Back-up vs archivering: het verschil voor uw bedrijf

Een back-up en een archief lijken op elkaar, want in beide gevallen bewaart u een kopie van uw gegevens. Ze dienen alleen een heel ander doel. Een back-up zorgt dat u na een storing, fout of ransomware-aanval snel weer kunt werken. Een archief bewaart geselecteerde informatie lang, ordelijk en vindbaar, zodat u later iets kunt aantonen of terugvinden, bijvoorbeeld voor de Belastingdienst. Wie het een voor het ander aanziet, heeft bij een incident of controle het verkeerde in handen. In dit artikel leggen we uit waar het verschil zit, wat de Nederlandse regels vragen en hoe u beide verstandig inricht.

TL;DR

• Back-up = herstel. U zet systemen en bestanden terug naar een recente, werkende toestand. Kort bewaren, vaak vernieuwen, regelmatig testen.
• Archief = bewijs en vindbaarheid. U bewaart geselecteerde informatie jarenlang, doorzoekbaar en onveranderd.
• Een back-up is geen archief. Oude back-ups zijn lastig doorzoekbaar, worden overschreven en bevatten vaak persoonsgegevens die u niet zo lang mag bewaren.
• Een archief is geen back-up. Het bevat niet uw actuele systemen, instellingen en lopende bestanden.
• De wet stuurt het archief, uw hersteldoelen sturen de back-up. De fiscale bewaarplicht is doorgaans 7 jaar, soms 10 jaar.

Inhoudsopgave

• Wat een back-up wel en niet doet
• Wat archiveren inhoudt
• Het verschil in één oogopslag
• Waarom u het ene niet voor het andere kunt gebruiken
• Wat de wet vraagt: bewaartermijnen in Nederland
• Zo richt u back-up en archief samen in
• Een rekenvoorbeeld uit de praktijk
• Onze kijk op back-up en archief
• Back-up uitbesteden zonder gedoe
• Veelgestelde vragen
• Bronnen

Wat een back-up wel en niet doet

Een back-up is een kopie van uw productiegegevens op een bepaald moment: bestanden, databases, mailboxen, instellingen en soms complete servers of websites. Het doel is één ding: na verlies zo snel mogelijk weer draaien.

Het NCSC noemt als typische situaties systeemfouten, verkeerd opgeslagen bestanden, virussen en defecte, verloren of gestolen apparaten. Dezelfde richtlijn geeft vier praktische eisen mee: bewaar back-ups los van het productienetwerk, op meerdere media en fysieke locaties, bij voorkeur versleuteld, en test periodiek of herstel echt werkt.

Dat laatste punt wordt vaak overgeslagen. Een back-up die nooit is teruggezet, is een aanname. U weet pas dat hij bruikbaar is als u een bestand, een mailbox of een complete omgeving daadwerkelijk hebt hersteld en hebt gecontroleerd dat alles klopt.

Waarom ransomware de regels veranderde

Vroeger was een externe harde schijf aan de server genoeg. Nu niet meer. In het Jaarbeeld Ransomware 2025 van het NCSC staat dat bij een aanval ook harde schijven, databases, back-ups, USB-sticks en gegevens in de cloud kunnen worden aangetast. Een schijf die permanent gekoppeld is, wordt dus gewoon mee versleuteld.

Hoe dat in de praktijk uitpakt, laat het NCSC zien in het verhaal van een Brabantse plantenkwekerij die door een hack bijna stil kwam te liggen. De eigenaar ontdekte onbekende tekstbestanden in zijn mappen en las dat al zijn bestanden versleuteld waren. Op zo’n moment telt maar één vraag: is er een schone, losgekoppelde kopie, en hoe snel staat die terug?

Wil u weten hoe u back-ups specifiek tegen dit soort aanvallen beschermt, dan geeft dit overzicht over de rol van cloudback-up bij dataverlies en ransomware bruikbare aandachtspunten. Ons eigen stuk over ransomwarebescherming voor het mkb kiezen gaat dieper in op de maatregelen rondom die back-up.

Synchronisatie is geen back-up

Een veelgemaakte vergissing: denken dat een gedeelde map of synchronisatiedienst al een back-up is. Synchronisatie geeft wijzigingen direct door, dus ook verwijderingen en versleutelde bestanden. Verwijdert een medewerker per ongeluk een map, dan verdwijnt die overal. Een echte back-up bewaart meerdere versies uit het verleden, los van de live omgeving.

