Backup dla firm: zasada 3-2-1, kopia poza firmą, test odtworzenia

32% małych firm w Polsce nie robi żadnego backupu. Jednocześnie Polska w pierwszej połowie 2025 roku stała się najczęściej atakowanym ransomware krajem na świecie, a CERT Polska odnotował w 2025 roku 179 ataków ransomware - więcej niż w rekordowym dotąd 2023 roku.^[15] 2/3 małych i średnich firm, które utraciły dane bez backupu, zbankrutowało. To nie straszenie, to statystyki.

W tym artykule tłumaczę zasadę 3-2-1 po ludzku, pokazuję, co konkretnie wdrożyć (narzędzia, ceny, chmura vs lokalnie), wyjaśniam RPO i RTO prostym językiem i dzielę się wnioskami z lat konfigurowania backupów w firmach od 5 do 200 osób. Jeśli po lekturze będziesz mieć pytania, napisz, chętnie pomogę.

W skrócie

Najlepsza ochrona przed ransomware i awarią to zasada 3-2-1: trzymaj 3 kopie danych, na 2 różnych nośnikach, z czego 1 poza siedzibą firmy. Dodaj kopię niezmienną albo offline, której ransomware nie skasuje, szyfruj backup i testuj odtwarzanie minimum raz na kwartał. Dla firmy 20-osobowej to ok. 300-600 zł miesięcznie, ułamek kosztu jednego dnia przestoju po ataku.

Chcesz, żebym sprawdził to w Twojej firmie? Zadzwoń: +48 22 266 21 23 albo napisz. Pierwsza rozmowa jest bezpłatna.

Informatyk sprawdza raport kopii zapasowych przy serwerze NAS w małej serwerowni

Dlaczego firmy tracą dane

Ransomware

88% naruszeń w MŚP. Złośliwe oprogramowanie szyfruje wszystkie pliki na dyskach i żąda okupu za ich odblokowanie. W 2025 r. ransomware odpowiadał za 88% naruszeń bezpieczeństwa w małych i średnich firmach. Średni koszt takiego incydentu (bez okupu): ponad 1,5 mln USD.

Awaria sprzętu

Mniej więcej co 10. dysk w ciągu 3 lat. Prawie co dziesiąty dysk twardy psuje się w ciągu 3 lat (8,6%). Serwer, NAS, dysk w laptopie: to mechanika, która się po prostu zużywa. Bez kopii zapasowej dane znikają bezpowrotnie.

Błąd ludzki

Najczęstsza przyczyna. Przypadkowe usunięcie plików, nadpisanie bazy danych, sformatowanie złego dysku: każdemu może się zdarzyć. To najczęstsza przyczyna utraty danych w firmach, a jednocześnie najtańsza do zabezpieczenia backupem.

Awaria chmury lub usługi

Brak gwarancji dostawcy. Wiele osób myśli, że Microsoft 365 sam robi backup. Niestety nie, to Twoja odpowiedzialność. Usunięte maile, pliki z SharePointa czy bazy z Dynamics znikają na zawsze po 30-93 dniach.

Dane: CERT Polska, ESET, SATinfo24, Google/Backblaze^[1]^[3]^[4]^[14]

Zasada 3-2-1 prosto i konkretnie

Zasada 3-2-1 to naprawdę wszystko, czego potrzebujesz do bezpiecznego backupu, i jest prostsza, niż się wydaje. Działa niezależnie od wielkości firmy.^[7]^[8]

3
Trzy kopie danych
Oryginał plus dwie kopie zapasowe. Jeśli masz tylko jedną kopię, to awaria jednego nośnika oznacza utratę wszystkiego.
Przykład: serwer (oryginał) + NAS w serwerowni (kopia 1) + chmura (kopia 2).
2
Dwa różne nośniki
Kopie na dwóch fizycznie różnych typach nośników: dysk + taśma, NAS + chmura, SSD + zewnętrzny HDD. Jeden typ awarii nie niszczy obu kopii.
Przykład: NAS (dyski lokalne) + Backblaze B2 / Wasabi (chmura obiektowa).
1
Jedna kopia poza siedzibą
Minimum jedna kopia poza fizyczną lokalizacją firmy. Chroni przed pożarem, zalaniem, kradzieżą i ransomware szyfrującym całą sieć lokalną.
Przykład: automatyczna replikacja do chmury co noc albo dysk zewnętrzny wywożony do drugiego biura.

