Normenkader IBP: wat scholen voor 2027 moeten regelen en waarom hun IT-partner dat gaat merken

Schoolbesturen in het basis- en voortgezet onderwijs hebben sinds kort een kader waar ze niet omheen kunnen: het Normenkader Informatiebeveiliging en Privacy, kortweg Normenkader IBP. Het beschrijft in 94 normen wat een schoolorganisatie op orde moet hebben, met twee harde mijlpalen. In 2027 moet elk bestuur weten waar het staat en een plan hebben. Op 1 januari 2030 moet elk bestuur op alle normen volwassenheidsniveau 3 halen. Wie IT levert aan scholen, van beheer tot leerlingvolgsysteem, krijgt de komende jaren dus vragen die er eerder nooit waren.

Dat is geen vergezocht scenario. Veel scholen hebben hun IT deels of volledig uitbesteed, en het Normenkader IBP legt de eindverantwoordelijkheid nadrukkelijk bij het bestuur. Het bestuur moet kunnen aantonen dat de zaken geregeld zijn, ook als een externe partij het werk doet. Dit artikel legt uit wat het kader inhoudt, welke normen in de praktijk het meeste werk opleveren en waar een school en haar IT-partner morgen al mee kunnen beginnen.

Wat het Normenkader IBP precies is

Het Normenkader IBP is ontwikkeld binnen het programma Digitaal Veilig Onderwijs, een samenwerking van het ministerie van OCW, Kennisnet, SIVON, de PO-Raad en de VO-raad. Het richt zich op het funderend onderwijs: basisonderwijs, speciaal onderwijs en voortgezet onderwijs. Het kader bevat 69 normen voor informatiebeveiliging en 25 normen voor privacy, en elke norm heeft een volwassenheidsniveau van 1 tot en met 5. Een bestuur kan zichzelf per norm scoren en ziet zo precies waar de gaten zitten.

De reden dat de sector een eigen kader schreef, is praktisch. Standaarden als ISO 27001 en de BIO zijn geschreven voor bedrijven en overheden met een beveiligingsafdeling. Een schoolbestuur met twintig locaties heeft meestal één ict-coördinator, een externe beheerder en een leerlingadministratie die met tientallen leveranciers gegevens uitwisselt. Het Normenkader IBP vertaalt de bekende beveiligingsprincipes naar die situatie: leerlinggegevens in het leerlingvolgsysteem, docentenaccounts die ook op eigen apparaten gebruikt worden, leveranciers die namens de school persoonsgegevens verwerken. De officiële normen, de hulpdocumenten en het zelfevaluatie-instrument staan op normenkaderibp.kennisnet.nl.

Twee data die het tempo bepalen

Het kader komt met een groeipad dat in vijf fasen beschrijft welke normen wanneer op orde moeten zijn. Twee mijlpalen springen eruit. In 2027 moet elk schoolbestuur een zelfevaluatie hebben afgerond, zodat het weet waar het staat, en een plan hebben om de resterende normen te halen. Op 1 januari 2030 moet elk bestuur op alle 94 normen op volwassenheidsniveau 3 werken. Niveau 3 betekent grofweg: het proces is beschreven, wordt aantoonbaar uitgevoerd en is niet afhankelijk van één persoon die er toevallig hart voor heeft.

Dat lijkt ver weg, maar wie de rekensom maakt ziet dat er nog maar een paar schooljaren over zijn. Een zelfevaluatie over 94 normen kost een bestuur al snel een paar maanden, zeker als de informatie bij verschillende leveranciers moet worden opgehaald. En van een plan naar niveau 3 op alle normen is het nog eens twee tot drie jaar werk. Een uitgebreide uitleg van de deadlines, het groeipad en een stappenplan voor de nulmeting staat op guardey.com/nl/ibp-normenkader/.

Het bestuur is verantwoordelijk, maar de IT-partner krijgt de vragen

Het Normenkader IBP beslecht een discussie die op veel scholen jarenlang open bleef: wie is er eigenlijk verantwoordelijk voor digitale veiligheid? Het antwoord is het bestuur, voor al zijn scholen. Niet de ict-coördinator, niet de externe beheerder en niet de leverancier van het leerlingvolgsysteem. Die partijen voeren uit, het bestuur moet kunnen laten zien dat het geregeld is.

In de praktijk betekent dit dat IT-dienstverleners die met scholen werken de komende tijd andere gesprekken gaan voeren. Een bestuur dat zijn zelfevaluatie invult, moet per norm bewijs aanleveren, en een groot deel van dat bewijs ligt bij de beheerpartij. Hoe zijn accounts ingericht, is meervoudige authenticatie afgedwongen voor alle medewerkers, hoe vaak worden back-ups getest, wie heeft beheerrechten, wat staat er in de verwerkersovereenkomst en hoe wordt een incident gemeld? Wie dat nu al gestructureerd kan aanleveren, heeft een streepje voor. Wie het per mail bij elkaar moet zoeken, gaat er veel tijd aan kwijt zijn.

