Je hebt het vast ergens voorbij zien komen: het Normenkader Informatiebeveiliging en Privacy (IBP) wordt steeds belangrijker voor scholen. Het is geen facultatieve wenslijst, maar iets waar jouw schoolorganisatie de komende jaren écht aan moet voldoen. En dat gaat verder dan alleen de ict-afdeling. 

Waarom moeten middelbare scholen nú over het IBP-normenkader nadenken

Omdat het niet meer vrijblijvend is. De overheid en onderwijsinspectie maken serieus werk van digitale veiligheid en privacy. Scholen moeten de digitale veiligheid van hun organisatie steeds beter onderbouwen, en vanaf 2024 moet informatiebeveiliging en privacy (IBP) al in je jaarverslag terugkomen. Het is geen mooi streven meer, maar onderdeel van de verantwoording richting inspectie. 

Bovendien wordt het IBP-normenkader onderdeel van hoe onderwijsinspectie kijkt naar digitale weerbaarheid: hoe je omgaat met data, welke risico’s je hebt geïdentificeerd en hoe je daarop anticipeert. Per 1 januari 2027 moet je dan ook een zelfevaluatie hebben gedaan en een plan hebben liggen. 

Kortom: de inspectie let erop. Wacht dus niet tot je erover aangesproken wordt, maar start NU met plannen.

Wat houdt dat IBP-normenkader eigenlijk in?

Het IBP-normenkader is een set van normen speciaal voor onderwijsinstellingen, waarin staat aan welke eisen je moet voldoen voor veilige informatieverwerking en privacybescherming:

• Het omvat standaarden voor informatiebeveiliging én privacy.
• Je werkt stap voor stap met het Groeipad: van “inrichten” tot “optimaliseren”, zodat de maatregelen planmatig worden ingevoerd. Deze 5 stappen zijn verdeeld in 40 deelprojecten.
• Er zijn tools zoals de zelfevaluatie om te zien waar je nu staat. Dit is een tijds- en arbeidsintensieve tool (120 minuten met meerdere collega’s) die je langs 69 normen informatiebeveiliging en 25 normen privacy leidt.

Het idee is niet alleen voldoen aan regels, maar vooral: minder risico’s op datalekken, cyberaanvallen, misbruik van leerlinggegevens of rommelige opslag van gegevens. 

Wat heeft schoolcommunicatie met het IBP-normenkader te maken?

Eigenlijk véél meer dan je denkt. Want informatiebeveiliging gaat niet alleen over firewalls en policies op papier. Het gaat óók over bewustwording, heldere afspraken en communicatieprocessen:

• Hoe gaan collega’s om met gevoelige gegevens?
• Welke kanalen gebruik je voor ouder-communicatie?
• Is het beleid rondom appgroepen (zoals WhatsApp) wel veilig genoeg?

Want een bericht over een leerling in een onbeveiligde WhatsApp-groep met collega’s kan al een privacyrisico zijn. Straks moet je kunnen aantonen dat je daar beleid voor hebt, en dat je het hebt afgesproken en gecommuniceerd. 

Dat betekent dat communicatiekanalen en -methoden onderdeel worden van je IBP-strategie. Kortom: niet alleen de technische kant, maar hoe je informatie deelt en met welke kanalen, moet deel uitmaken van je risicoanalyse en je beleid.

Praktische IBP-tips voor middelbare scholen (waar je vandaag al mee kunt starten)

Een goed begin is altijd de zelfevaluatie van het normenkader IBP. Daarmee zie je in één keer: waar staat jullie organisatie nu? Waar moet je eerst mee aan de slag? 

Daarna kun je stap voor stap de informatiebeveiliging en privacy verbeteren, en tegelijk je communicatieprocessen duurzaam en veilig maken.

