Większość właścicieli małych firm myśli o backupie dokładnie jeden raz — gdy traci dane. Do tego momentu temat wydaje się zbędnym kosztem albo zajęciem „dla firm z dużym IT”. Tymczasem według badań co trzecia firma traci dane przez awarię sprzętu, a co trzecia przez błąd pracownika — niezależnie od wielkości. Ransomware, który szyfruje wszystko w sieci, wcale nie omija małych firm: ataki na ten segment rosły w tempie 37% rok do roku w 2025 roku, a po skutecznym ataku firmy potrzebują od dwóch do trzech tygodni na wznowienie normalnej pracy.
Dobra wiadomość: zbudowanie sensownego systemu kopii zapasowych nie wymaga ani działu IT, ani wielotysięcznego budżetu. Wymaga natomiast zrozumienia kilku podstawowych zasad i wyboru odpowiednich narzędzi. W tym poradniku pokażemy, jak działa reguła 3-2-1-1-0, czym różni się NAS od chmury, ile naprawdę kosztuje backup dla firmy z 5–30 osobami i co wynika z RODO i NIS2 dla każdego przedsiębiorcy — niezależnie od branży.
Dlaczego firmy tracą dane — i dlaczego “nas to nie dotyczy” to najgroźniejsza postawa
Dane giną przez trzy główne powody. Awarie sprzętowe odpowiadają za około 30% przypadków — dyski twarde mają ograniczoną żywotność, a statystycznie co piąty dysk w środowisku firmowym zawodzi w ciągu czterech lat. Błędy ludzkie (przypadkowe usunięcie pliku, nadpisanie folderu, błędna aktualizacja bazy danych) stanowią kolejne 30%. Reszta to cyberataki — ransomware rośnie najszybciej.
Typowy scenariusz numer jeden: pracownik usuwa folder projektu myśląc, że przenosi go w inne miejsce. Uświadamia sobie błąd po dwóch dniach. W firmie bez backupu oznacza to odtworzenie pracy z głowy — o ile w ogóle jest to możliwe.
Typowy scenariusz numer dwa: dysk NAS w biurze pada bez ostrzeżenia. Firma miała na nim bieżące projekty, faktury i bazę klientów. Odzysk danych przez zewnętrzne laboratorium kosztuje od 3 000 do 20 000 zł i trwa 2–4 tygodnie — bez gwarancji skuteczności.
Typowy scenariusz numer trzy: ransomware trafia do sieci przez zainfekowany załącznik e-mail. Szyfruje wszystko: pliki lokalne, zasoby sieciowe, a — jeśli backup jest podłączony do sieci — również kopie zapasowe. Nowoczesne złośliwe oprogramowanie celowo szuka i usuwa lokalne snapshoty przed uruchomieniem szyfrowania.
Szacunki branżowe dla polskich firm klasy MŚP mówią o kilku tysiącach złotych kosztów przestoju za każdą godzinę, gdy firma nie może pracować — i to bez uwzględnienia kosztów odtworzenia danych ani utraty zaufania klientów. Po ataku ransomware typowy czas przywrócenia normalnej działalności wynosi 14–21 dni, nawet gdy firma zdecyduje się zapłacić okup.
Dane, które MŚP traci najczęściej, to nie „jakieś pliki”, lecz konkretne zasoby krytyczne dla codziennej operacji: baza klientów i historia zamówień w CRM, folder z fakturami wystawionymi i otrzymanymi za bieżący rok, wyceny i projekty w toku, aktualne stany magazynowe. Przerwa w dostępie do tych zasobów na kilka dni skutkuje zatrzymaniem sprzedaży, niemożnością wystawienia faktury czy brakiem dostępu do historii kontaktów z klientami — a każdy z tych scenariuszy ma bezpośrednie przełożenie na przychód.
Ważne jest też coś, o czym wielu właścicieli nie myśli: dane w chmurze nie są automatycznie zabezpieczone. Pliki w Dropboksie, OneDrivie czy Dysku Google są synchronizowane — jeśli złośliwe oprogramowanie zaszyfruje je lokalnie, chmura zsynchronizuje zaszyfrowane wersje. Historia wersji może pomóc, ale jest ograniczona w czasie (typowo 30–180 dni, zależnie od planu) i wymaga ręcznej interwencji przy dużej liczbie plików.
Reguła 3-2-1: fundament, który każda firma musi znać
Reguła 3-2-1 to najprostszy przepis na bezpieczny backup. Mówi: trzymaj trzy kopie danych, na dwóch różnych rodzajach nośników, z jedną kopią poza siedzibą firmy.
