Backup av Microsoft 365: dette tar Microsoft vare på, og dette må bedriften sikre selv

Av Redaksjonen i Bedriftsabonnement.no · Publisert 4. oktober 2026 · Sist oppdatert 29. september 2026

Mange bedrifter tror at Microsoft tar backup av e-posten og filene deres. Det stemmer bare delvis. Microsoft 365 har papirkurv, versjonshistorikk og muligheten til å rulle OneDrive tilbake i tid, men fristene er korte, og alt ligger i den samme skyen som det skal beskytte. Slettet e-post kan som standard hentes fram i 14 dager etter at mappen for slettede elementer er tømt. Filer i papirkurven i SharePoint og OneDrive forsvinner etter 93 dager. Teams-meldinger har ingen papirkurv for vanlige brukere i det hele tatt.

Av redaksjonen i Bedriftsabonnement.no. Fristene og prisene er hentet fra Microsofts egen dokumentasjon på Microsoft Learn og fra leverandørenes produktsider. Rådene om sikkerhetskopi bygger på NSMs grunnprinsipper for IKT-sikkerhet. Alt er kontrollert 26. september 2026.

Kort fortalt

• Microsoft sier selv at kunden alltid har ansvaret for egne data, også i Microsoft 365. Tjenesten er bygget for å være tilgjengelig, ikke for å gjenopprette alt dere har slettet eller mistet.
• De innebygde fristene er 14 til 93 dager for det meste. Bilag og regnskapsmateriale skal etter bokføringsloven oppbevares i fem år.
• Microsofts eget produkt, Microsoft 365 Backup, har en listepris på 0,15 dollar per GB per måned. Det dekker e-post, OneDrive og SharePoint, men ikke Teams-chat.
• Tredjepartsløsninger fra blant andre Keepit, Veeam og Synology lagrer kopien utenfor Microsofts sky. Veeam oppgir 3,50 dollar per bruker per måned for små kunder.
• NSM anbefaler at sikkerhetskopier testes jevnlig, og at det finnes kopier som ikke kan nås fra bedriftens eget nettverk.

Hvem har ansvaret for dataene?

Microsoft beskriver skytjenestene sine med en modell for delt ansvar. Microsoft drifter datasentre, servere og selve tjenesten. Kunden beholder uansett ansvaret for dataene, brukerkontoene og enhetene sine. Det gjelder også når tjenesten er Microsoft 365, der kunden ikke drifter noe teknisk selv.

I dokumentasjonen om hvordan Microsoft 365 er bygget for å tåle feil, skriver Microsoft at mesteparten av datatapet skyldes kundens egne handlinger. Det kan være en ansatt som sletter en mappe, en synkronisering som går galt, en konsulent som rydder for hardt, eller et løsepengevirus som krypterer filer på en PC og synkroniserer de krypterte filene opp i skyen. Microsoft sørger for at tjenesten er oppe og at dataene ikke forsvinner på grunn av feil hos Microsoft. At det dere selv har slettet eller ødelagt kan hentes tilbake om et halvt år, er ikke en del av løftet.

Det betyr ikke at Microsoft 365 er usikkert. Det betyr at det finnes en forskjell mellom oppetid og gjenoppretting, og at gjenopprettingen har frister som mange ikke kjenner.

Så lenge kan slettet innhold hentes tilbake

Tabellen og grafikken viser standardinnstillingene i Microsoft 365 per september 2026. Noen av fristene kan administrator endre, men bare innenfor faste rammer.

E-post

En slettet e-post havner først i mappen Slettede elementer. Microsofts standardpolicy tømmer ikke den mappen automatisk, så hvor lenge e-posten blir liggende der, avhenger av brukeren og av regler administrator har satt opp. Når mappen tømmes, eller noen sletter med Shift og Delete, flyttes e-posten til en skjult mappe for gjenopprettbare elementer. Der blir den liggende i 14 dager. Administrator kan øke fristen til 30 dager per postboks, men ikke lenger uten å ta i bruk oppbevaringspolicyer.

Filer i SharePoint og OneDrive

Papirkurven i SharePoint og OneDrive for bedrifter holder på filer i 93 dager. Tømmer brukeren sin egen papirkurv, går filen videre til en papirkurv på neste nivå som bare administrator ser, og blir liggende der resten av de 93 dagene. Etter det har Microsoft en egen kopi i 14 dager til, men den kan bare hentes ved å kontakte Microsoft Support.

