Het Normenkader Informatiebeveiliging en Privacy (IBP) is de gezamenlijke norm voor digitaal veilig onderwijs. Het is opgesteld door het ministerie van OCW, de PO-Raad, de VO-raad, SIVON en Kennisnet. Het kader telt 69 normen voor informatiebeveiliging en 25 normen voor privacy.
Het normenkader geldt voor schoolbesturen in het primair, voortgezet en speciaal onderwijs. Uiterlijk 1 januari 2027 weet je met een zelfevaluatie waar je staat en heb je een plan van aanpak. Uiterlijk in 2030 voldoen alle scholen op alle normen aan volwassenheidsniveau 3.
Maatregel:
Leg vast hoe jouw school omgaat met informatiebeveiliging en privacy, met duidelijke rollen en verantwoordelijkheden. Het schoolbestuur blijft eindverantwoordelijk, ook voor uitbestede diensten.
Maatregel:
Breng met een zelfevaluatie in beeld op welk volwassenheidsniveau je per norm zit. Maak daarna een plan om op alle normen niveau 3 te bereiken.
Maatregel:
Zorg voor een organisatiebreed bewustwordingsprogramma dat medewerkers bewust maakt van hun rol bij informatiebeveiliging. Bijvoorbeeld met de cyber security awareness e-learning van Arda. Zo leren ze risico’s herkennen.
Maatregel:
Geef medewerkers en leerlingen alleen toegang tot de systemen en gegevens die ze nodig hebben. Trek rechten tijdig in wanneer iemand van functie verandert of vertrekt.
Maatregel:
Leg vast hoe je beveiligingsincidenten en datalekken herkent, afhandelt en meldt. Een datalek met risico’s voor betrokkenen meld je binnen 72 uur bij de Autoriteit Persoonsgegevens.
Maatregel:
Maak afspraken met leveranciers over informatiebeveiliging en privacy, bijvoorbeeld in een verwerkersovereenkomst. Controleer ook of zij die afspraken nakomen.
Norm HR.06 Bewustwording informatiebeveiliging beschrijft per volwassenheidsniveau wat er van een school wordt verwacht. Het Arda platform sluit daarop aan.
Niveau 3
Arda biedt één programma voor alle medewerkers, met speciale modules en korte films over situaties die in het onderwijs echt voorkomen.
Niveau 4
Als beheerder zie je precies hoeveel deelnemers welke onderdelen hebben gevolgd. Rapportages over de voortgang deel je eenvoudig met het bestuur.
Niveau 5
Met de Phishinginbox oefenen medewerkers met realistische e-mails. Je ziet hoe hun gedrag zich ontwikkelt en stuurt je programma bij op basis van resultaten.
Praktisch
Koppel Arda aan de active directory en log in met single sign-on. Tijdens drukke periodes of schoolvakanties pauzeer je het programma eenvoudig.
Wil je bewustwording binnen jouw schoolbestuur aantoonbaar op niveau brengen? Arda helpt medewerkers om digitale risico’s te herkennen, zodat zij de sterkste schakel zijn in de beveiliging van jouw school.
Met de privacynormen geef je invulling aan de verplichtingen uit de AVG. Voor informatiebeveiliging bestaat nog geen vergelijkbare wettelijke verplichting. Het ministerie van OCW verwacht wel dat schoolbesturen uiterlijk 1 januari 2027 inzicht hebben in hun digitale veiligheid en uiterlijk in 2030 op alle normen volwassenheidsniveau 3 halen.
Norm HR.06 vraagt om een bewustwordingsprogramma dat gebruikers, zoals medewerkers, leerlingen en leveranciers, bewust maakt van hun verantwoordelijkheid voor informatiebeveiliging. Op niveau 3 staat dit programma in het informatiebeveiligingsplan en wordt het organisatiebreed uitgevoerd.
Nee. Het normenkader is bedoeld voor het primair, voortgezet en speciaal onderwijs en voor samenwerkingsverbanden passend onderwijs. Voor het mbo en hoger onderwijs bestaat het SURFaudit-toetsingskader. Arda ondersteunt ook mbo-instellingen, hogescholen en universiteiten met bewustwording voor medewerkers en studenten.
Bewuste medewerkers die weten hoe ze cybercriminelen buiten de deur houden.
50% meer meldingen van verdachte e-mails.
Minder stress over imagoschade en herstelkosten na een incident.
