E-mail retentiebeleid in Microsoft 365: zo richt je het goed in

Met een retentiebeleid in Microsoft 365 bepaal je hoe lang e-mail in Exchange Online bewaard blijft en wanneer die automatisch wordt verwijderd. Je stelt het in via Microsoft Purview, op het niveau van postvakken, en je kiest per type mail een termijn die past bij je wettelijke plichten en je eigen werkwijze. Als je het goed inricht, voorkom je twee dingen tegelijk: dat belangrijke mail te vroeg verdwijnt en dat je jarenlang mail bewaart die je niet meer nodig hebt. In dit artikel lees je hoe het werkt, welke termijn je kiest, hoe je het instelt en controleert, en waar je op let bij een e-mailmigratie.

Kort samengevat

• ✅ Een retentiebeleid werkt op postvakniveau, een retentielabel op losse items. Met labels kun je ook e-mail als record markeren.
• ⚖️ Overlappen regels elkaar, dan gaat bewaren altijd voor verwijderen en wint de langste termijn.
• 📅 Er is geen vaste termijn voor alle zakelijke e-mail. Je bepaalt die op basis van wettelijke, fiscale en bedrijfsmatige redenen.
• 🔍 Test je beleid eerst en controleer daarna met PowerShell welk beleid op welk postvak staat.
• 🚚 Ga je over naar Microsoft 365? Leg je bewaarafspraken dan vóór de overstap vast, zodat er onderweg niets verloren gaat.

Inhoudsopgave

• Wat een retentiebeleid voor e-mail precies doet
• Wat er gebeurt als regels elkaar overlappen
• Welke bewaartermijn kies je voor zakelijke e-mail?
• Stap voor stap: een retentiebeleid voor Exchange Online instellen
• Controleren of je beleid echt werkt
• Records management voor belangrijke e-mail
• Retentie meenemen bij een e-mailmigratie
• Licenties en beheerrechten
• Onze kijk op e-mailretentie
• Retentie laten regelen door ASTIA
• Veelgestelde vragen
• Bronnen

Wat een retentiebeleid voor e-mail precies doet

Microsoft 365 heeft twee hoofdinstrumenten om inhoud te bewaren of op te ruimen: retentiebeleid en retentielabels. Volgens Microsoft Learn over retentiebeleid en retentielabels kent een retentiebeleid dezelfde instellingen toe aan een hele locatie, zoals een site of een postvak. Een retentielabel werkt op het niveau van één item, zoals één e-mail of één document.

Een retentiebeleid kan drie dingen doen:

• Bewaren: mail blijft een bepaalde periode bewaard, ook als een gebruiker hem verwijdert.
• Verwijderen: mail wordt na een bepaalde periode automatisch opgeruimd.
• Bewaren en daarna verwijderen: de meest gebruikte combinatie. Bijvoorbeeld: alles zeven jaar bewaren en daarna weg.

Die laatste combinatie is voor de meeste bedrijven het uitgangspunt. Je houdt grip op je archief, je postvakken groeien niet eindeloos door en je kunt laten zien wat je met mail doet. Dat is handig als iemand vraagt welke persoonsgegevens je bewaart en waarom. Meer daarover lees je in ons stuk over AVG en Microsoft 365.

Retentiebeleid, labels, bewaartags en records naast elkaar

Een paar termen lopen vaak door elkaar. Met dit overzicht houd je ze uit elkaar.

Het oudere MRM-bewaarbeleid in Exchange

Naast Purview bestaat in Exchange Online nog berichtrecordbeheer, afgekort MRM. Daarmee maak je bewaartags en bewaarbeleid in het Exchange-beheercentrum of via PowerShell, zoals Microsoft uitlegt over MRM en bewaarbeleid. In de praktijk gebruik je MRM vooral om mail na een tijd naar het archiefpostvak te verplaatsen. Voor de vraag “hoe lang bewaren we en wanneer gaat het weg?” is het retentiebeleid in Purview het centrale instrument. Hoe het archiefpostvak zelf werkt, lees je in onze gids over Exchange Online archivering.

Wat er gebeurt als regels elkaar overlappen

In een gemiddeld MKB-bedrijf heb je al snel meerdere regels: een algemeen beleid voor iedereen, een label voor contracten en misschien een aparte regel voor de directie. Dan wil je weten welke regel wint.

Microsoft gebruikt hiervoor vaste principes, beschreven in de uitleg over retentie in Microsoft 365:

1. Bewaren gaat voor verwijderen. Zegt de ene regel “verwijder na 2 jaar” en de andere “bewaar 7 jaar”, dan blijft de mail bewaard.
2. De langste bewaartermijn is leidend. Valt een mail onder meerdere bewaarregels, dan blijft hij bewaard tot de langste periode voorbij is.

