Backup til små virksomheder: 3-2-1-reglen på 20 minutter om ugen

En lille virksomhed har en ordentlig backup, når den har tre kopier af alt, hvad den skal bruge for at drive forretning, på to slags lagring, med én kopi udenfor huset og offline, og når nogen inden for den seneste måned har gendannet en fil fra hver kopi. Det er 3-2-1-reglen, som National Cyber Security Centre (NCSC, Storbritanniens nationale cybersikkerhedscenter) anbefaler. Den koster omkring £10 om måneden plus et drev til £90, og rutinen kan klares på 20 minutter om ugen. Her er, hvad du skal kopiere, hvor du skal gemme det, og hvordan du tester det.

De fleste ejere tror, de er dækket, fordi bærbaren synkroniserer til skyen. Regeringens Cyber Security Breaches Survey, offentliggjort i april 2026, viste, at 43% af de britiske virksomheder havde oplevet et brud eller et angreb i det foregående år, 46% blandt små virksomheder, og at 74% tager backup til en skytjeneste. Alligevel blev firmaets backups krypteret sammen med resten, da ransomware-angrebet mod Tuckers Solicitors i 2020 krypterede 972.191 filer, og Information Commissioner (den britiske databeskyttelsesmyndighed) idømte det en bøde på £98.000. Backup til små virksomheder svigter på to måder: Kopien ligger på samme netværk som det, den kopierer, eller også har ingen nogensinde prøvet at gendanne den.

Nedenfor: hvad 3-2-1 betyder, og hvem der fandt på det, listen over det, en lille virksomhed rent faktisk skal kopiere, de tre kopier og hvad hver af dem koster i oktober 2026, de opbevaringsperioder, dine skytjenester allerede giver dig, gendannelsestesten, som de fleste springer over, og de administrative opgaver, en AI-agent kan overtage, så den ugentlige kontrol bliver gennemført, uanset om du husker den.

Sådan har vi vurderet

1. Officielle retningslinjer først. Reglerne stammer fra NCSC's vejledning til små organisationer, offentliggjort 9. april 2026, og dens råd "Offline backups in an online world", opdateret i juli 2026.
2. Offentlig statistik. Tallene om brud og backup kommer fra Department for Science, Innovation and Technology og deres Cyber Security Breaches Survey 2025/26.
3. Virkelige sager. ICO's bødeafgørelser, ikke leverandørers skrækhistorier.
4. Priser aflæst den 24. oktober 2026 på udbydernes egne sider, i pund, hvor udbyderen angiver pund.
5. Intet, som en enkeltmandsvirksomhed ikke kan klare. Hvert trin fungerer med en bærbar, ét eksternt drev og en privat skykonto.

Hvad 3-2-1-reglen betyder

Tre kopier af dine data, på to forskellige typer lagring, med én kopi et andet sted. Fotografen Peter Krogh opfandt udtrykket, mens han skrev første udgave af The DAM Book i midten af 00'erne, og NCSC formulerer det på samme måde: mindst tre kopier, på to enheder, hvoraf én ligger et andet sted. Veeams variant "3-2-1-1-0" tilføjer én kopi, der er offline eller uforanderlig, og nul fejl efter en verificeret gendannelse. For en lille virksomhed ser den praktiske version sådan ud:

Synkronisering er ikke backup. Hvis en fil bliver krypteret eller slettet på den bærbare, kopierer synkroniseringsmappen skaden trofast videre. Skyens versionshistorik giver dig et vindue til at fortryde det, men det vindue er kort, og det lukker.

