If ransomware hits tonight, two numbers decide the next weeks: how much work is lost, and how long you are down. Both were set by decisions made long before the attack. Four questions show where you stand: do we know our recovery targets, can an attacker reach the backups, has anyone ever restored everything, and who backs up the data in our cloud applications. Als ransomware vannacht toeslaat, bepalen twee getallen de komende weken: hoeveel werk verloren gaat, en hoe lang u stilstaat. Beide zijn vastgelegd door beslissingen van lang vóór de aanval. Vier vragen laten zien waar u staat: kennen we onze hersteldoelen, kan een aanvaller bij de back-ups, heeft iemand ooit alles teruggezet, en wie maakt back-ups van de data in onze clouddiensten.
Every recovery has two measures. The RPO is how much work you accept losing: with a nightly backup, up to a day. The RTO is how long you accept being down. NIST defines both in SP 800-34 (guidance). In most organisations IT has set them by default, per system, from whatever the backup tool happened to do. The business has rarely said which systems need to be back in hours and which can wait a week. Sophos's State of Ransomware 2026 survey of 2,158 organisations that were hit puts the average time to full recovery at three weeks; 55% were back within one week.
Business impact: a recovery target is a business decision with a price tag. Hours of downtime for the order system cost one amount; hours for the archive cost almost nothing. We suggest a short list: the ten systems that matter most, the hours or days you can miss each one, and what IT can deliver today. The gap between those two columns is the real risk, and it is the board's to accept or to fund. For financial entities DORA requires backup policies that set the scope and minimum frequency per data criticality (Art. 12). For everyone else it is sound practice.
Elk herstel heeft twee maten. De RPO is hoeveel werk u accepteert te verliezen: met een nachtelijke back-up tot een dag. De RTO is hoe lang u accepteert stil te staan. Het NIST definieert beide in SP 800-34 (richtlijn). In de meeste organisaties heeft IT ze stilzwijgend vastgesteld, per systeem, op basis van wat het back-upprogramma toevallig deed. De business heeft zelden gezegd welke systemen binnen uren terug moeten zijn en welke een week kunnen wachten. Het State of Ransomware-onderzoek 2026 van Sophos onder 2.158 getroffen organisaties zet de gemiddelde tijd tot volledig herstel op drie weken; 55% was binnen een week terug.
Bedrijfsimpact: een hersteldoel is een bedrijfsbeslissing met een prijskaartje. Uren stilstand van het ordersysteem kosten het ene bedrag; uren stilstand van het archief kosten bijna niets. Wij stellen een korte lijst voor: de tien systemen die het meest tellen, de uren of dagen die u elk kunt missen, en wat IT vandaag kan leveren. Het gat tussen die twee kolommen is het echte risico, en het is aan de directie om dat te accepteren of te financieren. Voor financiële instellingen vereist DORA back-upbeleid dat de reikwijdte en minimale frequentie per gegevenscategorie vastlegt (art. 12). Voor alle anderen is het gezond verstand.
Attacks now run from first login to encryption in hours, often at night or at the weekend. A weekly backup then means up to a week of work lost; the attacker picked the moment, not you.Aanvallen lopen nu in uren van eerste inlog tot versleuteling, vaak 's nachts of in het weekend. Een wekelijkse back-up betekent dan tot een week verloren werk; de aanvaller koos het moment, niet u.
An AI assistant asked "are we backed up?" answers from the backup tool's green dashboard. It does not know which systems the business needs first, or that nobody ever set a target.Een AI-assistent die wordt gevraagd "hebben we back-ups?" antwoordt vanuit het groene dashboard van het back-upprogramma. Hij weet niet welke systemen de business als eerste nodig heeft, of dat niemand ooit een doel heeft gesteld.
Monitoring and AI tooling can rank systems by actual use and by what depends on what. That makes the first draft of the ten-system list a day's work instead of a quarter's.Monitoring en AI-gereedschap kunnen systemen rangschikken op werkelijk gebruik en op wat van wat afhangt. Dat maakt de eerste versie van de lijst van tien een dag werk in plaats van een kwartaal.
