Backup w firmie 2026 – strategia 3-2-1, narzędzia i koszty wdrożenia

Backup w firmie – dlaczego to fundament bezpieczeństwa danych

Backup w firmie to najtańsze i najskuteczniejsze zabezpieczenie przed utratą danych – tańsze niż antywirus, EDR czy szkolenia z phishingu. W 2026 roku 76% organizacji zgłosiło co najmniej jeden incydent utraty danych w ciągu ostatnich 12 miesięcy, a co czwarta firma w Polsce padła ofiarą ransomware. Średni koszt naruszenia danych w Europie przekroczył 4,5 mln dolarów, a 76% organizacji nie przetrwałoby trzech dni przestoju. Dla małej firmy ułamek tych liczb oznacza koniec działalności.

Ten artykuł pokazuje, jak prawidłowo zaprojektować backup w firmie według strategii 3-2-1 i jej rozszerzonej wersji 3-2-1-1-0. Porównuje konkretne narzędzia (Acronis, Veeam, Synology) z aktualnymi cenami na 2026 rok, omawia parametry RPO i RTO, polskie chmury (OVH, Atman) jako miejsce składowania kopii oraz najczęstsze błędy, które unieważniają cały system. Wszystkie kwoty pochodzą z aktualnych cenników na rynku polskim.

Pełny kontekst bezpieczeństwa IT w małej firmie znajduje się w artykule Bezpieczeństwo IT w małej firmie 2026. Powiązane tematy: Cyberataki na firmy 2026 oraz System Zarządzania Bezpieczeństwem Informacji (SZBI).

Strategia 3-2-1 – klasyczny model backupu w firmie

Strategię 3-2-1 sformułował fotograf Peter Krogh w 2009 roku. Mimo upływu lat pozostaje obowiązującym minimum dla każdej firmy i jest potwierdzona przez każdy poważny standard bezpieczeństwa informacji – ISO 27001, NIST Cybersecurity Framework, wymagania RODO i NIS2.

Reguła 3-2-1 brzmi:

• 3 kopie danych – oryginał plus dwie kopie zapasowe
• 2 różne typy nośników – np. dysk wewnętrzny serwera lub SAN, plus dedykowane repozytorium NAS lub taśma
• 1 kopia poza siedzibą – kopia w chmurze, w drugiej lokalizacji firmy lub na fizycznym nośniku przechowywanym poza biurem

Dlaczego trzy kopie

Pojedyncza kopia chroni przed awarią dysku. Druga kopia chroni przed jednoczesną awarią dysku i systemu backupowego. Trzecia kopia (offsite) chroni przed pożarem, kradzieżą sprzętu, klęską żywiołową lub błędem ludzkim, który dotknął jednocześnie produkcję i lokalny backup.

Dlaczego dwa różne nośniki

Każdy nośnik ma typowe sposoby awarii. Dyski HDD w macierzach RAID padają seriami (po 3-5 latach pracy ciągłej w tej samej partii). Taśmy LTO są odporne na ransomware, ale wolne. Chmura jest szybka i odległa, ale zależna od dostawcy. Dwa różne typy nośników zmniejszają ryzyko, że jedno zdarzenie unieważni jednocześnie wszystkie kopie.

Dlaczego jedna kopia offsite

Pożar w serwerowni OVH w Strasburgu w 2021 roku spalił całe centrum danych SBG2 i część SBG1. Klienci, którzy zakładali, że dostawca chmurowy automatycznie robi backup, stracili dane bezpowrotnie. CEO OVH publicznie potwierdził: „Spłonęło, to jest moment, w którym musicie odtworzyć dane z własnych backupów”. Kopia offsite to jedyne zabezpieczenie przed scenariuszami klasy katastrofalnej.

