Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Microsoft driver serverne. Men bilagene i Outlook og SharePoint er stadig jeres ansvar — og standardindstillingerne sletter dem efter 14 til 93 dage. Loven siger fem år.
Nej. Microsoft garanterer, at tjenesten kører og at data ikke går tabt ved hardwarefejl — men ikke at slettet indhold kan hentes frem senere. I Microsofts egen ansvarsmodel står kundedata i kolonnen »Customer« for alle cloud-typer, også SaaS som Microsoft 365.
Det er den mest udbredte misforståelse i dansk små- og mellemstor virksomhed lige nu. 72 pct. af Dansk Erhvervs medlemmer køber cloudtjenester, og 56 pct. har flyttet e-mailen i skyen, viser Dansk Erhvervs analyse fra februar 2025. Knap halvdelen — 47 pct. — bruger Microsoft Azure. Men et flertal af dem har aldrig læst, hvad Microsoft faktisk lover.
Microsoft beskriver forholdet som en delt ansvarsmodel. Ordret fra Microsofts egen dokumentation: »For all cloud deployment types, you own your data and identities.« I ansvarsmatricen står »Customer data«, »Configurations and settings« og »Identities and users« som kundens ansvar i alle fire modeltyper — on-premises, IaaS, PaaS og SaaS. Microsoft overtager det fysiske: datacenter, netværk, hardware, operativsystem.
Det betyder helt konkret: hvis en medarbejder tømmer sin postkasse, hvis en ransomware-hændelse krypterer et SharePoint-bibliotek, eller hvis I opsiger en licens og brugeren forsvinder — så er det jeres problem, ikke Microsofts. Og det er netop dét scenarie, bogføringsloven regner med, at I har tænkt på.
Tallene nedenfor er Microsofts egne, dokumenterede standarder. De er ikke sikkerhedskopier — det er papirkurve med et ur på.
| Hvor data ligger | Standard »fortrydelsesvindue« | Kan ændres til | Lovkravet |
|---|---|---|---|
| Exchange Online — slettede mails (Recoverable Items) | 14 dage | Maks. 30 dage | 5 år |
| Exchange Online — slettet postkasse | 30 dage | Fast | 5 år |
| SharePoint og OneDrive — papirkurv (begge trin) | 93 dage i alt | Fast | 5 år |
| OneDrive tilhørende en slettet bruger | 30 dage + 93 dage = 123 dage | 30–3.650 dage | 5 år |
| SharePoints egne metadata-backups | 14 dage (intern drift) | Ikke kundestyret | – |
Læg mærke til én detalje i tabellen: papirkurvens 93 dage i SharePoint og OneDrive dækker begge trin. Når en bruger tømmer sin egen papirkurv, flytter filen bare til site collection-papirkurven — uret bliver ved at tælle fra den første sletning. Der er altså ikke 93 + 93 dage, men 93 dage i alt.
Bogføringslovens § 12 kræver, at regnskabsmateriale opbevares betryggende i fem år fra udgangen af det regnskabsår, det vedrører. Bruger I et bogføringssystem, der ikke er registreret hos Erhvervsstyrelsen, kræver bekendtgørelse nr. 205 af 29. februar 2024 desuden en ugentlig sikkerhedskopi hos en ikke nærtstående part i EU eller EØS.
Reglerne står tre steder, og de hænger sammen som et træ. Det er værd at tage dem i rækkefølge, fordi de fleste virksomheder kun kender det første.
Lov nr. 700 af 24. maj 2022, § 12, siger det uden forbehold: »Virksomheder skal på betryggende vis opbevare regnskabsmateriale, jf. § 4, i 5 år fra udgangen af det regnskabsår, materialet vedrører.« Detailhandlens kassestrimler og lignende interne bilag er undtaget fra perioden — alt andet er ikke.
Bemærk formuleringen »fra udgangen af det regnskabsår«. En faktura fra januar 2026 i et kalenderårs-regnskab skal altså ligge tilgængelig indtil 31. december 2031. Det er reelt seks år for årets første bilag.