Kopia	Co to jest	Nośnik
Kopia 1: serwer produkcyjny	Oryginał, czyli dane, na których pracujesz. To już jest pierwsza z trzech kopii.	Dysk serwera
Kopia 2: NAS / dysk lokalny	Backup na osobnym urządzeniu w firmie. Chroni przed awarią serwera, ale nie przed pożarem czy ransomware.	Dysk NAS (inny typ)
Kopia 3: chmura (offsite)	Kopia poza firmą, w chmurze lub drugim biurze. Przetrwa pożar, kradzież i ransomware szyfrujący sieć.	Chmura (offsite)

Schemat zasady 3-2-1: 3 kopie danych (wliczając oryginał) · 2 różne typy nośników (dysk serwera + NAS/chmura) · 1 kopia poza siedzibą firmy.

Krok dalej: 3-2-1-1-0

Chcesz iść krok dalej? Jest rozszerzenie 3-2-1-1-0: dodatkowa „1” to kopia offline (odcięta od sieci, ransomware jej nie dosięgnie), a „0” to zero błędów w backupie (sprawdzasz po każdym zadaniu, czy backup jest w porządku).

Co konkretnie wdrożyć: narzędzia i ceny

Dobra, zasadę 3-2-1 już znasz, ale co konkretnie kupić i skonfigurować? Oto narzędzia, które sam wdrażam w firmach od 5 do 200 osób.

Narzędzie	Co robi	Cena	Moja ocena
Veeam Backup & Replication	Backup serwerów, maszyn wirtualnych, Microsoft 365, baz danych	Darmowa wersja dla małych firm (do 10 serwerów/komputerów). Płatna: od ~1000 zł/rok za maszynę.	Standard branżowy. Darmowa wersja wystarczy dla większości firm do 30 osób. Obsługuje Hyper-V, VMware, fizyczne serwery Windows/Linux.
Synology NAS + Hyper Backup	Lokalna kopia zapasowa z replikacją do chmury	NAS 2-bay: 1500-3000 zł + dyski. Oprogramowanie: w cenie.	Idealne jako lokalna kopia #1. Hyper Backup pozwala na automatyczną replikację do S3, Backblaze, Wasabi.
Backblaze B2 / Wasabi	Chmura obiektowa, kopia offsite	Backblaze B2: ~25 zł/TB/mies. Wasabi: ~28 zł/TB/mies. Brak opłat za pobieranie (egress).	70-75% taniej niż AWS S3. Bez opłat za transfer danych. Idealne jako kopia offsite w zasadzie 3-2-1.
Windows Server Backup / rsync	Backup plików i dysków na poziomie OS	Wbudowane w system, 0 zł.	Podstawowe narzędzia. Dobre jako uzupełnienie, słabe jako jedyne rozwiązanie (brak deduplikacji, brak zarządzania retencją).
Veeam Backup for Microsoft 365	Backup Exchange Online, SharePoint, OneDrive, Teams	Od ~12 zł/użytkownika/mies.	Microsoft NIE robi pełnego backupu Twoich danych w M365. To Twoja odpowiedzialność. Veeam lub konkurencja (Acronis, AvePoint) to konieczność.

Ceny orientacyjne na 2025/2026^[9]^[10]

Kopia poza firmą (offsite): 4 sposoby i ich koszt

Kopia poza firmą ratuje dane, gdy w biurze zdarzy się coś, co zabiera serwer i NAS naraz: pożar, zalanie, kradzież albo ransomware szyfrujący wszystko w sieci. Wybieram jeden z czterech sposobów, zależnie od ilości danych i łącza.

