Elk schoolbestuur moet beleid hebben voor informatiebeveiliging en privacy — het Normenkader IBP vraagt er expliciet om en zonder vastgesteld beleid kom je niet voorbij volwassenheidsniveau 2. Maar wat ís IBP-beleid precies, wat hoort erin, en hoe voorkom je dat het een papieren tijger wordt? Deze gids zet het op een rij.
Wat is IBP-beleid?
IBP-beleid is het document (of de set documenten) waarin je bestuur vastlegt hoe de organisatie omgaat met informatiebeveiliging en privacy: welke uitgangspunten gelden, wie waarvoor verantwoordelijk is, welke regels medewerkers volgen en hoe je controleert of het werkt. Het is het fundament onder alle maatregelen — van MFA tot datalekprocedure. Zonder beleid zijn maatregelen losse eilandjes; met beleid worden ze onderdeel van hoe de organisatie werkt.
Beleid, beleidsplan of jaarplan — wat is het verschil?
De termen lopen in de praktijk door elkaar, maar er zit een logisch onderscheid in:
- IBP-beleid: de kaders en uitgangspunten. Wat vinden wij belangrijk, welke normen volgen we, wie is waarvoor verantwoordelijk? Verandert weinig — je stelt het eens per twee à drie jaar bij.
- IBP-beleidsplan: hoe je van de huidige situatie naar de gewenste situatie komt. Doelen, prioriteiten en mijlpalen, bijvoorbeeld richting volwassenheidsniveau 3 in 2030.
- IBP-jaarplan: de concrete acties voor dit schooljaar, met eigenaren en momenten. Zie ook onze gids over het IBP-jaarplan en de groeifasen.
Voor de toetsing van het normenkader heb je alle drie de lagen nodig: het beleid toont dat je kaders hebt, het plan toont dat je stuurt, het jaarplan toont dat er echt iets gebeurt.
Wat moet er in een IBP-beleid staan?
Een bruikbaar IBP-beleid voor een schoolbestuur bevat minimaal:
- Scope en doel — voor wie geldt het (alle scholen, alle medewerkers, ook inhuur en stagiairs) en wat wil het bestuur ermee bereiken.
- Governance en rollen — bestuurlijk portefeuillehouder, IBP-coördinator, functionaris gegevensbescherming (FG), proceseigenaren en de verantwoordelijkheid van schoolleiders.
- Uitgangspunten — bijvoorbeeld: we volgen het Normenkader IBP, privacy by design bij nieuwe systemen, least privilege bij toegang, en leveranciers alleen met verwerkersovereenkomst.
- Kernregels voor medewerkers — wachtwoorden en MFA, omgaan met leerlinggegevens, thuiswerken en privéapparaten, veilig AI-gebruik, melden van incidenten en datalekken.
- Controle en verantwoording — hoe en wanneer het bestuur toetst of het beleid wordt nageleefd (jaarcyclus, rapportages, zelftoets).
Zo stel je het op: vijf stappen
- Begin niet bij een leeg document. Werk vanuit een template dat al op het normenkader is ingericht en pas het aan op jouw organisatie — dat scheelt weken en voorkomt gaten.
- Betrek de juiste mensen. Beleid dat alleen door de ICT'er is geschreven, mist het onderwijsperspectief; beleid van alleen de jurist mist de techniek. Combineer proces, mens en techniek.
- Houd het kort en concreet. Een beleid van zestig pagina's leest niemand. Kaders in het hoofddocument, uitwerking in losse procedures die je apart kunt bijstellen.
- Stel het formeel vast. Het bestuur stelt vast, de (G)MR heeft op onderdelen advies- of instemmingsrecht. Zonder formele vaststelling telt het bij toetsing niet als beleid.
- Communiceer het. Beleid dat in een map staat, bestaat niet. Vertaal de kernregels naar korte, begrijpelijke afspraken voor medewerkers en neem ze mee in onboarding en awareness.
Levend houden: de jaarcyclus
Het normenkader beoordeelt niet of je beleid hébt, maar of het wérkt. Dat vraagt een vast ritme: jaarlijks evalueren, bijstellen na incidenten of nieuwe wetgeving (zoals NIS2), en aantoonbaar vastleggen wanneer welke versie is vastgesteld. Versiebeheer en bestuurlijke besluitvorming zijn precies de bewijsstukken waar bij toetsing om wordt gevraagd.
De drie meestgemaakte fouten
- Een gekopieerd beleid zonder eigenaarschap. Een template van een ander bestuur overnemen zonder aanpassing valt bij de eerste doorvraag door de mand.
- Beleid als eindpunt zien. Vaststellen is stap één; naleving organiseren en meten is waar volwassenheidsniveau 3 om draait.
- Geen koppeling met de normen. Als je niet kunt aanwijzen welke norm door welk beleidsonderdeel wordt afgedekt, kun je ook niet aantonen dat je voldoet.
Wil je eerst het grotere plaatje? Lees dan wat het Normenkader IBP is of ga direct aan de slag met het stappenplan.
IBP-beleid opstellen zonder blanco pagina?
Edufort levert per norm een uitleg, template en webinar — inclusief beleidseditor met AI-copiloot die meeschrijft op basis van jouw organisatieprofiel. Vanaf €0,95 per leerling per jaar.