§ 16 forpligter bogføringspligtige virksomheder til at registrere transaktioner og opbevare registreringer og bilag i et digitalt bogføringssystem. Systemet skal enten være registreret hos Erhvervsstyrelsen eller selv opfylde kravene i § 15. Og § 15 kræver blandt andet »betryggende opbevaring af registreringer og bilag i 5 år« samt automatisk sikkerhedskopiering.
Det er her, mange snubler. Et regnskabsprogram kan være fuldt registreret og lovligt — men de bilag, der aldrig når ind i regnskabsprogrammet, er stadig regnskabsmateriale. Kontrakten i SharePoint, ordrebekræftelsen i en Outlook-tråd, timesedlen i et Excel-ark på OneDrive. De er omfattet af § 12, uanset hvor de ligger. Vi har skrevet mere om systemvalget i artiklen om bogføringsloven og valg af økonomisystem.
Bruger I et system, der ikke er registreret — et specialudviklet system, et ældre lokalt installeret program, eller en opsætning hvor bilag ligger i Microsoft 365 — gælder bekendtgørelse nr. 205 af 29. februar 2024 om krav til virksomheders digitale bogføringssystemer, der ikke er registreret efter bogføringsloven. Den trådte i kraft 1. januar 2025, og dens § 4 er usædvanligt konkret:
»Ikke nærtstående part« er det ord, der overrasker flest. Det udelukker ikke Microsoft — men det udelukker at den eneste kopi ligger på en server i samme serverrum, hos et søsterselskab eller på direktørens NAS derhjemme.
Pligten til digital bogføring blev rullet ud i etaper. Selskaber med årsrapportpligt kom først. Erhvervsstyrelsen har bekræftet, at pligten træder i kraft fra og med 1. januar 2026 for personligt ejede virksomheder, foreninger og øvrige virksomheder, der ikke aflægger årsrapport — hvis de har haft en erhvervsmæssig nettoomsætning på mere end 300.000 kr. i to på hinanden følgende år. Har virksomheden forskudt regnskabsår, starter pligten ved begyndelsen af 2026-regnskabsåret.
Fristen er ikke på vej — den er passeret. Vi er i september 2026, og reglerne gælder for langt de fleste danske virksomheder allerede. Spørgsmålet er ikke længere, om I når det, men om I kan dokumentere det, hvis nogen spørger.
Microsoft 365 mangler fem ting, loven kræver: opbevaring i fem år, en ugentlig fuld kopi, en kopi der ligger adskilt fra produktionsmiljøet, dokumenteret test af gendannelse, og beskyttelse mod at en administrator sletter alt. Ingen af delene følger med en standardlicens.
| Krav | Microsoft 365 som standard | Hvad der mangler |
|---|---|---|
| Opbevaring i 5 år | 14–123 dage | Aftalt opbevaring, der dækker hele perioden |
| Ugentlig fuld kopi | Ingen planlagt kopi — kun papirkurv | Backup-job med logget kørsel |
| Kopi hos ikke nærtstående part i EU/EØS | Data ligger i samme tjeneste som originalen | Kopi uden for primærmiljøet |
| Test af gendannelse | Ikke omfattet af licensen | Dokumenteret gendannelsesøvelse |
| Beskyttelse mod administratorfejl | Sletning slår igennem overalt | Kopi, som en kompromitteret konto ikke kan røre |
Det er allerede gennemgået ovenfor, men det tåler en gentagelse, fordi konsekvensen er konkret: en medarbejder, der stopper 1. februar, har som udgangspunkt fem års mailkorrespondance liggende. Slettes kontoen, og licensen spares væk, er postkassen væk efter 30 dage. Vedkommendes OneDrive følger efter senest efter 123 dage. Alt sammen regnskabsmateriale.