Ransomware crews look for the backup server before they encrypt anything, because a company that can restore does not pay. If the backup system accepts the same administrator login as the rest of the network, the backups go first. The old rule still holds, and NCSC UK restates it in its guidance (updated July 2026): at least three copies, on two kinds of storage, one of them off-site. Ransomware adds one word: one copy that is offline or immutable, in an account that no stolen password reaches. Cloud backup can meet that bar, but only if deletion is blocked for a set period and the backup account is separate; NCSC UK's principles for ransomware-resistant cloud backups (November 2024) spell out what to ask a provider.
Business impact: this is the control that turns ransomware from an existential event into a bad fortnight. In the Sophos 2026 survey, 66% of organisations whose data was encrypted restored from backups, and 48% paid; many did both. The questions for IT are short: which copy survives if a domain administrator account is stolen tonight, how long is it locked, and when did we last check that it is there. For financial entities DORA requires that restoring from backup uses systems physically and logically separate from the source (Art. 12(3)).
Ransomwarebendes zoeken de back-upserver voordat ze iets versleutelen, omdat een bedrijf dat kan herstellen niet betaalt. Als het back-upsysteem dezelfde beheerdersinlog accepteert als de rest van het netwerk, gaan de back-ups als eerste. De oude regel geldt nog steeds, en het NCSC UK herhaalt hem in zijn richtlijn (bijgewerkt juli 2026): minstens drie kopieën, op twee soorten opslag, waarvan één op een andere locatie. Ransomware voegt één woord toe: één kopie die offline of onveranderbaar is, in een account waar geen gestolen wachtwoord bij komt. Cloudback-up kan aan die lat voldoen, maar alleen als verwijderen voor een vaste periode is geblokkeerd en het back-upaccount apart staat; de principes van het NCSC UK voor ransomwarebestendige cloudback-ups (november 2024) zetten op een rij wat u een leverancier vraagt.
Bedrijfsimpact: dit is de maatregel die ransomware van een existentiële crisis verandert in een slechte twee weken. In het Sophos-onderzoek van 2026 herstelde 66% van de organisaties met versleutelde data vanuit back-ups, en 48% betaalde; velen deden beide. De vragen aan IT zijn kort: welke kopie overleeft als vannacht een domeinbeheerdersaccount wordt gestolen, hoe lang is die vergrendeld, en wanneer hebben we voor het laatst gecontroleerd dat hij er is. Voor financiële instellingen vereist DORA dat herstel vanuit een back-up gebeurt op systemen die fysiek en logisch gescheiden zijn van de bron (art. 12 lid 3).
Once inside, AI tooling finds the backup server, its console and its retention settings in minutes. Shortening retention to zero is one click if the login allows it.Eenmaal binnen vindt AI-gereedschap in minuten de back-upserver, zijn beheerconsole en zijn bewaarinstellingen. De bewaartermijn op nul zetten is één klik als de inlog het toelaat.
A convincing voice or email asks the backup administrator to "free up space" or to share the recovery key. Immutability protects against the honest mistake as much as against the attacker.Een overtuigende stem of e-mail vraagt de back-upbeheerder "ruimte vrij te maken" of de herstelsleutel te delen. Onveranderbaarheid beschermt evenzeer tegen de eerlijke vergissing als tegen de aanvaller.
Backup platforms flag an unusual deletion request, a retention change or a sudden drop in the data to back up. NCSC UK lists such alerts as one of its five principles.Back-upplatforms signaleren een ongewoon verwijderverzoek, een gewijzigde bewaartermijn of een plotselinge daling van de te back-uppen data. Het NCSC UK noemt zulke meldingen als een van zijn vijf principes.
Backup reports show whether the copy was written, not whether it can be read back into a working system. What fails shows up only on restore day: the encryption key kept on the server that was just encrypted, the database that restores but will not start, the application that needs three other systems first, and the single person who knows the order. NCSC-NL and NCSC UK say the same in their guidance: test restores regularly, against the agreed recovery targets, and keep a written recovery plan that names the order of systems. The GDPR puts it in law for personal data: the ability to restore availability in a timely manner, and regular testing of that ability (Art. 32).
