Het Normenkader IBP implementeren staat bij steeds meer schoolbesturen hoog op de agenda. Digitalisering is inmiddels onmisbaar binnen het onderwijs, maar brengt tegelijkertijd risico’s mee op het gebied van informatiebeveiliging, privacy, leveranciers, toegangsbeheer en bedrijfscontinuïteit.
Het Normenkader Informatiebeveiliging en Privacy helpt scholen om deze risico’s gestructureerd aan te pakken. Toch is de vraag voor veel organisaties niet waarom ze ermee aan de slag moeten, maar vooral: waar beginnen we?
Het normenkader omvat 94 normen: 69 voor informatiebeveiliging en 25 voor privacy. Iedere norm kent verschillende volwassenheidsniveaus. Binnen de onderwijssector wordt volwassenheidsniveau 3 als het minimale streefniveau gehanteerd.
In dit stappenplan leggen we uit hoe een schoolbestuur het Normenkader IBP praktisch kan implementeren en hoe je voorkomt dat compliance verandert in een verzameling losse spreadsheets, documenten en actiepunten.
Wat is het Normenkader IBP?
Het Normenkader Informatiebeveiliging en Privacy voor het onderwijs, meestal afgekort tot Normenkader IBP, ondersteunt scholen bij het structureel verbeteren van digitale veiligheid en privacy.
Het kader is bedoeld voor scholen en samenwerkingsverbanden binnen het primair, voortgezet en speciaal onderwijs.
Welke onderwerpen behandelt het Normenkader IBP?
De normen behandelen onder andere onderwerpen zoals:
governance en verantwoordelijkheden;
informatiebeveiligingsbeleid;
privacy en bescherming van persoonsgegevens;
risicomanagement;
toegangsbeheer;
leveranciersmanagement;
beheer van systemen en apparatuur;
incidentmanagement;
continuïteit;
monitoring;
documentatie en aantoonbaarheid.
Het doel is niet uitsluitend om beleid op papier te zetten. Een volwassen IBP-organisatie moet kunnen aantonen dat maatregelen daadwerkelijk zijn geïmplementeerd, worden toegepast en waar nodig worden getest.
Waarom het Normenkader IBP implementeren?
Digitale veiligheid wordt steeds belangrijker binnen het onderwijs. Schoolbesturen zijn afhankelijk van digitale systemen voor administratie, communicatie, onderwijs en gegevensopslag.
Een cyberincident, datalek of uitval van een belangrijke leverancier kan daardoor grote gevolgen hebben.
Daarnaast wordt van schoolbesturen verwacht dat zij inzicht hebben in hun digitale veiligheid. Het Normenkader IBP biedt daarvoor een duidelijke structuur.
Door tijdig te beginnen met de implementatie ontstaat overzicht en kunnen verbeteringen stap voor stap worden uitgevoerd.
Stap 1: begin met een nulmeting
De eerste stap bij het Normenkader IBP implementeren is bepalen waar de organisatie nu staat.
Bekijk per norm:
welke maatregelen al aanwezig zijn;
wat nog ontbreekt;
wie verantwoordelijk is;
welke documenten en bewijslast beschikbaar zijn.
Waarom is een nulmeting belangrijk?
Een nulmeting geeft direct inzicht in de huidige situatie en laat zien welke onderdelen als eerste aandacht nodig hebben.
Hierdoor voorkom je dat tijd wordt besteed aan maatregelen die al voldoende zijn ingericht, terwijl belangrijke risico’s blijven liggen.
Stap 2: bepaal de prioriteiten
Niet iedere norm hoeft direct tegelijk te worden aangepakt. Begin bij de onderdelen met het grootste risico.
Denk bijvoorbeeld aan:
beheerdersaccounts;
kritieke systemen;
back-ups;
persoonsgegevens;
externe leveranciers.