Sposób	Jak działa	Koszt	Kiedy go wybieram
Chmura obiektowa (np. Backblaze B2, Wasabi, Azure)	Veeam albo Synology Hyper Backup wysyła kopię co noc. Pierwsza kopia idzie najdłużej, kolejne przesyłają tylko zmiany.	Backblaze B2: 6,95 USD za 1 TB miesięcznie.^[16] Przy 2 TB kopii to ok. 14 USD.	Domyślnie. Najmniej obsługi, a miejsce dokładasz bez kupowania sprzętu.
Drugi NAS w innym budynku	NAS w oddziale albo w domu właściciela. Kopia idzie przez internet, szyfrowanym połączeniem (VPN).	Jednorazowo NAS z dyskami (ceny w tabeli wyżej), bez abonamentu.	Przy dużej ilości danych, gdy chmura przez kilka lat wyjdzie drożej niż drugi NAS.
Dyski wymienne	Dwa dyski USB albo kasety RDX na zmianę: jeden w firmie, drugi poza nią. Ktoś wymienia je raz w tygodniu.	Koszt samych dysków.	Mała firma z niewielką ilością danych. Działa, dopóki ktoś pamięta o wymianie, więc dokładam przypomnienie i sprawdzam raport.
Kopia Microsoft 365 u innego dostawcy	Osobna usługa kopiuje pocztę, OneDrive i SharePoint poza Microsoft.	Abonament liczony od użytkownika.	Gdy firma pracuje głównie w Microsoft 365, bo Microsoft nie robi kopii za Ciebie.

Przy wyborze patrzę też na czas powrotu. Ściągnięcie 2 TB z chmury przez łącze 300 Mb/s trwa ok. 15 godzin, i to przy pełnej prędkości. Dlatego przy dużych bazach trzymam też kopię lokalną: z niej firma wraca w godzinę, a chmura czeka na dzień, w którym lokalnej już nie ma.

Kopia, której ransomware nie skasuje

Według raportu CERT Polska za 2025 rok napastnicy przy atakach ransomware zwykle próbują zniszczyć kopie zapasowe, zanim zażądają okupu.^[15] Jeśli serwer, NAS i program do backupu mają wspólne konto administratora, przestępca, który przejął serwer, usunie też kopie. Dlatego przynajmniej jedna kopia powinna być niezmienna: przez ustalony czas nikt jej nie skasuje ani nie nadpisze, nawet z pełnymi uprawnieniami.

Niezmienne migawki na NAS Synology. Funkcja działa od DSM 7.2, na wolumenie Btrfs i w obsługiwanych modelach. Ustawiasz okres ochrony (Synology zaleca 7-14 dni) i przez ten czas migawki nie usunie nawet administrator.^[18]
Chmura z blokadą obiektów. Backblaze B2 ma funkcję Object Lock przygotowaną pod Veeam: podajesz, ile dni kopia ma być nietykalna, a Veeam sam zakłada blokadę.^[17] Blokadę włączasz przy zakładaniu kontenera i potem nie da się jej wyłączyć, więc ustaw ją świadomie.
Repozytorium utwardzone w Veeam. Osobny serwer z Linuksem, na którym Veeam blokuje pliki kopii przed zmianą i usunięciem na ustalony czas.^[19] Sprawdza się, gdy firma trzyma dużo kopii lokalnie.
Osobne konta i kod z telefonu. Konto do backupu inne niż konto administratora domeny, NAS niepodpięty jako dysk sieciowy, logowanie do konsoli backupu z drugim składnikiem. Kosztuje tylko czas konfiguracji, a zamyka napastnikowi najprostszą drogę do kopii.

RPO i RTO: ile stracisz, jak szybko wrócisz

Dwa skróty, które brzmią strasznie, ale w praktyce odpowiadają na proste pytania: ile danych stracisz i jak długo firma stoi po awarii. Warto je znać, żeby wybrać backup dopasowany do Twojej firmy.

RPO: ile danych mogę stracić?

Recovery Point Objective, czyli po prostu: ile pracy tracę? RPO = 1 godzina → backup co godzinę → stracisz max 1h pracy.
Typowe wartości: mała firma: 24h (backup nocny). Firma z ERP: 1-4h. E-commerce: 15 min.

RTO: jak szybko muszę wrócić do pracy?

Recovery Time Objective, czyli: jak szybko wracam do działania? RTO = 4 godziny → po awarii musisz działać w ciągu 4h.
Typowe wartości: mała firma: 8-24h. Firma z ERP: 2-4h. E-commerce: 30 min-1h.

