Digitale veiligheid is in het onderwijs allang geen onderwerp meer voor alleen de ICT-afdeling. Als systemen uitvallen, leerlinggegevens onvoldoende beschermd zijn of leveranciersafspraken niet goed zijn vastgelegd, raakt dat direct aan de dagelijkse praktijk op school. Aan lessen die door moeten gaan. Aan ouders die moeten kunnen vertrouwen op zorgvuldigheid. Aan medewerkers die veilig willen werken. En aan bestuurders die verantwoordelijk zijn voor continuïteit, privacy en toezicht.
Het Normenkader Informatiebeveiliging en Privacy voor Funderend Onderwijs, kortweg Normenkader IBP FO, maakt die verantwoordelijkheid concreet. Het helpt schoolbesturen om stap voor stap toe te werken naar een aantoonbaar niveau van digitale veiligheid en privacybescherming.
Dat klinkt misschien als een verplicht traject. En ja, er komt een duidelijke verwachting aan voor schoolbesturen. Vanaf 1 januari 2027 moeten schoolbesturen met een zelfevaluatie weten waar zij staan ten opzichte van het normenkader. Ook moet er dan een plan liggen om volwassenheidsniveau 3 te bereiken. Uiterlijk per 1 januari 2030 moeten scholen aan dat niveau voldoen.
Maar wie het normenkader alleen ziet als een verplichte invuloefening, mist de belangrijkste waarde. Goed ingericht helpt het onderwijsorganisaties juist om meer grip te krijgen. Op risico’s, verantwoordelijkheden, afspraken, leveranciers, processen en besluitvorming. Niet als papieren werkelijkheid, maar als praktische basis voor veilig en betrouwbaar onderwijs.
De uitdaging zit niet in de norm, maar in de organisatie
Veel schoolbesturen weten inmiddels dat ze met het Normenkader IBP FO aan de slag moeten. De vraag is meestal niet óf er iets moet gebeuren. De echte vraag is: hoe maken we dit beheersbaar?
Want het normenkader raakt veel meer dan techniek. Natuurlijk zijn zaken als toegangsbeheer, logging, back-ups en beveiligingsmaatregelen belangrijk.
"Maar digitale veiligheid in het onderwijs gaat net zo goed over gedrag, processen, eigenaarschap, leveranciersmanagement en bestuurlijke sturing."
Neem een nieuwe educatieve applicatie die op een schoollocatie wordt gebruikt. Wie beoordeelt of deze leverancier veilig omgaat met leerlinggegevens? Is er een verwerkersovereenkomst? Wie houdt bij of de afspraken nog actueel zijn? En weet het bestuur of dit op alle locaties op dezelfde manier gebeurt?
Of denk aan een medewerker die uit dienst gaat. Worden toegangsrechten tijdig ingetrokken? Is duidelijk wie daarvoor verantwoordelijk is? Is dit controleerbaar? Of hangt het af van een losse mail, een oplettende collega of de toevallige kennis van één persoon?
Dit zijn precies de situaties waarin digitale veiligheid kwetsbaar wordt. Niet omdat mensen hun werk niet goed willen doen, maar omdat processen, verantwoordelijkheden en bewijsvoering niet altijd helder zijn ingericht.
Van losse acties naar overzicht
Voor CISO’s, IBP-verantwoordelijken, ICT-managers en bestuurders is het Normenkader IBP FO daarom vooral een kans om overzicht te creëren.
- Waar staan we nu?
- Welke risico’s zijn het grootst?
- Welke maatregelen zijn al goed geregeld?
- Waar ontbreekt eigenaarschap?
- Welke acties moeten eerst?
- En hoe tonen we straks aan dat we de juiste stappen zetten?
Een goede zelfevaluatie of nulmeting is daarbij geen afvinklijst. Het is een manier om realistisch te bepalen waar de organisatie staat. Niet mooier dan het is, maar ook niet zwaarder dan nodig. Juist dat eerlijke beeld is waardevol, omdat het helpt om prioriteiten te stellen.
