Backup as a Service (BaaS) voor het MKB: Cloud Back-up Uitbesteden

"We hebben toch back-ups?" is een zin die je in het MKB vaak hoort, meestal vlak voor iemand ontdekt dat de externe harde schijf onder het bureau al twee jaar niet meer draait, of dat de NAS in het serverhok net zo goed door de ransomware is versleuteld als de rest. Backup as a Service (BaaS) is de moderne oplossing: back-up-infrastructuur uit de cloud, per gebruiker of TB, met het beheer bij een externe partij. In dit artikel leggen we uit wat BaaS precies is, waarom de klassieke 3-2-1-regel niet meer voldoet, wat NIS2 verwacht, en waar je op moet letten bij een provider.

Wat is Backup as a Service?

BaaS is een cloud-gebaseerde back-updienst waarbij een externe provider de complete back-up-infrastructuur levert: software, storage, encryptie, retention-policies en de tooling om terug te zetten. Jij installeert een agent op servers, laptops of VM's, of koppelt je Microsoft 365-tenant, en de rest gebeurt automatisch. Je betaalt maandelijks per gebruiker, per workload of per TB.

Het verschil met "een externe schijf" of "een NAS in het bijgebouw" zit in drie dingen: off-site by design, versleuteld en versioned, en het beheer (updates, monitoring, capaciteit) ligt bij de provider. Voor het MKB betekent dat vaak dat back-up voor het eerst echt betrouwbaar wordt, in plaats van iets dat op papier geregeld is maar niet in de praktijk.

De klassieke 3-2-1-regel: nog steeds de basis

Elke back-up-adviseur begint bij de 3-2-1-regel:

• 3 kopieen van je data: productie plus twee back-ups.
• 2 verschillende media (bijvoorbeeld lokale disk en cloud object storage).
• 1 kopie off-site, dus fysiek gescheiden van je hoofdlocatie.

Deze regel bestaat al decennia en is de reden dat een enkele externe schijf onder het bureau niet voldoet: geen off-site en meestal geen tweede medium. BaaS lost het off-site- en tweede-medium-deel in een klap op: de cloud is per definitie off-site, en object storage van een cloud-provider is een ander medium dan je lokale disk.

Waarom 3-2-1 in 2026 niet voldoet: welkom bij 3-2-1-1-0

Ransomware heeft de spelregels veranderd. Aanvallers weten dat back-ups hun grootste vijand zijn en gaan er expliciet op zoek: ze scannen back-up-servers, gebruiken gestolen admin-credentials en verwijderen of versleutelen back-ups voordat ze productie raken. Klassieke 3-2-1-back-ups die bereikbaar zijn via het netwerk zijn dan nog steeds kwetsbaar.

Daarom is de moderne standaard 3-2-1-1-0:

• 3 kopieen, 2 media, 1 off-site blijft staan.
• +1 immutable of air-gapped kopie: een back-up die zelfs met gestolen admin-rechten binnen een retentieperiode niet gewijzigd of verwijderd kan worden.
• +0 recovery errors: regelmatig geverifieerd dat een restore ook echt werkt.

Immutable storage (bijvoorbeeld object lock op S3-compatibele storage) is de grootste anti-ransomware maatregel op back-up-niveau. Alle serieuze BaaS-providers leveren dit standaard. Onze complete gids over back-upstrategie gaat dieper in op de architectuur.

RTO en RPO: de twee getallen die alles bepalen

Voor je een BaaS-provider kiest, beantwoord je twee vragen:

• RPO (Recovery Point Objective): hoeveel data mag je maximaal verliezen? RPO van 24 uur betekent maximaal een dag werk kwijt; RPO van 15 minuten vereist near-continuous replication.
• RTO (Recovery Time Objective): hoe snel moet je systeem weer draaien? RTO van 4 uur betekent dat binnen 4 uur alles operationeel is.

Zonder RTO en RPO vast te leggen kies je willekeurig een oplossing die te duur of te licht is. Onze gids voor het bedrijfscontinuiteitsplan helpt bij het bepalen van deze getallen per proces.

De NIS2-druk op back-ups

De Cyberbeveiligingswet, de Nederlandse NIS2-implementatie, is op 7 juli 2026 aangenomen door de Eerste Kamer en op 15 augustus 2026 in werking getreden. Ruim 8.000 Nederlandse organisaties vallen onder de wet. Val je als essentiele of belangrijke entiteit onder NIS2 (meestal 50+ medewerkers of meer dan 10 miljoen euro omzet in een aangewezen sector), dan ben je verplicht passende maatregelen te nemen voor business continuity, back-up management en incident response.

