Cloud Back-up voor Accountants en Boekhouders: Bewaartermijnen en Beveiliging

Als accountant of boekhouder werk je met de meest gevoelige data van je klanten: jaarrekeningen, loonstroken, aangiftes, controledossiers en Wwft-cliëntenonderzoek. Een gecrashte server of een ransomware-incident betekent niet alleen productieverlies, maar ook een direct compliance-risico. In dit artikel lees je hoe je cloud back-up voor een accountants- of boekhoudkantoor inricht, welke bewaartermijnen echt gelden en waar veel kantoren onbedoeld de mist ingaan.

Waarom back-up in de accountancy anders is dan elders

Andere MKB-sectoren verliezen bij dataverlies vooral omzet. Een accountantskantoor verliest bij dataverlies vooral vertrouwen én loopt bovendien direct tegen wettelijke verplichtingen aan. Je moet aantoonbaar de administratie van je klanten kunnen tonen, jaren terug, aan zowel de Belastingdienst als het BFT of de AFM. Als je die data niet kunt reproduceren, sta je met lege handen.

Daar komt bij dat je systeem drie soorten data door elkaar bevat. De eerste is de administratie van jouw klanten: boekhoudingen in Twinfield, Exact Online, AFAS, SnelStart of Visma AccountView. De tweede is je eigen kantooradministratie en je Wwft-cliëntenonderzoek. De derde is je controledossier, dat onder de Wta en het Bta valt. Alle drie hebben eigen bewaartermijnen en eigen beveiligingseisen.

De bewaartermijnen op een rij

Er lopen in de accountancy drie regimes door elkaar. Wie ze niet uit elkaar houdt, gooit ofwel te snel data weg, of tuigt onnodig grote archieven op.

• Fiscale bewaarplicht: 7 jaar. De basisregel voor alle bedrijfsadministratie: 7 jaar bewaren, vanaf het moment dat de actualiteitswaarde vervalt. Een leasecontract van 4 jaar bewaar je dus gedurende 4 jaar plus 7 jaar daarna. Vanaf 1 januari 2026 mag de meeste administratie uit 2018 in principe weg.
• Fiscale bewaarplicht onroerende zaken: 10 jaar. Voor onroerende zaken (en de btw daarop) geldt 10 jaar in plaats van 7.
• Wwft-bewaarplicht: 5 jaar. Klantonderzoek en gemelde ongebruikelijke transacties bewaar je 5 jaar na de transactie of na het einde van de zakelijke relatie. Dit is een aparte bewaarplicht voor accountants en belastingadviseurs, naast de fiscale.
• Wta/Bta-bewaarplicht controledossier: 7 jaar. Een accountantsorganisatie bewaart een afgesloten controledossier ten minste 7 jaar. In dat dossier zit onder meer de opdrachtbevestiging, correspondentie, het controleplan en de vastlegging van aard en omvang van de uitgevoerde werkzaamheden.

Dat lijkt op elkaar, maar het is niet hetzelfde. Het RB heeft eerder al aangekaart dat de discrepantie tussen 5 en 7 jaar in de praktijk verwarrend werkt. Het praktische advies: hanteer intern de langste termijn als leidend en houd data pas over aan de vernietiger als álle regimes de bewaarplicht hebben losgelaten. Je back-upretentie sluit daarop aan.

Wat een goede cloud back-up voor kantoor omvat

Een cloud back-up voor accountants is meer dan alleen een externe kopie van de server. Je hebt vier lagen te dekken:

1. On-premises servers en NAS. Als je nog een lokale bestandsserver of NAS hebt met werkbestanden, jaarplannen of PDF-archieven, hoort daar een geautomatiseerde back-up op naar een tweede locatie.
2. SaaS-boekhoudpakketten. De data in Twinfield, Exact Online en AFAS zit op de servers van de leverancier. Die maken zelf back-ups voor disaster recovery, maar dat is geen klant-back-up: verwijdert een medewerker per ongeluk journaalposten of gooit een cliënt zijn eigen data leeg, dan is de leverancier niet verplicht het per punt-in-tijd te reproduceren. Check de kleine lettertjes van je pakket en overweeg een export-back-up.
3. Microsoft 365 en Google Workspace. Mail, agenda, OneDrive/SharePoint of Google Drive en Teams-chats zitten in de cloud, maar Microsoft en Google verwijzen expliciet naar het gedeelde verantwoordelijkheidsmodel: jij bent verantwoordelijk voor je eigen data. Een aparte back-uplaag (Barracuda Cloud-to-Cloud, Druva, Keepit, Veeam Data Cloud, NinjaOne, MSP360) is voor accountants inmiddels een basisvereiste.
4. Werkplekken en laptops. Losse Excel-bestanden, Word-notities en gedownloade PDF's die alleen op een laptop staan zijn zonder werkplek-back-up niet terug te halen na diefstal of hardwaredefect.

