Ondersteuning Normenkader IBP FO

Wat is ondersteuning bij het Normenkader IBP FO?

Het normenkader is samen opgesteld door OCW, de PO-Raad, de VO-raad, SIVON en Kennisnet. Het bevat 69 normen voor informatiebeveiliging en 25 normen voor privacy. Per norm zijn vijf volwassenheidsniveaus beschreven, waarbij niveau 3 het minimum is waar de sector naartoe werkt. Het Groeipad verdeelt het werk over vijf fasen, zodat de grootste risico’s als eerste worden aangepakt.

Shinrai ondersteunt bij elke stap daarin:

• Nulmeting: een eerste volledige toetsing van alle normen
• Implementatie: projectleiding, inhoudelijke uitvoering of allebei
• Jaarlijkse audit: toetsen wat er sinds de vorige meting is veranderd
• Gerichte ondersteuning: bij één norm, alleen het privacydeel of de verantwoording in het jaarverslag

De focus ligt daarbij volledig op het normenkader.

Wanneer heeft u ondersteuning nodig?

Schoolbesturen en OCW hebben afgesproken dat elk bestuur en elk samenwerkingsverband vanaf 1 januari 2027 door een zelfevaluatie weet waar het staat ten opzichte van het normenkader. Op dat moment moet er ook een plan zijn om op alle normen niveau 3 te bereiken. Uiterlijk op 1 januari 2030 moet dat niveau daadwerkelijk zijn gehaald. Daarnaast moet informatiebeveiliging en privacy sinds het jaarverslag over 2024 een eigen plek in het jaarverslag hebben.

Ondersteuning is vooral zinvol als:

• er nog geen score is bepaald en het bestuur wil weten waar het staat
• het Groeipad is gestart, maar het werk niet van de grond komt of vastloopt
• de kennis of de tijd ontbreekt om de normen zelf uit te werken
• het bestuur, de raad van toezicht of het jaarverslag om onderbouwing vraagt
• er behoefte is aan een onafhankelijke toetsing van wat er al is gedaan

Waarom Shinrai?

Wie beleid en hulpmiddelen bij het normenkader heeft geschreven, weet wat een norm vraagt en welk bewijs volstaat. Dat voorkomt documenten die in de la belanden en werk dat voor uw huidige niveau nog niet nodig is. Shinrai werkt toe naar wat in elke fase haalbaar is, en houdt daarbij het einddoel in beeld.

Het normenkader beslaat zowel informatiebeveiliging als privacy. Bij Shinrai liggen die twee in dezelfde handen, zodat u niet met verschillende partijen hoeft af te stemmen.

Hoe Shinrai het aanpakt

Nulmeting

Bij een nulmeting worden alle normen één voor één doorgelopen met de verantwoordelijke proces- en systeemeigenaren, de privacy officer en waar nodig de bestuurder. Dat gebeurt in sessies verspreid over drie dagen. Daarna ontvangt u een rapport met per norm het volwassenheidsniveau en een eerste advies over wat als eerste opgepakt moet worden.

Implementatie

Wat Shinrai in de implementatie oppakt, wordt samen met u bepaald. Shinrai kan de projectleiding op zich nemen, de inhoud uitwerken of beide. Een veelgekozen start is het uitwerken en opleveren van fase 1 van het Groeipad, met daarbij een plan voor de overige vier fasen. Fase 1 legt namelijk de basis voor alles wat daarna komt.

Jaarlijkse audit

De jaarlijkse audit is een revisie van de vorige meting en duurt daarom een dag korter. Shinrai voert de audit ook uit als de implementatie door een andere partij is gedaan. Daarnaast is het advies om eens in de drie jaar een onafhankelijke audit te laten uitvoeren. Heeft Shinrai de implementatie verzorgd, dan wordt die audit gedaan door een andere professional van Shinrai, die niet bij de implementatie betrokken was.

Tooling

Shinrai sluit aan bij de GRC-tool die uw organisatie al gebruikt. Een GRC-tool is software waarin normen, maatregelen en bewijs op één plek worden bijgehouden. Shinrai werkt alleen met tools die daarvoor zijn gemaakt, en dus niet met spreadsheets. Is er nog geen tool, dan wordt voor de nulmeting een tijdelijke licentie van drie maanden beschikbaar gesteld. Daarna kunt u ervoor kiezen het gebruik door te zetten.

Voor de jaarlijkse audit is een GRC-tool nodig. Zonder vastgelegde eerdere meting is er niets om te reviewen, en wordt het in feite een nieuwe nulmeting.

Afname

Een implementatie wordt afgenomen als project op basis van een vast aantal uren per week. Kleinere onderdelen, zoals de uitwerking van één norm, kunnen ook via een strippenkaart, als het onderdeel zich daarvoor leent.

Wat het oplevert

Na de nulmeting weet u per norm waar uw organisatie staat en wat als eerste aandacht nodig heeft. Met het plan dat daarop volgt, heeft u in handen wat er vanaf 2027 van besturen en samenwerkingsverbanden wordt gevraagd. Tijdens de implementatie worden beleid, procedures en maatregelen opgeleverd die passen bij de fase waarin u zit, met een plan voor de stappen daarna. De jaarlijkse audit laat zien welke vooruitgang er is geboekt en waar het nog schuurt.

Zo heeft het bestuur grip op digitale veiligheid en de onderbouwing die nodig is richting raad van toezicht en jaarverslag.

Samenhang met andere diensten

Deze dienst richt zich uitsluitend op het normenkader. Zoekt u ondersteuning op het volledige terrein van privacy, informatiebeveiliging en AI, dan is PO as a Service de bredere variant, waarin het normenkader kan worden meegenomen. Werkt uw organisatie buiten het funderend onderwijs, dan sluit de AVG/IBP nulmeting en audit beter aan, met normen als ISO 27001, NEN 7510 en NIS2 als uitgangspunt. Heeft u nog geen geschikte tool, dan helpt GRC-tooling verder. Onderdelen die het normenkader vraagt, zoals DPIA’s en bewustwording, zijn ook als afzonderlijke dienst af te nemen.