Het normenkader informatiebeveiliging en privacy voor funderend onderwijs: een stap richting digitale veiligheid in de educatiesector

Published by Redactie on juli 27, 2025 | Category fundering

Informatiebeveiliging en privacy zijn in de digitale wereld essentiële thema’s, niet alleen in de zorg- of financiële sector, maar ook in het onderwijs. Het funderend onderwijs in Nederland heeft zich de afgelopen jaren sterk gericht op het opbouwen van een normenkader dat een juridisch en technisch kader biedt voor digitale veiligheid en privacy. Het doel is om scholen te ondersteunen bij het versterken van hun digitale infrastructuur en het beschermen van gevoelige gegevens van leerlingen, ouders en medewerkers. In deze artikel wordt ingegaan op het normenkader informatiebeveiliging en privacy (IBP) voor het funderend onderwijs, de resultaten van een nulmeting, de actuele ontwikkelingen en de toekomstplannen.

Inleiding: het belang van digitale veiligheid in het funderend onderwijs

Het funderend onderwijs in Nederland omvat zowel het primair als het voortgezet onderwijs. In deze sector worden enorme hoeveelheden gevoelige gegevens verwerkt, zoals persoonsgegevens van leerlingen, ouders en medewerkers. Tegelijkertijd is het onderwijs sterk afhankelijk van digitale systemen voor administratie, onderwijsuitvoering en communicatie. Hierdoor is het funderend onderwijs ook kwetsbaar voor cyberdreigingen zoals datalekken, ransomware-aanvallen en andere vormen van cybercriminaliteit.

Om dit aan te pakken, is een normenkader voor informatiebeveiliging en privacy ontwikkeld in samenwerking met het ministerie van Onderwijs, Cultuur en Wetenschap (OCW), Kennisnet, SIVON, de PO-Raad en de VO-raad. Het normenkader geeft duidelijke richtlijnen voor schoolorganisaties om hun digitale veiligheid te verbeteren en een betere controle op gegevensbeveiliging te krijgen. Het is een essentieel instrument om het funderend onderwijs te ondersteunen in het toewerken naar een uniforme standaard voor informatiebeveiliging en privacy.

Het normenkader IBP FO: een overzicht

Het normenkader Informatiebeveiliging en Privacy (IBP) voor het funderend onderwijs is ontwikkeld om scholen te ondersteunen bij het opbouwen van een digitaal weerbare organisatie. Het normenkader bestaat uit een reeks richtlijnen en maatregelen die worden ingedeeld in verschillende domeinen, zoals beveiliging van data, toegangscontrole, incidentmanagement en leveranciersbeheer.

Juridische en sectorale basis

Het normenkader is ontwikkeld in opdracht van het ministerie van OCW, en wordt uitgevoerd in samenwerking met Kennisnet, SIVON, de PO-Raad en de VO-raad. Het is een initiatief van de Adviesgroep Regie op ICT van de PO-Raad en de VO-raad, die in 2022 een oproep deed tot het opstellen van minimale normen voor digitaal veilig onderwijs. Kennisnet is verantwoordelijk voor het publiceren van het normenkader, en doet ook onderzoek en monitoring van de implementatie.

Doelstellingen van het normenkader

Het doel van het normenkader is om een helder einddoel te bieden voor schoolorganisaties, waarbij digitale veiligheid stap voor stap wordt opgebouwd. Het normenkader is ontworpen om scholen te ondersteunen bij het implementeren van passende maatregelen die gericht zijn op actuele risico’s en dreigingen. Het einddoel is dat alle schoolorganisaties in het funderend onderwijs aan minimale veiligheidsnormen voldoen, zodat leerlingen, ouders en medewerkers kunnen rekenen op een digitaal veilige leer- en werkplek.

Groeipad voor implementatie

Het normenkader is geen statisch document, maar wordt gesteund door een groeipad. Dit groeipad is bedoeld om scholen te ondersteunen bij het toewerken naar het einddoel. Het groeipad is gebaseerd op actuele risicoanalyse en bevat advies over het prioriteren van normen en het opstellen van een realistische implementatiestrategie. Het groeipad helpt scholen om maatregelen in te voeren die passen bij de specifieke behoeften en mogelijkheden van de organisatie.

Juridische borging

Er wordt gewerkt aan een juridische borging van de normen in het normenkader. Dit betekent dat scholen niet alleen aanbevolen richtlijnen volgen, maar ook verplichte normen moeten naleven. Het schoolbestuur draagt de eindverantwoordelijkheid voor het naleven van deze normen, ongeacht of de ICT zelf geregeld wordt of uitbesteed. De juridische borging biedt zekerheid aan leerlingen, ouders en medewerkers dat hun gegevens goed worden beschermd.

Nulmeting: waar staat het funderend onderwijs nu?

Om te bepalen hoe ver schoolbesturen in het funderend onderwijs al zijn met informatiebeveiliging, is een nulmeting uitgevoerd. Deze nulmeting is uitgevoerd door Kennisnet en is een onafhankelijk en representatief onderzoek onder 15 schoolbesturen. Samen vertegenwoordigen deze besturen ongeveer 80.000 leerlingen. Het doel van de nulmeting was om te bepalen waar schoolbesturen op het moment van het onderzoek stonden ten opzichte van de normen uit het normenkader, en om eventuele aandachtspunten in kaart te brengen.