Rozszerzony model 3-2-1-1-0 – jak ewoluował backup w firmie

W 2026 roku coraz więcej organizacji stosuje rozszerzoną zasadę 3-2-1-1-0:

• 3 kopie danych
• 2 różne nośniki
• 1 kopia offsite
• 1 kopia air-gapped lub immutable (niemodyfikowalna)
• 0 błędów weryfikacji – każdy backup jest testowo odtworzony

Model 3-2-1-1-0 powstał jako odpowiedź na ransomware. Klasyczny backup w firmie według reguły 3-2-1 przegrywał z atakami, w których atakujący najpierw szyfrował kopie zapasowe, a dopiero potem produkcję. Kopia immutable (np. AWS S3 Object Lock, Veeam Hardened Repository, Acronis Cloud z immutable storage) nie może być zmodyfikowana ani usunięta, nawet przez administratora z pełnymi uprawnieniami, przez zdefiniowany okres retencji. Kopia air-gapped (np. taśma LTO w sejfie) jest fizycznie odłączona od sieci.

Element „0 błędów” odnosi się do problemu, który niedawne badania nazwały krytycznym – 60% organizacji wierzy, że odtworzy dane w ciągu kilku godzin, ale tylko 35% kiedykolwiek przetestowało odtwarzanie. Backup w firmie, którego nigdy nie przywrócono, to nie backup, tylko nadzieja.

RPO i RTO – dwa parametry definiujące backup w firmie

Każdy plan backupu zaczyna się od decyzji o dwóch parametrach: ile danych można stracić i jak szybko trzeba odtworzyć systemy.

RPO – Recovery Point Objective

RPO to maksymalny dopuszczalny okres, z którego dane mogą zostać utracone w wyniku awarii. RPO = 1 godzina oznacza, że backup musi działać co najmniej co godzinę. RPO = 24 godziny pozwala na backup raz dziennie – typowo nocą.

Typowe wartości RPO dla różnych systemów:

• ERP, CRM, system fakturowy: RPO 1-4 godziny
• e-commerce z zamówieniami: RPO 15 minut – 1 godzina
• system pocztowy firmowy: RPO 1-4 godziny
• pliki użytkowników (dokumenty, projekty): RPO 24 godziny
• archiwum, dane historyczne: RPO 7 dni

RTO – Recovery Time Objective

RTO to maksymalny dopuszczalny czas od awarii do pełnego przywrócenia działania. RTO = 15 minut wymaga gorącego standby lub automatycznego failover. RTO = 24 godziny pozwala na klasyczny restore z taśmy lub chmury.

Typowe wartości RTO:

• system krytyczny dla działalności (ERP, kasa fiskalna w sklepie): RTO 15 minut – 2 godziny
• system biurowy (poczta, pliki): RTO 2-8 godzin
• system pomocniczy (intranet, baza wiedzy): RTO 24 godziny

Im niższe RPO i RTO, tym wyższy koszt backupu. Backup w firmie z RPO = 15 min i RTO = 30 min wymaga replikacji synchronicznej, hot standby i dedykowanej infrastruktury – koszt minimum 8 000-15 000 zł miesięcznie. Backup z RPO = 24 h i RTO = 24 h to rozwiązanie typu Synology + Acronis za 3 000-5 000 zł rocznie.

Backup w firmie – porównanie narzędzi (Acronis, Veeam, Synology)

Trzy narzędzia pokrywają większość rzeczywistych wdrożeń backupu w polskich małych i średnich firmach.

Acronis Cyber Protect

Acronis łączy backup z aktywną ochroną antywirusową w jednym agencie. Identyfikuje próby szyfrowania ransomware i blokuje je w czasie rzeczywistym, jednocześnie chroniąc same kopie zapasowe przed modyfikacją.