Meer diepgang over de opzet van een moderne back-uparchitectuur staat in onze complete back-up strategie voor het MKB en het artikel over Backup as a Service voor het MKB.

De 3-2-1-regel toegepast op een accountantskantoor

De klassieke 3-2-1-regel blijft de basis: 3 kopieën van je data, op 2 verschillende soorten opslag, waarvan 1 kopie off-site. Voor accountancy is de uitbreiding 3-2-1-1-0 relevanter, waarbij die extra "1" een immutable of offline kopie is, en de "0" staat voor nul fouten na verificatie.

Concreet voor jouw kantoor:

• Kopie 1: de productie-data (server, SaaS, cloud-werkplek).
• Kopie 2: een lokale back-up op een NAS of aparte schijf voor snelle restores.
• Kopie 3: een off-site cloud-back-up in een EU-datacenter.
• Kopie 4 (immutable): een write-once kopie, bijvoorbeeld via S3 Object Lock, die niet gewijzigd of verwijderd kan worden binnen de ingestelde retentie. Ook niet door iemand met beheerder-rechten.

Die vierde kopie is geen luxe. Ransomware-groepen richten zich juist op back-upsystemen: kunnen ze die versleutelen of verwijderen, dan hebben ze een sterkere onderhandelingspositie. Een immutable kopie doorbreekt dat spel.

Bewaartermijnen in je back-up: retentie vs archief

Een klassieke fout is de bewaarplicht dekken met alleen een back-up-retentie. Dat kan, maar het is duur en onhandig. Back-up bestaat om te reconstrueren wat gisteren of vorige week zoek is geraakt. Voor bewaartermijnen van 7 of 10 jaar is een archief beter geschikt: geëxporteerde jaardossiers in een gestructureerde mapstructuur, met leesbare bestandsnamen en versie-informatie, in een write-once opslag.

Combineer daarom twee lijnen:

• Back-up-retentie voor operationele restores: bijvoorbeeld 4 weken dagelijks, 12 maanden maandelijks. Dit dekt "oeps, verkeerde journaalpost" of "cliënt gooit zijn eigen boekjaar leeg".
• Archief-retentie voor de wettelijke termijnen: jaarlijkse export van elk afgesloten controle- of samenstellingdossier naar het archief, met retentie van 7 jaar (Wta/Bta, fiscaal) of 10 jaar (onroerende zaken). Dit dekt "de inspecteur belt over aangifte 2020".

Zo betaal je niet elk jaar voor het vasthouden van dagelijkse snapshots die je nooit meer opvraagt.

AVG, dataresidentie en de CLOUD Act

Klantdata van een accountantskantoor is per definitie persoonsgegeven of tenminste vertrouwelijk. De AVG stelt daar eisen aan, en de Amerikaanse CLOUD Act maakt het extra beladen. Onder de CLOUD Act kunnen Amerikaanse autoriteiten toegang eisen tot data die door een Amerikaans bedrijf wordt opgeslagen, zelfs als die data fysiek in Europa staat.

Voor een accountantskantoor betekent dat concreet: kies bij voorkeur een back-upprovider met datacenters in de EU én een Europese moedermaatschappij, of leg contractueel vast dat je data niet buiten de EU verlaat. Encryptie met sleutels die je zelf beheert (BYOK, bring your own key) helpt ook. Een goede leverancier tekent daarnaast een verwerkersovereenkomst die past bij jouw geheimhoudingsplicht als accountant.

De bredere context van praktisch AVG naleven in het MKB helpt om je back-upcontract in lijn te brengen met wat er verder al staat aan verwerkersovereenkomsten.

Wat kost een cloud back-up voor een accountantskantoor?

Prijzen verschillen sterk per leverancier en scope; de cijfers hieronder zijn een oriëntatie voor het Nederlandse MKB, geen offerte.

• SaaS-back-up voor Microsoft 365 of Google Workspace: vaak rond 3 tot 6 euro per gebruiker per maand voor mail, drive, agenda en Teams-chats, met langere retenties tegen meerprijs.
• Server-back-up naar de cloud: ongeveer 0,01 tot 0,03 euro per GB per maand aan pure opslag, plus een agent- of licentiefee per server.
• Immutable off-site tier: een extra pot van 5 tot 20 euro per maand bij kleine volumes; schaalt lineair naar volume.
• Managed back-up-dienst via een MSP: vaak inbegrepen in een managed IT-pakket of als aparte dienstonderdeel voor 100 tot 300 euro per maand voor een klein kantoor, waarbij monitoring, dagelijkse controle en test-restores zijn inbegrepen.