Wat archiveren inhoudt

Archiveren is geen technische kopie, maar een keuze. U selecteert welke informatie u langdurig moet bewaren, legt die vast in een vorm die niet meer verandert en zorgt dat u haar jaren later nog terugvindt en kunt openen.

De Nederlandse overheid beschrijft informatiehuishouding als het geheel aan regels, structuren en processen voor het creëren, opslaan, ordenen, bewaren, ontsluiten en vernietigen van informatie. Dat is wezenlijk breder dan “er staat ergens een kopie”. Ook de kennisbank over de Archiefwet 2026 behandelt duurzame toegankelijkheid, waardering en selectie, preservering en openbaarheid als afzonderlijke thema’s. Die wet geldt voor overheidsorganisaties en is volgens het Nationaal Archief in juni 2026 in het Staatsblad gepubliceerd, maar de principes zijn voor elk bedrijf bruikbaar.

Voor een ondernemer betekent archiveren concreet:

• Selecteren: facturen, contracten, jaarstukken, personeelsdossiers, offertes die tot een opdracht leidden.
• Vastleggen: in een vast formaat, bijvoorbeeld PDF, met datum en herkomst.
• Ordenen: een logische structuur en zoekbare kenmerken, zoals jaar, klant of type document.
• Bewaren: zo lang als de wet of uw bedrijfsvoering vraagt, niet korter en niet onnodig langer.
• Vernietigen: aantoonbaar verwijderen zodra de termijn voorbij is.

Een bijkomend voordeel: wat in het archief staat, hoeft niet meer in uw actieve opslag. Dat houdt servers en mailboxen kleiner, en daarmee ook uw dagelijkse back-ups sneller.

Het verschil in één oogopslag

Waarom u het ene niet voor het andere kunt gebruiken

Een oude back-up als archief

Veel kleine bedrijven bewaren back-ups “gewoon heel lang” en noemen dat hun archief. Dat werkt om drie redenen slecht.

Ten eerste is zoeken onpraktisch. Wilt u één factuur uit 2021 terug, dan moet u een complete back-up van toen terugzetten en daarin gaan graven. Ten tweede veranderen software en formaten: een databaseback-up van een boekhoudpakket dat u niet meer gebruikt, is na een paar jaar soms niet meer te openen. Ten derde, en dat is het belangrijkste, bevat zo’n back-up álle gegevens, dus ook persoonsgegevens die u allang had moeten verwijderen.

De Autoriteit Persoonsgegevens is daar helder over: persoonsgegevens mag u niet langer bewaren dan noodzakelijk is, en er bestaat geen universele AVG-bewaartermijn. U bepaalt de termijn op basis van doel, noodzaak en andere wettelijke verplichtingen, en u moet die keuze kunnen onderbouwen. Een back-upset die jaren teruggaat zonder selectie, is lastig te verdedigen.

Een archief als back-up

Andersom gaat het ook mis. Een archief bevat afgeronde documenten, niet uw werkende omgeving. Uw mailserver, lopende projecten, de database van uw webshop, gebruikersaccounts en instellingen staan er niet in. Valt de server uit, dan helpt een keurig archief met jaarstukken u niet om maandagochtend weer te factureren.

NLXS

Bespreek uw back-upaanpak met NLXS

Lage Mosten 51, 4822 NK Breda

Bekijk de route

© OpenStreetMap contributors

Wat de wet vraagt: bewaartermijnen in Nederland

De lengte van uw archief volgt uit wetgeving, niet uit uw back-upschema. Voor Nederlandse ondernemers zijn dit de belangrijkste ijkpunten:

• Administratie: 7 jaar. Volgens de Belastingdienst bent u wettelijk verplicht uw administratie 7 jaar te bewaren, op papier of digitaal.
• Onroerende zaken: 10 jaar. Gegevens over onroerende zaken en rechten daarop bewaart u 10 jaar. Dezelfde pagina noemt ook langere termijnen voor bepaalde EU-btw-regelingen.
• Facturen: in de originele vorm. Verstuurde en ontvangen facturen bewaart u 7 jaar in de vorm waarin u ze hebt verstuurd of ontvangen. Een digitale factuur bewaart u dus digitaal.
• Persoonsgegevens: niet langer dan nodig. Leg per soort gegeven vast hoe lang u het bewaart en waarom.