Cennik 2026:

• Acronis Cyber Protect Standard Workstation: ok. 350 zł / stanowisko / rok
• Acronis Cyber Protect Standard Server: ok. 2 400 zł / serwer / rok
• Acronis Cyber Protect Advanced VM Host: ok. 3 700 zł / host / rok

Acronis sprawdza się w firmach 5-50 stanowisk, gdzie liczy się prostota wdrożenia i jeden produkt zamiast osobnego antywirusa i osobnego backupu. Słabszy od Veeam w skomplikowanych środowiskach VMware z dziesiątkami maszyn wirtualnych.

Veeam Backup & Replication

Veeam dominuje w środowiskach wirtualizowanych – VMware vSphere, Microsoft Hyper-V, Nutanix AHV. Kluczowe funkcje to Instant VM Recovery (uruchomienie maszyny wirtualnej bezpośrednio z backupu w 2-5 minut), application-aware processing dla SQL Server, Exchange, SharePoint i Active Directory oraz immutable repository chroniące przed ransomware.

Cennik 2026 (model Veeam Universal License – VUL):

• Veeam Data Platform Foundation: od ok. 600 zł / instancja / rok
• Veeam Data Platform Advanced: od ok. 950 zł / instancja / rok
• Veeam Data Platform Premium: od ok. 1 400 zł / instancja / rok

W typowym środowisku 35 stanowisk + 2 serwery + 10 maszyn wirtualnych roczne koszty Veeam to 5 000-8 000 zł, bez uwzględnienia infrastruktury. Veeam ma sens przy 10+ maszynach wirtualnych, dedykowanym administratorze IT i wymaganiach regulacyjnych (ISO 27001, NIS2).

Synology Active Backup for Business

Synology to całkowicie inny model: jednorazowy zakup NAS-a, oprogramowanie Active Backup for Business za darmo, brak licencji per stanowisko czy per serwer. Jeden NAS zabezpiecza nielimitowaną liczbę stacji roboczych, serwerów fizycznych, maszyn wirtualnych VMware/Hyper-V oraz – co istotne dla MŚP – również Microsoft 365 i Google Workspace bez dodatkowych licencji.

Konfiguracja typowa (35 stanowisk + 2 serwery + 10 VM):

• Synology DS925+ (4 dyski): ok. 2 800 zł
• 4× WD Red Pro 8 TB lub Seagate IronWolf 8 TB: ok. 4 200 zł
• Konfiguracja, wdrożenie: 1 500-3 000 zł
• Razem rok 1: ok. 8 500-10 000 zł jednorazowo
• Lata 2-5: 0 zł (poza energią i ewentualną wymianą dysków)

Po 3 latach skumulowane oszczędności względem Veeam lub Acronis sięgają 12 000-23 500 zł. Synology to najlepszy wybór dla małych firm 10-50 stanowisk, które nie mają dedykowanego działu IT i potrzebują „postaw i zapomnij”.

Tabela porównawcza – kiedy które narzędzie

Cecha	Acronis	Veeam	Synology
Rozliczenie	subskrypcja roczna	subskrypcja per VUL	jednorazowy zakup
Koszt 35 stanowisk + 2 serwery + 10 VM (rok 1)	14 000-18 000 zł	6 000-8 000 zł + sprzęt	8 500-10 000 zł
Koszt rok 3 skumulowany	42 000-54 000 zł	18 000-24 000 zł + sprzęt	8 500-10 500 zł
Antywirus zintegrowany	✓	✗	✗
Instant VM Recovery	ograniczone	✓ (najlepsze na rynku)	✓ (przez Hyper Backup)
Microsoft 365 / Google Workspace	dodatkowa licencja	dodatkowa licencja	wliczone
Immutable storage	Acronis Cloud	Hardened Repo / Object Lock	Btrfs snapshots + Object Lock
Wymaga dedykowanego admina IT	nie	tak	nie
Najlepszy dla	5-50 stanowisk	10+ VM, środowisko ISO 27001	10-50 stanowisk, brak działu IT

Polskie chmury jako miejsce składowania kopii offsite

Trzecia kopia w strategii 3-2-1 to najczęściej chmura. Dla polskich firm ważne są dwa kryteria: lokalizacja danych w UE (RODO) oraz koszt na TB w długim okresie.