Na osi czasu wygląda to tak: od ostatniego backupu do awarii liczysz RPO (ile danych stracisz), od awarii do pełnego przywrócenia liczysz RTO (czas do przywrócenia). Przy RPO = 1h i RTO = 4h backup robi się co godzinę, a po awarii wracasz do pracy w ciągu 4 godzin.

Im niższe RPO i RTO chcesz mieć, tym więcej zapłacisz, ale nie zawsze musisz celować w zero. Backup raz na dobę (RPO 24h) jest tani, choć stracisz cały dzień pracy. Replikacja w czasie rzeczywistym daje RPO bliskie zeru, ale wymaga dedykowanej infrastruktury. Klucz? Znaleźć równowagę między kosztem backupu a kosztem przestoju. Chętnie pomogę Ci to policzyć.

Checklist: czy Twój backup jest bezpieczny?

Przejdź przez te 10 pytań. Każde „tak” to punkt dla Ciebie. Każde „nie” to coś, nad czym warto się pochylić.

1
Czy robisz backup codziennie (automatycznie, nie ręcznie)?
Ręczne kopiowanie na pendrive raz na tydzień to nie backup.
2
Czy masz kopię poza siedzibą firmy (chmura, drugie biuro)?
Backup na dysku obok serwera nie przeżyje pożaru ani ransomware.
3
Czy kiedykolwiek testowałeś przywracanie z backupu?
Backup, którego nie da się przywrócić, nie istnieje.
4
Czy backup obejmuje WSZYSTKIE krytyczne dane (serwer, ERP, poczta, pliki)?
Backup samych plików bez bazy ERP oznacza, że po awarii odtworzysz dokumenty, ale nie faktury.
5
Czy backup jest zaszyfrowany?
Niezaszyfrowany backup w chmurze to wyciek danych czekający na okazję.
6
Czy masz kopię offline (air-gapped, niedostępną z sieci)?
Ransomware szyfruje wszystko w sieci, włącznie z NAS-em podłączonym do LAN.
7
Czy wiesz, jakie masz RPO i RTO?
Jeśli nie wiesz, ile danych stracisz i ile potrwa odtwarzanie, nie masz strategii.
8
Czy backup Microsoft 365 / poczty jest robiony osobno?
Microsoft nie robi pełnego backupu Twoich danych. Usunięte maile znikają po 30 dniach.
9
Czy dostajesz powiadomienia o błędach backupu?
Backup, który cicho przestał działać 3 miesiące temu, to brak backupu.
10
Czy ktoś jest odpowiedzialny za monitoring backupu?
Backup bez nadzoru to tykająca bomba.

Test odtworzenia krok po kroku

Prosty test zajmuje około godziny i warto go robić raz na kwartał. Możesz zrobić go sam albo zlecić, ale wynik zapisz.

1
Wybierz, co odtwarzasz
Losowy folder z serwera plików i bazę programu, na którym pracuje firma (Optima, Subiekt, enova). Za każdym razem inny folder.
2
Odtwórz w inne miejsce
Do osobnego folderu albo na maszynę testową, nigdy w miejsce oryginału. Pomyłka przy teście nie może nadpisać dzisiejszych danych.
3
Otwórz i sprawdź
Otwórz kilka plików. Bazę podłącz do programu, zaloguj się i sprawdź, czy są w niej dokumenty z dnia kopii. Plik, który się odtworzył, ale nie chce się otworzyć, oznacza nieudany test.
4
Zmierz czas
Zapisz, ile trwało odtworzenie, i porównaj z tym, jak długo firma może stać (RTO). Jeśli baza wraca 6 godzin, a firma wytrzyma 2, trzeba zmienić sposób robienia kopii.
5
Zapisz wynik
Data, co odtwarzałeś, z której kopii, ile to trwało i kto sprawdzał. Firmie objętej ustawą o KSC taki rejestr pomaga pokazać, że plany odtworzenia są testowane, czego wymaga art. 8 ust. 1 pkt 2 lit. f.^[20]
6
Raz w roku: cały serwer
Odtwórz cały serwer albo maszynę wirtualną na innym sprzęcie. Dopiero wtedy wiesz, ile trwa powrót po pożarze albo ataku.