Hvad en lille virksomhed rent faktisk skal kopiere

Lav listen, før du vælger værktøjer. For de fleste virksomheder er den kortere, end de frygter:

• Regnskab og skat. Fakturaer, kvitteringer, bankudtog og bogføringsfilen. HMRC (de britiske skattemyndigheder) forventer, at regnskabsmateriale opbevares i mindst fem år efter indberetningsfristen den 31. januar, så et tabt år er både et skatteproblem og et administrativt problem.
• Kundeoplysninger. CRM-eksporten, bookinglisten, mailinglisten, underskrevne kontrakter og tilbud.
• E-mail. En postkasse er en forretningsjournal. Google Workspace og Microsoft 365 gemmer den på deres servere, men en lukket eller kompromitteret konto tager den med sig. Eksportér den to gange om året.
• Hjemmesiden og webshoppen. Databasen, produktbillederne, temaet og domænets login. De fleste webhoteller tager deres egne backups, men læs, hvor længe de gemmes.
• Fotos og designs. Logofilerne, før-og-efter-billederne, brochurematerialet.
• Adgangskoder og nøgler. Adgangskodeadministratorens krypterede eksport, udskrevne gendannelseskoder og backupkoderne til tofaktorgodkendelse, opbevaret sammen med det lokale drev og ikke på den bærbare.

Alt, hvad du skal bruge for at genopbygge virksomheden på en uge, hører på listen. Alt, hvad du kan hente igen fra en leverandør, gør ikke.

Kopi ét: arbejdskopien, og hvad synkronisering egentlig giver dig

Skysynkroniseringsmappen er allerede din første kopi, og den er bedre end ingenting. Alle større tjenester gemmer slettede filer og ældre versioner et stykke tid, og det er vigtigt at kende vinduet, for det er forskellen på en fortrydelse og et tab:

Mønstret: En måned er standarden næsten overalt. Hvis ransomware krypterer dine filer en fredag, og du opdager det seks uger senere, har synkroniseringstjenesten allerede glemt de gode versioner. Det er dér, kopi to og tre kommer ind.

Kopi to: det eksterne drev, du tager ud

Køb en ekstern harddisk på 2 TB, som prissammenligningssider i oktober 2026 listede til cirka £85 til £100, og lad operativsystemet gøre arbejdet. På en Mac er Time Machine gratis: Sæt drevet i, så gemmer den timevise backups i 24 timer, daglige i en måned og ugentlige, til disken er fuld, og Apple anbefaler et drev, der mindst er dobbelt så stort som Macens lager. På Windows gør File History og de indbyggede backupværktøjer det samme.

Tag det så ud igen. NCSC's vejledning til små organisationer siger, at backupdrevet ikke skal sidde tilsluttet, når det ikke er i brug, fordi ransomware krypterer hvert eneste drev, den kan se, og sagen om Tuckers viser, hvordan det ser ud: Firmaet havde ingen multifaktorgodkendelse, en kritisk sikkerhedsopdatering blev installeret fem måneder for sent, og angriberne nåede backuppen via det samme netværk som alt andet.

Opbevar drevet et andet sted end ved siden af den bærbare. En skuffe i skrivebordet beskytter mod en defekt bærbar. Handskerummet eller dit hjem beskytter mod et indbrud i lokalet.

Kopi tre: et andet sted og automatisk

Den tredje kopi skal ske uden dig. To veje fungerer for en lille virksomhed:

• En backuptjeneste. Backblaze tager $9 om måneden eller $99 om året for ubegrænset data fra én computer, med 30 dages versionshistorik som standard og et år gratis, når du slår det til. Den kører i baggrunden, og du kan teste en gendannelse fra hjemmesiden på to minutter.
• En ekstra sky med et større vindue. iCloud+ med 2 TB koster £8.99 om måneden; Dropbox Standard gemmer versioner i 180 dage; Microsoft 365 til virksomheder samler OneDrive-lager pr. bruger. Brug den til en månedlig kopi af de mapper, der betyder noget, adskilt fra den daglige synkroniseringskonto.

Beskyt kopien et andet sted med totrinsgodkendelse og en adgangskode, der ikke bruges andre steder. NCSC nævner det som det sidste trin af en grund: En backupkonto, der åbner med samme adgangskode som den kompromitterede e-mail, ligger ikke et andet sted i nogen forstand, der har betydning.