En papirkurv er ikke en backup. Forskellen er ikke akademisk: en papirkurv ligger i samme system, med samme rettigheder, og påvirkes af samme hændelse. En backup ligger et andet sted, tages på faste tidspunkter, og kan læses uden at det oprindelige system fungerer. Bekendtgørelsens krav om en ugentlig kopi giver kun mening under den anden definition.
Datatilsynet er utvetydig i sit katalog over sikkerhedsforanstaltninger: backup skal ligge »et sted, hvor der er mere begrænset adgang«. Kan produktions- og backupnetværk ikke adskilles fysisk, skal der segmenteres med firewall, så adgangen begrænses til det absolut nødvendige. Tilsynet formår pointen kort: »Backup er meget mere end en kopi af data og kan derfor også beskytte imod flere trusler.«
Datatilsynet kræver, at virksomheden tester, om data faktisk kan »genindlæses og anvendes i et it-system« — at procedurerne virker, at hardware og software spiller sammen, og at processen er hurtig nok. En utestet backup er i praksis et løfte, ingen har kontrolleret.
Det værste realistiske scenarie er ikke, at Microsoft går ned. Det er, at en global administrator-konto bliver overtaget. Derfra kan alt slettes, og papirkurvene tømmes. En ekstern kopi, som den konto ikke har rettigheder til, er den eneste reelle beskyttelse. Det er samme logik, som ligger bag leverandørkravene i NIS2-spørgeskemaerne.
Delvist. Microsoft 365 Backup er en rigtig backup med hurtige gendannelser, men standard-gendannelsesvinduet er ét år, ikke fem, og kopien bliver inden for Microsofts eget databoundary. Den dækker ransomware og fejlsletninger fint — men ikke hele bogføringslovens opbevaringspligt.
Microsoft lancerede sin egen backup-tjeneste, fordi behovet var indlysende. Den er købt som forbrug, ikke som licens: 0,15 USD pr. GB pr. måned for alt beskyttet indhold, mens selve gendannelserne er gratis. Teknisk er den stærk — sikkerhedskopierne skrives append-only, så en angriber ikke kan overskrive gamle versioner, og gendannelseshastigheden ligger på 1–3 TB i timen.
Men tre forbehold er værd at kende, før man regner opgaven for løst:
Vores anbefaling er pragmatisk: Microsoft 365 Backup er udmærket som første forsvarslinje mod ransomware og fejlsletning, fordi den gendanner hurtigt. Men opbevaringspligten i fem år løses bedst med en uafhængig online backup, der ligger uden for Microsofts platform og kan læses, også hvis abonnementet stopper.
»Der var ikke udført nødvendige tests, som kunne have afsløret, at krypteringsnøglen til backuppen ikke var tilgængelig.«Datatilsynet om Uptime-IT ApS — bøden blev idømt ved dom 12. november 2024
Sagen handlede om et ransomware-angreb, der krypterede både servere og backup hos en klinik. Datatilsynet konkluderede, at »backup-løsningen ikke var effektiv og ikke virkede efter hensigten«, og at databehandleren »havde ansvaret for at sikre evnen til at genoprette tilgængeligheden af og adgangen til personoplysninger«. Der findes få skarpere påmindelser om, at backup uden test ikke tæller.
Kortlæg hvor regnskabsmaterialet faktisk ligger, slå en ekstern backup til for Exchange, SharePoint, OneDrive og Teams, sæt opbevaringen til mindst fem år, kør en testgendannelse og skriv det hele ned. Syv trin, typisk en halv arbejdsdag første gang.
Rækkefølgen betyder noget. Springer man kortlægningen over, ender man med at sikre postkasserne og glemme det fælles SharePoint-bibliotek, hvor kontrakterne ligger.
Dokumentationen i trin 7 er ikke bøvl for bøvlens skyld. Erhvervsstyrelsen kan bede om at se, hvordan opbevaringspligten er opfyldt, og Datatilsynet kan bede om at se tilsynet med jeres databehandlere. Begge dele bliver nemmere, når der ligger et årshjul. Vi har beskrevet den del i tjeklisten til databehandleraftaler med it-leverandøren.