Een voorbeeld: je hebt een bedrijfsbreed beleid van 7 jaar bewaren, en een collega zet op een mail met een offerte een label van 10 jaar. Die mail blijft dan 10 jaar bewaard. Andersom kan een kort verwijderbeleid nooit een langere bewaarregel overrulen. 💡 Handig om te weten: je kunt dus veilig een korte opruimregel instellen voor bijvoorbeeld nieuwsbrieven. Belangrijke mail met een langere bewaarregel blijft gewoon staan.

Welke bewaartermijn kies je voor zakelijke e-mail?

Dit is de vraag die we het vaakst krijgen. Het eerlijke antwoord: in Nederland is er niet één termijn die voor alle zakelijke e-mail geldt. Je kijkt naar wat er in de mail staat, niet naar het feit dat het mail is.

Het Nationaal Archief noemt voor particuliere en niet-overheidsorganisaties verschillende redenen om iets te bewaren: persoonlijke, wettelijke, fiscale, administratieve, bedrijfseconomische of cultuurhistorische. Dat staat in de handreiking Eerste hulp bij digitaal archiveren. Een mail met een factuur of contractafspraak hoort bij je administratie. Een mail over een lunchafspraak niet.

Wat de overheid aanhoudt als richtpunt

Voor bedrijven is er geen kant-en-klare lijst, maar de overheid heeft er wel een. Die is nuttig als richtpunt. In de Selectielijst e-mailbewaring voor gemeentelijke organen (2024) staan onder meer deze termijnen:

Wat je hieruit kunt halen: de overheid maakt onderscheid naar soort postvak en rol van de medewerker. Dat is ook voor jouw bedrijf een slimme manier van denken. Een info@-adres heeft een andere functie dan het postvak van je directeur, en een noreply-adres voor systeemmeldingen hoeft bijna niets te bewaren.

Zo bepaal je de termijn voor jouw bedrijf

Met dit stappenplan kom je tot een termijn die je kunt uitleggen:

1. Maak een lijst van je postvakken. Persoonlijke postvakken, gedeelde postvakken (info@, sales@, facturen@) en systeemadressen.
2. Bepaal per groep wat erin zit. Facturen, contracten, klantcontact, personeelszaken of vooral interne afstemming.
3. Check de wettelijke en fiscale kant. E-mail die bij je administratie hoort, valt onder de fiscale bewaarplicht. Twijfel je welke termijn voor jouw situatie geldt? Leg het dan voor aan je accountant of fiscalist.
4. Denk aan de AVG. Persoonsgegevens bewaar je niet langer dan nodig. Alles lang bewaren is dus niet automatisch de veilige keuze.
5. Kies een standaard en uitzonderingen. Bijvoorbeeld één bedrijfsbrede termijn, met labels voor mail die langer moet blijven.
6. Leg het vast en plan een herbeoordeling. Het Nationaal Archief raadt aan om af en toe een “trash day” te houden, waarop je je archief opschoont en je keuzes opnieuw bekijkt.

Werk je in een sector met eigen regels, zoals de zorg, de financiële dienstverlening of de bouw met lange garantietermijnen? Dan kunnen er extra verplichtingen gelden. Laat die door een jurist of je branchevereniging bevestigen voordat je de termijn vastlegt.

Stap voor stap: een retentiebeleid voor Exchange Online instellen

Als je weet welke termijnen je wilt, is het instellen zelf niet ingewikkeld. Zo pak je het aan:

1. Log in op de Microsoft Purview-portal met een account dat de juiste beheerrechten voor retentie heeft.
2. Ga naar gegevenslevenscyclusbeheer en maak een nieuw retentiebeleid aan.
3. Geef het beleid een duidelijke naam, bijvoorbeeld “E-mail standaard 7 jaar”. Dan ziet een collega later meteen wat het doet.
4. Kies de locatie Exchange-e-mail. Selecteer alle postvakken of alleen een bepaalde groep.
5. Stel de termijn en de actie in. Kies of je wilt bewaren, verwijderen of bewaren en daarna verwijderen, en vanaf welk moment de termijn telt.
6. Controleer de samenvatting en sla op. Het kan even duren voordat het beleid op alle postvakken actief is.

