Entra Backup and Recovery er nu klar: dækning, licens og NIS2

Microsoft Entra Backup and Recovery er en indbygget funktion i Entra ID (Microsofts identitetsplatform, tidligere Azure AD) der automatisk tager en sikkerhedskopi af jeres vigtigste identitetsobjekter en gang i døgnet og gemmer syv dages historik. Backuppen er Microsoft-administreret og uslettelig: ingen bruger eller app, heller ikke en Global Administrator, kan slå den fra, ændre eller slette den.

Det er hele pointen. Hvis en angriber får administratoradgang, går de tit efter netop den konfiguration og de spor, I skal bruge for at komme tilbage. Når backuppen ligger uden for rækkevidde af selv den højeste administrator, kan den ikke fjernes som en del af angrebet. Data ligger i samme geografiske region som jeres tenant.

I praksis kan I se de tilgængelige backups, lave en differensrapport der sammenligner den nuværende tilstand med en backup, og derefter gendanne enten alt, udvalgte objekttyper eller helt bestemte objekt-id’er. Funktionen blev generelt tilgængelig i juni 2026.

De understøttede objekter er brugere, grupper, applikationer, service principals, Conditional Access-politikker, navngivne lokationer samt authentication- og authorization-policyer (udvalgte egenskaber). Agent ID er også med, fordi det består af bruger- og service principal-objekter. Det dækker altså den konfiguration, en fejlbehæftet ændring eller et angreb oftest rammer.

Vær samtidig ærlig om grænserne, for det er ikke en fuld backup:

• •Adgangskoder sikkerhedskopieres ikke. Efter en gendannelse af brugere eller godkendelsesmetoder kan I skulle sætte ny adgangskode og genregistrere MFA-metoder.
• •Kun syv dages historik. En fejl I først opdager efter en uge, kan ikke rulles tilbage via denne funktion.
• •Objekter synkroniseret fra lokal Active Directory forbliver styret af AD. De vises i differensrapporter (undtagen gruppemedlemskaber), men kan ikke gendannes herfra.
• •Hard-deletede objekter kan ikke genskabes. Soft-deletede brugere, Microsoft 365-grupper, cloud-sikkerhedsgrupper, app-registreringer og service principals kan derimod gendannes i 30 dage.

Konklusionen: det er en stærk ny sikkerhedslinje for jeres identitetskonfiguration, men det erstatter ikke en bredere backup- og gendannelsesstrategi for jeres data som postkasser, filer og Teams.

Her er det vigtige for de fleste danske virksomheder: Entra Backup and Recovery kræver Entra ID P1 eller P2. Har jeres tenant ikke mindst P1, kan I ikke bruge funktionen.

Sådan følger Entra ID-niveauet med de gængse planer:

Kører I på Business Basic eller Standard, har I altså ikke adgang endnu og skal enten opgradere til Business Premium eller tilkøbe Entra ID P1 separat. Det er en af de features der gør Business Premium til mere end „Standard med Office“, og et konkret eksempel på hvorfor licensniveauet betyder noget i praksis.

NIS2 (EU’s netværks- og informationssikkerhedsdirektiv) kræver i Artikel 21 blandt andet politikker for backup, driftskontinuitet og krisestyring. De fleste tænker backup som postkasser og filer, men jeres identitetskonfiguration er mindst lige så kritisk: hvis en forkert Conditional Access-ændring låser alle ude, eller en angriber sletter grupper og adgangsroller, står driften stille uanset hvor godt jeres filer er sikret.

Entra Backup and Recovery adresserer netop den del af resiliensen. I kan hurtigt se hvad der er ændret og rulle konfigurationen tilbage til en kendt god tilstand. Det er ikke hele NIS2-backup-kravet, men det lukker et hul der før krævede tredjepartsværktøj eller manuelt arbejde.

For en dansk SMV der arbejder mod NIS2 eller D-mærket er det værd at notere som en konkret kontrol I nu har adgang til, forudsat licensen er på plads. Kobl det gerne sammen med jeres øvrige driftskontinuitet, så I kan dokumentere at også identitetslaget kan gendannes.

Funktionen findes i Microsoft Entra admin center (entra.microsoft.com) under „Backup and recovery“. Der er fire visninger: Overview, Backups (de sidste syv dage), Difference Reports og Recovery History.

Adgangen styres af to roller, hvilket er godt af hensyn til least privilege (mindst mulige rettigheder):

• •Microsoft Entra Backup Reader: kan se backups, sammenligne ændringer og se gendannelseshistorik.
• •Microsoft Entra Backup Administrator: kan derudover lave differensrapporter og udløse gendannelse. Rettighederne er inkluderet i Global Administrator, men tildel hellere den specifikke rolle end at give flere folk Global Admin.

Mit råd: kør altid en differensrapport og gennemgå ændringerne, før I gendanner. Tiden det tager afhænger mest af hvor mange ændringer der skal rulles tilbage.

Entra Backup and Recovery var en del af Microsofts sikkerhedsopdateringer for juni 2026. Et par andre ting fra samme runde er værd at kende:

• •Unified Identity Risk Score: en samlet risikovurdering pr. identitet, der kombinerer adfærd, adgangsmønstre og trusselsdata og kan udløse Conditional Access-politikker automatisk.
• •Microsoft Defender for Local AI Agents (preview): opdager lokale AI-agenter og MCP-servere (Model Context Protocol) på maskiner og blokerer prompt injection-angreb mod udviklerværktøjer.
• •Purview customizable reports (generelt tilgængelig): tilpassede rapportvisninger i Data Security Posture Management.

Fællesnævneren er tydelig: identitet og AI-agenter er der, hvor Microsoft lægger sikkerhedsindsatsen i 2026. For jer betyder det, at licensniveauet på identitetssiden (P1 mod P2) i stigende grad afgør hvilke beskyttelser I overhovedet har adgang til.

Kilder: Microsoft Learn: Entra Backup and Recovery overview, Microsoft Entra-blog: GA-annoncering, Microsoft Security: hvad er nyt juni 2026.