Wat je bespaart bij problemen is groter dan de maandprijs. Ransomware-incidenten in het Nederlandse MKB kosten volgens verschillende bronnen honderdduizenden euro's per geval, en dat is nog exclusief het imagoverlies bij cliënten die vertrouwelijke data zagen lekken.

Restore is de test, niet de back-up

Een back-up die je nooit terugzet is een aanname, geen zekerheid. Plan minimaal per kwartaal een test-restore. Kies elke keer een ander scenario: vandaag een enkel bestand, volgende keer een volledige mailbox, over drie maanden een volledige server op nieuwe hardware. Documenteer de tijd die het kostte, wie het deed en wat er beter kan. Zo bouw je een bedrijfscontinuiteitsplan dat verder gaat dan een papieren belofte.

Bij een SLA voor IT-dienstverlening hoort dus niet alleen een uptime-percentage, maar ook een concreet RTO (hoe snel weer online) en RPO (hoeveel data mag maximaal verloren gaan). Voor een accountantskantoor in piektijd, denk aangifteperiode of jaarafsluiting, is een RTO van 4 uur en een RPO van 1 uur een realistische ondergrens.

Veelgestelde vragen over cloud back-up voor accountants

Hoe lang moet ik als accountant een dossier bewaren? Voor de meeste administratie geldt 7 jaar (fiscaal). Voor onroerende zaken 10 jaar. Voor Wwft-cliëntenonderzoek 5 jaar na einde relatie. Voor controledossiers geldt 7 jaar na afsluiting (Wta/Bta). Hanteer intern de langste van toepassing zijnde termijn.

Zorgt Twinfield, Exact of AFAS al voor mijn back-up? De leverancier maakt back-ups voor eigen bedrijfscontinuïteit, maar niet voor jouw punt-in-tijd-herstel op individueel klantniveau. Verwijdert een medewerker per ongeluk journaalposten of raakt een cliënt zijn data kwijt, dan sta je zonder aparte export vaak alsnog met lege handen. Een aparte back-uplaag of periodieke export is een verstandige aanvulling.

Is een back-up van Microsoft 365 echt nodig? Microsoft levert een gedeelde verantwoordelijkheid: infrastructuur is hun probleem, jouw data blijft jouw probleem. Prullenbak en retentiepolicies dekken korte periodes. Voor de bewaartermijnen die in de accountancy gelden en voor ransomware-scenario's is een derde partij die dagelijks een aparte kopie maakt, praktisch een basisvereiste.

Wat betekent immutable back-up concreet? Immutable betekent dat een back-upbestand binnen een ingestelde termijn niet gewijzigd of verwijderd kan worden, ook niet met beheerder-rechten. Technisch vaak geïmplementeerd via S3 Object Lock of vergelijkbare object-storage-features. Voor ransomware-scenario's is dit de enige laag die met zekerheid overleeft.

Waar moet mijn back-updata staan volgens de AVG? De AVG verplicht geen opslag in Nederland of de EU, maar bij data buiten de EU moet je aanvullende waarborgen treffen. Voor persoonsgegevens en accountancy-data is een provider met EU-datacenters, EU-moederbedrijf en een sluitende verwerkersovereenkomst de simpelste route. Dat sluit meteen risico's van de CLOUD Act voor Amerikaanse leveranciers uit.

Kan ik back-up combineren met mijn bestaande IT-beheer? Ja, en dat is meestal aan te raden. Een managed IT-partner die zowel je werkplekken, mail als back-up beheert, kan bij een incident sneller schakelen dan drie losse leveranciers die naar elkaar wijzen.

Conclusie

Cloud back-up voor een accountants- of boekhoudkantoor draait om drie dingen: begrijpen welke bewaartermijnen naast elkaar lopen (7 jaar fiscaal, 10 jaar bij onroerende zaken, 5 jaar Wwft, 7 jaar Wta/Bta-controledossier), een 3-2-1-1-0-architectuur inrichten met een immutable off-site kopie, en kiezen voor een EU-provider met een sluitende verwerkersovereenkomst. Vergeet daarnaast SaaS niet: Microsoft 365, Google Workspace en je boekhoudpakket zijn geen back-up van zichzelf. En test restores structureel, want een back-up die nooit is teruggezet is een aanname.

TRON Group richt cloud back-up en bedrijfscontinuïteit in voor accountants- en boekhoudkantoren in heel Nederland: van SaaS-back-up voor Microsoft 365 tot immutable off-site opslag in EU-datacenters, met verwerkersovereenkomsten die passen bij je geheimhoudingsplicht. Wil je weten of je huidige oplossing bestand is tegen een echt incident én tegen een BFT-controle? Bel ons op 085-3035869 of vraag een vrijblijvende back-upcheck aan. We denken graag met je mee, zonder verkooppraatje.