Fire ud af fem mindre virksomheder tager backup, men under halvdelen kan dokumentere deres it-sikkerhed. Samtidig er andelen, der bruger eksterne leverandører til it-sikkerhed, faldet fra 73 til 68 pct. på ét år. Flere løser det selv — uden nødvendigvis at have papirerne i orden.
Danmarks Statistik opgør området hvert år, og billedet er bemærkelsesværdigt konsistent: teknikken er på plads, dokumentationen er det ikke.
Tallene stammer fra Danmarks Statistiks opgørelser af 16. august 2024 og 5. september 2025. Det sidste tal er det mest interessante i denne sammenhæng: blandt virksomheder med 10–49 ansatte steg andelen, der selv varetager it-sikkerheden, fra 45 til 55 pct. på ét år. Flere gør det selv — og det er ofte i den gruppe, opbevaringspligten bliver overset, fordi ingen har den som sin opgave.
Kombiner det med, at 72 pct. af Dansk Erhvervs medlemmer køber cloudtjenester, og at e-mail er den mest udbredte af dem, så tegner der sig et mønster: regnskabsmaterialet er flyttet i skyen, mens ansvaret for at gemme det i fem år er blevet stående på kontoret.
Backup af Microsoft 365 koster 29 kr. pr. bruger om måneden hos Zave, JITS’ egen danske backuptjeneste, og dækker Exchange, OneDrive, SharePoint og Teams. Filbackup af pc’er og servere starter ved 99 kr./md. for 250 GB. Alle priser er ekskl. moms, og der er 30 dages gratis prøve uden binding.
Vi bygger på vores egen danske backuptjeneste, Zave, og priserne står åbent på sitet — ingen »kontakt os for pris«. Data krypteres med AES-256 på jeres egen maskine, før de forlader huset, og ligger derefter i et dansk datacenter i EU. Det sidste er ikke en detalje: det er ordret det, bekendtgørelsens § 4, stk. 2 kræver.
Microsoft 365-backuppen er et tilvalg oven på en pakke. Pakkerne dækker pc’er, Mac, Linux, servere og NAS — altså alt det regnskabsmateriale, der ikke ligger i skyen.
| Pakke | Lagerplads | Enheder | Versionshistorik | Pr. md. | Pr. år |
|---|---|---|---|---|---|
| Start | 250 GB | 1 | 30 dage | 99 kr. | 990 kr. |
| Plus | 500 GB | 3 | 90 dage | 189 kr. | 1.890 kr. |
| Pro | 1 TB | 5 | 12 måneder | 349 kr. | 3.490 kr. |
| Business | 2 TB | 10 | 12 måneder | 649 kr. | 6.490 kr. |
Årsbetaling giver to måneder gratis. Pro-pakken tilføjer server- og databasebackup, Business tilføjer VM-backup til VMware og Hyper-V.
| Tilvalg | Pris ekskl. moms |
|---|---|
| Microsoft 365-backup (Exchange, OneDrive, SharePoint, Teams) | 29 kr. pr. bruger/md. |
| Ekstra enhed | 49 kr./md. |
| VM-backup (VMware, Hyper-V) | 149 kr. pr. host/md. |
| Ekstra lagerplads | 0,29 kr. pr. GB/md. |
| Hjælp til opsætning (engangsbeløb) | 1.495 kr. |
For en virksomhed med ti medarbejdere koster Microsoft 365-delen 290 kr. om måneden. Det er mindre end én times konsulenttid — og det er hele forskellen på at have bilagene om fem år og ikke at have dem.
Versionshistorikken i pakkerne ovenfor er 30 dage, 90 dage eller 12 måneder. Den dækker ransomware og fejlsletninger. Skal backuppen også bære bogføringslovens fem års opbevaring, skal opbevaringstiden aftales særskilt — ring på 63 13 14 13, så regner vi det ud fra jeres datamængde. Det er nøjagtig det samme forbehold, der gælder Microsofts egen backup med dens standardvindue på ét år.
