Guide för beslutsfattare · Backup & Recovery

Moderna backuptjänster från säkerhetskopia till verifierad återställning

En modern backuptjänst handlar inte bara om att kopiera data. Den kombinerar skyddade kopior, löpande övervakning, återställningstester och tydligt ansvar, så att organisationen vet att verksamhetskritisk information går att få tillbaka efter ett misstag, ett avbrott eller en attack.

För: CIO, IT-chef, infrastruktur- och driftansvariga, CISO och säkerhetsansvariga.

Boka en genomgång av er backupmiljö Läs det korta svaret

Uppdaterad

[Zitacs backupspecialister bakom skärm]

01 · Kort svar

Vad är en modern backuptjänst?

En modern backuptjänst, ofta kallad backup som tjänst eller Backup as a Service, innebär att en specialiserad partner helt eller delvis tar ansvar för att säkerhetskopieringen fungerar över tid: att jobben övervakas, att avvikelser hanteras, att kopior lagras skyddat och separerat och att återställning verifieras med tester. Organisationen äger fortfarande besluten om vilka data som är kritiska och hur snabbt de måste kunna återställas. Värdet ligger inte i kopiorna i sig, utan i förmågan att återställa.

Starkare återställningsförmåga

Fastställda återställningsmål, skyddade kopior och regelbundna återläsningstester ersätter antaganden med verifierad förmåga.

Mindre manuellt arbete

Övervakning, larmhantering och uppföljning av jobb, kapacitet och programvara sköts löpande i stället för att ta tid från interna team.

Bättre kontroll

En samlad bild av vad som skyddas, hur länge data sparas och om återställning fungerar ger underlag för ledning, risk- och kontinuitetsarbete.

02 · Definitioner

Begreppen som avgör kraven

Backup blandas ofta ihop med närliggande funktioner. Skillnaderna spelar roll, eftersom de avgör vilka krav ni ställer på en lösning och vad ni kan förvänta er vid en incident.

Backup (säkerhetskopiering)
Kopior av data som sparas för att informationen ska kunna återställas om originalet förloras, förvanskas eller blir otillgängligt.
Återställning (restore)
Att faktiskt få tillbaka data eller system i ett användbart skick. Det är förmågan som räknas när något har hänt.
Retention
Regler för hur länge information eller kopior bevaras och när de raderas. Retention bevarar enligt policy, men är inte i sig en plan för återställning.
Arkivering
Långsiktigt bevarande av information som inte längre används aktivt, ofta av juridiska skäl eller verksamhetsskäl. Ett arkiv är inte byggt för att snabbt återställa drift.
Disaster recovery
Planer, ansvar och teknik för att återställa hela system eller miljöer efter ett större avbrott. Backup är en förutsättning, men inte hela lösningen.
Backup som tjänst
Backup där drift, övervakning och förvaltning levereras av en partner, helt eller delvis, enligt en avtalad ansvarsfördelning.

RPO och RTO: två mål som är verksamhetsbeslut

RPO – Recovery Point Objective
Den tidpunkt som data måste kunna återställas till efter ett avbrott. I praktiken: hur mycket data, räknat i tid, verksamheten kan acceptera att förlora.
RTO – Recovery Time Objective
Hur lång tid ett system kan vara under återställning innan det påverkar verksamhetens uppdrag eller processer negativt.

Definitionerna följer NIST SP 800-34 Rev. 1 [källa 1]. Det finns inga generellt rätta värden – målen sätts per system eller dataklass utifrån vad ett avbrott kostar verksamheten.

En tidslinje med återställningspunkter. RPO är tiden mellan den senaste användbara återställningspunkten och incidenten. RTO är tiden från incidenten tills systemet är i drift igen. RPO RTO Återställningspunkter Incident I drift igen möjlig dataförlust tid till återställd drift
Illustration – inga verkliga värden.

03 · Målgrupp

Vem bör överväga en modern backuptjänst?

Behovet uppstår sällan på grund av tekniken i sig. Det uppstår när kraven på återställning, säkerhet och uppföljning växer snabbare än den tid och kompetens som finns internt.