Ransomware i virkeligheden for virksomheder med og uden backup

Sophos' State of Ransomware 2026, en undersøgelse af 2.158 organisationer med 100 til 5.000 ansatte gennemført mellem januar og marts 2026, viste, at 56% fik krypteret data i et angreb. Af dem gendannede 66% fra backups, og 48% betalte løsesum, med en gennemsnitlig genopretningsomkostning på $1,70 millioner og en median på $375.000. I den britiske stikprøve, offentliggjort i juli 2026, faldt andelen, der betalte, fra 54% i 2025 til 18% i 2026, mens andelen, der gendannede fra backups, steg fra 39% til 78%. Det er større virksomheder end de fleste af denne bloggens læsere, men retningen er lektien: De virksomheder, der betalte, var for det meste dem, der ikke kunne gendanne.

NCSC anbefaler ikke at betale. Rådet er det samme for en virksomhed med to ansatte som for et hospital: Hold nyere offline-backups, kontrollér, at du kan gendanne fra dem, og scan backuppen, før du gendanner, så du ikke installerer problemet igen.

Gendannelsestesten, som ingen kører

Kaseyas backuprapport fra 2025, baseret på mere end 3.000 it-professionelle, viste, at 60% troede, de kunne gendanne inden for 24 timer, men kun 35% havde dokumenteret det, og at kun 15% tester backups dagligt og 25% ugentligt. En lille virksomhed behøver ikke daglige tests. Den har brug for en månedlig, der tager ti minutter:

1. Vælg en fil, du redigerede i sidste uge. Slet den fra den bærbare.
2. Gendan den fra det eksterne drev. Åbn den.
3. Gendan sidste måneds version af en anden fil fra cloud-backuppen. Åbn den.
4. Skriv datoen og resultatet i en enlinjes log.

Hvis et af trinene fejler, var backuppen aldrig en backup. At finde ud af det en stille tirsdag koster ti minutter. At finde ud af det efter et tyveri koster virksomheden.

De 20 minutter om ugen

• Mandag, 5 minutter. Sæt drevet i, lad Time Machine eller File History køre, og tag det ud, når lyset stopper.
• Mandag, 5 minutter. Åbn backuptjenesten og kontrollér datoen for den seneste vellykkede kørsel og størrelsen. En backup, der har "kørt" i tre uger, er en backup, der er stoppet.
• Mandag, 5 minutter. Eksportér alt, der kun findes i en webapp: bookinglisten, CRM-kontakterne, ordrerne fra webshoppen. Læg eksporten i den mappe, der bliver taget backup af.
• Første mandag i måneden, 5 ekstra minutter. Gendannelsestesten ovenfor og en kontrol af, at koderne til totrinsgodkendelse for backupkontoene stadig er udskrevet og til at finde.

Sådan hjælper en AI-agent dig med at holde reglen

Det svære ved 3-2-1 er ikke teknologien. Det er at gøre den samme lille ting hver uge i årevis. Det er den slags opgave, en agent klarer uden at kede sig.

• Kører de ugentlige eksporter. Giv agenten adgang til bookingværktøjet, CRM'et og webshoppen, så henter den eksporterne hver mandag ind i den mappe, der bliver sikkerhedskopieret, og navngiver dem efter dato. Jobbits automatiseringer kører efter en tidsplan, uden at du åbner en bærbar.
• Kontrollerer, at backuppen faktisk er kørt. Den læser backuptjenestens status og fortæller dig datoen for den seneste gode kørsel i en enkelt besked i stedet for et dashboard, du aldrig åbner.
• Fører gendannelsesloggen. Den minder dig om den første mandag, noterer resultatet og markerer en måned, der blev sprunget over.
• Skriver genopretningsplanen. Et dokument på én side: hvor hver kopi ligger, hvilken konto der gendanner den, og hvem der har koderne, i den rækkefølge du får brug for dem på den værste dag.
• Holder øje med opbevaringsvinduerne. Når Dropbox eller Google ændrer en politik, eller et abonnement udløber, giver den dig besked, før vinduet lukker.
• Udarbejder anmeldelsen, hvis det værste sker. ICO forventer en anmeldelse af et brud inden for 72 timer; agenten forbereder fakta i myndighedens format, mens du tager dig af virksomheden.