Twijfelt u welke termijn voor een specifiek dossier geldt, zoals een personeelsdossier of een overeenkomst met een lange looptijd, overleg dan met uw accountant of jurist. Zij kennen uw situatie en kunnen de termijn onderbouwen die u later moet kunnen uitleggen.

Zo richt u back-up en archief samen in

U hoeft geen groot project te starten. Met deze stappen heeft de meeste mkb-organisaties binnen een paar weken een helder, werkend geheel.

1. Inventariseer uw gegevens. Welke systemen en data heeft u: werkplekken, mail, bestandsserver, boekhouding, CRM, website of webshop? Noteer per onderdeel wie de eigenaar is. Ons artikel over wie verantwoordelijk is voor back-ups helpt bij die verdeling.
2. Bepaal hersteldoelen. Hoe lang mag elk systeem uitvallen, en hoeveel werk mag u maximaal kwijtraken? Een webshop die per uur omzet mist, vraagt iets anders dan een map met oude presentaties.
3. Richt de back-up in. Automatisch, versleuteld, met meerdere versies, op een andere locatie en losgekoppeld van uw netwerk. Bewaar versies zo lang als nodig om een fout of besmetting op tijd te ontdekken, niet jarenlang.
4. Test het herstel. Zet periodiek een bestand, een mailbox en minstens één keer per jaar een complete omgeving terug. Dateer uw back-ups, zodat u bij ransomware weet welke versie nog schoon is. Het NCSC wijst erop dat herstelplannen zonder oefenen vaak moeilijk uitvoerbaar blijken.
5. Maak een bewaarschema voor het archief. Per type document: wat, hoe lang, welke wettelijke basis, en wie het verwijdert zodra de termijn verstrijkt.
6. Archiveer in vaste formaten. Kies formaten die over jaren nog leesbaar zijn en een structuur waarin u op jaar, klant of type zoekt.
7. Ruim actief op. Wat in het archief staat, kan uit de actieve omgeving. Uw back-ups worden kleiner, sneller en goedkoper.
8. Leg het vast in uw continuïteitsplan. Wie belt wie bij een incident, welk systeem komt eerst terug? Lees hiervoor ons stuk over een IT-continuïteitsplan opstellen.

Techniek is maar de helft. Medewerkers die een verdachte bijlage herkennen, voorkomen veel herstelwerk. Voor teams die dat willen trainen, geeft dit overzicht van modules voor een ransomwaretraining voor HR en IT een goed beeld van wat zo’n training kan behandelen.

Een rekenvoorbeeld uit de praktijk

Neem een fictief maar herkenbaar bedrijf: een installatiebedrijf met twaalf medewerkers, een kantoorserver, Microsoft-mail en een kleine webshop voor onderdelen.

Zonder onderscheid maakt het bedrijf elke nacht een volledige back-up naar een externe schijf die altijd aan de server hangt, en bewaart elke maandback-up voor onbepaalde tijd. Na een aantal jaren is de schijf vol, duurt de nachtelijke back-up tot ver in de ochtend en staan er cv’s van sollicitanten van lang geleden in. Bij een ransomware-aanval wordt de gekoppelde schijf mee versleuteld.

Met onderscheid ziet het er zo uit:

• De server, mail en webshop gaan automatisch naar een versleutelde back-up op een externe locatie, met meerdere versies voor enkele weken tot maanden.
• Eens per kwartaal zet het bedrijf een testbestand terug, eens per jaar de complete webshop op een testomgeving.
• Afgesloten boekjaren, facturen en contracten gaan als PDF naar een archief met een vaste mappenstructuur per jaar, met de bewaartermijn erbij genoteerd.
• Sollicitatiegegevens worden na de vastgelegde termijn verwijderd, ook uit het archief.

Het resultaat: sneller herstel, een kleinere actieve omgeving en een archief waarin de accountant een factuur binnen een minuut vindt. Voor webshops specifiek hebben we een aparte gids over een back-upstrategie voor uw webshop.

Onze kijk op back-up en archief

In gesprekken met ondernemers horen we het vaak: “We hebben een back-up, dus dat zit wel goed.” Als we dan doorvragen, blijkt die back-up soms al maanden niet meer te draaien, nooit getest te zijn of op een schijf naast de server te staan. En het archief? Dat is meestal de oudste back-up die nog niet is overschreven.

