Digitale veiligheid staat hoog op de agenda in het onderwijs. Het vernieuwde Normenkader Informatiebeveiliging en Privacy (IBP) biedt schoolbesturen duidelijke richtlijnen om hun informatiebeveiliging en privacy structureel te verbeteren. Echter is het normenkader omvangrijk en de verplichting om uiterlijk eind 2027 minimaal volwassenheidsniveau 3 te behalen, vraagt om duidelijke regie. Hier komt de Privacy Officer in beeld: de spil die beleid vertaalt naar de praktijk en schoolbesturen helpt om stap voor stap vooruitgang te boeken.
Deadline: eind 2027 moet ieder schoolbestuur voldoen
Alle schoolbesturen in Nederland moeten uiterlijk eind 2027 voldoen aan het Normenkader IBP. Dit is nodig om het onderwijs weerbaarder te maken tegen digitale dreigingen.
Het doel is dat ieder schoolbestuur eind 2027 minimaal op volwassenheidsniveau 3 staat. Dat betekent:
- alle risico’s rond informatiebeveiliging en privacy zijn in kaart gebracht;
- er zijn maatregelen genomen om die risico’s acceptabel te maken.
In totaal kent het Normenkader vijf niveaus. Door stapsgewijs te groeien, wordt je bestuur steeds volwassener in het omgaan met digitale veiligheid en privacy.
???? Het Normenkader IBP is dus geen doel op zich, maar een middel om gestructureerd toe te werken naar digitaal veilig onderwijs.
Direct aan de slag met het Normenkader IBP
Het Normenkader is omvangrijk. Veel besturen vragen zich af: waar start ik, wat doe ik daarna en hoe houd ik overzicht?
Het Groeipad biedt hier uitkomst. Dit groeimodel bestaat uit vijf fases waarin normen logisch zijn samengevoegd. Je voert maatregelen stap voor stap uit, in een tempo dat past bij jouw organisatie.
Bestuurders die nog moeten beginnen, ervaren het Groeipad als een prettige houvast. Het maakt duidelijk dat het Normenkader serieuze aandacht vraagt en biedt tegelijk de structuur en richting om stap voor stap aan de slag te gaan.
???? Het volledige Normenkader en alle normen vind je via Kennisnet – Normenkader IBP
Wie doet wat?
Een succesvolle invoering van het Normenkader vraagt om duidelijke rollen:
- Schoolbestuur → stelt een IBP-team samen, benoemt een FG én zorgt voor voldoende middelen en kennis binnen de organisatie om het beleid uit te voeren.
- Functionaris Gegevensbescherming (FG) → houdt toezicht op de verwerking van persoonsgegevens en rapporteert hierover.
- Privacy Officer, IBP’er en/of Security Officer → vergroten kennis en bewustzijn bij medewerkers en leerlingen en geven gevraagd en ongevraagd advies.
Samenwerking tussen bestuur, FG en Privacy Officer bepaalt hoe goed een school met het Normenkader aan de slag kan.
De Privacy Officer in de praktijk
De Privacy Officer (PO) is de schakel tussen beleid en praktijk. Waar de FG toezicht houdt en onafhankelijk adviseert, vertaalt de PO de normen naar concrete acties in de organisatie.
Taken van de Privacy Officer
- Bewustwording creëren: trainingen organiseren over veilig omgaan met persoonsgegevens.
- Signaleren van risico’s: bijvoorbeeld bij gebruik van nieuwe leerlingvolgsystemen of cloudsoftware.
- Procesbegeleiding: zorgen dat IBP-beleid niet in een la verdwijnt, maar wordt uitgevoerd.
- Ondersteuning van medewerkers: vragen beantwoorden zoals “Mag ik deze leerlinggegevens delen met een externe partij?”
- Rapporteren: bestuur en directie inzicht geven in de voortgang.
Voorbeelden
- Een PO helpt bij een DPIA voor een nieuwe digitale leeromgeving.
- Een PO organiseert structurele trainingen voor alle medewerkers in de organisatie, bijvoorbeeld via e-learning. Denk daarbij aan phishing, sterke wachtwoorden en het melden van datalekken.
- Bij een datalek (bijvoorbeeld een verkeerd geadresseerde e-mail met leerlinggegevens) coördineert de PO de opvolging en adviseert of er een melding bij de AP nodig is.
Het Normenkader IBP en accountants
Accountants spelen ook een rol. Voor hen is informatiebeveiliging een bedrijfsrisico en zonder goede beveiliging komt de continuïteit van de stichting in gevaar.
- Bij financiële systemen (zoals salarisadministratie) is de verantwoordelijkheid extra groot, omdat fouten direct doorwerken in de jaarrekening.
- In gesprekken met schoolbesturen vragen accountants vaak naar het IBP-beleid, de uitvoering van een nulmeting en de rol van de FG.
- Als de uitvoering tekortschiet, nemen accountants dit mee in hun rapportage aan bestuur en toezichthouders.
IBP-beleid: continuïteit, integriteit en vertrouwelijkheid
Het doel van een goed IBP-beleid is om de CIA-triade te waarborgen:
- Continuïteit: data blijft beschikbaar, ook bij cyberaanval of storing.
- Integriteit: data klopt altijd (denk aan cijfers, salarissen, leerlingdossiers).
- Vertrouwelijkheid: alleen bevoegde personen hebben toegang.
Het Normenkader helpt schoolbesturen om dit beleid concreet te maken en maatregelen te implementeren.
Opleiding Privacy Officer – Onderwijs
Voor veel scholen is het een uitdaging om voldoende kennis op te bouwen rond IBP. Daar helpt de Praktijkgerichte Opleiding Privacy Officer van AVG-trainingen
Op weg naar volwassenheidsniveau 3
Uiterlijk eind 2027 moet ieder schoolbestuur voldoen aan het Normenkader IBP. Met het Groeipad en een goed opgeleide Privacy Officer zet je realistische stappen richting volwassenheidsniveau 3. Daarmee borg je continuïteit, integriteit en vertrouwelijkheid van data – en dus de toekomstbestendigheid van je onderwijs.
✅ Benieuwd hoe jouw schoolbestuur ervoor staat? Start met een nulmeting, betrek je FG en investeer in de kennis van je Privacy Officer.
