Back-up testen: werkt je restore echt als het misgaat?

Bijna elk bedrijf maakt back-ups. Veel minder bedrijven hebben ooit hun restore getest door er echt iets uit terug te zetten. In dit artikel lees je hoe je een back-up én een restore test, hoe vaak dat nodig is en wanneer je het jezelf juist niet te moeilijk moet maken.

Een back-up testen doe je door periodiek echt iets terug te zetten. Minimaal een technische hersteltest: bestanden of een systeem herstellen en controleren dat de software dit als geslaagd meldt. Bij voorkeur ook een functionele test, waarbij je een compleet systeem herstelt en checkt of je bedrijfsprocessen weer draaien. Een groen vinkje in de back-upsoftware bewijst niets over een geslaagde restore.

Waarom een geslaagde back-up nog geen geslaagde restore is

Een back-up is een kopie van je data. Een restore is het terugzetten van die kopie, zodat je weer kunt werken. Dat zijn twee verschillende dingen, en tussen die twee gaat het vaak mis: een back-upjob die al maanden een lege map wegschrijft, een systeemkopie waar de database niet consistent in staat, of een cloudback-up waar niemand het wachtwoord meer van weet.

Het NCSC benoemt dit probleem letterlijk in zijn basisboek over herstel na cyberincidenten (mei 2024): zo'n 20% van alle bedrijven krijgt jaarlijks te maken met cyberincidenten, en vaak is er niet voldoende geoefend en worden back-ups niet goed teruggezet. Juist op het moment dat je de back-up nodig hebt, ontdek je dan dat hij niet werkt.

Hoe vaak testen kleine bedrijven hun back-up eigenlijk?

De cijfers zijn niet geruststellend. Het DTC Benchmarkonderzoek onder 766 zzp'ers en mkb'ers tot 25 medewerkers, gepubliceerd op 22 mei 2023, laat een opvallend verschil zien. Zzp'ers zonder IT-dienstverlener gaven ruim twee keer zo vaak aan dat ze getest hebben of hun back-up werkt: 57% tegenover 26% van de zzp'ers mét IT-dienstverlener.

Wie de back-up uitbesteedt, gaat er blijkbaar van uit dat de leverancier de restore ook wel test. Dat is een aanname, geen afspraak.

Het bredere beeld bevestigt dit. Uit de CBS Cybersecuritymonitor 2025 (NCSC, 28 mei 2026) blijkt dat 86 procent van de grote bedrijven tien of meer van de twaalf uitgevraagde maatregelen nam; bij microbedrijven van 2 tot 10 werknemers is dat slechts 13 procent, en 40 procent nam zelfs drie of minder maatregelen. Voor een installateur in Sliedrecht of een accountantskantoor in Papendrecht betekent dit: de kans is groot dat je back-up wel draait, maar nooit is bewezen.

Heb je je IT-beheer uitbesteed, dan is de eerste vraag aan je leverancier dus simpel: wanneer is voor het laatst een restore van onze omgeving getest, en wat was de uitkomst?

Hoe test je een restore? Technisch versus functioneel

Het NCSC onderscheidt twee niveaus van testen, en die bouwen op elkaar voort.

Test een back-up minimaal technisch: de back-upsoftware geeft aan dat de back-up geslaagd is, en je voert een herstelactie uit waarbij de software aangeeft dat ook dit gelukt is. Net als de back-up zelf is zo'n hersteltest vaak te automatiseren. Daarnaast is er de functionele test: je herstelt een volledige back-up en controleert of je inderdaad weer volledig aan het werk kunt door bepaalde bedrijfsprocessen uit te proberen, bijvoorbeeld je backoffice-systeem. Die test kost aanzienlijk meer tijd, maar bewijst ook meteen of je de juiste dingen back-upt en niets vergeten bent.

	Technische hersteltest	Functionele hersteltest
Wat je doet	Bestanden of een systeem terugzetten via de back-upsoftware	Compleet systeem herstellen en er echt in werken
Wat het bewijst	De back-updata zijn leesbaar en terug te zetten	Je bedrijfsprocessen draaien weer
Tijdsinvestering	Klein, vaak te automatiseren	Groot, handmatig werk
Frequentie (praktijk)	Elk kwartaal, steekproef	Minimaal jaarlijks
Voor wie	Iedereen met een back-up	Bedrijven met eigen servers of bedrijfskritische applicaties

Let op het verschil met een verificatietest. Sommige back-upapplicaties bieden een verificatietest die checkt of de back-updata in orde zijn. Dat is goed om in te richten, maar liever ga je een stap verder en test je periodiek door de back-up te herstellen, zo schrijft het NCSC in zijn advies over een back-upstrategie. Verificatie is een controle op de kopie; een restore is een controle op jouw vermogen om te herstellen.

