Nog honderd dagen: het Normenkader IBP en uw plan van aanpak
Op 1 januari 2027 moet ieder schoolbestuur twee dingen op tafel kunnen leggen: een zelfevaluatie die laat zien waar de organisatie staat ten opzichte van het Normenkader IBP, en een plan van aanpak om volwassenheidsniveau 3 te bereiken. Dat is geen certificering en geen audit. Het is wel een bestuurlijke belofte waarop u aanspreekbaar bent, en de kalender is inmiddels kort: vanaf vandaag resteren ruim drie maanden.
Wat er precies wordt gevraagd
Het Normenkader IBP voor het funderend onderwijs bevat 69 normen voor informatiebeveiliging en 25 normen voor privacy. Elke norm kent vijf volwassenheidsniveaus, waarbij niveau 3 het gezamenlijke sectorminimum is: de belangrijkste risico's zijn dan beheerst en maatregelen zijn vastgelegd en herhaalbaar, niet afhankelijk van één toegewijde collega.
De tijdlijn kent twee momenten. Per 1 januari 2027 verwacht het ministerie van OCW inzicht (zelfevaluatie) plus een plan. Op 1 januari 2030 moeten alle normen daadwerkelijk op niveau 3 staan. Het plan is dus geen papieren tussenstap, maar de brug tussen die twee data.
Waar de sector staat
Het eerste sectorbeeld, gepubliceerd in april 2026 op basis van geanonimiseerde gegevens van 485 schoolbesturen (ongeveer 40 procent van de sector), laat een gemiddeld volwassenheidsniveau van 1,7 zien. De sector zit dus grotendeels in de beginfase. Dat is geen reden tot schaamte, wel tot realisme: van 1,7 naar 3 in drie jaar is een meerjarig traject met budget, eigenaarschap en bestuurlijke aandacht. Wie in december 2026 een plan schrijft dat daar niet eerlijk over is, schrijft een plan dat later niet houdbaar blijkt.
De zelfevaluatie: begin hier
Kennisnet biedt op het Wijzer-platform[1] een kosteloze zelfevaluatietool aan waarmee u de 94 normen doorloopt. Drie praktische punten:
- U hoeft het niet in één sessie te doen. De tool slaat tussentijds op, zodat u per thema kunt werken.
- Doe het niet alleen. Nodig de collega's uit die de maatregelen in de praktijk uitvoeren: ICT, HR, de bestuurssecretaris, een schoolleider. Een zelfevaluatie die alleen door de FG of de ICT-coördinator wordt ingevuld, meet vooral wat die persoon weet, niet wat de organisatie doet.
- Het is een nulmeting, geen eindoordeel. De tool vervangt geen GRC-tooling en geen DPIA. Wie al met een ander instrument werkt, mag dat blijven gebruiken; de inhoud van het normenkader is leidend, niet het invulformulier.
Wat er in het plan van aanpak hoort
Er is geen voorgeschreven format. Uit de normen en de verantwoordingslogica volgen wel zes elementen die een plan bruikbaar en verdedigbaar maken:
- Scope en uitgangspositie. Welke scholen, welke systemen, welke datum van de nulmeting, en de score per norm of per cluster.
- Prioritering. Gebruik het Groeipad bij het normenkader. Dat ordent alle normen in vijf fasen (Inrichten, Ontwikkelen, Uitbreiden, Verfijnen, Optimaliseren) op volgorde van risicoreductie. Fase 1 en 2 samen zijn voor de meeste besturen het werk van 2027.
- Eigenaarschap per maatregel. Een naam en een functie, geen afdeling.
- Middelen. Uren, budget, externe inhuur. Dit is het onderdeel dat het vaakst ontbreekt en het vaakst de vertraging verklaart.
- Planning tot eind 2029, met jaarlijkse tussendoelen.
- Monitoring en verantwoording. Wie rapporteert wanneer aan het bestuur en aan de raad van toezicht, en hoe wordt de zelfevaluatie periodiek herhaald.
Wat u deze maand kunt doen
Plan de zelfevaluatiesessie in oktober, met de juiste mensen aan tafel. Reserveer november voor het vertalen van de uitkomsten naar fase 1 en 2 van het Groeipad. Agendeer het plan voor de bestuursvergadering van december, zodat de vaststelling vóór de jaarwisseling is belegd. Drie maanden is genoeg, mits u deze week begint.
Hulp nodig?
Wilt u ondersteuning bij het uitvoeren van de zelfevaluatie of het opstellen van het plan van aanpak? Neem dan gerust contact met ons op.
Bel PrivacyTeam via 033-200 30 83 of mail naar post@privacyteam.nl.