Forestil jer, at 20 håndværkere står på pladsen kl. 07.00, og ingen kan åbne de nyeste tegninger. Serveren i skurvognen er krypteret, og jeres backup er slettet af den samme hacker. Det scenarie er ikke teoretisk længere – og en gennemtænkt backup løsning til SMV er forskellen på et par timers forsinkelse og et projekt, der ryger i knæ. Her får I en konkret beslutningsramme til at sikre både M365-data og tunge BIM-filer.

Key takeaways

• Standard cloud-backup er ikke nok. Vælg immutable (skrivebeskyttet) backup, så hackeren ikke kan slette jeres kopier.
• Microsoft sikrer ikke jeres CAD-filer. M365-backup dækker kun data i skyen – tunge projektfiler kræver en separat plan.
• Regn jeres RTO ud i mandetimer. Én times stilstand for et sjak koster mere end et års backup-abonnement.
• Test jeres restore. Uden dokumenterede restore-tests er I hverken sikre eller NIS2-compliant.
• Backup vinder udbud. Hovedentreprenører kræver dokumenteret backup-procedure før kontraktindgåelse.

Hvorfor er byggebranchen et yndet mål for ransomware?

Byggebranchen har den højeste rate af datakryptering under angreb – over 70 % ifølge Sophos: The State of Ransomware in Construction 2026. Årsagen er enkel: mange underleverandører, decentrale byggepladser og stramme deadlines skaber blinde vinkler og høj betalingsvillighed. Når en aflevering nærmer sig, betaler man hurtigere for at få tegningerne tilbage.

Center for Cybersikkerhed vurderer truslen fra destruktive cyberangreb mod danske SMV’er som „Meget Høj“ og anbefaler offline eller immutable backups som primært forsvar (CFCS, 2026). Problemet er, at almindelig backup ikke længere holder: I 76 % af ransomware-angreb forsøger hackerne bevidst at slette backuppen først (Veeam Data Protection Trends Report 2026).

Byggepladsens hybride mareridt: M365 i skyen, CAD i skurvognen

De fleste byggevirksomheder kører et delt setup. Administration, mail og dokumenter ligger i Microsoft 365, mens tunge BIM- og CAD-filer og droneoptagelser ligger på en lokal NAS eller server tæt på pladsen. De to verdener kræver hver sin plan.

Microsoft har udrullet en hurtig native backup direkte i M365-infrastrukturen. Den er god til at genskabe SharePoint, OneDrive og Exchange – men den dækker ikke data uden for M365. Jeres 4 GB revit-model på NAS’en i skurvognen er stadig jeres eget ansvar.

Sådan håndterer I de tunge filer uden at dræbe forbindelsen

På en byggeplads med dårligt net er fuld cloud-backup af BIM-filer sjældent realistisk. Brug i stedet inkrementel backup, der kun sender ændringer, og en lokal kopi der synkroniseres til Azure, når forbindelsen tillader det.

Før: Hele CAD-mappen kopieres hver nat, forbindelsen sander til, og natten løber ud, før jobbet er færdigt.
Efter: Kun ændrede blokke sendes offsite. Backupvinduet falder fra 9 timer til under 40 minutter, og pladsen har fuld båndbredde igen fra morgenstunden.

Hvad koster nedetid? Sådan beregner I jeres backup-budget (RTO/RPO)

To begreber styrer valget:

• RTO (Recovery Time Objective): Hvor hurtigt skal data være tilbage? Målt i tid.
• RPO (Recovery Point Objective): Hvor meget arbejde må I miste? Målt i tid siden sidste backup.

Oversæt det til kroner: Står 20 håndværkere stille i én time á 450 kr., er det 9.000 kr. i tabt tid – før dagbøder og forsinket aflevering. Kan I ikke arbejde en hel dag, taler vi hurtigt om et sekscifret beløb. Sæt det tal op mod prisen på en ordentlig løsning, og budgettet giver sig selv. Virksomheder, der automatiserer recovery, sparer i gennemsnit 40 % i nedetidsomkostninger (IBM Cost of a Data Breach Report 2025/2026).

Tjekliste: 3-2-1-1-0 reglen for 2026

Den gamle 3-2-1 regel er ikke længere nok. CISA anbefaler nu 3-2-1-1-0 (CISA, Secure by Design). Brug den som minimumskrav:

1. 3 kopier af jeres data – én produktion, to backups.
2. 2 forskellige medier – fx lokal disk og skylager.
3. 1 offsite – en kopi væk fra byggepladsen og kontoret.
4. 1 immutable/offline – skrivebeskyttet kopi, som ingen (heller ikke en admin) kan slette eller ændre.
5. 0 fejl ved restore-test – verificeret og dokumenteret.