Voor leveranciers van onderwijssoftware geldt hetzelfde. Een bestuur dat niveau 3 wil halen op de privacynormen, moet aantonen dat het zijn leveranciers beoordeelt en afspraken vastlegt. Dat leidt tot vragenlijsten, verzoeken om certificeringen en herziene verwerkersovereenkomsten. Het is verstandig om daar niet op te wachten, maar er zelf een standaardpakket voor klaar te leggen.

Wat de normen vragen: minder techniek dan je denkt

Wie het kader voor het eerst doorleest, verwacht een lijst met technische eisen. Die zitten er zeker in: toegangsbeheer, netwerksegmentatie, patchbeleid, logging, back-up en herstel. Maar een opvallend groot deel van de normen gaat over organisatie en gedrag. Denk aan:

• Beleid en verantwoordelijkheden: is vastgelegd wie waarvoor verantwoordelijk is, en weet iedereen dat ook?
• Leveranciersbeheer: welke partijen verwerken gegevens namens de school, en zijn de afspraken daarover actueel?
• Bewustzijn en training: weten medewerkers hoe ze phishing herkennen, hoe ze een incident melden en wat ze wel en niet met leerlinggegevens mogen doen?
• Incidentbeheer: is er een procedure, wordt die geoefend en worden datalekken tijdig gemeld?
• Continuïteit: kan het onderwijs doorgaan als de systemen een week uitvallen?

Juist die organisatorische normen zijn voor veel besturen het lastigst, omdat er geen product voor te kopen is. Een firewall installeer je, een gewoonte niet. En de scores op deze normen zijn bepalend voor het eindresultaat, want niveau 3 moet op álle normen gehaald worden, niet gemiddeld.

De menselijke factor weegt zwaar

Dat de opstellers zoveel aandacht besteden aan gedrag, is geen toeval. Vrijwel elk groot incident bij een schoolorganisatie van de afgelopen jaren begon met een mail. Een docent die inloggegevens invulde op een nagemaakte Microsoft-pagina, een administratief medewerker die een factuur van een vertrouwde leverancier betaalde, een bestuurder die op reis snel een bijlage opende. Vanaf dat ene account las de aanvaller mee, stuurde nieuwe phishingmails vanaf een vertrouwd adres of versleutelde de omgeving met ransomware. De techniek was in veel van die gevallen op orde. De mens niet.

Het kader vraagt daarom niet alleen dat medewerkers ooit een training hebben gehad, maar dat bewustzijn structureel wordt onderhouden en dat het bestuur dat kan aantonen. Een jaarlijkse presentatie in de teamkamer voldoet daar niet aan, en een lange e-learning past niet in een schoolweek. Wat wel werkt, zijn korte, terugkerende oefeningen met voorbeelden uit de schoolcontext en periodieke phishingsimulaties. Steeds meer scholen kiezen daarvoor een platform als Guardey, dat een aparte variant voor het onderwijs heeft en per team rapporteert wie meedoet en hoe de scores zich ontwikkelen. Die rapportages zijn precies het soort bewijs dat bij de zelfevaluatie gevraagd wordt.

Waar een school en haar IT-partner morgen mee kunnen beginnen

De 2027-mijlpaal vraagt geen afgeronde implementatie, maar wel een eerlijk beeld en een plan. Daar kun je op korte termijn al veel voor doen:

1. Doe de zelfevaluatie dit schooljaar, niet vlak voor de deadline. Hoe eerder het beeld er ligt, hoe meer schooljaren er overblijven om de gaten te dichten. Kennisnet biedt het instrument gratis aan.
2. Breng de accounts op orde. Meervoudige authenticatie voor alle medewerkers, geen gedeelde accounts, beheerrechten alleen waar nodig, en een vaste procedure bij in- en uitdiensttreding. Dit levert op meerdere normen tegelijk punten op.
3. Maak de leverancierslijst compleet. Elke partij die leerlinggegevens verwerkt, met contactpersoon, verwerkersovereenkomst en datum van de laatste beoordeling. Veel besturen schrikken van de lengte van die lijst.
4. Meet het gedrag, niet alleen het papier. Een eerste phishingsimulatie en een korte kennistoets laten zien hoe het team er werkelijk voor staat. Dat is de nulmeting waar het plan op moet rusten.
5. Leg een ritme vast en bewaar het bewijs. Wie vanaf nu elke maand een oefening draait en de resultaten bewaart, heeft in 2027 een dossier waar de zelfevaluatie zo op kan leunen.

Voor IT-partners van scholen is dit ook een kans. Wie zijn onderwijsklanten actief helpt met de zelfevaluatie, een standaardset bewijsdocumenten klaar heeft en het gedragsdeel kan aanbieden naast het technische beheer, wordt van leverancier een partner in het groeipad. De besturen die de komende twee jaar hun plan moeten opstellen, zoeken precies zo’n partij.

Het Normenkader IBP is uiteindelijk geen project met een einddatum, maar een manier van werken die vanaf 2030 gewoon de norm is in het funderend onderwijs. Besturen die er nu mee beginnen, halen die datum zonder paniek. Wie wacht op het volgende schooljaar, merkt dat 2027 dichterbij is dan het lijkt.