy ją do 3-2-1-1-0 — dochodzi czwarta kopia immutable (odpornej na ransomware) i wymóg zerowych błędów w cyklicznych testach odtwarzania. Reguła pozostaje aktualnym fundamentem strategii DR.
Czym różni się RPO od RTO i jak je wyznaczyć?
RPO (Recovery Point Objective) to maksymalna akceptowalna utrata danych mierzona w czasie — jeśli backup wykonywany jest co 4 godziny, RPO wynosi 4 godziny. RTO (Recovery Time Objective) to maksymalny czas przestoju usługi od awarii do przywrócenia — obejmuje detekcję, decyzję i odtworzenie. Oba parametry wyznacza się w analizie wpływu na biznes (BIA), oddzielnie dla każdej aplikacji, w oparciu o koszt godziny przestoju i wartość utraconych danych.
Czym jest immutable backup i dlaczego chroni przed ransomware?
Immutable backup to kopia, której przez zdefiniowany okres retencji nie da się zmodyfikować ani usunąć — nawet z konta administratora. Realizujemy ją przez object lock w S3, Veeam Hardened Repository na Linux z systemem plików XFS, Synology WORM lub macierze z funkcją immutability. Dzięki temu nawet jeśli atakujący przejmie konsolę zarządczą lub klucze administratora, nie może skasować kopii — pozostaje gwarancja odtworzenia środowiska po ataku ransomware.
Cloud backup czy on-premise — co lepsze dla firmy?
To nie jest wybór „albo—albo”. Backup hybrydowy łączy zalety obu modeli: kopia lokalna zapewnia szybkie odtwarzanie (niskie RTO), kopia w chmurze chroni przed awarią lokalizacji i spełnia wymóg geograficznej separacji 3-2-1. Czysto chmurowy backup ma sens dla małych firm bez infrastruktury, czysto lokalny dla podmiotów z wymogami suwerenności danych. Najczęściej rekomendujemy hybrydę z immutable cloud tier.
Ile kosztuje wdrożenie systemu backupu?
Koszt zależy od trzech zmiennych: ilości chronionych danych (TB), liczby źródeł (VM, baz danych, kont M365) i wymaganego RTO. Rozwiązania dla MŚP (Synology + Veeam Community) zaczynają się od kilkunastu tysięcy złotych jednorazowo plus subskrypcja chmurowa. Wdrożenia enterprise (Veeam B&R Enterprise Plus + dedykowane repozytoria + cloud tier) liczone są w setkach tysięcy. Wycenę przygotowujemy po analizie wymagań — skontaktuj się z nami.
Dlaczego testy odtwarzania są ważniejsze niż sam backup?
Niepotwierdzony backup to tylko zajęte miejsce na dysku. Statystyki pokazują, że około 30% organizacji odkrywa problemy z kopiami dopiero w trakcie realnej awarii. Cykliczne testy odtwarzania (kwartalne dla systemów krytycznych) weryfikują integralność kopii, aktualność runbook'ów DR, kompetencje zespołu i zgodność z RTO. ISO 27001 A.5.30 i DORA art. 12 wymagają udokumentowanych testów — brak ewidencji to niezgodność audytowa.
Dla kogo projektujemy backup
Naszymi klientami są firmy, dla których przestój oznacza wymierną stratę finansową lub naruszenie obowiązków regulacyjnych. Najczęściej wdrażamy backup dla:
- podmiotów kluczowych i ważnych objętych NIS2 (energetyka, ochrona zdrowia, transport, finanse, administracja)
- instytucji finansowych objętych DORA (banki, ubezpieczyciele, dostawcy usług kryptoaktywów, firmy inwestycyjne)
- organizacji wdrażających ISO 27001 jako część systemu zarządzania bezpieczeństwem informacji
- firm produkcyjnych z systemami ERP, MES i sterowaniem maszyn (Industry 4.0, OT)
- kancelarii prawnych, biur rachunkowych i podmiotów medycznych z obowiązkiem retencji dokumentów
- spółek z sektora automotive z wymogami TISAX wobec łańcucha dostaw
- e-commerce i SaaS, dla których RTO mierzony jest w minutach
- jednostek samorządu terytorialnego i instytucji publicznych objętych KSB 3.15
Dlaczego warto wybrać Virtline do projektu backupu
Virtline projektuje i utrzymuje systemy backupu w środowiskach produkcyjnych od ponad 25 lat. Łączymy kompetencje wdrożeniowe z perspektywą audytora — każde rozwiązanie spełnia konkretne kontrolki ISO 27001, NIS2, DORA. Posiadamy własny certyfikat PN-EN ISO/IEC 27001:2023-08 wydany przez TÜV NORD, więc znamy wymagania od strony audytowanego.
Kluczowe korzyści backupu z Virtline:
Projekt backupu wyprowadzony z analizy wpływu na biznes i wymogów regulacyjnych
Status partnerski Veeam, Acronis, Synology, QNAP
Mapowanie kontrolek do NIS2 art. 21, ISO 27001 A.8.13/A.5.30, DORA art. 11–12
Wsparcie pn-pt 7-17 oraz monitoring automatyczny i SLA dostosowane do wymogów RTO klienta
Cykliczne testy odtwarzania i raportowanie dla zarządu
Architektura immutable backup — odporność na ataki ransomware
Doświadczenie wdrożeniowe od MŚP po klientów korporacyjnych
Lokalne wsparcie w języku polskim — brak handoffów do call center
Skontaktuj się z nami, aby zaprojektować strategię backupu i disaster recovery dostosowaną do wymagań Twojej organizacji — z mapowaniem do NIS2, ISO 27001 i DORA oraz konkretnym planem testów odtwarzania.
Zaplanuj backup, który naprawdę działa — przejdź test odtwarzania bez stresu.
Certyfikacja ISO/IEC 27001:2023
Virtline certyfikowany przez TÜV NORD
Virtline posiada certyfikat PN-EN ISO/IEC 27001:2023-08 wydany przez TÜV NORD. Numer certyfikatu: AC090 121/2469/6137/2026, ważny do 02.2029. Projekty backupu prowadzimy z perspektywy audytowanego — znamy każdą kontrolkę od środka.