For løsepengevirus er versjonshistorikken og funksjonen Gjenopprett OneDrive de viktigste verktøyene. Microsoft beskriver hvordan et virus på en PC krypterer filer i en synkronisert mappe, og hvordan OneDrive-klienten deretter laster de krypterte filene opp. Da kan man enten hente fram en tidligere versjon av hver fil eller rulle hele OneDrive, eller et helt dokumentbibliotek i SharePoint, tilbake til et tidspunkt de siste 30 dagene. Microsofts første råd ved mistanke om angrep er å stoppe synkroniseringen med en gang.

Teams

Teams-chat og kanalmeldinger lagres i skjulte mapper i Exchange. Mappene er laget for innsyn og etterforskning, ikke for at brukerne selv skal hente tilbake noe. Uten en oppbevaringspolicy er en slettet Teams-melding borte. Med en policy kan den søkes fram av en administrator med eDiscovery, men den kommer ikke tilbake i samtalen. Filer som deles i Teams, ligger derimot i SharePoint og OneDrive og følger fristene der.

Når en ansatt slutter

Sletter dere brukeren i Microsoft 365, kan kontoen med postboks gjenopprettes i 30 dager. OneDrive-en til brukeren blir som standard tatt vare på i 30 dager, og lederen får tilgang og e-post om at den skal slettes. Fristen kan settes opp til 3 650 dager. Mange oppdager for sent at en tidligere ansatts filer er borte, for eksempel når en kunde ber om et tilbud som ble sendt for et år siden.

Fra 1. juli 2026 har Microsoft også strammet inn for OneDrive-kontoer der lisensen er fjernet uten at brukeren er slettet. Kontoen blir skrivebeskyttet etter 60 dager og arkivert etter 93 dager. Etter 365 dager uten betaling kan den slettes. For kontoer som alt sto uten lisens 1. juli 2026, kan slettingen tidligst skje fra 1. juli 2027.

Hvorfor fristene ikke holder for de fleste bedrifter

Det første problemet er tiden. Et løsepengeangrep eller en feilaktig sletting blir ikke alltid oppdaget samme uke. Er det gått mer enn 30 dager, kan dere ikke lenger rulle OneDrive tilbake, og etter 93 dager er papirkurven tømt.

Det andre problemet er loven. Bokføringsloven § 13 sier at bilag og annen dokumentasjon av bokførte opplysninger skal oppbevares i fem år etter regnskapsårets slutt. Avtaler og korrespondanse med viktige opplysninger skal oppbevares i tre år og seks måneder. Mye av dette ligger i e-post og delte mapper i Microsoft 365. Personopplysningsloven stiller i tillegg krav om at bedriften skal kunne gjenopprette tilgangen til personopplysninger i tide etter en hendelse, og om at tiltakene testes jevnlig. Det står i personvernforordningen artikkel 32.

Det tredje problemet er at alt ligger på samme sted. Papirkurven, versjonene og Microsofts egne kopier ligger i den samme tjenesten og styres av de samme administratorkontoene. Får en angriper tak i en global administrator, kan vedkommende slette brukere, tømme papirkurver og endre policyer. NSM og Kripos skriver i sin temarapport om løsepengevirus at testede sikkerhetskopier som ikke er tilgjengelige for maskinene som blir rammet, reduserer skadeomfanget. De skriver også at det kan ta lang tid å komme tilbake til normal drift selv når en fersk kopi finnes.

Tallene fra Mørketallsundersøkelsen 2026 viser at 1,2 prosent av virksomhetene ble rammet av digital utpressing eller løsepengevirus siste år, mens 16,7 prosent var bekymret for det. Løsepengevirus er likevel bare én av grunnene til å ta backup. Den vanligste er at noen sletter noe ved en feil og oppdager det for sent.