1. Breng je communicatiekanalen in kaart

Weet je eigenlijk via welke kanalen er allemaal wordt gecommuniceerd? Denk aan e-mail, WhatsApp, Teams, losse apps, brieven en mondelinge afspraken. Zet ze eens op een rij en stel jezelf de vraag: is dit veilig, nodig en wenselijk? Alles wat je niet beheerst, is lastig te verantwoorden richting inspectie.

Vanuit Infowijs bieden wij ook een communicatiescan aan, waarin we vastleggen welke informatiestromen er zijn binnen jullie school en welke programma’s jullie hiervoor gebruiken. Kan hierin nog zaken gestroomlijnd worden? Waar zitten nog risico’s?

2. Ban WhatsApp uit jullie communicatiekanalen

WhatsApp is handig, maar zelden geschikt voor het delen van privacygevoelige informatie. Spreek schoolbreed af waarvoor WhatsApp niet gebruikt mag worden (bijvoorbeeld leerlinginformatie of oudercommunicatie) en biedt een veilig alternatief. Duidelijkheid voorkomt gedoe.

3. Leg afspraken vast (en maak ze vindbaar)

Beleid dat alleen in hoofden zit, telt niet. Zet afspraken over privacy, communicatie en informatiebeveiliging op een centrale plek, zoals de digitale schoolgids of intranet. Dat helpt niet alleen collega’s, maar ook bij verantwoording richting inspectie.

4. Betrek communicatie bij IBP, niet alleen ict

IBP is geen exclusief ict-feestje. De meeste risico’s zitten juist in menselijk gedrag en communicatie. Zorg dat communicatieadviseurs, administratie en schoolleiding meedenken over veilige processen en kanalen.

5. Kijk kritisch naar losse formulieren en mailtjes

Worden persoonsgegevens nog via losse Excel-bestanden of mailtjes verwerkt? Dat zijn vaak onnodige risico’s. Geautomatiseerde en centrale processen zijn niet alleen efficiënter, maar ook aantoonbaar veiliger.

6. Maak privacy en veiligheid onderdeel van het gesprek

IBP hoeft geen stoffig document te zijn. Bespreek het tijdens teamvergaderingen, bij nieuwe collega’s en bij de start van het schooljaar. Bewustwording is een belangrijk onderdeel van het normenkader.

7. Denk vooruit: wat zou de inspectie kunnen vragen?

Stel jezelf eens de vraag: kunnen we uitleggen hoe wij omgaan met oudercommunicatie, leerlinggegevens en digitale middelen? Zo niet, dan weet je waar je moet beginnen.

Hoe kunnen de communicatietools van Infowijs helpen bij het IBP-normenkader?

Hier komt het mooie: jullie communicatietools helpen op meerdere vlakken mee om te voldoen aan IBP-normen én om de informatievoorziening binnen scholen veiliger en overzichtelijker te maken:

✔️ Hoy – voor alle schoolcommunicatie:

• Richt je communicatie zo in dat je minder afhankelijk bent van informele kanalen zoals WhatsApp.
• Houd communicatie binnen de school door alleen met geregistreerde gebruikers te werken.

✔️ Schoolwiki – je digitale schoolgids:

• Publiceer privacybeleid, IBP-maatregelen en richtlijnen op een centrale plek waar iedereen het kan terugvinden.
• Maak beleid transparant voor ouders, leerlingen en collega’s.

✔️ Brugger – veilig aanmelden van nieuwe leerlingen:

• Automatische, veilige verwerking van persoonsgegevens: minder handmatig (e-mail)werk en risico op datalekken.
• Duidelijke workflows: helpt bij naleving van privacyregels en kan onderdeel worden van jullie IBP-documentatie.
• Extra encryptie op gevoelige persoonsgegevens: alleen met een door jullie gekozen encryptiewachtwoord zijn gevoelige persoonsgegevens op te halen. Bepaal zelf wie binnen de school toegang heeft.

Door deze tools samen te gebruiken, verlaag je de kans op slordigheden en heb je een beter verhaal richting inspectie.