Je hebt het vast ergens voorbij zien komen: het Normenkader Informatiebeveiliging en Privacy (IBP) wordt steeds belangrijker voor scholen. Het is geen facultatieve wenslijst, maar iets waar jouw schoolorganisatie de komende jaren écht aan moet voldoen. En dat gaat verder dan alleen de ict-afdeling. 

Waarom iedereen nu over het Normenkader IBP nadenken

Omdat het niet langer vrijblijvend is. Digitale veiligheid en privacy staan hoog op de agenda van het Ministerie van OCW, en schoolbesturen moeten steeds beter kunnen onderbouwen hoe zij die op orde hebben. Sinds 2024 moet informatiebeveiliging en privacy (IBP) al terugkomen in het jaarverslag. Het is geen mooi streven meer, maar onderdeel van de verantwoording richting ouders, medewerkers, toezichthouder en Inspectie van het Onderwijs.

Bovendien wordt het Normenkader IBP de meetlat voor digitale weerbaarheid: hoe je met data omgaat, welke risico's je hebt geïdentificeerd en hoe je daarop anticipeert. Vóór 1 januari 2027 moet je daarom een zelfevaluatie hebben uitgevoerd, met daarnaast een concreet en realistisch plan om op 1 januari 2030 volledig te voldoen.

Kortom: het Ministerie van OCW  gaat hierop controleren. Wacht dus niet tot je erover aangesproken wordt, maar start NU met plannen.
 

Wat houdt dat Normenkader IBP eigenlijk in?

Het Normenkader IBP is een set van normen speciaal voor het onderwijs, waarin staat aan welke eisen je moet voldoen voor veilige informatieverwerking en privacybescherming:

• Het omvat standaarden voor informatiebeveiliging én privacy.
• Je werkt stap voor stap met het Groeipad: van “inrichten” tot “optimaliseren”, zodat de maatregelen planmatig worden ingevoerd. Deze 5 stappen zijn verdeeld in 40 deelprojecten.
• Er zijn tools zoals de zelfevaluatie om te zien waar je nu staat. Dit is een tijds- en arbeidsintensieve tool (120 minuten met meerdere collega’s) die je langs 69 normen informatiebeveiliging en 25 normen privacy leidt.
• Maak gebruik van het werkdocument Normenkader IBP en Roadmap of GRC-tool om je vorderingen bij te houden.
• Plan vooruit en geef jezelf genoeg tijd. Schoolbesturen moeten op 1 januari 2030 voor alle normen van het Normenkader IBP een volwassenheidsniveau van ‘3’ hebben bereikt.
• Schoolbesturen moeten gedocumenteerde procedures en richtlijnen hebben en dit kunnen aantonen. De maatregelen die hieruit voortvloeien zijn dus uitgevoerd en werken in de praktijk.
   

Het idee is niet alleen voldoen aan regels, maar vooral: minder risico’s op datalekken, cyberaanvallen, misbruik van leerlinggegevens of rommelige opslag van gegevens. 
 

Hoe kan communicatie helpen bij het Normenkader IBP?

Nou, eigenlijk véél meer dan je denkt. Want informatiebeveiliging en privacy gaan niet alleen over beleid op papier en afvinklijstjes. Ze gaan over bewuste keuzes maken in de producten die je gebruikt, of een product voldoet aan de contractuele IBP-eisen, en om van versnipperde communicatiekanalen één beheersbaar en daardoor veiliger geheel te maken.

Zo wordt communicatie onderdeel van je IBP-strategie. Niet alleen de techniek telt mee in je risicoanalyse en beleidskeuzes, maar ook hoe je informatie deelt, en via welke communicatiekanalen. Lees daarom onze vijf praktische tips. 

Praktische Normenkader IBP tips (waar je vandaag al mee kunt starten)

Een goed begin is altijd de zelfevaluatie van het normenkader IBP. Daarmee zie je in één keer: waar staat jullie organisatie nu? Waar moet je eerst mee aan de slag? 

Daarna kun je stap voor stap de informatiebeveiliging en privacy verbeteren, en tegelijk je communicatieprocessen duurzaam en veilig maken.

1. Inventariseer je communicatiekanalen
Weten we van elk communicatiekanaal dat in gebruik is, wie de gegevens verwerkt en in welk land ze zijn opgeslagen?

Denk aan e-mail, WhatsApp, Teams, losse apps, brieven en mondelinge afspraken. Zet ze op een rij en stel per kanaal drie vragen: is dit veilig, is het nodig, en is het wenselijk? Alles wat je niet beheert, is potentieel een risico!

Dit sluit aan bij de volgende IBP-normen: DM.02 (dataclassificatie), DM.05 (uitwisseling van gevoelige gegevens), PR.02 (verwerkingsregister), SW.03 (doorgifte buiten de EER)

Tip: vanuit Infowijs bieden we een communicatiescan aan, waarin we vastleggen welke informatiestromen er binnen jullie school lopen en welke programma's daarvoor worden gebruikt. Overzicht geeft inzicht, en inzicht is precies wat de zelfevaluatie van je vraagt!

2. Verhoog de bewustwording
Weten collega's wanneer informatie gevoelig is, en welk communicatiekanaal daar dan bij hoort?