Z mojego doświadczenia

Przez lata konfigurowałem backup w firmach każdej wielkości, od 5-osobowych biur rachunkowych po firmy ze 150 stanowiskami i wieloma lokalizacjami. Kilka historii, które dobrze pokazują, na co uważać:

90% firm nie testuje odtwarzania z backupu

Największy i najczęstszy grzech. Firma ma Veeam, NAS, wszystko skonfigurowane, ale nikt nigdy nie sprawdził, czy odtworzenie faktycznie działa. U jednego klienta okazało się, że backup bazodanowy Comarch Optima zapisywał uszkodzone pliki od 4 miesięcy. Gdyby serwer padł, strata danych za cały kwartał. Teraz u każdego klienta robię test odtwarzania co kwartał.

Backup na NAS w tej samej serwerowni to nie backup offsite

Widzę to regularnie: serwer i NAS stojące na tej samej półce. Pożar, zalanie, przepięcie: tracisz oba naraz. Klient z branży budowlanej stracił tak dokumentację projektu za 2 lata. Serwer i NAS zalane, obie kopie zniszczone. Od tego czasu zawsze konfiguruję replikację do chmury jako trzecią kopię.

Ransomware szyfruje też podłączonego NAS-a

Częsty błąd: NAS zamontowany jako dysk sieciowy (Z:\) widoczny dla wszystkich komputerów. Ransomware szyfruje wszystko, do czego ma dostęp, włącznie z mapowanymi dyskami. Rozwiązanie: backup przez dedykowane konto z oddzielnym hasłem, NAS niedostępny dla użytkowników jako dysk sieciowy, plus osobna kopia air-gapped.

Microsoft 365: backup nie jest wliczony

Klient, kancelaria prawna (15 osób), usunął przypadkowo folder na SharePoincie z dokumentami klienta. Po 90 dniach Microsoft usunął go z kosza na zawsze. Odzyskanie? Niemożliwe. Microsoft jasno mówi w swoich warunkach: backup danych to odpowiedzialność użytkownika. Od tamtej pory konfiguruję Veeam for M365 każdemu klientowi na Microsoft 365.

Koszt backupu vs koszt braku backupu

Pełny backup 3-2-1 dla firmy 20-osobowej to ok. 300-600 zł miesięcznie (NAS + chmura + darmowy Veeam). Jeden dzień przestoju po ransomware? 10 000-50 000 zł w utraconej produktywności, plus koszt odtwarzania, plus utrata reputacji. Widziałem firmę, która zapłaciła 80 000 zł za odzyskanie danych z zaszyfrowanych dysków, a wynik nie był 100%. Backup za 400 zł/mies. by temu zapobiegł. Jeśli nie wiesz, od czego zacząć, odezwij się, pomogę Ci to zaplanować.

NIS2: regulacje, które wymuszają backup

Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o KSC, którą Polska wdrożyła dyrektywę NIS2. Jeśli Twoja firma działa w jednym z objętych sektorów, ustawa wymaga planów ciągłości działania i odtworzenia systemów - wdrożonych, opisanych i testowanych.^[20]^[12]^[13]

Kogo dotyczy: firm powyżej 50 pracowników lub 10 mln EUR obrotu w 18 sektorach (energetyka, transport, produkcja, żywność, chemia, IT, zdrowie).
Co musisz mieć: politykę backupu, plan ciągłości działania i plan odtworzenia z testami, procedury obsługi incydentów.
Kary: do 10 mln euro albo 2% przychodów dla podmiotów kluczowych (liczy się wyższa kwota) i do 7 mln euro albo 1,4% przychodów dla podmiotów ważnych. Organ nadzoru może ukarać też osobiście kierownika firmy.
Terminy: obowiązki trzeba wdrożyć do 3 kwietnia 2027 r. Wniosek o wpis do wykazu składasz według harmonogramu ministra cyfryzacji, a kary organy mogą nakładać dopiero od 3 kwietnia 2028 r.^[20]
Łańcuch dostaw: jeśli dostarczasz sprzęt, oprogramowanie albo usługi IT firmie objętej ustawą, klient może wpisać wymagania do umowy, bo ustawa każe mu zadbać o bezpieczeństwo dostawców IT. Inni dostawcy też mogą dostać ankietę o zabezpieczeniach, ale wtedy to wymóg klienta, nie ustawy.