  • CIO och IT-ledningsom behöver kunna svara ledningen på hur snabbt verksamheten är i drift igen – och kunna visa det.
  • IT-chefer och driftansvarigadär backupadministration, felsökning och uppgraderingar tar tid från andra prioriteringar eller hänger på enskilda personer.
  • CISO och säkerhetsansvarigasom ser backupen som en del av försvaret mot ransomware och vill att kopiorna är skyddade mot ändring och radering.
  • Reglerade verksamhetersom omfattas av cybersäkerhetslagen eller andra krav på kontinuitet, återställning och dokumenterade rutiner.
  • Hybrida miljöermed data i egna datacenter, molnplattformar och SaaS-tjänster som Microsoft 365, där skyddet behöver hänga ihop.

04 · Nulägessignaler

Sju signaler på att backupen behöver moderniseras

Känner ni igen två eller fler? Då är det sannolikt dags att se över både teknik, ansvar och rutiner.

  1. Fel upptäcks först när något ska återställas.Jobben ser gröna ut i loggen, men ingen har kontrollerat att innehållet faktiskt går att läsa tillbaka.
  2. Återställning testas sällan eller dokumenteras inte.Utan test vet ni inte hur lång tid återställningen tar, i vilken ordning system ska tillbaka eller vad som saknas.
  3. Ingen kan svara på hur länge ett avbrott skulle pågå.RPO, RTO och retention är inte fastställda per system – eller bara kända av IT.
  4. SaaS-data saknar en egen återställningsplan.Inbyggda funktioner i till exempel Microsoft 365 behöver jämföras med era faktiska krav på återställning.
  5. Kopiorna nås från samma miljö som produktionen.Om samma konton och nätverk når både system och backup kan en angripare slå ut båda.
  6. Administrationen hänger på enskilda personer.Larm, kapacitet och uppgraderingar hanteras när tid finns, och kunskapen är svår att ersätta vid frånvaro.
  7. Ledningen ser att jobben körs – inte att återställning fungerar.Rapporteringen visar aktivitet, men ger inget underlag om verklig återställningsförmåga.

05 · Zitacs perspektiv

Tekniken lagrar kopiorna. Förmågan att återställa avgör motståndskraften.

”Backup bevisas inte i vardagen. Den bevisas i avbrottet.”

Ur Zitacs guide Restoretester: därför måste återställning testas i praktiken
[Känslan när backupen ej går att återställa]

06 · Skydd mot ransomware

3-2-1-1-0: en praktisk ram för skyddade kopior

En angripare som når produktionsmiljön kan också försöka nå backupen. Därför räcker det inte att ha kopior – minst en av dem behöver vara skyddad mot ändring och radering, och kopiornas återställningsbarhet behöver vara verifierad.

  1. Tre kopior av dataOm en kopia skadas eller komprometteras finns alternativ.
  2. Två olika lagringstyperBackupen ska inte vara beroende av en enda lagringstyp eller plattform.
  3. En kopia utanför produktionsmiljönSkyddar mot lokala händelser som brand eller angrepp mot den primära miljön.
  4. En kopia offline eller immutableIsolerad, eller låst så att den inte kan ändras eller raderas under en bestämd period.
  5. Noll okända felInga overifierade fel i backupen – vilket kräver återställningstester och dokumenterade rutiner.

Ramverket enligt Zitacs guide 3-2-1-1-0: så bygger du en modern backupstrategi.

Immutable backup skyddar kopians integritet

Immutable storage innebär att lagrad data inte kan ändras eller raderas under en förutbestämd tidsperiod. [källa 7]

Air-gap skyddar kopians separation

Ett air-gap innebär att minst en kopia är isolerad från den ordinarie miljön – fysiskt, logiskt eller genom rutiner – så att produktionssystemen inte enkelt kan nå den. De två principerna kompletterar varandra. [källa 8]

Amerikanska CISA rekommenderar offline, krypterade säkerhetskopior av kritisk data och att backupernas tillgänglighet och integritet testas regelbundet. CISA påpekar också att immutabel lagring bör användas med eftertanke, eftersom den inte självklart uppfyller alla regulatoriska krav. [källa 5] Ingen backup kan förhindra en attack – men den avgör hur väl ni kan återhämta er.

