Je weet wat het Normenkader IBP is en dat je in 2027 een zelftoets en plan moet hebben, richting aantoonbaar niveau 3 in 2030. Maar hoe pak je dat aan zonder dat het een papieren exercitie wordt — of een dagtaak naast je gewone werk? Dit stappenplan is gebaseerd op hoe wij het bij ruim 140 schoolbesturen zien werken.
Stap 1 — Beleg eigenaarschap op bestuursniveau
IBP raakt personeelsbeleid, inkoop, onderwijs én techniek. Zonder bestuurlijk eigenaarschap blijft het hangen bij een enthousiaste ICT'er die er niet over gaat. Regel drie dingen: een bestuurlijk portefeuillehouder, een IBP-coördinator of kernteam met mandaat, en een vast ritme waarin IBP op de bestuurstafel komt (minimaal elk kwartaal).
Stap 2 — Doe een eerlijke nulmeting
Loop alle normen langs en scoor per norm het huidige volwassenheidsniveau. Belangrijkste valkuil: te rooskleurig scoren. “We hebben een wachtwoordbeleid” is niveau 2 als niemand kan aantonen dat het wordt nageleefd. Wees streng voor jezelf — een te mooie nulmeting betekent dat je later door het ijs zakt.
Stap 3 — Prioriteer op risico, niet op volgorde
Niet elke norm is even urgent. Begin bij wat het grootste risico afdekt:
- Toegangsbeheer en MFA (verreweg de meeste incidenten beginnen bij een account).
- Back-ups die je ook echt kunt terugzetten.
- Een geoefende datalek- en incidentprocedure.
- Verwerkersovereenkomsten met je belangrijkste leveranciers.
Werk vanuit die basis verder naar de volle breedte van het kader.
Stap 4 — Werk in drie sporen tegelijk
Verdeel elke verbetering over proces, mens en techniek. Voer je bijvoorbeeld een beleid voor veilig AI-gebruik in? Dan hoort daarbij: het beleidsstuk (proces), training en kennisbytes voor medewerkers (mens) en technische afvanging van gevoelige data in AI-tools (techniek). Eén spoor zonder de andere twee werkt aantoonbaar niet.
Stap 5 — Maak bewijsvoering onderdeel van het werk
“Aantoonbaar” is het duurste woord van het normenkader als je het achteraf moet organiseren. Leg daarom vást terwijl je werkt: besluiten, versies van beleid, deelnamecijfers van trainingen, rapportages van technische controles. Richt één centrale plek in waar norm, maatregel en bewijs aan elkaar gekoppeld zijn — losse mappen en Excel-lijsten lopen hier stuk.
Stap 6 — Maak het cyclisch
Het normenkader is geen eenmalig project maar een jaarcyclus: meet, verbeter, toets, rapporteer. Plan vaste momenten voor her-toetsing en bestuursrapportage. Zo groeit je volwassenheid elk jaar — heb je de zelftoets en het plan voor 2027 vanzelf op orde, en is niveau 3 in 2030 nooit een inhaalslag.
De drie meestgemaakte fouten
- Alles zelf willen uitzoeken. De norm vraagt kennis van privacy, security én proces — die combinatie zit zelden bij één persoon.
- Beginnen bij documenten in plaats van risico's. Een kast vol beleid zonder MFA is schijnveiligheid.
- De organisatie vergeten. Zonder draagvlak bij schoolleiders en medewerkers blijft elke maatregel theorie.
Bekijk ook de checklist met 10 zaken die je deze maand al kunt regelen.
Aan de slag met het Normenkader IBP — zonder er een dagtaak bij te krijgen?
Edufort vertaalt het normenkader naar concrete taken, houdt de bewijsvoering bij en neemt je organisatie stap voor stap mee. Vanaf €0,95 per leerling per jaar, alles inbegrepen.