Klaar voor het normenkader?
Jade Rosink, Privacy & Security Consultant
In 2027 moeten alle scholen in Nederland voldoen aan de regels van het veelbesproken normenkader voor digitale veiligheid. Heel belangrijk, maar voor het onderwijs is het over het algemeen geen dagelijkse kost merken we. Veel scholen hebben bijvoorbeeld al bij ons aangeklopt. Daarom hebben wij als Heutink ICT besloten scholen uitgebreide ondersteuning te bieden in het zetten van de vereiste stappen. In dit kader hebben we ook specifieke expertise in huis. Zo kan ik als Privacy & Security Consultant scholen samen met andere collega’s in dit domein gericht adviseren en begeleiden.
Hoogste tijd voor richtlijnen in het po en vo
Vanuit mijn vakgebied vind ik het een goede zaak dat het normenkader is opgesteld. Toen ik net begon bij Heutink ICT, was ik eigenlijk verbaasd dat zoiets voor het po en vo nog helemaal niet bestond. In het hoger onderwijs bestaan dit soort regels al veel langer. Dat is ook het geval in sectoren als de zorg en de overheid, waar respectievelijk de BIO (Baseline Informatiebeveiliging Overheid) en de NEN7510 worden gehanteerd. Voor scholen in het po en vo is informatiebeveiliging vaak geen prioriteit. Ze zijn daar met heel andere dingen bezig, en is vaak niet de vereiste kennis en expertise in huis. Ik zal in mijn rol vooral begeleiding bieden en scholen werk uit handen nemen.
Nieuwe producten en diensten
Momenteel ben ik vooral achter de schermen betrokken bij het ontwikkelen van producten en diensten op dit gebied. Daarbij is het een voordeel dat Heutink ICT al veel langer bezig is met deze materie. We bieden al geruime tijd allerlei bewezen diensten. Dat portfolio zijn we nu aan het uitbreiden, of aanpassen conform het normenkader,zodat we scholen heel gericht kunnen ondersteunen. Niet alleen op het gebied van techniek maar ook waar het gaat om de aspecten ‘mens’ en ‘organisatie’.
Waar komt het normenkader vandaan?
Ransomware, phishing en DDoS-aanvallen: het is geen wonder dat cybersecurity (in goed Nederlands: digitale veiligheid) ook in het onderwijs een zeer actueel thema is. Zo lanceerde het ministerie van OC&W – in samenwerking met Kennisnet, de po- en vo-raad en SIVON – in april 2023 het programma Digitaal Veilig Onderwijs. Een belangrijk onderdeel van dit programma is het Normenkader Informatiebeveiliging en Privacy voor het Funderend Onderwijs. Dit normenkader beschrijft de normen voor digitale veiligheid en biedt voorbeeldmaatregelen voor schoolorganisaties om zich zo goed mogelijk te beschermen tegen digitale dreigingen als datalekken en cyberaanvallen. Zo is het normenkader een belangrijk hulpmiddel om te komen tot digitaal veilig onderwijs. Het biedt ook een helder einddoel dat scholen stap voor stap kunnen bereiken.
Baseline voor beveiliging
Voor onszelf zijn we ook bezig om een baseline te bepalen van wat we scholen minimaal moeten bieden. Daarbinnen krijgen scholen natuurlijk de ruimte om zelf keuzes en afwegingen te maken. Uiteindelijk gaat het toch om hun verantwoordelijkheid. Als Heutink ICT kunnen wij nooit een 100 procent veilige omgeving garanderen, alleen al omdat schoolmedewerkers en leerlingen fouten kunnen maken. Maar met ons complete aanbod kunnen we wel maximaal bijdragen aan een ‘normenkader-proof’ omgeving.
Techniek in twee smaken
Op het gebied van techniek bieden we straks twee ‘smaken’ in onze dienstverlening. Een basisbeveiliging die we standaard in onze dienstverlening opnemen en al een groot deel van het normenkader afdicht. En een uitgebreide beveiliging waarmee we op maat het gewenste veiligheidsniveau kunnen realiseren. We verwachten dat vooral grotere stichtingen die uitgebreidere beveiliging zullen inzetten, omdat digitale veiligheid bij hen een stuk complexer is dan bij bijvoorbeeld één onafhankelijke school.
Nog meer ontwikkelingen
Veiligheid is een bewegend doel zeggen we intern wel eens. Want wat vandaag nog hightech beveiliging is, is wellicht volgend jaar een norm. Daarom zijn er naast de genoemde zaken in dit verband nog allerlei andere zaken in ontwikkeling bij Heutink ICT waarbij we soms nog een stap verder gaan dan het normenkader voorschrijft. Ik noem een paar voorbeelden:
- We zijn bezig met het oprichten en borgen van een Cyber Emergency Response Team (CERT). Een klant die wordt geconfronteerd met een incident, kan straks direct contact opnemen met dit team. Onze specialisten gaan dan de crisis begeleiden tot hij is opgelost.
- We werken aan de ontwikkeling van een dienst die we Secure Firewall willen noemen, waarbij we nadrukkelijk ook kijken naar de eerdergenoemde baseline.
- Naast ons al bestaande AVG-portaal ontwikkelen we een IBP-portaal (InformatieBeveiliging & Privacy) waarin bijvoorbeeld het hele normenkader kan worden vastgelegd en bijgehouden volgens een ‘plan-do-check-act’-systematiek.
- Voor de toekomst denken we nog aan de ontwikkeling van een SOC (Security Operations Center). Ook onderzoeken we mogelijkheden om scholen – via een gespecialiseerde partner – een soort cybersecurity-verzekering te bieden.
Bewustwording
Let wel! Informatiebeveiliging is niet alleen maar een ICT-feestje. Er komt veel meer bij kijken, het raakt de hele organisatie. Het is belangrijk dat iedereen zich verantwoordelijk voelt, tot en met de leerkrachten die voor de klas staan. Dat vraagt om de nodige bewustwording, maar ook zekere kennis en vaardigheden. Onze afdeling Training & Advies werkt dan ook aan nieuwe trainingen om die bewustwording te realiseren.
Stapsgewijs naar 2027
Op dit moment lijkt 2027 nog best ver weg. Maar als je ziet wat scholen allemaal moeten regelen, is er echt wel werk aan de winkel. Het normenkader omvat 94 pagina’s aan eisen en verplichtingen. Elk bestuur, elke school zal een goede afweging moeten maken: wat willen wij op welk moment gedaan hebben om in 2027 aan de regels te voldoen? Al met al gaat er heel wat tijd in zitten en je kunt ook niet alles tegelijk gaan doen. Heutink ICT zal scholen graag helpen de juiste stappen op het juiste moment te zetten. Niet zozeer omdat het straks verplicht is, maar vooral omdat het bijdraagt aan beter, veiliger digitaal onderwijs.
Continu aandacht voor Privacy & Security
Wij helpen besturen in het funderend onderwijs (po en vo) privacy en security vraagstukken vanuit een helder beleidskader te beantwoorden. Benieuwd wat wij hierin voor jou kunnen betekenen?
