Normenkader IBP vraagt om vertaalslag naar de praktijk van het primair onderwijs

Een normenkader voor informatiebeveiliging en privacy is een noodzakelijke stap naar digitaal veiliger onderwijs. Het Normenkader IBP sluit echter onvoldoende aan op de dagelijkse digitale werkelijkheid van veel besturen in het primair onderwijs. Het kader is op onderdelen geformuleerd vanuit organisaties met een eigen IT-afdeling, eigen technische infrastructuur en eigen applicatieontwikkeling, terwijl schoolbesturen juist opereren in een landschap van uitbestede ICT, ketenafhankelijkheden en SaaS-applicaties.

Een noodzakelijke ambitie

De ambitie achter het Normenkader IBP verdient brede steun. Onderwijsorganisaties verwerken grote hoeveelheden gevoelige informatie en zijn afhankelijk van betrouwbare digitale voorzieningen. Cyberincidenten, datalekken en uitval kunnen rechtstreeks raken aan de continuïteit en kwaliteit van het onderwijs. Een samenhangend kader helpt schoolbesturen daarom om risico’s zichtbaar te maken, verantwoordelijkheden te beleggen en structureel toe te werken naar een hoger volwassenheidsniveau.

Daarmee is niet gezegd dat technische normen voor schoolbesturen irrelevant zijn. Zij blijven richtinggevend voor de eisen die aan leveranciers, contracten, interne processen en bestuurlijke verantwoording worden gesteld. De vraag is vooral hoe het kader zo wordt toegepast dat het recht doet aan de verantwoordelijkheid van schoolbesturen én aan de manier waarop digitale voorzieningen in het primair onderwijs feitelijk zijn georganiseerd.

De praktijk is anders ingericht

De spanning ontstaat bij de vertaling van die ambitie naar de praktijk. Een gemiddeld schoolbestuur beschikt niet over een eigen datacenter, een omvangrijk securityteam of ontwikkelaars die zelf toepassingen bouwen. Technisch beheer, monitoring, patchmanagement, back-ups en veel beveiligingsmaatregelen zijn ondergebracht bij externe ICT-dienstverleners. Leerlingadministratie, personeelsdiensten, communicatieplatforms en leermiddelen worden bovendien grotendeels als SaaS-dienst afgenomen.

In zo’n omgeving is het schoolbestuur zelden de uitvoerder van de technische maatregel. Het bestuur blijft echter wel verantwoordelijk voor de keuze van leveranciers, de gestelde eisen, de gemaakte afspraken en de beoordeling van risico’s. Precies daar moet de nadruk van de implementatie komen te liggen.

“De kernvraag is niet of een schoolbestuur iedere technische maatregel zelf uitvoert, maar of het aantoonbaar grip houdt op uitbestede dienstverlening.”

Van technische uitvoering naar leveranciersregie

Voor het primair onderwijs betekent "in control" zijn vooral dat de organisatie weet welke diensten zij afneemt, welke gegevens daarin worden verwerkt en welke afhankelijkheden bestaan. Het bestuur moet eisen stellen, afspraken contractueel vastleggen, leveranciers periodiek beoordelen en restrisico’s bewust accepteren of laten mitigeren. Daarbij moet duidelijk zijn wie binnen de organisatie eigenaar is van applicaties, processen en risico’s.

Dit is geen versmalling van informatiebeveiliging. Het is juist een sectorspecifieke invulling van dezelfde verantwoordelijkheid. Uitbesteden van IT betekent immers niet dat verantwoordelijkheid kan worden uitbesteed. Wel verandert de manier waarop een schoolbestuur die verantwoordelijkheid waarmaakt en aantoont.

Niet iedere norm past één op één

Een praktische implementatie vraagt daarom om een expliciete verklaring van toepasselijkheid. Per norm moet worden vastgesteld of deze volledig van toepassing is, beperkt van toepassing is, bij een leverancier is belegd of in de onderwijscontext anders moet worden ingevuld. Vooral normen rond technische architectuur, systeemontwikkeling en operationele IT-processen kunnen niet zonder meer worden beoordeeld alsof het schoolbestuur zelf een technische beheerorganisatie is.

Zo’n verklaring is geen route om onder verplichtingen uit te komen. Zij maakt juist toetsbaar hoe de organisatie een norm toepast, wie de uitvoering verzorgt, welk bewijs beschikbaar is en welk risico resteert. Daarmee wordt voorkomen dat medewerkers veel tijd besteden aan administratieve bewijsvoering die nauwelijks bijdraagt aan de feitelijke weerbaarheid.