⚠️ Belangrijk: test je beleid voordat je het op alle postvakken toepast. Microsoft benadrukt in de handleiding voor bewaarbeleid op postvakken dat je het beleid en de bijbehorende tags eerst zorgvuldig test. Zeker bij een verwijderactie wil je zeker weten dat er geen mail verdwijnt die je nog nodig hebt. Begin met een paar testpostvakken en breid daarna uit.

Controleren of je beleid echt werkt

Een beleid instellen is één ding. Weten dat het doet wat je bedoelt, is iets anders. Met Exchange Online PowerShell kun je dat snel nagaan. Volgens Microsoft Learn gebruik je daarvoor deze opdrachten:

• Get-Mailbox om te zien welk bewaarbeleid op een postvak staat, bijvoorbeeld met Get-Mailbox -Identity jan@bedrijf.nl | Format-List RetentionPolicy.
• Get-RetentionPolicy om de bewaarbeleidsregels en de gekoppelde tags te bekijken.
• Get-RetentionPolicyTag om per tag te zien welke termijn en actie erbij horen.

Controleer daarnaast een paar dingen in de praktijk:

• Kies een testpostvak en kijk na de verwerkingstijd of oude mail op de juiste plek staat.
• Zoek een verwijderde testmail terug via eDiscovery. Zo weet je zeker dat bewaren werkt. Hoe dat gaat, lees je in ons artikel over eDiscovery in Microsoft 365.
• Houd wijzigingen in de retentie-instellingen bij via het auditlogboek. Onze snelstart voor het M365 audit log laat zien waar je moet kijken.

Records management voor belangrijke e-mail

Sommige mail is meer dan gewone correspondentie. Denk aan een getekende overeenkomst, een melding aan een toezichthouder of afspraken over een geschil. Die mail wil je niet alleen bewaren, maar ook beschermen tegen wijzigen of verwijderen.

Daarvoor is records management in Microsoft Purview bedoeld. Microsoft adviseert in de startgids voor gegevenslevenscyclusbeheer om voor waardevolle zakelijke, juridische of wettelijke records retentielabels met records management te gebruiken, in plaats van alleen gewoon levenscyclusbeheer.

Zo richt je het praktisch in:

• Bepaal welke mail een record is. Houd het klein en concreet: contracten, juridische correspondentie, besluiten van de directie.
• Maak een label per soort record, met de juiste termijn en de instelling dat het item als record wordt gemarkeerd.
• Spreek af wie labels toekent. Bijvoorbeeld de afdeling die het dossier beheert, zodat het geen losse keuze van iedereen wordt.
• Leg je team uit waarom het label er is. Een record kun je niet zomaar meer weggooien. Dat moet duidelijk zijn voordat collega’s ermee werken.

Het Nationaal Archief raadt overheden in de handreiking E-mail archiveren aan om eerst randvoorwaarden en risico’s in kaart te brengen en pas daarna selectiekeuzes te maken. Die volgorde werkt voor een MKB-bedrijf net zo goed.

Retentie meenemen bij een e-mailmigratie

Stap je over van een eigen mailserver, een IMAP-oplossing of een andere omgeving naar Microsoft 365? Dan is dit hét moment om je bewaarafspraken goed te regelen. Bij een migratie gaat het niet alleen om het overzetten van mail, maar ook om wat je er daarna mee doet.

Let op deze punten:

• Leg je huidige afspraken vast. Welke termijnen golden er in je oude omgeving, en welke mail valt onder een juridische of fiscale verplichting?
• Zet het retentiebeleid klaar vóór de overstap. Zo valt geïmporteerde mail direct onder de juiste regels.
• Let op datums en metadata. Controleer na de migratie of verzend- en ontvangstdatums kloppen, want je termijnen rekenen daarmee.
• Ruim oude postvakken pas op als de nieuwe omgeving klopt. Denk ook aan de postvakken van oud-medewerkers.
• Neem lopende juridische zaken apart mee. Mail die onder een bewaarplicht voor een geschil valt, wil je vanaf dag één beschermd hebben.
• Vergeet je back-ups niet. Retentie en back-up zijn twee verschillende dingen. Hoe je voor back-ups de juiste termijnen bepaalt, lees je in backup retentiebeleid opstellen.

Twijfel je nog welke maildienst bij je past? Lees dan eerst Microsoft Exchange vs IMAP. Ben je er klaar voor, dan helpt ons cloudmigratie stappenplan je met de volgorde.

Licenties en beheerrechten

Niet elke functie zit in elke Microsoft 365-licentie. Voor geavanceerde functies kunnen extra licenties nodig zijn. Microsoft noemt in de uitleg over gedeelde postvakken bijvoorbeeld eDiscovery (Premium) en bewaarbeleid in gedeelde postvakken als functies waarvoor mogelijk een licentie nodig is.

