Het Normenkader IBP draait om één sleutelwoord: aantoonbaar. Niet “wij doen het goed”, maar “kijk, hier is het bewijs”. Maar hoe werkt die toetsing eigenlijk, en wat moet je daarvoor inrichten?
Hoe de verantwoording is opgebouwd
De basis is de zelftoets: je beoordeelt periodiek zelf per norm op welk volwassenheidsniveau je zit, onderbouwd met bewijs. Daarbovenop groeit de externe verantwoording: het bestuur legt verantwoording af over digitale veiligheid (denk aan het jaarverslag en de eigen planning-en-controlcyclus), en de sector werkt toe naar onafhankelijke toetsing van de zelfbeoordeling. De exacte vorm daarvan wordt nog verder uitgewerkt — maar de richting is duidelijk: wie zijn bewijsvoering niet op orde heeft, valt door de mand.
Wat telt als bewijs?
Per norm verschilt het, maar bewijs valt vrijwel altijd in vier categorieën:
- Vastgestelde documenten — beleid met versiebeheer, datum en bestuurlijk besluit. Een los Word-bestand zonder vaststelling is niveau 1.
- Aantoonbare uitvoering — deelnamecijfers van awareness-trainingen, notulen waarin IBP op de bestuursagenda staat, een geoefende datalekprocedure met evaluatieverslag.
- Technische rapportages — MFA-dekking, patchstatus, back-uptests, monitoringsrapporten. Bij voorkeur automatisch gegenereerd.
- Cyclische borging — bewijs dat je meet, evalueert en bijstuurt: her-toetsingen, managementrapportages, verbeteracties met opvolging.
Het verschil tussen niveau 2 en 3 zit in het bewijs
Bij niveau 2 zijn er afspraken; bij niveau 3 zijn ze vastgelegd, worden ze nageleefd én kun je dat laten zien. In de praktijk is de bewijsvoering dus niet het sluitstuk van het normenkader, maar de kern ervan. Lees ook: volwassenheidsniveau 2 vs. 3 in de praktijk.
Zo richt je bewijsvoering slim in
- Eén centrale plek. Koppel norm → maatregel → bewijs aan elkaar. Losse mappen en mailboxen zijn bij een toetsing onvindbaar.
- Bewijs als bijproduct. Richt processen zó in dat werken vanzelf bewijs oplevert: een DPIA-workflow die het besluit vastlegt, een trainingsplatform dat deelname registreert, monitoring die rapporteert.
- Ververs automatisch. Bewijs veroudert. Een MFA-rapport uit 2027 zegt in 2029 niets meer; plan her-toetsing per norm.
- Oefen de toetsing. Laat iémand die niet bij de invulling betrokken was (FG, auditor, collega-bestuur) een steekproef doen: kun je binnen tien minuten het bewijs bij een willekeurige norm tonen?
In Edufort is deze koppeling het fundament: elke norm heeft zijn taken en bewijsstukken op één plek, met status en houdbaarheid. Een toetsing wordt dan een export, geen archeologie.
Aan de slag — zonder er een dagtaak bij te krijgen?
Edufort vertaalt het Normenkader IBP naar concrete taken, houdt de bewijsvoering bij en neemt je organisatie stap voor stap mee. Het complete ecosysteem vanaf €1,70 per leerling per jaar — bekijk de prijzen.