Capaciteit is de beperkende factor

Naast inhoudelijke passendheid speelt uitvoerbaarheid een grote rol. Veel onderwijsorganisaties hebben beperkte gespecialiseerde capaciteit. IBP-werkzaamheden rusten vaak op een kleine groep medewerkers die daarnaast andere taken heeft. Wanneer implementatie vooral wordt benaderd als een omvangrijk documentenproject, ontstaat het risico dat tijd naar bewijsvoering gaat terwijl processen, rollen en opvolging in de praktijk onvoldoende verbeteren.

Een realistische aanpak begint daarom met een nulmeting en risicoanalyse. Niet alle tekortkomingen zijn even urgent en niet iedere maatregel levert dezelfde risicoreductie op. Prioritering moet plaatsvinden op basis van de gevoeligheid van gegevens, de afhankelijkheid van digitale diensten, de dreigingen voor de organisatie en de mate waarin leveranciers al beheersmaatregelen hebben ingericht.

Werk vanuit processen en een vaste cyclus

Het Normenkader wordt pas waardevol wanneer het onderdeel wordt van de normale besturing. Dat vraagt om vaste rollen, periodieke opvolging, een actueel risico-overzicht, heldere actielijsten, managementrapportages en een jaarlijkse evaluatie. Belangrijke processen rond HR, toegangsbeheer, applicatiebeheer, incidentafhandeling en leveranciersmanagement verdienen daarbij voorrang.

Voor kleinere schoolbesturen kan samenwerking bovendien veel opleveren. Gezamenlijke formats, gedeelde expertise en centrale ondersteuning vergroten de uitvoeringskracht. De lokale organisatie blijft verantwoordelijk voor keuzes en borging, maar hoeft niet ieder beleidsstuk, proces of controlemiddel afzonderlijk te ontwikkelen.

Geen afwijzing, maar herijking

De kritiek op de passendheid van het Normenkader is geen pleidooi om het kader terzijde te schuiven. Het Normenkader biedt structuur, een gemeenschappelijke taal en een basis voor verantwoording. De betekenis ervan neemt juist toe wanneer het wordt gebruikt als groeikader en ordeningsmodel, in plaats van als uniforme checklist die voor iedere organisatie op dezelfde manier moet worden afgevinkt.

De sector heeft daarom behoefte aan een herkenbare vertaling naar organisaties met extern IT-beheer en veel SaaS-gebruik. Daarin moeten leveranciersregie, ketenafhankelijkheid, bewijsvoering, bestuurlijke risicoacceptatie en gezamenlijke uitvoeringskracht expliciet worden uitgewerkt. Ook toetsing en ondersteuningsmateriaal moeten rekening houden met het verschil tussen zelf uitvoeren en aantoonbaar laten uitvoeren.

Concreet vraagt dit om een implementatieroute waarin schoolbesturen eerst hun applicatielandschap, gegevensstromen en leveranciersafhankelijkheden in beeld brengen. Daarna kunnen zij per norm bepalen wat intern wordt ingericht, wat contractueel bij leveranciers wordt belegd, welk bewijs beschikbaar is en welke restrisico’s bestuurlijk worden geaccepteerd. Zo ontstaat een aanpak die niet begint bij documenten, maar bij verantwoordelijkheid, risico en aantoonbare uitvoering.

De opgave voor de komende jaren

Digitaal veilig onderwijs vraagt om meer dan compliance. Het vraagt om bestuurlijke aandacht, realistische prioriteiten en een aanpak die medewerkers kunnen volhouden. Wanneer het Normenkader wordt verbonden met de werkelijke inrichting van het primair onderwijs, kan het uitgroeien tot een krachtig instrument voor cyberweerbaarheid, privacybescherming en continuïteit.

De centrale boodschap is daarom eenvoudig: behoud de ambitie, maar pas de route aan. Beoordeel schoolbesturen niet alsof zij IT-bedrijven met eigen infrastructuur en ontwikkelteams zijn. Beoordeel hen op de vraag of zij hun digitale afhankelijkheden kennen, leveranciers effectief aansturen, risico’s bewust beheersen en daarover aantoonbaar verantwoording afleggen. Dáár ligt de volwassenheid die het primair onderwijs de komende jaren nodig heeft.