Wat moet je weten vóór je gaat testen?

Een hersteltest is pas zinvol als je weet wat je verwacht. Daar hoort één begrip bij: de Recovery Time Objective (RTO), de maximale tijd die herstel van een systeem mag duren. Meerdere factoren hebben impact op de hersteltijd, zoals de hoeveelheid data, de gebruikte techniek en de snelheid van de back-upmedia. Soms moet je prioriteiten stellen, zodat belangrijke onderdelen eerder hersteld worden dan andere: actieve projecten binnen een aantal uur, een archief pas na een aantal dagen.

Wat je vastlegt voordat je test:

• Welke systemen en data bedrijfskritisch zijn (mail, boekhouding, klantdossiers, fileserver)

• Hoe lang elk systeem maximaal weg mag zijn (RTO)

• Waar de back-up staat, wie erbij kan en hoe (inclusief wachtwoorden en sleutels)

• Wat je tijdens de test als “geslaagd” beschouwt

Wat je tijdens en na de test controleert:

• Zijn de teruggezette bestanden compleet en actueel?

• Openen applicaties en databases zonder foutmeldingen?

• Hoe lang duurde het herstel, en past dat binnen de RTO?

• Miste er iets in de back-up dat er wel in had moeten zitten?

En vergeet het monitoren niet. Zorg dat je over goede rapportage beschikt waarmee je, het liefst dagelijks, kunt nagaan of back-ups daadwerkelijk draaien en of er geen fouten zijn opgetreden. Een hersteltest per kwartaal helpt weinig als de back-up tussendoor drie weken stilstond.

Wanneer is een volledige hersteltest overkill?

Eerlijk is eerlijk: niet elk bedrijf hoeft een complete uitwijkoefening te doen. Het NCSC zegt zelf dat het testen van back-ups vaak alleen gebeurt wanneer er echt iets hersteld moet worden, mede omdat testen geld en veel tijd kost. Die tijd moet je dus gericht inzetten.

Werk je met een klein team volledig in de Microsoft 365-werkplek, zonder eigen servers en zonder lokale bedrijfsapplicaties, dan is een functionele test van een compleet systeem meestal niet nodig. Er is geen systeem om te herstellen. Een steekproef volstaat dan: zet elk kwartaal een paar bestanden uit SharePoint of OneDrive terug, herstel één mailbox-item uit de back-up en controleer dat het werkt. Dat kost een half uur en bewijst wat je moet weten.

Anders ligt het zodra je een eigen server draait, een boekhoud- of ERP-pakket lokaal hebt staan, of klanten afhankelijk zijn van jouw systemen. Dan is een jaarlijkse functionele test geen luxe, en is het verstandig die te laten uitvoeren door iemand die het vaker doet.

Veelgestelde vragen over back-up testen

Hoe vaak moet je een back-up of restore testen?

Het NCSC adviseert periodiek te herstellen. In de praktijk: elk kwartaal een steekproef van bestanden, en minimaal jaarlijks een grotere test van je belangrijkste systeem.

Wat is het verschil tussen een verificatietest en een hersteltest?

Een verificatietest controleert of de back-updata in orde zijn. Een hersteltest zet data of een systeem daadwerkelijk terug en controleert of je ermee kunt werken.

Is een groene melding in de back-upsoftware genoeg?

Nee. Die melding zegt dat de back-up is weggeschreven, niet dat je er iets bruikbaars uit kunt halen.

Wat is een RTO?

De Recovery Time Objective is de maximale tijd die het herstel van een systeem mag duren. Die bepaal je per systeem, niet voor het hele bedrijf tegelijk.

Wat Sennin-IT voor jouw organisatie doet

Bij Sennin-IT geloven we in IT die gewoon werkt: veilig, stabiel en zonder gedoe. Geen helpdeskgedoe en geen standaardoplossingen, maar directe communicatie en maatwerk voor mkb-bedrijven in Dordrecht en de Drechtsteden.

Voor bedrijven met eigen servers of bedrijfskritische applicaties plannen we hersteltests in als vast onderdeel van het IT-beheer, leggen we de uitkomst vast en melden we wat we tegenkomen. Werk je met een klein team volledig in de cloud? Dan zeggen we dat ook, en laten we het bij een steekproef die je desnoods zelf kunt doen.

Wil je weten of jouw back-up écht werkt? Plan een gratis adviesgesprek en we lopen samen door wat er staat, wat er nooit is getest en wat je daaraan moet doen.