OVHcloud (centra danych w Warszawie i Strasburgu)

OVHcloud oferuje 500 GB darmowej przestrzeni backup do każdego serwera dedykowanego, możliwą do rozszerzenia do 10 TB. Obsługuje protokoły FTP, FTPS, NFS i CIFS, co pozwala podpiąć przestrzeń do Synology, Veeam lub Acronis bez dodatkowego oprogramowania.

Lekcja z pożaru w Strasburgu w 2021 r.: OVH nie zapewnia backupu w ramach standardowej usługi serwera dedykowanego. Klient musi sam skonfigurować kopię na osobnym serwerze backupowym, najlepiej w innym centrum danych OVH. Konfiguracja Warszawa → Strasburg lub odwrotnie zapewnia geograficzną redundancję w ramach jednego dostawcy.

Atman Backup as a Service

Atman to lider polskiego rynku data center. Atman Backup wykorzystuje oprogramowanie Commvault i obejmuje pełen zakres typów backupu: disk-to-disk, taśmowy, pełny, przyrostowy, snapshotowy. Dane są szyfrowane zarówno w transmisji, jak i w spoczynku. Lokalizacja: Warszawa, Centrum Danych Atman WAW-1.

Atman jest droższy od OVH i Synology C2, ale oferuje wyższe SLA, polskie wsparcie techniczne oraz dedykowanego inżyniera dla większych klientów. Sprawdza się przy backupie środowisk z bazami SQL, ERP i wymaganiami regulacyjnymi (sektor finansowy, medyczny, energetyczny – NIS2, DORA).

Synology C2 Backup for Business

Najtańsze rozwiązanie dla użytkowników Synology NAS. Cennik C2 Backup zaczyna się od ok. 30-50 zł / TB / miesiąc przy subskrypcji rocznej, z lokalizacją danych w Europie (Frankfurt). Integracja z Synology Hyper Backup pozwala na deduplikację, kompresję i szyfrowanie po stronie klienta – dane opuszczają firmę już zaszyfrowane.

Inne rozwiązania chmurowe

• AWS S3 + S3 Object Lock – immutable storage, deduplikacja po stronie klienta z Veeam, koszt ok. 0,023 USD / GB / miesiąc dla S3 Standard, taniej dla S3 Glacier (archiwum)
• Azure Blob Storage – integracja z Microsoft 365 i Active Directory, immutable blob storage, koszt zbliżony do AWS
• Backblaze B2 – tańszy niż AWS i Azure (ok. 0,005 USD / GB / miesiąc), popularny u MŚP, ale brak centrów danych w Polsce
• Wasabi – prosty cennik bez opłat za odzyskiwanie danych, lokalizacja Frankfurt

Backup w firmie krok po kroku – jak wdrożyć

Proces wdrożenia backupu w firmie ma sześć etapów, niezależnie od skali.

1. Audyt i klasyfikacja danych

Lista wszystkich systemów: serwery fizyczne, maszyny wirtualne, stacje robocze, urządzenia mobilne, dane w chmurze (Microsoft 365, Google Workspace, dropboxy zespołowe). Dla każdego systemu określa się: rodzaj danych, krytyczność biznesową, RPO, RTO, retencję (jak długo przechowywać kopie).

2. Wybór strategii i narzędzi

Decyzja: 3-2-1 czy 3-2-1-1-0, jakie narzędzie (Acronis / Veeam / Synology / mix), gdzie kopia offsite (chmura polska, hyperscaler, druga lokalizacja firmy). Dobór nośników: HDD do szybkiego odtwarzania, taśma LTO do długoterminowej archiwizacji.