Dat heeft twee praktische gevolgen:

• Controleer je gedeelde postvakken. Wil je ook voor info@ of facturen@ een bewaarbeleid, kijk dan of die postvakken de juiste licentie hebben.
• Geef beheerrechten bewust uit. Retentie-instellingen bepalen wat er met de mail van je hele bedrijf gebeurt. Geef die rechten alleen aan de mensen die er echt mee werken.

Onze kijk op e-mailretentie

Bij veel bedrijven die bij ons aankloppen, is retentie nooit bewust ingesteld. De mail staat er gewoon, soms al tien jaar, en niemand weet precies welke regels erop zitten. Dat voelt veilig, tot iemand een oude mail nodig heeft en die toch weg blijkt, of tot er een vraag komt over welke persoonsgegevens je bewaart.

Wij zien retentie als onderdeel van je IT-fundament, net als je werkplekken, je netwerk en je beveiliging. Daarom regelen we het niet als los project, maar nemen we het mee in het beheer van je Microsoft 365-omgeving. Bij een migratie zetten we de bewaarafspraken klaar voordat de eerste mail overgaat. Daarna houden we het in de gaten met onze 24/7 monitoring.

Ons advies: houd het simpel. Eén duidelijke standaard voor alle mail, een paar labels voor wat echt langer moet blijven, en een vast moment per jaar om het samen te bekijken. Heb je een vraag? Dan bel je ons gewoon direct, zonder ticketsysteem.

Mick

Retentie laten regelen door ASTIA

Wil je dat je e-mailretentie goed staat, zonder dat je zelf de Purview-portal in hoeft? Met ons Microsoft 365-beheer nemen we de inrichting en het beheer van je omgeving uit handen, inclusief bewaarbeleid, labels en controle.

Ga je overstappen naar Microsoft 365? Dan zorgt onze cloudmigratie voor het MKB ervoor dat je mail netjes meegaat, inclusief je bewaarafspraken. Je betaalt een vast bedrag per werkplek en hebt één aanspreekpunt voor je hele IT. Wil je ook je beveiliging op orde? Bekijk dan onze aanpak voor IT-beveiliging.

Veelgestelde vragen

Wat is het verschil tussen een retentiebeleid en een retentielabel?

Een retentiebeleid geldt voor een hele locatie, zoals alle postvakken in je organisatie. Een retentielabel zet je op een losse mail of map. Labels gebruik je voor uitzonderingen, zoals contracten die langer moeten blijven, en om mail als record te markeren.

Wordt mail verwijderd als twee beleidsregels elkaar tegenspreken?

Nee, niet zolang er een bewaarregel op zit. In Microsoft 365 gaat bewaren altijd voor verwijderen, en de langste bewaartermijn telt. Een kort opruimbeleid kan een langere bewaarregel dus nooit overrulen.

Hoe lang moet ik zakelijke e-mail bewaren?

Dat hangt af van wat er in de mail staat. Mail die bij je administratie hoort, valt onder de fiscale bewaarplicht. Persoonsgegevens bewaar je niet langer dan nodig. Je accountant of jurist kan de juiste termijn voor jouw situatie bevestigen.

Kan een gebruiker mail verwijderen die onder een bewaarbeleid valt?

Een gebruiker kan mail uit zijn postvak weggooien, maar zolang de bewaartermijn loopt, blijft er voor de organisatie een kopie bewaard. Als beheerder vind je die mail terug via eDiscovery. Is de mail als record gemarkeerd, dan kan hij niet zomaar worden verwijderd.

Bronnen

• Microsoft Learn: Learn about retention policies and retention labels
• Microsoft Learn: Beleid voor berichtrecordbeheer (MRM) en bewaarbeleid
• Microsoft Learn: Apply a retention policy to mailboxes in Exchange Online
• Microsoft Learn: Get started with data lifecycle management
• Microsoft Learn: Over gedeelde postvakken in Microsoft 365
• Nationaal Archief: Selectielijst e-mailbewaring gemeentelijke en intergemeentelijke organen 2024
• Nationaal Archief: Handreiking E-mail archiveren
• Nationaal Archief: Eerste hulp bij digitaal archiveren

Aanbevelingen

• Backup retentiebeleid opstellen: zo bepaal je de juiste bewaartermijnen
• Exchange Online archivering: praktische gids voor beheerders
• eDiscovery in Microsoft 365: zo vind en bewaar je bewijs