Het was dé stok achter de deur voor het funderend onderwijs: in 2027 aantoonbaar voldoen aan het Normenkader IBP op volwassenheidsniveau 3. Die deadline is verschoven naar 1 januari 2030. Goed nieuws? Deels. In dit artikel lees je wat er precies veranderd is, wat er blíjft staan en waarom uitstel geen afstel is.
Wat is er veranderd?
OCW en de sectorpartijen (PO-Raad, VO-raad, SIVON en Kennisnet) hebben de verplichting om op volwassenheidsniveau 3 te zitten drie jaar opgeschoven: van 2027 naar 1 januari 2030. De reden is realistisch: veel besturen bleken de omslag van papier naar aantoonbare praktijk niet binnen de oorspronkelijke termijn te kunnen maken.
Wat blijft er staan: de 2027-verplichting
Het uitstel geldt alleen voor het eindniveau. Per 1 januari 2027 moet elk schoolbestuur nog steeds twee dingen hebben:
- Een afgeronde zelftoets: je weet per norm waar je organisatie staat ten opzichte van het kader.
- Een concreet, realistisch plan: een routekaart die laat zien hoe je vóór 2030 naar niveau 3 groeit.
Lees ook: wat moet je in 2027 precies geregeld hebben?
Waarom je niet moet wachten
Drie jaar extra klinkt ruim, maar de praktijk leert anders:
- De zelftoets is dichterbij dan je denkt. Een eerlijke nulmeting over 94 normen (69 informatiebeveiliging + 25 privacy), inclusief het ophalen van bewijs, kost een gemiddeld bestuur maanden — naast het gewone werk.
- Niveau 3 is een cultuurverandering, geen document. Aantoonbaar werken betekent dat processen zó zijn ingericht dat naleving vanzelf bewijs oplevert. Dat bouw je niet in het laatste jaar.
- Aanvallers wachten niet op 2030. Het normenkader bestaat omdat scholen doelwit zijn — elk jaar zonder MFA, geoefende datalekprocedure of gemonitorde omgeving is een jaar risico.
Een gezonde planning richting 2030
- Nu – medio 2027: zelftoets afronden, plan vaststellen op bestuursniveau, quick wins doorvoeren (MFA, back-uptest, datalekprocedure — zie de 10-puntenchecklist).
- 2027 – 2028: de hoogste risico's naar niveau 3 brengen; bewijsvoering centraal inrichten.
- 2029: de volle breedte afmaken, interne audit draaien en herstellen wat tegenvalt.
Zo kom je zonder eindsprint bij 2030 aan — met een organisatie die het niveau ook vásthoudt, want daar kijkt de toetsing straks naar.
Aan de slag — zonder er een dagtaak bij te krijgen?
Edufort vertaalt het Normenkader IBP naar concrete taken, houdt de bewijsvoering bij en neemt je organisatie stap voor stap mee. Het complete ecosysteem vanaf €1,70 per leerling per jaar — bekijk de prijzen.