3. Konfiguracja repozytoriów

Instalacja oprogramowania na serwerach lub stacjach. Konfiguracja połączeń ze źródłami danych (serwery plików, bazy SQL, Active Directory, Microsoft 365). Konfiguracja docelowych repozytoriów – lokalnych (NAS, SAN) i zdalnych (chmura, druga lokalizacja).

4. Polityki backupu

Zdefiniowanie zadań: co backupować, kiedy, jak długo przechowywać. Typowy harmonogram dla firmy 30-osobowej:

• backup pełny: niedziela 22:00, retencja 12 tygodni
• backup przyrostowy: poniedziałek-sobota 22:00, retencja 4 tygodnie
• snapshot godzinny krytycznych baz: codziennie 8:00-18:00, retencja 7 dni
• kopia offsite (chmura): codziennie 02:00, retencja 90 dni
• kopia archiwalna (taśma / immutable): miesięcznie, retencja 7 lat

5. Testy odtwarzania

Pierwszy test odtworzenia w ciągu 7 dni od wdrożenia. Następnie kwartalne testy odtwarzania pełnej maszyny, miesięczne testy odtwarzania pojedynczego pliku. Wynik każdego testu dokumentowany w rejestrze – bez tego krok „0″ w modelu 3-2-1-1-0 nie jest spełniony.

6. Dokumentacja Disaster Recovery

Plan DR opisuje: kto odtwarza systemy, w jakiej kolejności, z jakimi danymi kontaktowymi, gdzie są klucze szyfrujące, jak zweryfikować integralność po odtworzeniu. Dokument ma być dostępny offline (wydruk w sejfie + kopia w chmurze poza siecią firmową).

Pełen koszt wdrożenia backupu w firmie 30-osobowej w Polsce: 8 000-25 000 zł jednorazowo plus 200-1 500 zł miesięcznie. Średnia cena instalacji systemu backupu według polskich integratorów to ok. 2 500-6 000 zł plus oprogramowanie i sprzęt.

Najczęstsze błędy – co unieważnia backup w firmie

Lista błędów, które każdy z polskich administratorów IT zna z autopsji.

• Brak testów odtwarzania. 60% organizacji wierzy w odtworzenie w kilka godzin, 35% kiedykolwiek to przetestowało. Backup nigdy nie odtworzony to nie backup.
• Tylko jedna kopia, lokalna. Pożar, kradzież sprzętu, ransomware – każdy z tych scenariuszy unieważnia backup, który stoi obok produkcji.
• Hasła do backupu zapisane w tym samym systemie. Atakujący szyfruje całość, w tym repozytorium haseł. Klucze szyfrujące powinny być przechowywane offline (sejf, password manager z MFA, oddzielne konto).
• Backup z konta administratora domeny. Ransomware, który przejmuje konto admina, kasuje też backupy. Konto serwisowe backupu powinno mieć minimalne uprawnienia i nie być częścią Active Directory.
• Brak monitorowania. Backup, który zaczął się nie udawać 3 miesiące temu, jest tak samo bezużyteczny jak brak backupu. Codzienne raporty + alerty mailowe to minimum.
• Backup Microsoft 365 lub Google Workspace przez retencję dostawcy. Microsoft retention to nie backup – przy usunięciu z OneDrive po 93 dniach (lub krócej, jeśli zmieniono ustawienia) dane przepadają. Backup w firmie korzystającej z M365 wymaga osobnego narzędzia (Synology ABB, Veeam Backup for M365, Acronis).
• Brak immutability dla najnowszych kopii. Ransomware z 2024-2026 specjalnie szuka i kasuje backupy przed szyfrowaniem produkcji. Co najmniej jedna kopia musi być immutable lub air-gapped.
• Niezgłoszenie incydentu utraty danych do CERT Polska. Przy podejrzeniu cyberataku z naruszeniem danych osobowych obowiązuje też zgłoszenie do UODO w 72 godziny.