07 · Helheten

Från data till verifierad återställning – kedjan som behöver hålla

En backuplösning är aldrig starkare än sin svagaste länk. Därför behöver skydd, drift och uppföljning ses som ett sammanhängande flöde.

  1. Kartlägg data och beroendenVilka system, molntjänster och data finns – och vad hänger ihop?
  2. Sätt skydd och återställningsmålRPO, RTO och retention per system eller dataklass.
  3. Säkerhetskopiera och separeraKopior på olika platser, med minst en skyddad mot ändring.
  4. Övervaka och åtgärdaJobb, larm, kapacitet och avvikelser följs upp löpande.
  5. Testa återställningVerifiera att data och system faktiskt går att läsa tillbaka.
  6. Rapportera och förbättraResultat och avvikelser ger underlag för nästa beslut.

08 · Ansvarsfördelning

Vad kan en partner ta över – och vad äger ni fortfarande?

Ett backupverktyg ersätter inte ägarskap, testning och incidentberedskap. En tjänst kan ta över mycket av det operativa arbetet, men vissa beslut ligger alltid kvar hos verksamheten.

Ingår i Zitacs backup som tjänst
  • Övervakning av backupmiljön och hantering av larm
  • Löpande drift och uppföljning av jobb, retention, kapacitet och förändringar
  • Restorestöd och återläsningstester
  • Uppdatering av programvara
  • Vid behov skyddslager som off-site backup och immutable storage
  • Specialiststöd när miljön förändras

Enligt Zitacs tjänstebeskrivningar för Backup som tjänst och Backup & Recovery.

Ligger kvar hos er
  • Vilka system och data som är verksamhetskritiska
  • Beslut om RPO, RTO och retention per dataklass
  • Vem som beslutar om återställning vid en incident
  • Kontinuitets- och incidentplaner som backupen ska stödja
  • Ledningens uppföljning och acceptans av kvarvarande risk

Generell vägledning. Exakt ansvarsfördelning, servicenivåer och supporttider regleras i avtal – be om dem skriftligt.

09 · Beslutsunderlag

Frågor att ställa innan ni väljer backuptjänst eller backuppartner

Använd frågorna för att jämföra alternativ – och för att se var ert nuvarande upplägg har luckor.

Omfattning

  • Vilka servrar, virtuella miljöer, molntjänster och SaaS-data ska skyddas?
  • Vilka beroenden finns mellan systemen vid en återställning?

Mål

  • Vilka RPO- och RTO-mål gäller för olika system?
  • Hur länge behöver kopior sparas, och när ska de gallras?

Skydd

  • Hur skyddas kopiorna mot ändring, radering och obehörig åtkomst?
  • Finns separerade, immutabla eller offline-kopior?
  • Hur hanteras kryptering och privilegierade konton?

Verifiering

  • Hur ofta testas återställning, och i vilken omfattning?
  • Hur dokumenteras och rapporteras resultatet?

Drift och ansvar

  • Vem övervakar jobb, larm och kapacitet – och hur eskaleras fel?
  • Vilka servicenivåer och supporttider gäller enligt avtal?

Data, avtal och exit

  • Var lagras data geografiskt?
  • Vad ingår i priset över tid?
  • Hur fungerar migrering in – och återlämning av data vid byte av leverantör?

10 · Styrning och regelverk

Vad säger regelverken om backup och återställning?

Ingen backuptjänst gör ensam en organisation regelefterlevande. Men flera regelverk ställer krav där säkerhetskopiering och verifierad återställning är en central del.

Svensk lag · i kraft 15 januari 2026

Cybersäkerhetslagen (2025:1506)

Verksamhetsutövare som omfattas ska vidta riskhanteringsåtgärder som bland annat omfattar kontinuitetshantering och krishantering (2 kap. 3 §). Personer i ledningen ska genomgå utbildning om säkerhetsåtgärder (2 kap. 4 §).