Niet alles hoeft tegelijk. Maar zonder overzicht wordt alles urgent. Dan ontstaat het risico dat een schoolbestuur vooral reageert op losse vragen, incidenten of deadlines. Met een duidelijke inrichting ontstaat rust. Dan wordt zichtbaar welke stappen logisch zijn, wie waarvoor verantwoordelijk is en hoe voortgang wordt bewaakt.
Digitale veiligheid is geen ICT-project
Een belangrijk misverstand is dat het Normenkader IBP FO vooral een technisch project zou zijn. In de praktijk werkt dat niet.
ICT kan veel organiseren, maar kan niet namens de hele organisatie bepalen welke gegevens worden verwerkt, welke leveranciers worden gekozen, welke afspraken op locatieniveau worden gemaakt of hoe medewerkers met informatie omgaan.
"Digitale veiligheid vraagt betrokkenheid van de hele organisatie. Van bestuur tot schoolleiding. Van HR tot inkoop. Van ICT tot privacy officer. En van beleidsmedewerkers tot de mensen die dagelijks met systemen, leerlingen en ouders werken."
Dat betekent niet dat iedereen specialist hoeft te worden. Een schooldirecteur hoeft het normenkader niet van voor tot achter te kennen. Maar hij of zij moet wel weten welke afspraken op schoolniveau belangrijk zijn. HR hoeft geen securityspecialist te zijn, maar moet wel begrijpen waarom het proces rond in- en uitdiensttreding cruciaal is. Inkoop hoeft geen privacyjurist te worden, maar moet wel weten wanneer leveranciersafspraken extra aandacht vragen.
Zo wordt digitale veiligheid geen extra last van één afdeling, maar een gedeelde verantwoordelijkheid die praktisch is belegd.
Voorkom een papieren werkelijkheid
Bij normenkaders ligt altijd hetzelfde gevaar op de loer: er worden documenten gemaakt, mappen gevuld en actielijsten opgesteld, maar in de praktijk verandert er te weinig.
Dan is er wel beleid, maar niemand weet waar de actuele versie staat. Er zijn wel maatregelen benoemd, maar het is niet duidelijk wie eigenaar is. Er is wel een planning, maar voortgang wordt handmatig bijgehouden in losse Excel-bestanden. En bewijsvoering wordt pas verzameld als iemand erom vraagt.
Voor een onderwijsorganisatie is dat kwetsbaar. Zeker bij scholengroepen met meerdere locaties, verschillende applicaties, beperkte capaciteit en veel verschillende belangen. Als informatie verspreid staat over documenten, mailboxen, Teams-kanalen en persoonlijke lijsten, wordt sturing lastig.
Het Normenkader IBP FO vraagt daarom niet alleen om inhoudelijke kennis. Het vraagt ook om een werkbare manier van organiseren.
- Wat is afgesproken?
- Wie is eigenaar?
- Wat is de status?
- Waar staat het bewijs?
- Welke risico’s vragen bestuurlijke aandacht?
- En welke acties blijven liggen?
Als die vragen eenvoudig te beantwoorden zijn, ontstaat echte grip.
Gebruik wat er al is
Veel schoolorganisaties hebben geen behoefte aan alweer een extra systeem. Begrijpelijk. Er zijn vaak al genoeg applicaties, portalen en dashboards. Een nieuwe externe tool betekent al snel extra kosten, extra beheer en extra adoptie.
Daarom is het verstandig om eerst te kijken naar wat er al aanwezig is. Veel onderwijsorganisaties werken bijvoorbeeld al met Microsoft 365 en SharePoint. Die omgeving is bekend, beschikbaar en onderdeel van de dagelijkse manier van werken.
Met een goede inrichting kan SharePoint veel meer zijn dan een plek waar documenten worden opgeslagen. Het kan ook dienen als praktisch managementsysteem voor informatiebeveiliging en privacy. Een centrale omgeving waarin beleid, normen, maatregelen, acties, verantwoordelijkheden en bewijsvoering logisch met elkaar verbonden zijn.
