Hver form for adskillelse beskytter mod sin egen slags hændelse. En anden bygning beskytter mod brand og strømsvigt, en anden region mod en større fejl i et område, en anden konto mod en lukket eller kompromitteret konto, og en anden udbyder under en anden jurisdiktion mod fejl, vilkår eller indgreb, der rammer hele udbyderen.
Derfor kan spørgsmålet “har vi et reservested?” ikke besvares med ja eller nej. Det skal besvares for hver hændelse, I vil kunne klare. Sagerne bag spørgsmålet gennemgår digital-suveraenitet.dk i artiklen om backup og udbyder. Her handler det om valget af afstand og konto.
Ordene betyder forskellige ting hos udbyderne
Zone, region og datacenter er udbydernes egne betegnelser, og de er ikke en standard. En tysk udbyder har fx to regioner med tre tilgængelighedszoner hver, og en virtuel maskine, der er bundet til én zone, genstartes ikke automatisk i en anden, hvis zonen falder ud. En fransk udbyder har regioner med enten én eller tre zoner. Microsofts danske region har ifølge Microsofts egen liste tre tilgængelighedszoner og ingen parret region.
Læs definitionen hos den udbyder, I bruger, før I bygger på den. To zoner kan være to bygninger tæt på hinanden, og en region kan være én by. Vi giver ingen tal for, hvor langt der skal være mellem to steder. Det afhænger af, hvad I vil beskytte mod, og det skal I selv tage stilling til.
Hændelse for hændelse
Brand, oversvømmelse eller strømsvigt i én bygning. En anden bygning beskytter. Hos en cloududbyder kan det svare til en anden tilgængelighedszone, hvis zonerne ligger i hver sin bygning. Ved egen drift eller colocation er det et andet datacenter.
Fejl, der rammer et helt område. Et større strømsvigt eller en fejl i en regions fælles net kan ramme alle zoner i regionen. En anden region beskytter, så længe den ikke deler de samme systemer.
Fejl i udbyderens fælles software. En fejl i udbyderens kontrolplan eller globale tjenester kan ramme alle regioner på én gang. Kun en anden udbyder beskytter fuldt mod det.
Lukket eller kompromitteret konto. Lukkes jeres konto, eller overtager en angriber den, rammes alt i kontoen, i alle regioner. Selv uforanderlig lagring hjælper ikke altid. En stor udbyder skriver om sin strengeste form for objektlås, at den eneste måde at slette låste objekter før tid er at slette den konto, de ligger i. Efter vores læsning beskytter uforanderlighed i samme konto altså ikke mod, at kontoen lukkes. En anden konto, med andre administratorer, beskytter.
Ændrede vilkår eller politisk indgreb. Rammer det udbyderen eller dens hjemland, rammer det alle dens regioner. En udbyder under en anden jurisdiktion beskytter.
Fejl fra jeres egne folk eller et angreb. En sletning eller en kryptering, der spreder sig, kan nå alle steder, der deler adgang. Et sted med adskilt adgang og en kopi, der ikke kan ændres, beskytter. Læs uforanderlig backup.
Fra hændelser til valg
Skriv de hændelser op, I vil kunne klare, og hvor længe systemerne må være nede i hver af dem. Vælg derefter den mindste adskillelse, der dækker dem.
Et system, der skal klare brand, men ikke en lukket konto, kan nøjes med to zoner. Et system, der skal klare en lukket konto, skal have en kopi i en anden konto, gerne hos en anden udbyder. Et system, der skal klare et politisk indgreb, skal have en kopi under en anden jurisdiktion. Ikke alle systemer har brug for de sidste, men backup af de vigtigste data kan have det.
Datacenterklasser som Tier og EN 50600 siger noget om, hvordan en enkelt bygning er bygget. De siger ikke noget om afstand til et andet sted. Læs Tier, EN 50600 og datacenterklasser.
Kopi eller kørende reserve
Adskillelsen kan bruges på to måder. En kopi af data et andet sted gør det muligt at genskabe systemerne, men det tager tid. En kørende reserve kan overtage hurtigt, men den koster at holde i drift. Hvilken I vælger, afhænger af, hvor længe systemet må være nede. Et system, der kan tåle at stå stille et stykke tid, kan klare sig med en kopi, mens et system, der ikke må stå stille, får en reserve.
Uanset form skal reservestedet prøves. En kopi, der ikke er gendannet, er en antagelse. Læs hvor hurtigt kommer data tilbage fra cloud.
Hvad det kræver, og hvad det koster at lade være
At skrive hændelserne og de tilladte nedetider op kræver et møde med ledelse og forretning og en dag til at sætte dem op mod jeres nuværende opsætning. En manglende adskillelse er et projekt for sig, som vurderes i uger med et spænd, og som giver en løbende post til drift og prøver.
Uden gennemgangen er reservestedet valgt ud fra, hvad der var nemt at sætte op. Det kan være en anden zone eller region hos samme udbyder og i samme konto. Det beskytter mod brand og nedbrud, men ikke mod den lukkede konto eller det indgreb, der rammer hele udbyderen. Opdages det, når det sker, findes der intet sted at genskabe fra.
Det skal I lade være med
- At regne to zoner for to udbydere · de beskytter mod forskellige hændelser.
- At gemme den låste kopi under produktionens konto · går kontoen, går kopien med.
- At kalde en kopi en reserve, før den er gendannet · prøven viser, om den virker.
Det skal valget kunne vise
- ☐ Hændelserne, I vil kunne klare, og den tilladte nedetid for hver.
- ☐ Den valgte adskillelse pr. system og hvad den beskytter mod.
- ☐ Hvilken konto og hvilke administratorer kopien ligger under.
- ☐ Dato og resultat for seneste gendannelse fra reservestedet.
Kilder
- STACKIT, Cloud services prices (zonetyper), https://stackit.com/en/prices/cloud, læst 8. november 2026.
- OVHcloud, Regions and datacentres, https://www.ovhcloud.com/en/about-us/global-infrastructure/, læst 8. november 2026.
- Microsoft Learn, Azure regions list, https://learn.microsoft.com/en-us/azure/reliability/regions-list, læst 8. november 2026.
- AWS, Locking objects with Object Lock, https://docs.aws.amazon.com/AmazonS3/latest/userguide/object-lock.html, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de seks hændelser op, og sæt for hver af dem et kryds ved de systemer, der skal kunne klare den.
Læs også: Disaster recovery i Europa · Én udbyder eller flere
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