Resultaten van de nulmeting

De resultaten van de nulmeting tonen aan dat veel schoolbesturen op de goede weg zijn met informatiebeveiliging, maar dat er nog veel moet gebeuren om aan alle normen te voldoen. Uit het onderzoek zijn vijf belangrijke aandachtspunten geïdentificeerd die schoolbesturen moeten aanpakken:

Afhankelijkheid van een kleine groep medewerkers (domein 4 van het normenkader): Veel scholen zijn sterk afhankelijk van een kleine groep medewerkers die verantwoordelijk is voor informatiebeveiliging. Dit kan leiden tot beperkte expertise en een hoge belasting op deze medewerkers. Het normenkader stelt maatregelen voor om deze afhankelijkheid te verminderen, zoals training en het inzetten van externe expertise.
Bewustwording (domein 1 en 4): Niet alle scholen en medewerkers zijn voldoende bewust van de risico’s van informatiebeveiliging. Het normenkader benadrukt de noodzaak van training en opleiding om het bewustzijn van medewerkers te verhogen.
Plannen voor crisis- of noodsituaties en het testen van back-ups (domein 14): Veel scholen hebben plannen voor crisis- en noodsituaties, maar deze plannen zijn niet altijd voldoende uitgewerkt of getest. Het normenkader stelt maatregelen voor om scholen te ondersteunen bij het opstellen van plannen voor grote incidenten en het testen van back-ups.
Monitoring en logging (domein 11 en 11.4): Monitoring en logging van digitale systemen is belangrijk om mogelijke dreigingen vroegtijdig te detecteren. Veel scholen hebben hierin nog ruimte voor verbetering.
Leveranciersmanagement (domein 15): Het beheer van leveranciers is een belangrijk onderdeel van informatiebeveiliging. Veel scholen zijn afhankelijk van externe leveranciers voor ICT-diensten, en het normenkader stelt maatregelen voor om het leveranciersbeheer te verbeteren.

De nulmeting toont aan dat scholen actie moeten ondernemen om hun digitale veiligheid te verbeteren. Het programma Digitaal Veilig Onderwijs biedt ondersteuning in de vorm van handvatten, leidraden en voorbeelden.

Vernieuwde versie van het normenkader: gebruiksvriendelijker en concreter

In juni 2024 is een vernieuwde versie van het normenkader IBP FO gelanceerd. Deze versie is ontwikkeld in samenwerking met het onderwijs en is gebaseerd op feedback van scholen, beleidsmakers en IBP-verantwoordelijken. De vernieuwde versie is beschikbaar op de website normenkaderibp.kennisnet.nl, en vervangt de oudere pdf-versie.

Wat is er veranderd?

De vernieuwde versie van het normenkader is gebruiksvriendelijker, concreter en toegespitst op het onderwijs. De normen zijn herformuleerd om duidelijker en toegankelijker te zijn voor scholen. De website is doorzoekbaar, beter leesbaar en bevat ondersteuningsmaterialen zoals templates, modellen en handreikingen.

Ondersteuningsmaterialen

Op de website zijn ondersteuningsmaterialen beschikbaar om scholen te helpen bij het toepassen van het normenkader. Deze materialen omvatten:

Templates: Voorbeelden van beleidsdocumenten en plannen.
Modellen: Visuele voorbeelden van hoe informatiebeveiliging en privacy in de praktijk kunnen worden ingezet.
Handreikingen: Uitleg over hoe bepaalde maatregelen uit het normenkader in de praktijk worden toegepast.

Vragenuurtjes

Om scholen verder te ondersteunen bij het werken met het vernieuwde normenkader, zijn er vragenuurtjes georganiseerd. Tijdens deze vragenuurtjes kunnen bestuurders, beleidsmakers en IBP-verantwoordelijken vragen stellen over het normenkader. De vragenuurtjes zijn bedoeld om de inhoud van het normenkader en de toepassing ervan helder te maken.

Toekomstplannen en groeipad

Het normenkader is een beginpunt, maar de werkgroep wil dit uitbreiden naar een groeipad dat scholen helpt bij het toewerken naar het einddoel van volledige naleving van de normen. Het groeipad is gebaseerd op actuele risico’s en dreigingen en biedt scholen een advies over de prioritering van maatregelen. Het doel is om scholen te ondersteunen bij het opstellen van een realistische implementatiestrategie die past bij de specifieke behoeften en mogelijkheden van de organisatie.

Sectoraal groeipad

Het groeipad is een sectoraal instrument, wat betekent dat het niet alleen bedoeld is voor individuele scholen, maar voor de hele educatiesector. Het groeipad is ontwikkeld in samenwerking met scholen, beleidsmakers en IBP-verantwoordelijken en is gebaseerd op feedback en ervaringen van de praktijk. Het groeipad helpt scholen om maatregelen in te voeren die passen bij de specifieke behoeften en mogelijkheden van de organisatie.

Juridische borging en toezicht

Controle op digitale veiligheid

Het normenkader stelt voor dat er een vorm van controle op digitale veiligheid wordt ingericht. Deze controle is niet vrijblijvend, maar verplicht. Het doel is om ervoor te zorgen dat scholen hun digitale veiligheid continu op orde houden en dat er actie wordt ondernomen wanneer er sprake is van tekortkomingen.

Conclusie

Het normenkader informatiebeveiliging en privacy voor het funderend onderwijs is een essentieel instrument om scholen te ondersteunen bij het opbouwen van een digitaal weerbare organisatie. Het normenkader biedt duidelijke richtlijnen en maatregelen voor schoolorganisaties om hun digitale veiligheid te verbeteren. De nulmeting toont aan dat scholen op de goede weg zijn, maar dat er nog veel moet gebeuren om aan alle normen te voldoen. Het vernieuwde normenkader is gebruiksvriendelijker en concreter, en biedt scholen ondersteuningsmaterialen om het normenkader in de praktijk te implementeren. Het groeipad en de juridische borging van de normen zijn essentieel voor het toewerken naar een uniforme standaard voor digitale veiligheid in het funderend onderwijs.