RTO vs RPO — definities, verschillen en hoe u ze kalibreert
Definities, vereistenmatrix per kritikaliteit, sectorbenchmarks 2026, bijbehorende technische NFR's. De gids om RTO, RPO, MTPD en MTO nooit meer te verwarren.
Precieze definities
Recovery Time Objective — maximaal aanvaardbare onderbreking
Hoe lang kan ik verdragen dat de toepassing/dienst onbeschikbaar is voordat het catastrofaal wordt? Gemeten in minuten, uren, dagen. Bepaalt de kosten van de infrastructuur (redundantie, hot standby, back-ups).
Recovery Point Objective — aanvaardbaar gegevensverlies
Hoeveel gegevens kan ik verdragen te verliezen bij een ramp? RPO = 0 vereist synchrone replicatie (duur), RPO = 24u betekent dagelijkse back-ups (goedkoop).
Maximum Tolerable Period of Disruption
Absoluut plafond: daarboven komt de organisatie in gevaar (faillissement, verlies van vergunning, sancties). Vastgelegd in de BIA. De RTO moet altijd ≤ MTPD zijn.
Maximum Tolerable Outage / Maximum Time Objective
Synoniem dat afhankelijk van het referentiekader soms voor MTPD wordt gebruikt (ISO 22301 vs ITIL).
Vereistenmatrix
| Kritikaliteit | RTO | RPO | Architectuur |
|---|---|---|---|
| Kritiek (P0) | < 1 h | < 5 min | Active-active multiregio, synchrone replicatie, hot standby |
| Hoog (P1) | < 4 h | < 1 h | Active-passive, semisynchrone replicatie, snapshots per uur |
| Gemiddeld (P2) | < 24 h | < 24 h | Dagelijkse back-ups, handmatig herstel |
| Laag (P3) | < 72 h | < 7 j | Wekelijkse back-ups, herstel op aanvraag |
Sectorbenchmarks 2026
| Sector | RTO | RPO | Drijfveer |
|---|---|---|---|
| Tier-1-banken (betalingen, markten) | < 30 min | < 30 sec | DORA art. 11, ECB, FSB |
| Gezondheidszorg / ziekenhuis (spoed) | < 1 h | < 15 min | HDS, NIS2 essentieel |
| E-commerce mid-cap | < 4 h | < 1 h | Kosten van verloren klanten, imago |
| Industrie / productie | < 8 h | < 4 h | Contractuele JIT-boetes |
| Publieke sector / lokale overheid | < 48 h | < 24 h | Continuïteit van de openbare dienstverlening |
Veelgestelde vragen over RTO/RPO
Wat is het verschil tussen RTO en RPO?
RTO meet de aanvaardbare onderbreking (hoeveel uur zonder dienst). RPO meet het aanvaardbare gegevensverlies (hoeveel uur aan transacties verloren mag gaan). Korte RTO → dure redundante infrastructuur. Korte RPO → dure synchrone replicatie. Een kritieke dienst heeft doorgaans een RTO < 1h en een RPO < 5min.
Hoe bouwt u een RTO/RPO-vereistenmatrix op?
1) Classificeer bedrijfsprocessen volgens kriticiteit (4 niveaus) via de BIA. 2) Wijs per niveau een doel-RTO en -RPO toe (P0 < 1h, P1 < 4h, P2 < 24h, P3 < 72h). 3) Controleer de consistentie met de gedocumenteerde MTPD's. 4) Vertaal naar technische NFR-vereisten (replicatie, back-ups, hot standby). 5) Laat valideren door het businessmanagement.
Wat zijn internationale RTO/RPO-benchmarks per sector?
Tier-1-banken: RTO < 30 min, RPO < 30 sec (DORA, FSB). Gezondheidszorg: RTO < 1u, RPO < 15 min (HDS, NIS2). E-commerce: RTO < 4u, RPO < 1u. Industrie: RTO < 8u, RPO < 4u. Openbare sector: RTO < 48u, RPO < 24u. Deze benchmarks voor 2026 zijn indicatief; elke organisatie kalibreert op basis van haar MTPD's en budget.
Hoe integreert u RTO/RPO in NFR (niet-functionele vereisten)?
Technische NFR's vloeien voort uit RTO/RPO: beoogde beschikbaarheid (99.9% → 8u/jaar getolereerd), versleuteling (at-rest, in-transit), capaciteit (CPU/RAM/IO in gedegradeerde modus), audit (bewaring van logs), back-ups (frequentie, opslaglocaties). Documenteer dit in de NFR-fiche van elke applicatie. Zie onze [BIA-module] voor end-to-end traceerbaarheid.
Welke infrastructuur voor een RTO < 30 minuten?
Een RTO < 30 min impliceert doorgaans: een active-active multiregio-architectuur (AWS Multi-AZ + Multi-Region, of OVH 3DC), synchrone replicatie (RPO ≈ 0), DNS auto-failover, 24/7-monitoring met alerting < 5 min, maandelijks geteste runbooks, een wachtdienstteam. Infrastructuurkosten ×3 tot ×5 ten opzichte van een setup met één datacenter.
Veranderen RTO/RPO tijdens een cybercrisis of energietekort?
Ja, dan spreken we van RTO/RPO in "crisismodus" (vooraf gekalibreerd). Bv.: een nominale RTO van 4u wordt 24u tijdens een energiecrisis omdat datacenters gedegradeerd zijn. Documenteer deze gedegradeerde doelstellingen in het continuïteitsplan, met validatie door de klant (overmacht, opgeschorte SLA's). Zie ons [Hormuz-scenario] voor een volledig voorbeeld.
Hoe automatiseert ResiPlan de berekening van RTO/RPO?
Tijdens de BIA vraagt ResiPlan eenvoudige input (financiële impact per uur onderbreking, bedrijfskritikaliteit, afhankelijkheden) en leidt via een matrix aanbevolen RTO/RPO af. U valideert of past aan. Het systeem volgt vervolgens de consistentie met MTPD's en technische NFR's, en waarschuwt als een oefening de beoogde RTO niet haalt. Zie [/features/bia].
Kalibreer uw RTO/RPO in 2 uur met ResiPlan
Gratis proefperiode van 7 dagen. AI-gestuurde BIA, vooraf ingerichte vereistenmatrix, geïntegreerde sectorbenchmarks, automatische consistentiecontrole met MTPD.