De deadline voor volwassenheidsniveau 3 is verschoven naar 2030, maar 1 januari 2027 blijft een harde mijlpaal: dan moet je bestuur een afgeronde zelftoets en een concreet, realistisch plan hebben. Dit artikel legt uit wat beide inhouden en hoe je ze goed aanpakt.
De zelftoets: weten waar je staat
De zelftoets is een nulmeting over alle normen van het kader: 69 voor informatiebeveiliging en 25 voor privacy. Per norm bepaal je het huidige volwassenheidsniveau (1 t/m 5). Drie zaken maken het verschil tussen een zinvolle zelftoets en een papieren invuloefening:
- Score op bewijs, niet op gevoel. “Dat hebben we wel geregeld” telt pas als je het kunt laten zien: een vastgesteld beleidsstuk, een rapportage, een logbestand.
- Betrek de juiste mensen. De normen raken HR, inkoop, ICT én onderwijs. Een zelftoets die alleen door de ICT'er is ingevuld, mist structureel de proceskant.
- Leg de onderbouwing vast. Bij een latere toetsing wil je kunnen herleiden wáárom je een norm op niveau 2 of 3 scoorde.
Het plan: van nulmeting naar routekaart
Het plan laat zien hoe je van je huidige situatie naar niveau 3 in 2030 groeit. Een goed plan is:
- Geprioriteerd op risico — eerst de normen die echte incidenten voorkomen (toegangsbeheer, back-ups, incidentproces), daarna de rest.
- Belegd — per verbetering een eigenaar, budget en kwartaal. “De ICT'er pakt het op” is geen belegging.
- Bestuurlijk vastgesteld — het bestuur is eindverantwoordelijk; het plan hoort formeel te worden vastgesteld en periodiek gevolgd.
- Realistisch — drie sporen (proces, mens, techniek) in een tempo dat je organisatie aankan. Een plan dat in 2029 alles tegelijk doet, is geen plan.
Veelgemaakte fouten
- Te rooskleurig scoren. Een te mooie zelftoets betekent dat je verbeterplan te dun is — en dat merk je pas bij de toetsing.
- De zelftoets als eindpunt zien. Het is het startpunt van een jaarcyclus: meten, verbeteren, opnieuw meten.
- Bewijsvoering uitstellen. Wie pas in 2029 bewijs gaat verzamelen, moet drie jaar reconstrueren. Leg vást terwijl je werkt.
Hoe Edufort dit versnelt
In Edufort staat het volledige normenkader klaar, inclusief per norm de uitleg, voorbeelden en het bewijs dat erbij hoort. De zelftoets doe je begeleid, het plan rolt er als concrete takenlijst uit en de bewijsvoering groeit automatisch mee terwijl je team werkt. Zie ook het volledige stappenplan.
Aan de slag — zonder er een dagtaak bij te krijgen?
Edufort vertaalt het Normenkader IBP naar concrete taken, houdt de bewijsvoering bij en neemt je organisatie stap voor stap mee. Het complete ecosysteem vanaf €1,70 per leerling per jaar — bekijk de prijzen.