Rozbijmy to na praktyczny sens:
- 3 kopie — oryginalne dane plus dwa backupy. Jeśli jeden backup się psuje (a to się zdarza), masz jeszcze jeden.
- 2 nośniki — na przykład dysk wewnętrzny i NAS, albo NAS i chmura. Jeden rodzaj awarii nie może zniszczyć wszystkiego.
- 1 kopia off-site — poza biurem. Pożar, zalanie, włamanie, power surge — żadna z tych katastrof nie powinna dotknąć jednocześnie danych na produkcji i ich kopii.
Dlaczego klasyczna 3-2-1 nie wystarczy w 2026 roku
Reguła 3-2-1 powstała, zanim ransomware stał się codziennością. Nowoczesne złośliwe oprogramowanie potrafi przez tygodnie zbierać dane (kradnie je przed zaszyfrowaniem — ten model to tzw. double extortion), po czym jednym poleceniem szyfruje wszystkie podłączone zasoby, włącznie z NAS-em w tej samej sieci.
Dlatego branżowy standard przesunął się do reguły 3-2-1-1-0:
- +1 kopia immutable (niezmienialność) — kopia, której nie można nadpisać ani usunąć nawet przez admina z pełnymi uprawnieniami. Synology, QNAP i chmurowe storage’y (Backblaze B2, Amazon S3) oferują tryb immutable/write-once. Ustawiony minimalny okres retencji (np. 14 dni) gwarantuje, że ransomware nie skasuje tej kopii nawet po przejęciu konta.
- +0 błędów — backup przetestowany automatycznie przez regularne próby odtworzenia. Badania pokazują, że znaczna część kopii zapasowych po prostu nie działa przy odtwarzaniu — i o tym dowiadujemy się dokładnie w najgorszym momencie.
Ta jedna cyfra “0” jest najważniejsza w całej regule: backup, którego nigdy nie testowałeś, to iluzja bezpieczeństwa.
Gdzie trzymać kopie: NAS, chmura i dlaczego jednego nie wystarczy
Lokalne NAS — szybkość i kontrola
NAS (Network Attached Storage) to dedykowane urządzenie z dyskami, podłączone do sieci firmowej. Firmy klasy MŚP najczęściej sięgają po Synology lub QNAP — oba producenci oferują sprzęt z wbudowanym oprogramowaniem do zarządzania backupem (Synology Active Backup, Hyper Backup).
Zalety: odtworzenie danych jest szybkie (dziesiątki GB w minutach, nie godzinach), nie ma opłat za transfer, pełna kontrola nad danymi. Wady: nie chroni przed katastrofami fizycznymi w biurze (pożar, zalanie), a jeśli NAS jest stale w sieci — ransomware go dosięgnie.
Koszt wejścia: podstawowe NAS Synology (2 kieszenie, 2× 4 TB) to koszt od ok. 1 800–2 500 zł za urządzenie plus cena dysków (~600–900 zł/dysk za business-grade HDD). Łącznie startujemy od ok. 3 000–4 500 zł jednorazowej inwestycji.
Chmura — off-site bez wysiłku
Backup chmurowy rozwiązuje problem fizycznej lokalizacji. Dane trafiają do centrum danych w innym miejscu na świecie, automatycznie, bez udziału pracownika.
Popularne rozwiązania:
- Backblaze B2 — jeden z najtańszych wiarygodnych cloud storage’ów: ok. 6 USD (~25 zł) za 1 TB miesięcznie. Natywna integracja z Synology (Hyper Backup + Cloud Sync). Cennik oparty czysto na zużyciu — bez opłat za urządzenie, bez minimalnych pakietów.
- Amazon S3 / Google Cloud Storage — droższa alternatywa, ale z globalną infrastrukturą i zaawansowaną możliwością immutability (S3 Object Lock). Dla firm, które już korzystają z ekosystemu AWS/GCP.
- Synology C2 — chmura Synology zintegrowana z ich NAS-em. Wygodna dla firm, które mają już ich sprzęt.
Koszt dla 500 GB danych firmowych: ok. 15–20 zł/mies. w Backblaze B2. Przy 2 TB — ok. 50 zł/mies.
Ostrzeżenie: Microsoft 365 i Google Workspace nie są backupem. Obie platformy oferują synchronizację plików i 30-dniowy kosz, ale nie zapewniają odtworzenia punkt-w-czasie (point-in-time recovery). Jeśli pracownik usunie 200 plików poza tym oknem albo malware je zmieni, nie ma możliwości odtworzenia poprzednich wersji. Backup M365/Workspace wymaga osobnego narzędzia — np. Synology Active Backup for M365 (bezpłatny dla posiadaczy NAS Synology) lub rozwiązań chmurowych.