FAQ – backup w firmie 2026

Co to jest strategia 3-2-1 dla backupu w firmie? Strategia 3-2-1 to: 3 kopie danych, na 2 różnych nośnikach, z 1 kopią poza siedzibą firmy. To minimum potwierdzone przez ISO 27001, NIST i RODO. W 2026 roku coraz częściej rozszerzana do 3-2-1-1-0 (dodatkowa kopia immutable + zerowa tolerancja błędów odtwarzania).

Ile kosztuje backup w firmie 30-osobowej w Polsce? Synology + chmura: ok. 8 500-10 000 zł rok 1, 200-500 zł miesięcznie później. Acronis: 14 000-18 000 zł rocznie. Veeam: 6 000-8 000 zł rocznie + sprzęt 5 000-15 000 zł jednorazowo. Średnia cena wdrożenia przez polskiego integratora to 2 500-6 000 zł plus licencje.

Czy backup w chmurze publicznej wystarczy? Nie. Chmura to jedna z trzech kopii w strategii 3-2-1, a nie cały system. Pożar OVH w Strasburgu w 2021 r. pokazał, że klienci, którzy polegali wyłącznie na chmurze bez własnego backupu, stracili dane bezpowrotnie.

Jak często testować odtwarzanie backupu? Pierwszy test w ciągu 7 dni od wdrożenia. Następnie: pełna maszyna – kwartalnie, pojedynczy plik – miesięcznie, plan Disaster Recovery – raz w roku przy udziale całego zespołu. Każdy test dokumentowany w rejestrze testów.

Czy backup chroni przed ransomware? Tylko backup z immutable storage lub air-gap chroni przed ransomware z 2024-2026 roku, który celowo szuka i kasuje kopie zapasowe przed szyfrowaniem produkcji. Klasyczny backup 3-2-1 bez immutability może zostać zniszczony razem z produkcją.

Czy Microsoft 365 robi backup automatycznie? Nie. Microsoft retention chroni przed przypadkowym usunięciem przez 30-93 dni, ale to nie backup. Backup w firmie korzystającej z M365 wymaga osobnego narzędzia: Synology Active Backup for Microsoft 365 (wliczone w NAS), Veeam Backup for Microsoft 365 lub Acronis Cyber Protect Cloud.

Co to jest RPO i RTO? RPO (Recovery Point Objective) – maksymalny dopuszczalny czas, z którego można stracić dane (np. 1 godzina). RTO (Recovery Time Objective) – maksymalny dopuszczalny czas od awarii do odtworzenia (np. 4 godziny). Im niższe RPO i RTO, tym wyższy koszt backupu.

Czy backup w firmie wymaga zgodności z RODO? Tak. Backup zawierający dane osobowe podlega RODO. Wymagania: szyfrowanie kopii (zarówno w transmisji, jak i w spoczynku), kontrola dostępu, dokumentacja procesów, możliwość usunięcia danych konkretnej osoby (prawo do bycia zapomnianym) także z backupów po zdefiniowanym okresie retencji.

Czy taśma LTO jest jeszcze sensowna w 2026 roku? Tak, jako kopia archiwalna i air-gapped. LTO ma najniższy koszt na TB w długim okresie (poniżej 0,01 zł / GB rocznie), trwałość do 30 lat, fizyczny air-gap (taśma w sejfie jest offline). Sprawdza się przy retencji 7+ lat (wymóg księgowy), wymaganiach NIS2 i DORA oraz przy archiwum dużych zbiorów danych medycznych, prawniczych, projektowych.

cert.pl – CERT Polska, raporty roczne, zgłoszenia incydentów

uodo.gov.pl – decyzje UODO, wytyczne RODO dotyczące backupu

enisa.europa.eu – europejskie wytyczne cyberbezpieczeństwa, NIS2

nist.gov – NIST Cybersecurity Framework, oficjalne dokumenty

iso.org – oficjalna strona ISO 27001 i powiązanych norm