Ben jij klaar voor het Normenkader Informatiebeveiliging en Privacy?

Het normenkader Informatiebeveiliging en Privacy Funderend Onderwijs (IBP FO) is een uitgebreid document met maatregelen voor het creëren van een digitaal veilige en privacyvolle onderwijsomgeving. Met 69 normen voor informatiebeveiliging biedt het normenkader inzicht in de maatregelen die nodig zijn om digitale dreigingen, zoals datalekken en cyberaanvallen, te voorkomen. Het bevat:

1. een gedetailleerde beschrijving van elke norm;
2. een toetsingskader dat het minimumniveau van beheersing bepaalt;
3. voorbeeldmaatregelen om aan de normen te voldoen.

Op dit moment bevat het normenkader enkel normen voor informatiebeveiliging. Laten worden hier normen voor privacy aan toegevoegd.

Kinderen en medewerkers hebben recht op een privacyvolle onderwijsomgeving, waarbij scholen zorgvuldig omgaan met hun gegevens. Zo’n veilige omgeving ontstaat niet vanzelf. Het normenkader IBP FO biedt schoolbesturen een uniforme houvast bij het creëren van zo’n omgeving. Daarmee is het een belangrijk hulpmiddel voor schoolbesturen om hun organisatie(s) digitaal veilig te maken.

Het normenkader IBP FO is tot stand gekomen in samenwerking met het onderwijs zelf en is geïnitieerd door het ministerie van OCW, Kennisnet, SIVON, de PO-Raad en de VO-raad. Het is gebaseerd op het NBA-model. Dat model is eerder als basis gebruikt voor het normenkader in het middelbaar beroepsonderwijs (mbo). De normen en het toetsingskader zijn een vertaling van het Engelstalige NBA-kader, terwijl de voorbeeldmaatregelen specifiek zijn afgestemd op de praktijk in het funderend onderwijs.

Het normenkader richt zich op bestuurders, schoolleiders en IBP’ers, die verantwoordelijk zijn voor het implementeren van de maatregelen. Het normenkader biedt duidelijke richtlijnen en helpt hen bij het organiseren van privacy en informatiebeveiliging binnen hun organisaties.

Het normenkader informeert niet alleen de direct betrokkenen, zoals bestuurders, schoolleiders en IBP’ers, maar is ook relevant voor (ICT-)leveranciers in de onderwijssector. Hun oplossingen en diensten moeten voldoen aan de vereisten vanuit het normenkader.

Ook voor het BIC (bovenschoolse ICT-coördinatoren) is het normenkader belangrijk. Zij zijn in de praktijk vaak belast met de praktische uitvoering en implementatie ervan.

Het normenkader an sich is op dit moment nog niet juridisch bindend. Naar verwachting zal dit in 2027 wel het geval zijn, waarbij naleving van alle normen verplicht is. Dat wil echter niet zeggen dat er momenteel geen enkele juridische consequenties aan niet-naleving zijn verbonden. Veel onderdelen van de IBP FO refereren namelijk aan zaken die momenteel onder de AVG al wettelijk verplicht zijn. Denk aan een zorgvuldige verwerking van privacygevoelige persoonsgegevens. Bovendien moeten onderwijsinstellingen transparant zijn over hoe zij de persoonsgegevens van betrokkenen verwerken.

Het normenkader IBP FO komt samen met een nieuw toetsingskader. Dat toetsingskader geeft aan welke maatregelen een school moet nemen om bepaalde risico’s voldoende af te dekken. Het toetsingskader gaat uit van een aantal volwassenheidsniveaus. Scholen kunnen met het toetsingskader op een uniforme en nauwkeurige manier hun volwassenheidsniveau op het gebied van IBP in kaart brengen. Op die manier weten ze beter waar ze staan en welke maatregelen prioriteit hebben.

Voor veel scholen vormt het nieuwe normenkader een struikelblok. Dat is niet zo vreemd: privacy en security behoren niet tot de ‘core business’ van de organisatie. Het implementeren van informatiebeveiliging en privacyregels in onderwijsinstellingen kan tijdrovend en kostbaar zijn vanwege complexe normen en wetgeving. Dat is uitdagend.

Dat kan zeker. Om de implementatie van het normenkader IBP FO te vergemakkelijken, hebben we gebruiksvriendelijke IBP-tooling ontwikkeld: YourSafetynet IBP-FO. Deze cloudgebaseerde oplossing leidt je stap voor stap door alle maatregelen uit het normenkader. Daarbij biedt de tooling rekening met de verschillende volwassenheidsniveaus.

Met YourSafetynet IBP-FO koppel je bovendien eenvoudig taken aan de juiste medewerkers en kun je op centraal niveau in een keer beleid bekrachtigen voor meerdere vestigingen. Uitgebreide dashboards voorzien het schoolbestuur van nuttige stuurinformatie en status en voortgang van het IBP-traject.

Daarnaast komt de oplossing met diverse aanvullende modules die het voldoen aan het normenkader verder vergemakkelijken. Denk aan een module voor incidentmanagement (YourSafetynet SIM) en het opstellen en bijhouden van een verwerkingsregister (YourSafetynet RVV).