Läs lagtexten hos Riksdagen

Föreskrift · i kraft 1 oktober 2026

MCFFS 2026:11

Myndigheten för civilt försvars föreskrifter om säkerhetsåtgärder anger att verksamhetsutövaren ska säkerställa att information kan återställas inom fastställda acceptabla tider för otillgänglighet, och identifiera och hantera behovet av säkerhetskopiering (4 kap. 28 §).

De allmänna råden anger bland annat att minst en säkerhetskopia bör lagras på hårdvara separerad från det system informationen hämtats från, och att det bör fastställas hur kopiornas korrekthet och fullständighet kontrolleras.

Läs föreskriften hos MCF (pdf)

EU-förordning · personuppgifter

GDPR, artikel 32

Lämpliga säkerhetsåtgärder ska, när det är lämpligt, omfatta förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, samt ett förfarande för att regelbundet testa och utvärdera åtgärdernas effektivitet.

Läs förordningen hos EUR-Lex

Internationell vägledning · september 2023

CISA #StopRansomware Guide

Den amerikanska myndigheten CISA rekommenderar offline, krypterade säkerhetskopior av kritisk data, regelbundna tester av backupernas tillgänglighet och integritet samt en incidentplan som övas.

Läs guiden hos CISA

Vilka krav som gäller just er organisation beror på verksamhet och sektor. Sammanfattningen är förenklad och ersätter inte en juridisk bedömning.

11 · Zitacs erbjudande

Så arbetar Zitac med backup och återställning

Zitac har levererat säkerhetskopiering till kunder sedan starten 2003 och har ett specialistteam inom Backup & Recovery. Erbjudandet bygger på Veeam och, för Microsoft 365, på Keepit.

Zitacs specialister på kontoret
Backup som tjänst
Övervakning och larmhantering, löpande drift och uppföljning, restorestöd och återläsningstester samt specialiststöd. Kan utformas för on-prem, moln och hybrida miljöer. Om tjänsten
Off-site backup
Säkerhetskopior skickas via Veeam Cloud Connect till Zitacs moln. Data sparas inom Sverige, med möjlighet till immutable storage och tape för en air-gappad process för långtidsförvaring. Om off-site backup
Microsoft 365
Cloud-to-cloud-backup med Keepit, med support, utbildning och driftstöd. Om Zitac och Keepit
Leveransformer
Backup som tjänst, backup i egen regi, extern backup och backup av er backupmiljö.
Kompetens
Gold Veeam Cloud & Service Provider. Två medarbetare med VMCA, Veeams högsta certifiering. Först i Sverige med Veeams Off-site Backup-kompetens (2023), och sedan 2024 även med tillägget Ransomware Resiliency. Om Zitac och Veeam
Arbetssätt
ISO 27001-certifierat, liksom ISO 9001 och ISO 14001.
  1. Backup AssessmentWorkshop på cirka två timmar med cirka 90 frågor. Ger mognadsscore, risker och en prioriterad åtgärdslista.
  2. SkyddsdesignLagring, separation och återställningsmål utifrån era krav.
  3. InförandeInstallation och konfiguration, stegvis från nuläget.
  4. Drift och övervakningLarm, jobb, kapacitet och uppdateringar hanteras löpande.
  5. Test och förbättringÅterläsningstester verifierar förmågan och styr nästa steg.

12 · Vanliga frågor

Vanliga frågor om moderna backuptjänster

Vad är skillnaden mellan backup och disaster recovery?

Backup är kopior av data som gör att information kan återställas. Disaster recovery är den bredare förmågan att återställa hela system eller miljöer efter ett större avbrott, med planer, ansvar, prioriteringsordning och teknik. Backup är en förutsättning för disaster recovery, men inte hela lösningen.

Vad betyder RPO och RTO?

RPO (Recovery Point Objective) är den tidpunkt som data måste kunna återställas till efter ett avbrott, alltså hur mycket data verksamheten kan acceptera att förlora. RTO (Recovery Time Objective) är hur lång tid ett system kan vara under återställning innan det påverkar verksamheten negativt. Båda målen sätts per system eller dataklass.

Behöver Microsoft 365 en separat backup?