Tre måter å ta backup av Microsoft 365

1. Microsoft 365 Backup fra Microsoft

Microsoft lanserte sitt eget backupprodukt i 2024. Det dekker Exchange Online, OneDrive og SharePoint og betales etter forbruk gjennom et Azure-abonnement. Listeprisen er 0,15 dollar per GB beskyttet innhold per måned, og gjenoppretting koster ikke noe ekstra. For OneDrive og SharePoint tas det et gjenopprettingspunkt hvert tiende minutt de siste to ukene og deretter ukentlig. For e-post tas det gjenopprettingspunkter hvert tiende minutt i hele perioden. Som standard beholdes kopiene i ett år. Ifølge Microsoft Learn kan perioden nå settes til tre måneder, seks måneder, ett år eller to år.

Styrken er hastigheten. Microsoft oppgir at en enkelt OneDrive eller et SharePoint-område kan gjenopprettes på rundt en halvtime, og kopiene kan ikke overskrives, bare legges til. Svakheten er at kopien ligger innenfor Microsofts egen sky, og at Teams-chat ikke er med. Microsoft har en funksjon for backup av Teams-kanaler under utvikling, men den var ikke lansert da denne artikkelen ble skrevet.

2. Backup som tjeneste fra en annen leverandør

Tredjepartsleverandører henter kopier av e-post, filer og ofte Teams og brukerkatalogen, og lagrer dem hos seg selv. Det gir en kopi som styres av andre kontoer enn Microsoft 365-tenanten. Her er noen av de vanligste for små og mellomstore bedrifter:

Hvilken som passer, avhenger mest av tre spørsmål. Hvor skal kopien ligge, og er det innenfor EØS? Skal Teams være med? Og hvem skal følge med på at backupen faktisk går, og teste at den virker? For de fleste små bedrifter er svaret på det siste spørsmålet IT-partneren, ikke en ansatt som gjør det ved siden av jobben.

3. Kopi på egen maskinvare

Med en lokal lagringsenhet, for eksempel en NAS fra Synology, ligger kopien fysisk hos bedriften. Det gir full kontroll og ingen løpende lisenskostnad for selve backupen, men bedriften må kjøpe, drifte, oppdatere og sikre maskinvaren selv. En NAS på kontoret er også utsatt for brann, tyveri og angrep på det lokale nettverket. Den bør derfor kombineres med en kopi et annet sted.

Regneeksempel: 20 ansatte

Regnestykket viser at backup av Microsoft 365 koster lite sammenlignet med lisensene. For en liten bedrift er den store kostnaden sjelden selve backupen, men tiden det tar å gjenopprette uten.

Dette bør være på plass

NSMs grunnprinsipper for IKT-sikkerhet har et eget prinsipp om evne til å gjenopprette data. Rådene under bygger på det, tilpasset en bedrift som bruker Microsoft 365:

1. En skriftlig plan som sier hvilke data som tas backup av, hvor ofte, hvor lenge kopiene beholdes, og hvem som har ansvaret. NSM kaller dette en plan for sikkerhetskopiering.
2. Backup av e-post, OneDrive, SharePoint og Teams, ikke bare filene på PC-ene. Husk delte postbokser og tidligere ansatte som fortsatt har innhold dere trenger.
3. Minst én kopi utenfor Microsoft 365-tenanten, med egne innloggingsdetaljer og totrinnsbekreftelse som ikke er de samme som for Microsoft 365.
4. Oppbevaringstid som dekker kravene i bokføringsloven og deres egne avtaler. Mange velger minst ett år for e-post og filer, og lenger for regnskapsmateriale.
5. Jevnlig test av gjenoppretting. NSM anbefaler å teste sikkerhetskopiene regelmessig ved å faktisk gjenopprette. En backup som aldri er testet, er en antakelse.
6. Databehandleravtale med backupleverandøren. Datatilsynet skriver at en virksomhet må inngå en slik avtale når den lagrer personopplysninger hos en annen virksomhets skytjeneste.
7. Beskyttede administratorkontoer med phishingresistent pålogging, slik at en angriper ikke kan slette både data og backup. Mer om dette står i guiden om IT-sikkerhet for bedrifter.

Er bedriften omfattet av digitalsikkerhetsloven, som gjennomfører deler av NIS2 i Norge, stilles det i tillegg krav til beredskap og kontinuitet. Se guiden om NIS2 og digitalsikkerhetsloven for hvem som er omfattet.