De praktische lat sluit nauw aan bij 3-2-1-1-0: een aantoonbare back-up-strategie, minimaal een immutable kopie, en regelmatig geverifieerde herstelcapaciteit. Belangrijk: NIS2 draait niet alleen om de back-up zelf, maar om het bewijs dat je restores test en documenteert. Meer in onze NIS2-gids voor MKB.

Microsoft 365 en het shared responsibility-misverstand

Een van de hardnekkigste misverstanden in het MKB: "we draaien op Microsoft 365, dus Microsoft doet de back-ups". Nee. Microsoft levert infrastructuur, uptime en service-level security. Jij bent verantwoordelijk voor data, access management, compliance-configuratie en herstel van wat je zelf per ongeluk verwijdert of laat versleutelen.

Replicatie is geen back-up: als iemand een SharePoint-bibliotheek wist of ransomware een OneDrive versleutelt, repliceert Microsoft dat netjes mee. Retention-policies helpen bij compliance, maar zijn geen restorable back-up. Voor volwaardige M365-back-up heb je een aparte oplossing nodig. Microsoft's paid Backup add-on kost rond 0,15 dollar per GB per maand; third-party BaaS ligt doorgaans tussen 2 en 6 dollar per gebruiker per maand.

Wat kost BaaS voor het Nederlandse MKB?

Prijzen verschillen per provider, licentievorm en aantal workloads. IJkpunten voor 2026:

• M365-back-up via third-party BaaS (Veeam Data Cloud, Acronis, Datto, AvePoint): 2 tot 6 dollar per gebruiker per maand.
• Acronis Cyber Protect Cloud: basisplatform vanaf circa 85 dollar per workload per jaar; met DR en security packs komt de prijs per workload hoger.
• Veeam Data Cloud: per user of per TB. Prijsverhoging van 4 tot 8 procent per januari 2026.
• Datto: prijzen circa 10 procent verlaagd in januari 2026, nadat Kaseya het High Watermark billing-model in december 2025 afschafte.

Voor een MKB met 30 medewerkers, een lokale server en een M365-tenant kom je vaak op 4.000 tot 10.000 euro per jaar voor een volwaardige BaaS-oplossing met immutable retention. Reken daarbovenop 2.000 tot 6.000 euro eenmalig voor implementatie.

Wat moet je toetsen bij het kiezen van een BaaS-provider?

Voor je een contract tekent, loop je deze checklist af:

1. Immutable retention. Ondersteunt de provider onwijzigbare back-ups voor minstens 30 dagen? Zonder dit ben je kwetsbaar voor ransomware die je back-ups aanvalt.
2. EU data residency. Waar staat je data? Voor AVG is EU-gehost data de norm, en voor sommige sectoren (zorg, financieel, overheid) is Nederlandse hosting expliciet gewenst.
3. Encryption at rest en in transit. Standaard, maar controleer of je zelf de keys beheert (BYOK) of dat de provider ze houdt.
4. Restore-tests. Hoe vaak worden restores geverifieerd? Geeft de provider je een periodiek rapport?
5. RTO en RPO in het contract. Zijn deze SLA-getallen vastgelegd, en wat zijn de penalties als ze niet gehaald worden? Onze gids over SLA voor IT-dienstverlening beschrijft welke bouwstenen je moet eisen.
6. Egress-kosten. Wat kost het als je bij een groot incident je hele dataset moet terugtrekken uit de cloud? Sommige providers rekenen bandwidth-fees die snel oplopen.
7. Exit-strategie. Kun je bij het einde van het contract je data in een bruikbaar formaat terugkrijgen? Cloud lock-in bij back-ups is een reeel risico.

Voordelen en beperkingen op een rij

Voordelen:

• Off-site by design, automatisch conform 3-2-1.
• Geen eigen back-up-hardware die om de 3-5 jaar vervangen moet worden.
• Voorspelbare OpEx per gebruiker of TB in plaats van eenmalige CapEx.
• Immutable retention en encryptie standaard beschikbaar.

Beperkingen:

• Afhankelijk van internetverbinding en provider-uptime; bij groot restore is bandbreedte een reeele bottleneck.
• Terugkerende maandkosten die bij grote datasets fors kunnen oplopen.
• Egress-kosten bij grootschalig herstel verrassen soms onaangenaam.
• Vendor lock-in: overstappen is complex en tijdrovend.

