Normenkader IBP
Het Normenkader IBP helpt scholen om digitaal veiliger te werken. Zo kunnen leerlingen, ouders en medewerkers erop vertrouwen dat zij in een veilige digitale omgeving leren en werken, en dat persoonsgegevens goed beschermd zijn.
Met dit normenkader gelden dezelfde afspraken voor informatiebeveiliging en privacy voor alle scholen en samenwerkingsverbanden in het primair, voortgezet en speciaal onderwijs. Het normenkader bestaat uit 69 normen voor informatiebeveiliging en 25 normen voor privacy. Deze normen geven aan welke maatregelen nodig zijn om digitale risico’s en privacyproblemen zo goed mogelijk te voorkomen. Elke norm heeft een zogenoemd volwassenheidsniveau van 1 tot en met 5. Hoe hoger het niveau, hoe beter de beveiliging en bescherming. Hogere niveaus zorgen voor minder kans op datalekken, cyberaanvallen en privacyschendingen. Door maatregelen te nemen, groeit de organisatie stap voor stap naar een hoger niveau.
In 2026 moeten schoolbesturen inzicht hebben in hun digitale veiligheid. Vanaf 1 januari 2030 moet minimaal niveau 3 zijn bereikt.
Bewustwording is essentieel voor digitaal veilig werken, omdat veel beveiligingsincidenten ontstaan door menselijk handelen, zoals phishing of onzorgvuldig omgaan met gegevens. Door medewerkers en leerlingen bewust te maken van risico’s en verantwoordelijkheden, verkleinen we fouten en ontstaat een cultuur waarin informatiebeveiliging en privacy vanzelfsprekend zijn. Een jaarlijks terugkerend bewustwordingsprogramma helpt dit structureel te borgen.
Wie is wie
Privacyambassadeurs
De Privacyambassadeur ziet toe op de naleving van de privacywetgeving en de binnen VOMEO gemaakte afspraken. Hij adviseert bij privacyvragen, is een aanspreekpunt voor collega’s en draagt actief bij aan bewustwording en zorgvuldig omgaan met persoonsgegevens. Daarnaast speelt de Privacyambassadeur een rol bij het afhandelen van beveiligingsincidenten op school en maakt hij deel uit van de Van Reest tot Linde-werkgroep Privacy Officers.
De Privacy Officers binnen VOMEO zijn:
Actueel
Hier vind je de laatste ontwikkelingen en belangrijkste updates.
Documenten
Hier vind je alle belangrijke documenten die horen bij het traject richting bestuurlijke fusie. Zo blijf je eenvoudig op de hoogte van de stappen die we samen zetten.
Belangrijke AVG-aandachtspunten
Privacy en gegevensbescherming kunnen soms best ingewikkeld zijn. Daarom hebben we hieronder de belangrijkste onderwerpen overzichtelijk voor je uitgewerkt.
Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan, worden gewijzigd, vernietigd of terechtkomen bij mensen die daar geen toegang toe mogen hebben. Het kan gaan om een fout of ongeluk, maar ook om bijvoorbeeld een hack of cyberaanval.
Voorbeelden van datalekken zijn:
- een e-mail met persoonsgegevens die naar de verkeerde ontvanger wordt gestuurd;
- een mailing waarbij e-mailadressen zichtbaar in het CC-veld staan in plaats van in het BCC-veld;
- verlies of diefstal van een laptop, telefoon of USB-stick met persoonsgegevens;
- documenten met persoonsgegevens die onbeheerd achterblijven of bij het gewone afval terechtkomen;
- onbevoegde toegang tot persoonsgegevens, bijvoorbeeld door een hack of phishingaanval;
- persoonsgegevens die door malware of ransomware niet meer toegankelijk zijn.
Niet ieder beveiligingsincident is automatisch een datalek. Er moet sprake zijn van persoonsgegevens die daadwerkelijk zijn getroffen.
Meld een incident altijd zodra er mogelijk persoonsgegevens bij betrokken zijn. Je hoeft zelf niet te bepalen of het incident officieel een datalek is of dat het bij de Autoriteit Persoonsgegevens moet worden gemeld. Dat beoordelen wij.
Twijfel je? Meld het dan ook. Door snel te melden kan worden onderzocht wat er is gebeurd, kunnen eventuele gevolgen worden beperkt en kan worden bepaald welke vervolgstappen nodig zijn.
Heb je een datalek ontdekt of vermoed je dat persoonsgegevens mogelijk verkeerd terecht zijn gekomen, verloren zijn gegaan of niet meer toegankelijk zijn? Meld dit dan zo snel mogelijk via deze link
Beschrijf zo duidelijk mogelijk wat er is gebeurd en welke persoonsgegevens mogelijk betrokken zijn. Onderneem waar mogelijk direct actie om verdere verspreiding of schade te voorkomen, maar verwijder geen informatie die nodig kan zijn om het incident te onderzoeken.
Na je melding wordt beoordeeld welke vervolgstappen nodig zijn en of het datalek gemeld moet worden bij de Autoriteit Persoonsgegevens en/of de betrokken personen.
Voor de organisatie geldt dat een datalek dat risico oplevert voor de rechten en vrijheden van betrokken personen zo snel mogelijk worden gemeld.