Vi gennemgår jeres opsætning sammen med jer: hvor regnskabsmaterialet ligger, hvad der rent faktisk bliver taget kopi af, og hvad der mangler for at opfylde bogføringslovens fem år. I får en kort skriftlig konklusion, uanset om I bliver kunder.
»Vi sparer det, der svarer til en hel arbejdsdag om ugen på administration.«
Westwind — Admind-kunde i over 10 årHele opbevaringspligten, kravene til det digitale bogføringssystem og de datoer, der gælder nu — samlet på to sider, I kan lægge ved årshjulet. Sendt som PDF, ingen opfølgning.
Vi bruger kun din mail til at sende guiden. Du kan altid framelde dig.
Nej. Microsoft leverer redundans mod hardwarefejl og papirkurve, der rækker fra 14 til 123 dage. Det beskytter mod nedbrud, ikke mod sletning, ransomware eller opbevaringspligt. Microsofts egen ansvarsmodel placerer kundedata hos kunden i alle cloud-modeller, også SaaS.
Fem år fra udgangen af det regnskabsår, materialet vedrører, jf. bogføringslovens § 12. For et bilag fra januar i et kalenderårs-regnskab betyder det i praksis knap seks år. Detailhandlens kassestrimler og lignende interne bilag er undtaget fra perioden. Reglerne for, hvor materialet i det hele taget må ligge, er samlet i artiklen om opbevaring af regnskabsmateriale i skyen.
Det gælder virksomheder, der bruger et digitalt bogføringssystem, som ikke er registreret hos Erhvervsstyrelsen. Kravet står i § 4 i bekendtgørelse nr. 205 af 29. februar 2024, der trådte i kraft 1. januar 2025. Virksomheder, der er underlagt krav om sikkerhedskopiering i anden lovgivning, er undtaget.
At sikkerhedskopien skal ligge hos en uafhængig tredjepart på en server i EU eller EØS, hos en part der lever op til anerkendte it-sikkerhedsstandarder. Det udelukker, at den eneste kopi ligger i samme serverrum, hos et søsterselskab eller på en privat enhed.
Ja, hvis den erhvervsmæssige nettoomsætning har oversteget 300.000 kr. i to på hinanden følgende år. Pligten til digital bogføring trådte i kraft for personligt ejede virksomheder, foreninger og øvrige virksomheder uden årsrapportpligt den 1. januar 2026. Ved forskudt regnskabsår gælder den fra begyndelsen af 2026-regnskabsåret.
Den dækker ransomware og fejlsletninger godt, med gendannelser på 1–3 TB i timen og en pris på 0,15 USD pr. GB pr. måned. Men gendannelsesvinduet er som standard ét år, og kopien forbliver inden for Microsofts eget databoundary. Til femårsopbevaringen anbefaler vi en kopi uden for platformen.
Datatilsynet angiver ikke et fast interval, men kræver at virksomheden tester, om data kan genindlæses og anvendes, at procedurerne virker, og at processen er hurtig nok. Vores anbefaling er en dokumenteret testgendannelse mindst én gang om året — og efter enhver større ændring i opsætningen.
Manglende opbevaring er en overtrædelse af bogføringsloven og kan sanktioneres. Er der også personoplysninger involveret, kan Datatilsynet vurdere sagen efter databeskyttelsesforordningen — som i sagen mod Uptime-IT ApS, hvor en backup uden testet gendannelse førte til en bøde på 40.000 kr. ved dom 12. november 2024.
Hos Zave, JITS’ egen danske backuptjeneste, koster Microsoft 365-backup 29 kr. pr. bruger om måneden ekskl. moms og dækker Exchange, OneDrive, SharePoint og Teams. Det forudsætter en filbackup-pakke, der starter ved 99 kr./md. for 250 GB. Der er 30 dages gratis prøve, ingen oprettelse og ingen binding.
Lad os bruge en halv time på at se, hvor jeres regnskabsmateriale faktisk ligger — og hvad der skal til, før det også er der om fem år.