Dat maakt het normenkader tastbaarder. Een bestuurder ziet voortgang en risico’s. Een CISO of IBP-verantwoordelijke houdt overzicht. Een proceseigenaar weet welke maatregelen bij zijn of haar onderdeel horen. En de organisatie werkt in een omgeving die al bekend is.
Met Ordia heeft Newmorn’ hiervoor een aanpak ontwikkeld die aansluit op de bestaande SharePoint-omgeving van de organisatie. Niet als losstaand systeem naast de praktijk, maar als inrichting die helpt om het Normenkader IBP FO praktisch te organiseren en beter te borgen.
De organisatie wordt er beter van
De waarde van het Normenkader IBP FO zit niet alleen in voldoen aan een verplichting. De onderwijsorganisatie wordt er uiteindelijk ook sterker van.
Processen worden duidelijker. Verantwoordelijkheden worden beter belegd. Leveranciersafspraken worden beter beheersbaar. Incidenten worden sneller herkend en opgevolgd. Bestuurders krijgen beter inzicht in risico’s en voortgang. En medewerkers weten beter wat er van hen wordt verwacht.
"Dat levert rust op. Niet omdat alle risico’s verdwijnen, maar omdat de organisatie weet hoe zij ermee omgaat."
Een schoolbestuur dat digitale veiligheid goed organiseert, bouwt aan vertrouwen. Bij ouders, leerlingen, medewerkers, toezichthouders en samenwerkingspartners. Het laat zien dat zorgvuldig omgaan met gegevens en continuïteit van onderwijs geen losse thema’s zijn, maar onderdeel van goed bestuur.
Daarmee wordt het normenkader meer dan een lijst met eisen. Het wordt een hulpmiddel om de organisatie professioneler, weerbaarder en toekomstbestendiger te maken.
Begin met inzicht, bouw daarna beheerst door
De route naar volwassenheidsniveau 3 hoeft geen sprong in het diepe te zijn. Juist door beheerst te beginnen, ontstaat beweging.
De eerste stap is inzicht. Waar staat de organisatie nu ten opzichte van het Normenkader IBP FO? Welke onderdelen zijn al goed geregeld? Waar zitten de grootste risico’s? En welke maatregelen verdienen prioriteit?
Daarna volgt de vertaling naar een realistisch plan. Niet alles tegelijk, maar wel met duidelijke keuzes. Wat moet voor 2027 op orde zijn? Welke stappen zijn nodig richting 2030? Wie moet worden betrokken? En hoe wordt voortgang zichtbaar gemaakt?
De derde stap is borging. Want een plan heeft pas waarde als het gaat werken in de praktijk. Dat vraagt om eigenaarschap, structuur, terugkerende evaluatie en een manier om bewijs en voortgang goed vast te leggen.
Van verplichting naar vertrouwen
Het Normenkader IBP FO vraagt iets van schoolbesturen. Dat is duidelijk. Maar het biedt ook iets terug: een praktische route naar meer grip op digitale veiligheid en privacy.
Voor veel onderwijsorganisaties is dat precies wat nu nodig is. Niet nog meer losse documenten. Niet nog meer druk op één functionaris. En niet nog een abstract project naast de dagelijkse onderwijspraktijk.
Wel overzicht. Inzicht. Verantwoordelijkheid. En een manier om digitale veiligheid stap voor stap onderdeel te maken van de normale sturing van de organisatie.
Newmorn’ helpt schoolbesturen om die beweging concreet te maken. Van nulmeting naar plan. Van losse acties naar structurele borging. En van digitale veiligheid als zorg van enkelen naar een beheersbare verantwoordelijkheid van de hele organisatie.
Weten waar jouw organisatie staat?
Een gerichte nulmeting op basis van het Normenkader IBP FO geeft inzicht in de huidige situatie, de belangrijkste risico’s en de stappen die nodig zijn richting 2027 en 2030.
Zo wordt duidelijk waar de organisatie staat én wat er nodig is om digitale veiligheid praktisch, aantoonbaar en beheersbaar te organiseren.
Jordi van Duyne
Meer weten over digitale veiligheid in het onderwijs of wil je er meer grip op krijgen? Neem dan gerust contact op met Jordi van Duyne.