Oblicz, ile miejsca potrzebujesz na backup

Przygotowałem kalkulator backup 3-2-1, który oblicza potrzebną pojemność, koszt chmury i czas odtwarzania na podstawie Twoich danych: ilość serwerów, rozmiar baz, retencja, RPO. Wpisz swoje dane i zobacz, ile to kosztuje. Pełny koszt IT w firmie policzysz w tekście etat czy outsourcing.

Zobacz, jak to wygląda w praktyce

Backup w stałej opiece

Konfiguracja, monitoring i testowane przywracanie, kopie sprawdzane co miesiąc, od 1200 zł/mies.

Co obejmuje opieka

Umów rozmowę Kalkulator backup 3-2-1

Najczęstsze pytania

Co to jest zasada backup 3-2-1?

Zasada 3-2-1 to standard tworzenia kopii zapasowych: przechowuj 3 kopie danych, na 2 różnych nośnikach (np. NAS + chmura), z czego 1 kopia poza siedzibą firmy. Dzięki temu nawet pożar, kradzież czy ransomware nie zniszczy wszystkich kopii jednocześnie.

Ile kosztuje backup 3-2-1 w małej firmie?

Dla firmy 20-osobowej pełny backup 3-2-1 to ok. 300-600 zł miesięcznie: NAS w biurze, kopia w chmurze i darmowa wersja Veeam. Największy koszt to nie sprzęt, tylko czas na wdrożenie i regularne testy odtwarzania. Dla porównania: jeden dzień przestoju po utracie danych to zwykle 10 000-50 000 zł utraconej pracy.

Jak często testować backup?

Backup należy testować minimum raz na kwartał: pełne odtworzenie testowe na oddzielnym środowisku. Samo sprawdzenie, czy zadanie backupu się zakończyło, nie wystarczy. Dopiero próba przywrócenia danych potwierdza, że backup naprawdę działa i dane są kompletne.

Czy Microsoft 365 robi backup za mnie?

Nie. Microsoft nie robi pełnego backupu Twoich danych w Microsoft 365, to odpowiedzialność użytkownika. Usunięte maile, pliki z SharePointa czy OneDrive znikają bezpowrotnie po 30-93 dniach. Potrzebujesz osobnego narzędzia (np. Veeam for Microsoft 365), żeby mieć własną kopię.

Co to jest backup offsite i jaki sposób wybrać?

Backup offsite to kopia danych trzymana poza firmą: w chmurze, na drugim NAS w innym budynku albo na dyskach wymiennych zabieranych z biura. Chroni przed pożarem, kradzieżą i ransomware, który szyfruje wszystko w sieci. Dla większości małych firm najprostsza jest chmura, np. Backblaze B2 za 6,95 USD za 1 TB miesięcznie.

Jak zabezpieczyć backup przed ransomware?

Trzymaj co najmniej jedną kopię niezmienną albo offline: niezmienne migawki na NAS (Synology od DSM 7.2), chmurę z blokadą obiektów (np. Backblaze B2 z Veeam) albo dysk odłączany od sieci. Do tego osobne konto do backupu i logowanie z drugim składnikiem, bo napastnicy przy atakach ransomware zwykle próbują najpierw usunąć kopie.

Jak sprawdzić, czy backup da się odtworzyć?

Raz na kwartał odtwórz losowy folder i bazę programu w inne miejsce niż oryginał, otwórz pliki, podłącz bazę do programu i sprawdź dokumenty z dnia kopii. Zmierz czas i zapisz wynik. Raz w roku odtwórz cały serwer na innym sprzęcie.

Źródła

backup
ransomware
bezpieczeństwo
NIS2

Autor

Michał Pietruczyk

Ponad 12 lat w IT, od banku, przez Kancelarię Prezydenta RP, do własnej firmy. Outsourcing IT dla firm, które nie mogą sobie pozwolić na przestoje. Na co dzień zajmuję się obsługą informatyczną firm w Warszawie i okolicach. Kwoty mam wypisane wprost: ile kosztuje stała opieka IT.

Poznaj mnie lepiej

Backup 3-2-1: narzędzia, ceny i test odtwarzania