Hvor kopien lagres, og hvorfor det betyr noe

Microsoft 365 har Norge som egen dataregion, og Microsoft 365 Backup følger den dataplasseringen tenanten allerede har. Hos tredjepartsleverandører velger dere ofte region selv. Datatilsynet påpeker at det regnes som overføring ut av EØS både når data lagres i et land utenfor EØS og når personell utenfor EØS har tilgang til dataene for å gi støtte. Spør derfor leverandøren både hvor kopien ligger og hvem som kan få tilgang til den.

Husk også at en sikkerhetskopi er behandling av personopplysninger. Datatilsynet skriver at reglene om arbeidsgivers innsyn i ansattes e-post også gjelder opplysninger som ligger i sikkerhetskopier. Backupen må altså ha samme tilgangsstyring som originalen.

Når Microsoft 365-abonnementet avsluttes

Sier bedriften opp Microsoft 365 eller bytter leverandør, har dere ifølge Microsofts vilkår 90 dager på å hente ut dataene fra en deaktivert konto. Alle kundedata slettes senest 180 dager etter at abonnementet er avsluttet. Det er en grunn til å ha backup også når dere bytter IT-leverandør, slik at flyttingen ikke blir den eneste kopien.

Ofte stilte spørsmål

Tar Microsoft backup av Microsoft 365? Microsoft sørger for at tjenesten er oppe og at data ikke går tapt på grunn av feil hos Microsoft. Innhold dere selv sletter eller mister, kan bare hentes tilbake innenfor korte frister, som 14 dager for e-post og 93 dager for filer. Egen backup må kjøpes i tillegg.

Hva koster backup av Microsoft 365? Microsoft 365 Backup har en listepris på 0,15 dollar per GB per måned. Veeam oppgir fra 3,50 dollar per bruker per måned for 10–50 brukere. Keepit, AvePoint, Acronis og Datto gir pris i tilbud. Synology er gratis programvare, men krever egen NAS.

Blir Teams-chat tatt backup av? Ikke med Microsoft 365 Backup per september 2026. Flere tredjepartsløsninger, blant andre Veeam, Keepit og Synology, oppgir at de dekker Teams. Sjekk om det gjelder chat, kanalmeldinger eller bare filene.

Er papirkurven i OneDrive nok? Den er nyttig, men den tømmes etter 93 dager og kan tømmes av en administrator eller en angriper med administratortilgang. Den erstatter ikke en kopi utenfor Microsoft 365.

Hvor lenge må vi ta vare på e-post med bilag? Bokføringsloven krever at bilag og annen dokumentasjon av bokførte opplysninger oppbevares i fem år etter regnskapsårets slutt. Avtaler og viktig korrespondanse skal oppbevares i tre år og seks måneder.

Hvor ofte bør vi teste backupen? NSM anbefaler å teste regelmessig ved å gjenopprette. Mange gjør en liten test hver måned og en større test minst én gang i året.

Kilder

Kontrollert 26. september 2026.

• Microsoft Learn: Shared responsibility in the cloud.
• Microsoft Learn: Data resiliency in Microsoft 365.
• Microsoft Learn: Recoverable Items folder in Exchange Online.
• Microsoft Support: Restore items in the Recycle Bin of a SharePoint site og Restore your OneDrive.
• Microsoft Learn: Handling ransomware in SharePoint Online.
• Microsoft Learn: Retention policies for Teams og Learn about retention.
• Microsoft Learn: OneDrive retention and deletion og Unlicensed OneDrive accounts.
• Microsoft Learn: Microsoft 365 Backup overview og Microsoft 365 Backup pricing.
• Microsoft Product Terms: Online Services.
• Keepit: Pricing, Veeam Data Cloud: Purchasing options og Synology: Active Backup for Microsoft 365.
• NSM: Grunnprinsipper for IKT-sikkerhet, 2.9 Etabler evne til gjenoppretting av data.
• NSM og Kripos: Felles temarapport om løsepengevirus.
• Næringslivets Sikkerhetsråd: Mørketallsundersøkelsen 2026.
• Datatilsynet: Når må man inngå databehandleravtale og innsyn i e-post og filer.
• Lovdata: Bokføringsloven § 13 og Skatteetaten: Oppbevaringstid for regnskapsmateriale.

Forbehold: Frister og priser er slik Microsoft og leverandørene oppgir dem og kan endres. Prisene er listepriser i dollar uten mva. Regneeksempelet er forenklet og ikke et tilbud.