ChatGPT, Claude, Gemini, Microsoft Copilot, Manus og Metas Muse vil alle sammen forklare backup og skrive en tjekliste. Det, de ikke gør, er at køre mandagsrutinen i et år. En Jobbit-agent kører tidsplanen, fører loggen og henter, når opgaven kræver hænder, en godkendt person fra netværket til at sætte drevet op eller redde webshoppen.

Din første uge

• Dag 1: lav listen. De seks kategorier ovenfor, med den mappe eller app, hver af dem ligger i.
• Dag 2: bestil drevet. 2 TB, fra et kendt mærke, og en mærket kuvert til gendannelseskoderne.
• Dag 3: slå kopien et andet sted til. En backuptjeneste eller en ekstra skykonto, totrinsgodkendelse slået til, adgangskoden i administratoren.
• Dag 4: første lokale backup. Lad den blive færdig, tag stikket ud, læg det væk.
• Dag 5: første gendannelsestest. Én fil fra hver kopi, logget.
• Dag 7: sæt mandagspåmindelsen, eller giv rutinen til agenten.

Læs også

• Best Password & Privacy Tools in 2026 (1Password, Bitwarden, Proton & More)
• AI Scams in 2026: 9 Tricks Aimed at Small Businesses and How to Spot Each One
• 50 AI Automation Ideas for Small Businesses in 2026 (With Examples)

Ofte stillede spørgsmål

Hvad er 3-2-1-backupreglen?

Tre kopier af dine data, på to forskellige typer lagring, med én kopi opbevaret et andet sted. NCSC anbefaler den med de ord. For en lille virksomhed betyder det arbejdskopien på den bærbare og dens synkroniseringsmappe, en ugentlig kopi på et eksternt drev, der tages ud bagefter, og en automatisk kopi hos en cloud-backuptjeneste eller på en ekstra skykonto.

Er skysynkronisering som Google Drive eller OneDrive en backup?

Kun delvist. Synkronisering kopierer hver ændring, også en sletning eller en kryptering, så den beskytter mod en tabt bærbar, men ikke mod ransomware eller en fejl, du opdager sent. Google Drive gemmer slettede filer i 30 dage, og OneDrive til arbejde gemmer dem i 93 dage; derefter er de væk. Behandl synkronisering som kopi ét, og tilføj de to andre.

Hvor ofte bør en lille virksomhed tage backup?

Løbende for synkroniseringsmappen, ugentligt for det eksterne drev og automatisk hver dag for tjenesten et andet sted. Test en gendannelse en gang om måneden. Kaseyas undersøgelse fra 2025 viste, at kun 35% af organisationerne havde dokumenteret, at de kunne gendanne inden for en dag, mod 60%, der troede, de kunne.

Hvad koster backup til en lille virksomhed?

Cirka £85 til £100 én gang for et eksternt drev på 2 TB, plus $9 om måneden for Backblaze eller £8.99 om måneden for 2 TB iCloud+, til priserne i oktober 2026. Operativsystemets backupprogram, Time Machine på en Mac og File History på Windows, er gratis.

Skal jeg betale et ransomwarekrav, hvis jeg ikke har nogen backup?

NCSC anbefaler ikke at betale, og en betaling garanterer ikke, at dataene kommer tilbage. I Sophos' britiske undersøgelse fra 2026 gendannede 78% af de ramte virksomheder fra backups, og 18% betalte, ned fra 54% året før. Den offline kopi på et drev, der er taget ud, er den billigste forsikring mod nogensinde at skulle tage stilling.

Kan en AI-agent styre mine backups?

Den kan klare de dele, der skal gøres hver uge: eksporterne fra webapps, kontrollen af, at backuptjenesten blev gennemført, den månedlige påmindelse om gendannelse og loggen. En Jobbit-agent gør det efter en tidsplan, med 100 gratis kreditter om dagen og uden kort, og henter en godkendt person, når opgaven kræver nogen på stedet.