Microsoft 365 har inbyggda funktioner som papperskorg, versionshistorik, retention och Microsoft 365 Backup för Exchange Online, OneDrive och SharePoint. Frågan är om de motsvarar era krav: hur snabbt och hur långt bakåt ni behöver kunna återställa, vilken kontroll ni behöver vid sabotage och om återställningen är verifierad. Zitac erbjuder backup av Microsoft 365 med Keepit.

Hur skyddas backup mot ransomware?

Genom flera samverkande åtgärder: minst en kopia som är separerad från produktionsmiljön, kopior som är immutabla eller offline, begränsade och skyddade behörigheter, löpande övervakning och regelbundna återställningstester. Backup kan inte förhindra en attack, men avgör hur väl verksamheten kan återhämta sig.

Vad är en immutable backup?

En immutable backup lagras så att den inte kan ändras eller raderas under en förutbestämd tidsperiod. Det skyddar kopians integritet om en angripare eller ett felaktigt konto försöker skriva över eller ta bort den. Zitac erbjuder immutable storage som tillval i sin off-site backup.

Hur ofta bör återställning testas?

Det finns ingen universell frekvens. Enligt Zitacs vägledning bör affärskritiska system normalt testas regelbundet, ofta kvartalsvis eller oftare, och dessutom efter större förändringar i miljön. Testfrekvensen bör utgå från systemets betydelse och era återställningsmål.

Var lagras data i Zitacs off-site backup?

Enligt Zitacs tjänstebeskrivning sparas data inom Sverige. Det finns möjlighet att lagra på immutable storage och att ta ut data på tape för en air-gappad process för långtidsförvaring.

Vad ansvarar Zitac för och vad ansvarar vi för?

Det beror på vald leveransform och avtal. I backup som tjänst ansvarar Zitac bland annat för övervakning, larmhantering, löpande drift och återläsningstester. Er organisation behöver äga besluten om vilka data som är kritiska, vilka återställningsmål som gäller och hur backupen ska stödja era kontinuitets- och incidentplaner.

Hur jämför vi egen drift med en managerad backuptjänst?

Jämför mer än licens- och lagringskostnad. Väg in intern tid för övervakning och felsökning, tillgång till specialistkompetens, hur ofta återställning faktiskt testas, beroendet av enskilda personer och hur rapporteringen till ledningen ser ut. Zitac erbjuder både backup i egen regi och backup som tjänst.

Nästa steg

Vet ni att er backup håller när det gäller?

Börja med en strukturerad genomgång. I Zitacs Backup Assessment går backupspecialister igenom er miljö tillsammans med er, och ni får en mognadsscore, identifierade risker och en prioriterad åtgärdslista att fatta beslut på. Kostnadsfri för befintliga kunder.

Läs mer om Backup Assessment och Backup som tjänst.

[Zitacs backupspecialister i samtal med en kund]

Boka en genomgång av er backupmiljö

Fyll i formuläret så kontaktar vi er.

Källor

Källor och vidare läsning

  1. NIST: Recovery Point Objective och Recovery Time Objective, definitioner ur NIST SP 800-34 Rev. 1.
  2. Cybersäkerhetslag (2025:1506), Sveriges riksdag.
  3. MCFFS 2026:11, Myndigheten för civilt försvar.
  4. Dataskyddsförordningen (EU) 2016/679, artikel 32, EUR-Lex.
  5. #StopRansomware Guide, CISA, september 2023.
  6. 3-2-1-1-0: så bygger du en modern backupstrategi, Zitac.
  7. Immutable storage: skydda backupen när det verkligen gäller, Zitac.
  8. Air-gapped backup: när behövs det och varför spelar det roll?, Zitac.
  9. Restoretester: därför måste återställning testas i praktiken, Zitac.
  10. Backup för Microsoft 365: vad skyddas och vad ansvarar ni själva för?, Zitac.
  11. Backup & Recovery, Backup som tjänst och Veeam Cloud Connect Backup, Zitac.
  12. Zitac och Veeam, Zitac och Keepit samt nyhet om Ransomware Resiliency (2024), Zitac.
Uppdaterad Utgivare: Zitac Consulting AB