Rekomendacja dla MŚP: hybryda
Optymalna architektura dla firmy 5–30 osób to: NAS w biurze (szybkie odtworzenie bieżących plików) + chmura off-site (zabezpieczenie przed katastrofą fizyczną) + immutability na warstwie chmurowej.
To realizuje regułę 3-2-1-1-0 w praktyczny sposób, bez skomplikowanej infrastruktury.
Ile to kosztuje — trzy warianty dla firm różnej wielkości
Poniższe szacunki obejmują inwestycję jednorazową w sprzęt/konfigurację oraz koszt miesięczny przechowywania. Nie uwzględniają czasu pracy wewnętrznego — jeśli firma zleca konfigurację zewnętrznemu IT, doliczyć 1–3 roboczodniówki.
| Wariant | Dla kogo | Koszt startowy | Koszt miesięcznie |
|---|---|---|---|
| Chmura tylko | Firma 1–5 os., dane <500 GB | 0 zł | 20–80 zł |
| NAS + chmura | Firma 5–20 os., dane <2 TB | 4 000–7 000 zł | 50–200 zł |
| NAS + Veeam/Acronis + chmura | Firma 20–50 os., maszyny wirtualne | 15 000–30 000 zł | 200–500 zł |
Wariant “chmura tylko” sprawdza się dla freelancerów i mikrofirm: Google Drive Business Starter (30 GB) kosztuje ok. 25 zł/mies., Backblaze Personal Backup (nieograniczone, tylko jeden komputer) — ok. 90 zł/rok. Ograniczenia: wolne odtworzenie, brak backupu maszyn wirtualnych lub serwerów.
Wariant NAS + chmura to standard dla firmy z kilkoma stanowiskami. Synology Active Backup (bezpłatne dla posiadaczy NAS) obsługuje Windows, macOS, M365, maszyny wirtualne i serwery — wszystko z jednego panelu. Backup do chmury realizuje Hyper Backup z integracją Backblaze B2. Cały zestaw: ok. 5 000–7 000 zł inwestycji, potem ~100–200 zł/mies. za chmurę.
Porównanie z kosztem awarii: jeśli jeden dzień przestoju firmy kosztuje kilkadziesiąt tysięcy złotych (utracona sprzedaż, kary kontraktowe, odtworzenie danych ręcznie), to roczny koszt backupu rzędu 1 200–2 400 zł jest decyzją ekonomiczną — nie wydatkiem na bezpieczeństwo “bo trzeba”.
RODO i NIS2: backup to prawny obowiązek
Backup nie jest tylko dobrą praktyką — to wymóg prawny dla każdej firmy przetwarzającej dane osobowe.
RODO, art. 32 nakłada na administratora danych obowiązek wdrożenia środków technicznych zapewniających „zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego”. Brak backupu przy kontroli UODO może skutkować postępowaniem administracyjnym — Urząd Ochrony Danych Osobowych wielokrotnie nakładał kary właśnie za brak odpowiednich zabezpieczeń technicznych, nie tylko za wycieki.
NIS2, art. 21 (implementowana w Polsce przez ustawę o krajowym systemie cyberbezpieczeństwa) nakłada na podmioty kluczowe i ważne obowiązek opracowania i utrzymywania procedur tworzenia kopii zapasowych danych, a także planowania ciągłości operacyjnej na wypadek poważnego incydentu. Małe firmy rzadko wpadają w zakres NIS2 bezpośrednio, ale jako podwykonawcy firm kluczowych mogą być do tego zobligowane przez kontrakty.
Praktyczna konsekwencja: każda firma, która przetwarza dane klientów (a to robi praktycznie każda firma), powinna mieć udokumentowaną politykę backupu i dowód, że backup działa. Sam fakt posiadania dysku zewnętrznego to za mało — potrzebny jest harmonogram, log wykonania i dowód próby odtworzenia.
Piszemy szerzej o przechowywaniu dokumentów firmowych i terminach retencji danych w kontekście RODO w osobnym artykule: Przechowywanie dokumentów firmowych 2026 — ile lat i jakie zasady.
Warto też wspomnieć o ubezpieczeniu: od 2025 roku polisy cybernetyczne coraz częściej wymagają, by firma wykazała wdrożony backup jako warunek wypłaty odszkodowania po ataku ransomware. Brak udokumentowanego backupu może oznaczać odmowę ochrony. Więcej o tym, co obejmują cyberpolisy dla MŚP i kiedy faktycznie działają, opisujemy w artykule Cyberubezpieczenia dla MŚP 2026.