Bewustwording is een van de belangrijkste en meest onderschatte manieren om datalekken en cyberrisico's te beperken. Maak informatiebeveiliging en privacy onderdeel van het dagelijkse gesprek: een vast agendapunt werkt beter dan één e-learning per jaar.
Bedenk vaste momenten wanneer dit besproken moet worden, zoals: teamvergaderingen, bij het inwerken van nieuwe collega’s, en bij de start van het schooljaar.
Zorg ook dat communicatieadviseurs, administratie en schoolleiding meedenken over veilige processen en kanalen. De meeste risico’s zitten namelijk juist in menselijk gedrag.

Dit sluit aan bij de volgende IBP-normen: HR.06 (bewustwording informatiebeveiliging), OI.04 (bewustwording bescherming persoonsgegevens)
 

3. Maak duidelijke afspraken (en maak ze vindbaar)
Via welke kanalen en welke informatie communiceren we, en waarom hebben we die keuzes gemaakt?

Beleid dat alleen in hoofden zit, telt niet mee. Leg afspraken over veilig communiceren vast op een centrale plek, zoals het intranet of de (digitale) schoolgids. Dat helpt collega's én toont aan dat jullie beleid hebben en communiceren (wat de zelfevaluatie ook vraagt).

Dit sluit aan bij de volgende IBP-normen: GO.02 (beleid informatiebeveiliging), BL.01 (privacybeleid), RB.02 (informatieplicht).

4. Zorg voor een beheersbare en veilige omgeving
Hoe brengen we die kanalen terug tot een beheersbare en veilige communicatieomgeving?

Veel verschillende kanalen maken het onoverzichtelijk en maken het lastig om er samen afspraken over te maken. Kies voor eenvoud: zo min mogelijk omgevingen die gekoppeld zijn aan je leerlingadministratiesysteem, zodat gegevens niet op meerdere plekken los worden bijgehouden en wijzigingen zoveel mogelijk automatisch meelopen.
Mocht een omgeving noodzakelijk zijn vanwege bepaalde functionaliteiten, onderzoek dan of het mogelijk is overlappende functionaliteiten uit te schakelen.

Dit sluit aan bij de volgende IBP-normen: DM.04 (opslag en retentie), DM.05, PR.06 (privacy by design en by default)

5. Kies bewust voor een veilige Nederlandse applicatie
Kiezen we bij nieuwe applicaties bewust voor leveranciers die kunnen aantónen dat privacy en informatiebeveiliging in het product zijn ingebouwd?

Als onderwijsinstelling ben je eindverantwoordelijk voor alle applicaties die je aanschaft. Kies daarom voor organisaties die contractueel kunnen aantonen dat ze aan de IBP-eisen van de onderwijssector voldoen, denk hierbij aan het Privacyconvenant Onderwijs en de bijbehorende model verwerkersovereenkomst.

Dit sluit aan bij de volgende IBP-normen: SW.01 (AVG-rollen), SW.03 (doorgifte buiten de EER), SC.03 (leveranciersrisicomanagement). PR.06 (privacy by design en by default).

Hoe kunnen de communicatietools van Infowijs helpen bij het Normenkader IBP?

Zoek je communicatietools die je op meerdere vlakken helpen voldoen aan de IBP-normen én om de informatievoorziening binnen scholen veiliger en overzichtelijker te maken? Kijk dan eens naar de producten van Infowijs:
 

✔️ Hoy – voor alle schoolcommunicatie:

• Één communicatiekanaal: Richt je communicatie zo in dat je minder afhankelijk bent van informele kanalen zoals WhatsApp.
• Verbonden met LAS: Houd communicatie binnen de school door alleen met geregistreerde gebruikers te werken.
• Bereik de juiste doelgroep: door middel van automatische en handmatige koppelingen kunnen je collega’s de juiste doelgroep bereiken, ook buiten hun lesgroepen.

✔️ Schoolwiki – je digitale schoolgids:

• Centrale plek voor documentatie: Publiceer privacybeleid, IBP-maatregelen en richtlijnen op een centrale plek.
• Zoekfunctie: Maak beleid transparant voor ouders, leerlingen en collega’s door makkelijk vindbare artikelen en documenten.
• Inspectie controle tool: laat AI je helpen bij het controleren van je schoolgids, voordat deze gedeeld wordt met de Inspectie van het Onderwijs.

✔️ Brugger – veilig aanmelden nieuwe leerlingen:

• Automatische, veilige verwerking van persoonsgegevens: minder handmatig (e-mail)werk en risico op datalekken.
• Duidelijke workflows: helpt bij naleving van privacyregels en kan onderdeel worden van jullie IBP-documentatie.
• Extra encryptie op gevoelige persoonsgegevens: alleen met een door jullie gekozen encryptiewachtwoord zijn gevoelige persoonsgegevens op te halen. Bepaal zelf wie binnen de school toegang heeft.
   

Zoek je professionele ondersteuning bij het uitvoeren van het Normenkader IBP?

Denk dan eens aan PrivacyTeam. Kijk voor meer informatie op www.privacyteam.nl of neem telefonisch contact op met een van de IBP-specialisten via 033 – 200 3083.