Business impact: a restore test is cheap compared with learning the answer during an incident. We suggest two levels: every quarter a restore of a few systems into a separate environment, timed; once a year a full exercise of the most important systems, from the immutable copy, with the people who would really do it. The result is one number per system, actual hours to restore, next to the target from step 01. For financial entities DORA requires periodic testing of backup and restoration procedures, and testing of the business continuity plans at least yearly (Art. 11 and 12). Suggested frequency, not a legal deadline.
Back-uprapporten laten zien of de kopie is weggeschreven, niet of die terug te lezen is in een werkend systeem. Wat faalt, blijkt pas op de dag van het herstel: de versleutelsleutel die op de zojuist versleutelde server stond, de database die wel terugkomt maar niet start, de applicatie die eerst drie andere systemen nodig heeft, en de ene persoon die de volgorde kent. Het NCSC en het NCSC UK zeggen in hun richtlijnen hetzelfde: test het herstel regelmatig, tegen de afgesproken hersteldoelen, en houd een geschreven herstelplan bij dat de volgorde van systemen benoemt. De AVG legt het voor persoonsgegevens in de wet vast: het vermogen de beschikbaarheid tijdig te herstellen, en het regelmatig testen van dat vermogen (art. 32).
Bedrijfsimpact: een hersteltest is goedkoop vergeleken met het antwoord leren tijdens een incident. Wij stellen twee niveaus voor: elk kwartaal een herstel van enkele systemen in een aparte omgeving, met de stopwatch erbij; eens per jaar een volledige oefening van de belangrijkste systemen, vanuit de onveranderbare kopie, met de mensen die het echt zouden doen. Het resultaat is één getal per systeem, werkelijke uren tot herstel, naast het doel uit stap 01. Voor financiële instellingen vereist DORA periodiek testen van de back-up- en herstelprocedures, en minstens jaarlijks testen van de bedrijfscontinuïteitsplannen (art. 11 en 12). Voorgestelde frequentie, geen wettelijke deadline.
Attackers sit in networks for weeks before encrypting, and AI helps them find what to corrupt quietly. A restore from last month can bring the intruder back; the test should include checking that the copy is clean.Aanvallers zitten weken in netwerken voordat ze versleutelen, en AI helpt hen te vinden wat ze stilletjes kunnen beschadigen. Een herstel van vorige maand kan de indringer terugbrengen; de test hoort ook te controleren of de kopie schoon is.
Asked during the incident, an AI assistant produces a confident restore runbook for a system nobody has ever restored. Confident is not the same as tested.Gevraagd tijdens het incident produceert een AI-assistent een zelfverzekerd hersteldraaiboek voor een systeem dat niemand ooit heeft hersteld. Zelfverzekerd is niet hetzelfde als getest.
Backup platforms can restore a system into an isolated environment every night, start it and report whether it works. The green light then means something.Back-upplatforms kunnen elke nacht een systeem in een afgezonderde omgeving terugzetten, opstarten en melden of het werkt. Het groene lampje betekent dan iets.
Cloud applications are highly available, and that is often mistaken for being backed up. The provider keeps the service running and protects it against its own failures. It does not protect you against yours: a deleted user, an employee who empties a mailbox on the way out, a sync tool that overwrites a folder, or an attacker with a stolen login. The recovery windows are short and documented. Microsoft states that content a user or administrator deletes in Microsoft 365 is retained for at most 30 days, and that all data is deleted within 180 days after a subscription ends; its services agreement recommends that you back up your own content. Google states that an administrator can recover a user's deleted Drive files for 25 days after the bin is emptied. For the CRM, HR and finance SaaS applications, the answer is in the contract, and often it is "export it yourself".
Business impact: the data in your cloud applications is yours under the GDPR and under every contract, and so is the duty to be able to restore it. We suggest one question per major cloud application: if this data were deleted or encrypted today, who can bring it back, from where, and how far back. Where the answer is "the provider, for a few weeks", a separate backup of that application, held in your own account, is a modest cost. Retention and legal-hold settings help against deletion; they are not a backup against a lost tenant or a compromised administrator.