Wanneer BaaS niet de eerste keuze is

Voor een klein MKB met alleen M365 en geen lokale servers is een gerichte M365-back-up vaak genoeg, in plaats van een volledig BaaS-platform. Voor bedrijven met heel veel data (media, engineering met TB's aan projectbestanden) kan een hybride model met een lokale immutable snapshot plus cloud-tiering economischer zijn. Rekenwerk vooraf loont: schat totaal datavolume, groeipercentage en verwachte restore-frequentie. Heb je datasoevereiniteit-eisen, controleer dan expliciet waar de provider zijn storage draait en wat de sub-processors zijn.

Hoe pak je een BaaS-implementatie aan?

Een BaaS-uitrol duurt in het MKB doorgaans 3 tot 8 weken:

1. Data-inventarisatie: welke workloads moeten in back-up (servers, VM's, endpoints, M365, databases)?
2. RTO en RPO vaststellen per workload; niet alles hoeft even snel hersteld te worden.
3. Provider-keuze en contractonderhandeling met aandacht voor immutable retention, EU-hosting en egress-kosten.
4. Initiele upload. Voor grote datasets een bottleneck; sommige providers bieden een fysieke seed via een device.
5. Retention-policies configureren conform AVG, NIS2 en sector-eisen.
6. Monitoring en alerting: wie krijgt een melding als een back-up faalt?
7. Restore-test binnen een maand na go-live. Nooit teruggezet is niet werkend.

Veelgestelde vragen over Backup as a Service in het MKB

Wat is het verschil tussen BaaS en Disaster Recovery as a Service? BaaS focust op bewaren en herstellen van data. DRaaS gaat verder: ook complete infrastructuur en applicaties, met failover binnen minuten tot uren naar een replica in de cloud. DRaaS is duurder maar nodig bij RTO van uren of minder. Voor MKB met RTO van 8-24 uur volstaat BaaS meestal.

Vervangt BaaS mijn lokale back-up? Dat mag, maar hoeft niet. Een hybride opstelling met een snelle lokale immutable snapshot plus cloud BaaS geeft snel herstel bij dagelijkse incidenten en volledige off-site bescherming bij calamiteiten. Puur cloud werkt prima voor kleinere datasets.

Is Microsoft 365 al beschermd zonder aparte back-up? Nee. Microsoft draait de infrastructuur; jouw data (mail, SharePoint, OneDrive, Teams) is jouw verantwoordelijkheid. Retention-policies en recycle-bin zijn geen restore. Third-party BaaS voor M365 kost meestal 2 tot 6 dollar per gebruiker per maand.

Wat betekent immutable back-up precies? Onwijzigbaar: binnen een ingestelde periode kan zelfs een admin de back-up niet verwijderen, wijzigen of overschrijven. Beschermt tegen ransomware die back-ups probeert te vernietigen. Object lock op S3-storage of WORM-tapes zijn bekende vormen.

Wat kost BaaS voor een bedrijf met 30 medewerkers? Ruwweg 4.000 tot 10.000 euro per jaar voor een volwaardige oplossing die M365, een lokale server en endpoints dekt, inclusief immutable retention. Plus 2.000 tot 6.000 euro eenmalig voor implementatie.

Hoe vaak moet ik een restore-test doen? Minstens elk kwartaal een deel-restore, en jaarlijks een volledige recovery-oefening. Voor NIS2 is de aanbeveling om dit gedocumenteerd te doen: welke test, wanneer, welk resultaat.

Conclusie

BaaS is voor het Nederlandse MKB in 2026 de meest praktische route naar een back-up-strategie die echt werkt: automatisch off-site, immutable tegen ransomware, en zonder de zorgen van eigen back-up-infrastructuur. De 3-2-1-regel blijft de basis maar 3-2-1-1-0 is de nieuwe norm, en NIS2 verwacht van steeds meer organisaties dat je die norm ook aantoonbaar haalt. De investering ligt voor de meeste MKB-omgevingen tussen 4.000 en 15.000 euro per jaar afhankelijk van omvang en scope.

Wil je weten welke BaaS-oplossing past bij jouw datavolume, RTO en compliance-eisen, of moet er dringend iets ingericht worden voor NIS2 of een cyberverzekering? TRON Group helpt Nederlandse MKB-bedrijven met de selectie, uitrol en 24/7 monitoring van BaaS voor Microsoft 365, servers en endpoints, met immutable retention en geverifieerde restores. Ontdek onze cloud-diensten of bel 085-3035869 voor een gesprek zonder verkoopverhaal. TRON Group. Moving IT Forward: IT die werkt, groeit en beschermt.