Wij geloven dat het eenvoudiger kan. Een back-up moet u gewoon kunnen vergeten, omdat iemand anders hem bewaakt, test en u belt als er iets afwijkt. Een archief moet u kunnen openen zonder een technicus te hoeven bellen. Die twee scheiden is geen luxe, het is de basis voor rust: u weet wat u terugkrijgt bij een storing en wat u kunt laten zien bij een controle.

Daarom beginnen we bij nieuwe klanten vaak met een ICT-scan. We kijken wat er draait, waar uw gegevens staan, hoe ze worden gekopieerd en wat er gebeurt als het misgaat. Daarna adviseren we eerlijk wat nodig is, en ook wat níet nodig is. Ondernemers willen zich richten op hun eigen werk, niet op schijven en bewaartermijnen. Als er toch iets misgaat, zijn we persoonlijk bereikbaar en streven we ernaar het binnen één dag op te lossen.

— Ken

Back-up uitbesteden zonder gedoe

Wilt u dat iemand anders dit voor u regelt? Met onze Hosted online back-up en Hosted serverbeheer zorgen we dat uw gegevens automatisch, versleuteld en buiten uw kantoor worden veiliggesteld, en dat herstel ook echt werkt. U krijgt een vast maandbedrag zonder verrassingen en een vast aanspreekpunt dat u direct kunt bellen. Bekijk onze ICT-diensten voor back-up, server- en werkplekbeheer of vraag een ICT-scan aan om te zien waar uw grootste risico’s zitten. Meer achtergrond vindt u in onze praktische gids over data back-up voor het mkb.

Veelgestelde vragen

Heeft een back-up eigen opslag nodig?

Ja. Een back-up hoort op een andere plek te staan dan de gegevens zelf, liefst op een andere fysieke locatie en losgekoppeld van uw netwerk. Hoeveel ruimte u nodig heeft, hangt af van uw datavolume en hoeveel versies u bewaart. Archiveren van oude bestanden verkleint die benodigde ruimte.

Welke soorten back-ups zijn er?

De drie bekende soorten zijn volledig, incrementeel en differentieel. Een volledige back-up kopieert alles, een incrementele alleen wat sinds de vorige back-up is gewijzigd, en een differentiële alles wat sinds de laatste volledige back-up is veranderd. In de praktijk combineert u ze, zodat herstel snel blijft en de opslag beperkt.

Wat zijn de nadelen van alleen een back-up?

Een back-up is slecht doorzoekbaar, wordt na verloop van tijd overschreven en bevat vaak persoonsgegevens die u niet onbeperkt mag bewaren. Bovendien biedt een gekoppelde of ongeteste back-up schijnzekerheid, omdat ransomware hem kan aantasten. Combineer hem daarom met een apart archief en regelmatige hersteltests.

Kan ik beter archiveren of verwijderen?

Dat hangt af van de bewaarplicht en het doel. Valt een document onder de fiscale bewaarplicht of heeft u het nodig als bewijs, dan archiveert u het. Is de termijn verstreken en is er geen reden meer om het te bewaren, zeker bij persoonsgegevens, dan verwijdert u het aantoonbaar.

Hoe vaak moet ik een hersteltest doen?

Er is geen vaste wettelijke frequentie, maar het NCSC adviseert periodiek te testen. Een werkbare vuistregel voor het mkb is losse bestanden ieder kwartaal en een complete omgeving minstens één keer per jaar. Doe het ook na elke grote wijziging, zoals een migratie of nieuwe server.

Bronnen

• NCSC: Basisprincipe 5, bereid je voor op incidenten
• NCSC: Jaarbeeld Ransomware 2025
• NCSC: Hoe een hack een Brabantse plantenkwekerij bijna stillegde
• Digitale Overheid: Informatiehuishouding
• Digitale Overheid: Alles over de Archiefwet 2026
• Nationaal Archief: Archiefwet 2026 gepubliceerd in Staatsblad
• Autoriteit Persoonsgegevens: Bewaren van persoonsgegevens
• Belastingdienst: Houd een goede administratie bij
• Belastingdienst: Administratie bewaren, 7 of 10 jaar
• Belastingdienst: Uw facturen bewaren

Aanbevelingen

• Email-archivering voorkomt zoekwerk en risico
• Back-upstrategie voor kantoren kiezen: 7 vragen
• Welke back-up past het best bij uw mkb?
• Wie is verantwoordelijk voor back-ups binnen uw bedrijf?