Clouddiensten zijn vrijwel altijd beschikbaar, en dat wordt vaak verward met geback-upt zijn. De leverancier houdt de dienst draaiend en beschermt die tegen zijn eigen storingen. Hij beschermt u niet tegen de uwe: een verwijderde gebruiker, een medewerker die bij vertrek een mailbox leegt, een synchronisatietool die een map overschrijft, of een aanvaller met een gestolen inlog. De herstelvensters zijn kort en gedocumenteerd. Microsoft stelt dat inhoud die een gebruiker of beheerder in Microsoft 365 verwijdert hoogstens 30 dagen wordt bewaard, en dat alle data binnen 180 dagen na het einde van een abonnement wordt gewist; zijn servicevoorwaarden raden aan zelf een back-up van uw inhoud te maken. Google stelt dat een beheerder verwijderde Drive-bestanden van een gebruiker 25 dagen na het legen van de prullenbak kan terughalen. Voor de CRM-, HR- en financiële SaaS-applicaties staat het antwoord in het contract, en vaak luidt het "exporteer het zelf".
Bedrijfsimpact: de data in uw clouddiensten is van u onder de AVG en onder elk contract, en dus ook de plicht om die te kunnen herstellen. Wij stellen één vraag per belangrijke clouddienst voor: als deze data vandaag wordt gewist of versleuteld, wie kan haar dan terughalen, waarvandaan, en tot hoe ver terug. Waar het antwoord "de leverancier, een paar weken lang" is, zijn aparte back-ups van die dienst, in uw eigen account, een bescheiden kostenpost. Bewaar- en bewaarplichtinstellingen helpen tegen verwijdering; ze zijn geen back-up tegen een verloren tenant of een gecompromitteerde beheerder.
A stolen cloud administrator login, increasingly obtained with AI-written phishing, can delete users, mailboxes and files across the whole tenant in one script. Ransomware now targets cloud data directly.Een gestolen cloudbeheerdersinlog, steeds vaker verkregen met door AI geschreven phishing, kan in één script gebruikers, mailboxen en bestanden in de hele tenant wissen. Ransomware richt zich nu rechtstreeks op clouddata.
AI assistants and integrations get broad permissions on mail and files to be useful. A misfiring automation can delete or overwrite at scale, well inside the 30-day window.AI-assistenten en koppelingen krijgen brede rechten op mail en bestanden om nuttig te zijn. Een ontspoorde automatisering kan op grote schaal wissen of overschrijven, ruim binnen het venster van 30 dagen.
Cloud platforms and backup tools flag an unusual number of deletions or encrypted files and can pause the account. That turns a tenant-wide loss into a short restore.Cloudplatforms en back-uptools signaleren een ongewoon aantal verwijderingen of versleutelde bestanden en kunnen het account pauzeren. Dat maakt van een tenantbreed verlies een kort herstel.
| Control | Addresses | In one line |
|---|---|---|
| Recovery targets | Targets (01) | The ten systems that matter most, with the hours you can miss each and the work you can lose. Agreed by the business, not set by the backup tool. |
| Recovery plan | Targets (01) | One written document: order of systems, who does what, where the keys and passwords are kept, and how the business works while IT restores. |
| Immutable or offline copy | Copies (02) | At least one copy that nobody can delete or change for a set period: offline, or with deletion blocked, away from the main network. |
| Separate backup login | Copies (02) | Backup systems do not accept the domain administrator account. Their own accounts, MFA, and alerts on retention changes. |
| Timed restore tests | Restore (03) | Every quarter a few systems restored into a separate environment, timed. Once a year the most important systems from the immutable copy, with the real team. |
| Clean restore | Restore (03) | Before restoring, check the copy for the intruder. A backup that includes the attacker brings them back. |