Det femte punkt er det, de fleste springer over. En backup, der ikke er testet, er ikke en backup – det er et håb.

Hvad kræver NIS2 og hovedentreprenøren af jer?

Selv hvis I ikke er direkte omfattet af NIS2, rammes I via leverandørkæden. Hovedentreprenører og offentlige bygherrer kræver i stigende grad dokumenterede IT-sikkerhedsgarantier – inklusive backup-procedurer – før de skriver kontrakt (DI Byggeri). Backup er blevet et konkurrenceparameter.

EU’s egne retningslinjer kræver en dokumenteret Business Continuity Plan, og tilsyn beder nu om logfiler over succesfulde restore-tests – ikke kun backup-rapporter (ENISA, NIS2 Implementation Guidelines for SMEs). Se det som en del af jeres samlede compliance-arbejde.

Før: I krydser af i udbudsmaterialet, at „der tages backup“.
Efter: I vedlægger en restore-testlog og en BCP – og skiller jer positivt ud fra de underleverandører, der ikke kan dokumentere noget.

Hvordan vælger I mellem Microsoft 365-backup og tredjepart?

Microsofts native backup er hurtig og enkel til rene M365-miljøer. Men den binder jer til Microsofts platform og dækker ikke lokale filer. Tredjepartsløsninger som Veeam eller Acronis kan samle M365 og lokal NAS i én konsol med immutable lagring – typisk leveret som Backup-as-a-Service (BaaS), der nu udgør over halvdelen af SMV-markedet (Gartner, 2026).

Beslutningsregel: Har I kun data i M365, kan native backup række. Har I tunge filer på lokal server – hvilket de fleste byggevirksomheder har – så vælg en løsning, der dækker begge dele og giver jer immutable kopier. De fleste vil hellere købe det som en SLA end drifte det selv.

Ofte stillede spørgsmål om backup løsning til SMV

Er Microsoft 365’s papirkurv ikke backup nok?

Nej. Papirkurven holder kun slettede filer i en begrænset periode og beskytter ikke mod ransomware eller en medarbejder, der sletter en hel mappe for tre måneder siden. I skal have en selvstændig backup af jeres M365-data.

Hvad er immutable backup, og hvorfor er det vigtigt?

Immutable betyder skrivebeskyttet: dataene kan ikke ændres eller slettes i en fastsat periode – heller ikke af en hacker med admin-rettigheder. Da 76 % af angreb forsøger at slette backuppen, er det jeres eneste sikre livline efter et angreb.

Hvor ofte skal vi teste vores restore?

Mindst hvert kvartal, og altid efter større ændringer i jeres IT. Dokumentér hver test med dato og resultat – det er både god drift og et NIS2-krav.

Kan vi backe tunge BIM-filer op over et dårligt net på pladsen?

Ja, med inkrementel backup der kun sender ændringer, og en lokal kopi der synkroniseres til skyen, når båndbredden tillader det. Undgå fuld daglig kopiering af hele modellen over pladsens forbindelse.

Hvad koster en backup-løsning for en byggevirksomhed?

Prisen afhænger af datamængde og RTO-krav, men sæt den op mod nedetid: står et sjak stille en dag, koster det ofte mere end et helt års backup. Regn jeres timeløn ud først – så bliver budgettet let at forsvare.

Er vi omfattet af NIS2 som underleverandør i byggeriet?

Måske ikke direkte, men I rammes indirekte, når hovedentreprenører og offentlige bygherrer kræver dokumenteret backup og sikkerhed før kontrakt. Behandl det som et krav uanset jeres formelle status.

Skal vi vælge Microsofts backup eller en tredjepartsløsning?

Har I kun M365-data, kan Microsofts native backup række. Har I lokale CAD/BIM-filer, vælg en tredjepartsløsning der dækker både sky og lokal server med immutable kopier.

Kom videre: konkrete skridt

1. Kortlæg jeres data. List hvad der ligger i M365, og hvad der ligger på lokale servere og pladser.
2. Beregn RTO/RPO i kroner. Gang antal medarbejdere med timeløn for at sætte tal på en times og en dags stilstand.
3. Auditér nuværende backup mod 3-2-1-1-0. Marker hvor I mangler immutable kopier eller offsite.
4. Kør en restore-test nu. Genskab en tilfældig fil og en hel mappe, og dokumentér resultatet.
5. Vælg model. Beslut jer for native M365-backup, hybrid eller fuld BaaS ud fra jeres datatyper.
6. Book et backup-tjek. Få en second opinion på jeres IT-sikkerhed og drift, før næste udbud stiller kravet.