Pięć kroków do pierwszego backupu firmowego
1. Zinwentaryzuj dane krytyczne
Zanim wybierzesz narzędzie, odpowiedz na dwa pytania: co musisz odtworzyć w ciągu 4 godzin? (baza klientów, aktualne zamówienia, dane produkcyjne) i co możesz odtworzyć w ciągu 24–48 godzin? (archiwalne faktury, stare projekty, korespondencja). To pozwala dobrać częstotliwość i priorytety.
Typowa checklista dla MŚP:
- Baza danych CRM / systemu sprzedaży (gdzie mieszka — lokalnie na serwerze czy w chmurze vendora?)
- Pliki projektu — folder współdzielony, serwer plików, Teams/SharePoint
- Dane księgowe — program lokalne (np. Comarch ERP, Insert) vs. SaaS (wFirma, iFirma)
- Skrzynki pocztowe — Exchange / M365 / Gmail
- Strona firmowa — hosting + baza danych CMS
Najczęstszy błąd: firma backupuje serwer plików, ale zapomina o bazach danych CRM albo skrzynkach pocztowych w M365. Programy działające lokalnie (Comarch Optima, Insert GT) często przechowują dane w osobnym katalogu bazy danych SQL — wymaga to dedykowanego backupu bazy, nie tylko kopiowania katalogu programu.
2. Wybierz narzędzie pasujące do infrastruktury
- Tylko komputery Windows/macOS: Backblaze Personal Backup, Acronis True Image.
- Mały serwer lub NAS: Synology Active Backup, Veeam Community Edition (bezpłatny dla kilku VM).
- Microsoft 365 lub Google Workspace: wymagają osobnego rozwiązania — Synology Active Backup for Microsoft 365 lub chmurowe SaaS backup (np. Acronis Cyber Protect Cloud).
3. Ustal RTO i RPO
RPO (Recovery Point Objective) — maksymalna akceptowalna utrata danych: „stracę co najwyżej 1 dzień pracy”. Wyznacza częstotliwość backupu (dzienny = RPO 24h).
RTO (Recovery Time Objective) — maksymalny akceptowalny czas przywrócenia działania: „do 4 godzin od awarii musimy działać”. Wyznacza lokalizację backupu — NAS lokalny odtwarza szybciej niż pobieranie z chmury 2 TB danych przez łącze internetowe.
4. Przetestuj odtworzenie — natychmiast i regularnie
Skonfiguruj backup i od razu przetestuj odtworzenie wybranego pliku. Potem raz na kwartał wykonaj test odtworzenia całego folderu lub maszyny wirtualnej. Ustaw automatyczne alerty jeśli backup nie wykonał się w zaplanowanym oknie czasowym.
Backup bez testu odtworzenia to fałszywe poczucie bezpieczeństwa. Dobra praktyka: raz do roku przetestuj odtworzenie całego systemu na nowym urządzeniu — nie tylko pojedynczego pliku. To jedyny sposób, żeby sprawdzić, czy czas odtworzenia odpowiada Twojemu RTO.
5. Włącz immutability na kopii chmurowej
W Backblaze B2: włącz Object Lock i ustaw minimalny okres retencji 14 dni. W Synology Hyper Backup możesz skonfigurować niezmienialność snapshotów. To jedno ustawienie sprawia, że ransomware nie może usunąć Twojej kopii — nawet jeśli atakujący przejął dane logowania do konta.
Podsumowanie
Backup danych to jeden z nielicznych obszarów IT, gdzie koszt braku działania jest nieporównywalnie wyższy od kosztu wdrożenia. Reguła 3-2-1-1-0 daje prosty przepis: trzy kopie, dwa nośniki, jedna off-site, jedna immutable, zero błędów w testach. Dla firmy 5–20 osób realistyczny koszt całego rozwiązania (NAS + chmura + konfiguracja) to jednorazowo 5 000–8 000 zł i ok. 100–200 zł miesięcznie za chmurowy storage.
Wskazówka: nie zaczynaj od wyboru sprzętu — zacznij od listy danych, których utrata zatrzymałaby Twoją firmę na więcej niż jeden dzień. Ta lista wyznacza priorytety i realne wymagania znacznie skuteczniej niż jakikolwiek arkusz porównawczy narzędzi.
Jeśli rozważasz audyt bezpieczeństwa danych w swojej firmie i chcesz wiedzieć, gdzie są luki — chętnie to omówimy.