| SaaS recovery answer | SaaS (04) | For each major cloud application: who restores it, from where, how far back. A separate backup in your own account for the ones that matter. |
| Deletion alerts | SaaS (04) | Alerts on mass deletion, encryption or retention changes in cloud applications and backups, with the ability to pause the account. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Hersteldoelen | Doelen (01) | De tien systemen die het meest tellen, met de uren die u elk kunt missen en het werk dat u kunt verliezen. Afgesproken door de business, niet bepaald door het back-upprogramma. |
| Herstelplan | Doelen (01) | Eén geschreven document: volgorde van systemen, wie wat doet, waar de sleutels en wachtwoorden liggen, en hoe de organisatie werkt terwijl IT herstelt. |
| Onveranderbare of offline kopie | Kopieën (02) | Minstens één kopie die niemand een vaste periode kan wissen of wijzigen: offline, of met verwijderen geblokkeerd, weg van het hoofdnetwerk. |
| Aparte back-upinlog | Kopieën (02) | Back-upsystemen accepteren het domeinbeheerdersaccount niet. Eigen accounts, MFA, en meldingen bij gewijzigde bewaartermijnen. |
| Hersteltests met stopwatch | Herstel (03) | Elk kwartaal enkele systemen teruggezet in een aparte omgeving, met de tijd erbij. Eens per jaar de belangrijkste systemen vanuit de onveranderbare kopie, met het echte team. |
| Schoon herstel | Herstel (03) | Controleer de kopie op de indringer voordat u herstelt. Een back-up met de aanvaller erin brengt hem terug. |
| Herstelantwoord per SaaS | SaaS (04) | Voor elke belangrijke clouddienst: wie herstelt, waarvandaan, tot hoe ver terug. Een aparte back-up in uw eigen account voor de diensten die ertoe doen. |
| Meldingen bij verwijdering | SaaS (04) | Meldingen bij massaal wissen, versleutelen of gewijzigde bewaartermijnen in clouddiensten en back-ups, met de mogelijkheid het account te pauzeren. |
Ransomware is common and goes for the backups first. Every organisation also loses data to its own mistakes. In most of them, the restore is tested for the first time during the incident.Ransomware komt veel voor en richt zich eerst op de back-ups. Elke organisatie verliest bovendien data door eigen fouten. Bij de meeste wordt het herstel voor het eerst getest tijdens het incident.
Weeks of standstill, work lost since the last good copy, and a ransom decision under pressure. Sophos (2026) reports an average of three weeks to full recovery.Weken stilstand, verloren werk sinds de laatste goede kopie, en een losgeldbeslissing onder druk. Sophos (2026) meldt gemiddeld drie weken tot volledig herstel.
With agreed targets, an immutable copy behind its own login, timed restore tests and a backup of the cloud applications, an incident becomes a known number of days instead of an open question.Met afgesproken doelen, een onveranderbare kopie achter een eigen inlog, getimede hersteltests en een back-up van de clouddiensten wordt een incident een bekend aantal dagen in plaats van een open vraag.
The CIO owns the ability to restore; each business owner owns the target for their system. If no business owner has signed a target, that is the finding.De CIO is eigenaar van het herstelvermogen; elke proceseigenaar is eigenaar van het doel voor zijn systeem. Heeft geen proceseigenaar een doel getekend, dan is dat de bevinding.
Important systems with an agreed RTO and RPO · days since the last timed full restore test · copies that survive a stolen domain administrator login · cloud applications with a recovery answer.Belangrijke systemen met een afgesproken RTO en RPO · dagen sinds de laatste getimede volledige hersteltest · kopieën die een gestolen domeinbeheerdersinlog overleven · clouddiensten met een herstelantwoord.
