Volwassenheidsniveau 3 is voor vrijwel alle normen het doelniveau dat je in 2030 moet halen. De meeste besturen komen na hun zelftoets uit op een mix van niveau 1 en 2 — en ontdekken dat de sprong van 2 naar 3 de zwaarste is. Waarom? Omdat het verschil niet zit in méér doen, maar in anders werken.
De niveaus in één zin
- Niveau 1 — ad hoc: het gebeurt soms, afhankelijk van personen.
- Niveau 2 — herhaalbaar: er zijn afspraken en die worden meestal gevolgd, maar vastlegging en borging ontbreken.
- Niveau 3 — gedefinieerd & aantoonbaar: vastgelegd, nageleefd, gecontroleerd — en je kunt het bewijzen.
- Niveau 4 — gestuurd: je meet en evalueert of maatregelen werken en stuurt bij.
- Niveau 5 — geoptimaliseerd: continu verbeteren is onderdeel van de dagelijkse praktijk.
Drie praktijkvoorbeelden
Wachtwoorden & toegang
Niveau 2: “Iedereen weet dat MFA aan moet, en bij nieuwe accounts doen we dat ook.” Niveau 3: er is vastgesteld beleid, MFA wordt technisch afgedwongen, en een maandrapport laat de dekking zien — inclusief de uitzonderingen en waarom die bestaan.
Datalekken
Niveau 2: er is een procedure en de ICT'er weet hem te vinden. Niveau 3: de procedure is vastgesteld, medewerkers weten waar ze melden, er is geoefend, en van elke melding bestaat een geregistreerde afhandeling met evaluatie. Zie ook het 72-uurs stappenplan.
Leveranciers
Niveau 2: met de grote leveranciers zijn verwerkersovereenkomsten gesloten. Niveau 3: er is een actueel overzicht van álle verwerkers, elke overeenkomst is vindbaar, nieuwe leveranciers doorlopen een vast inkoopproces en er is periodieke controle.
Waarom de sprong zwaar voelt (en hoe hij licht wordt)
Van 2 naar 3 betekent: vastleggen, beleggen en controleren. Doe je dat als losse administratieve klus bovenop het werk, dan is het zwaar en veroudert het direct. De truc is om het in het werk te bouwen: processen die vanzelf bewijs produceren, rapportages die automatisch draaien, taken met eigenaar en herhaaldatum. Dan is niveau 3 geen project maar een bijproduct.
Begin bij de normen met het hoogste risico en werk de breedte af volgens het stappenplan — en onthoud: een eerlijke 2 is meer waard dan een opgeschreven 3.
Aan de slag — zonder er een dagtaak bij te krijgen?
Edufort vertaalt het Normenkader IBP naar concrete taken, houdt de bewijsvoering bij en neemt je organisatie stap voor stap mee. Het complete ecosysteem vanaf €1,70 per leerling per jaar — bekijk de prijzen.