Werk toe naar volwassenheidsniveau 3
Binnen het Normenkader wordt gewerkt met volwassenheidsniveaus. Voor scholen is niveau 3 het belangrijke streefniveau.
Op dit niveau zijn processen vastgelegd, worden zij structureel uitgevoerd en vindt controle plaats op de werking ervan.
Het gaat dus niet alleen om het hebben van beleid, maar ook om het daadwerkelijk toepassen en aantoonbaar beheren daarvan.
Stap 3: werk met het Groeipad
Het Groeipad Normenkader IBP helpt scholen om de implementatie gefaseerd uit te voeren.
De vijf fasen van het Groeipad
Het Groeipad bestaat uit vijf fasen:
Inrichten
Ontwikkelen
Uitbreiden
Verfijnen
Optimaliseren
Hierdoor hoeft een schoolbestuur niet alle normen tegelijkertijd af te handelen.
Begin met de basis en verbeter de informatiebeveiliging en privacy vervolgens stap voor stap.
Stap 4: maak verantwoordelijkheden duidelijk
IBP is niet alleen een taak van ICT.
Ook het bestuur, de IBP-functionaris, CISO, Functionaris Gegevensbescherming en verschillende proceseigenaren kunnen verantwoordelijkheden hebben.
Leg per maatregel verantwoordelijkheden vast
Leg daarom per maatregel vast:
wat moet gebeuren;
wie verantwoordelijk is;
wanneer het klaar moet zijn;
welke bewijslast nodig is.
Zo voorkom je dat verbeteracties blijven liggen doordat niet duidelijk is wie verantwoordelijk is voor de uitvoering.
Stap 5: zorg voor aantoonbare bewijslast
Een belangrijke term binnen het Normenkader IBP is aantoonbaarheid.
Het is niet voldoende om alleen te zeggen dat een maatregel is uitgevoerd. Een organisatie moet dit ook kunnen onderbouwen.
Voorbeelden van bewijslast
Voorbeelden van bewijslast zijn:
beleidsdocumenten;
risicoanalyses;
leveranciersbeoordelingen;
verwerkersovereenkomsten;
controles;
incidentregistraties;
verslagen van evaluaties;
technische rapportages.
Koppel deze documenten zoveel mogelijk direct aan de juiste norm.
Hierdoor is tijdens een interne controle, audit of evaluatie snel duidelijk wat is uitgevoerd en welke onderdelen nog aandacht nodig hebben.
Normenkader IBP beheren met Mijn IBP
Bij de implementatie ontstaat al snel veel informatie over normen, risico’s, maatregelen, leveranciers en documenten.
Wanneer dit verspreid staat over Excel, Word, Teams en SharePoint wordt het steeds lastiger om overzicht te houden.
Centraal overzicht van normen, risico’s en maatregelen
Met Mijn IBP kunnen organisaties normen, maatregelen, risico’s, leveranciers en bewijslast centraal beheren.
Hierdoor is direct zichtbaar:
welke normen zijn beoordeeld;
welke maatregelen zijn afgerond;
welke acties nog openstaan;
wie verantwoordelijk is;
welke bewijslast beschikbaar is;
waar aanvullende aandacht nodig is.
Zo ontstaat één centrale omgeving voor het beheren en aantoonbaar maken van de voortgang rondom het Normenkader IBP.
Aan de slag met het Normenkader IBP
Het Normenkader IBP implementeren begint met inzicht.
Voer eerst een nulmeting uit, bepaal vervolgens de belangrijkste risico’s en werk daarna stap voor stap aan verbetering.
Door verantwoordelijkheden, maatregelen en bewijs centraal vast te leggen, wordt IBP geen losse administratieve taak, maar een beheersbaar proces voor de hele organisatie.
Meer grip op het Normenkader IBP?
Wil je meer grip op het Normenkader IBP?
Ontdek hoe Mijn IBP helpt om compliance, risico’s, maatregelen, leveranciers en bewijslast centraal te beheren.