“Backups are deleted, encrypted or unusable during a ransomware or deletion incident, or cloud application data is lost beyond the provider's retention window, leading to weeks of standstill, permanent loss of work and a notifiable incident.”“Back-ups worden gewist, versleuteld of blijken onbruikbaar bij een ransomware- of verwijderingsincident, of data in een clouddienst gaat verloren buiten het bewaarvenster van de leverancier, wat leidt tot weken stilstand, blijvend verlies van werk en een meldplichtig incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 requires business continuity measures, and names backup management and disaster recovery (Art. 21(2)(c)). In the Netherlands the Cyberbeveiligingswet, in force since 15 August 2026, carries the same duty of care. | Ask for their recovery targets for your service, when they last restored it end to end, and whether their backups survive a compromise of their own administrators. | A ransomware or data-loss incident can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | DORA requires an ICT business continuity policy with response and recovery plans, tested at least yearly (Art. 11), and backup policies that set scope and minimum frequency, periodic restore testing, and restoring on systems separate from the source (Art. 12). DORA has applied since 17 January 2025. | Your critical ICT third parties should show tested recovery times for your service and backups separated from production. Ask for the last test report, not the policy. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Availability criteria A1.2 and A1.3 cover backup processes and recovery infrastructure, and testing of recovery plan procedures. CC7.5 covers recovery from incidents. | Check whether Availability is in scope at all; many reports cover Security only. If it is, look for a tested restore, not a described one. | A failed or untested restore in scope will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. Backup and recovery appear as general IT controls where they protect the financial process, usually as "backups are made and monitored". | The report rarely proves a restore. Ask for restore-test evidence and recovery targets in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 vraagt maatregelen voor bedrijfscontinuïteit, en noemt back-upbeheer en noodherstel (art. 21 lid 2 onder c). In Nederland bevat de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, dezelfde zorgplicht. | Vraag naar hun hersteldoelen voor uw dienst, wanneer zij die voor het laatst van begin tot eind hebben hersteld, en of hun back-ups een compromittatie van hun eigen beheerders overleven. | Een ransomware- of dataverliesincident kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | DORA vraagt een ICT-bedrijfscontinuïteitsbeleid met respons- en herstelplannen, minstens jaarlijks getest (art. 11), en back-upbeleid dat reikwijdte en minimale frequentie vastlegt, periodiek herstel test, en herstel op systemen gescheiden van de bron (art. 12). DORA geldt sinds 17 januari 2025. | Uw kritieke ICT-derden horen geteste hersteltijden voor uw dienst te laten zien en back-ups gescheiden van productie. Vraag naar het laatste testrapport, niet naar het beleid. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | De beschikbaarheidscriteria A1.2 en A1.3 gaan over back-upprocessen en herstelinfrastructuur, en over het testen van herstelprocedures. CC7.5 gaat over herstel na incidenten. | Controleer of Beschikbaarheid überhaupt binnen scope valt; veel rapporten dekken alleen Beveiliging. Zo ja, zoek dan naar een getest herstel, niet naar een beschreven herstel. | Een mislukt of ongetest herstel binnen scope komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Back-up en herstel komen voor als algemene IT-beheersmaatregelen waar ze het financiële proces beschermen, meestal als "back-ups worden gemaakt en bewaakt". | Het rapport bewijst zelden een herstel. Vraag in het contract om bewijs van hersteltests en om hersteldoelen. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: NIS2 Art. 21(2)(c) and 23 (2022), NCSC-NL on the Cbw duty of care (2026), DORA Art. 11 and 12 (2022), GDPR Art. 32 and 33, NCSC UK, Offline backups in an online world (updated 28 Jul 2026), NCSC UK, Principles for ransomware-resistant cloud backups (22 Nov 2024), NCSC-NL, Herstel van een cyberincident (2026), NIST SP 800-34 Rev. 1 (2010), Sophos State of Ransomware 2026 (2026), Microsoft 365 data retention and deletion (Jun 2024, updated May 2026), Microsoft Services Agreement (Sep 2026), Google Workspace admin help (2026), AICPA Trust Services Criteria A1.2, A1.3 and CC7.5 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: NIS2 art. 21 lid 2 onder c en art. 23 (2022), NCSC over de zorgplicht in de Cbw (2026), DORA art. 11 en 12 (2022), AVG art. 32 en 33, NCSC UK, Offline backups in an online world (bijgewerkt 28 jul 2026), NCSC UK, Principles for ransomware-resistant cloud backups (22 nov 2024), NCSC, Herstel van een cyberincident (2026), NIST SP 800-34 Rev. 1 (2010), Sophos State of Ransomware 2026 (2026), Microsoft 365 data retention and deletion (jun 2024, bijgewerkt mei 2026), Microsoft Services Agreement (sep 2026), Google Workspace-beheerdershulp (2026), AICPA Trust Services Criteria A1.2, A1.3 en CC7.5 (2017, aandachtspunten 2022) · oktober 2026.