Informatiebeveiliging · Domein 6

IM.03 Incidentrespons op cyberbeveiligingsincidenten

Norm IM.03 gaat over signalen tijdig classificeren, escaleren, begrenzen, herstellen, melden en omzetten in structurele verbeteringen. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent IM.03 in de praktijk?

Een vaste route voor signaleren, classificeren, escaleren, herstellen en leren beperkt schade en herhaling.

Voor incidentrespons op cyberbeveiligingsincidenten betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een vastgesteld incident- en escalatieproces met rollen en termijnen.

Bewijsvoorbeeld 2

Een incidentregister met tijdlijn, classificatie, besluiten en communicatie.

Bewijsvoorbeeld 3

Evaluaties, oorzaakanalyses en aantoonbaar afgeronde verbeteracties.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Richt één herkenbaar meldpunt en classificatiemodel in

Richt één herkenbaar meldpunt en classificatiemodel in.

Leg beslisbevoegdheid, escalatie en meldroutes vooraf vast

Leg beslisbevoegdheid, escalatie en meldroutes vooraf vast.

Registreer tijdens afhandeling tijdlijn, bewijs en besluiten

Registreer tijdens afhandeling tijdlijn, bewijs en besluiten.

Evalueer oorzaak en werking en bewaak structurele opvolging

Evalueer oorzaak en werking en bewaak structurele opvolging.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat signalen tijdig classificeren, escaleren, begrenzen, herstellen, melden en omzetten in structurele verbeteringen, inclusief mandaat en vervanging?
Kan incidentmanager, fg/ibp en proceseigenaar zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een vastgesteld incident- en escalatieproces met rollen en termijnen. en een incidentregister met tijdlijn, classificatie, besluiten en communicatie. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘continu; na ieder ernstig incident evalueren’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Alleen technische tickets registreren en privacy- of procesimpact missen.
Meldtermijnen pas na volledige analyse starten.
Een incident sluiten zonder oorzaakanalyse en verbeteractie.

In Edufort

Incidentregister: van norm naar opvolging

Leg tijdlijn, classificatie, besluiten, meldingen en verbeteracties in één dossier vast. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk Incidentregister →

Veelgestelde vragen

Vragen over IM.03

Wat betekent norm IM.03 voor een schoolbestuur?

Deze norm vraagt om signalen tijdig classificeren, escaleren, begrenzen, herstellen, melden en omzetten in structurele verbeteringen. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij IM.03?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij incidentrespons op cyberbeveiligingsincidenten.

Wie is eigenaar van IM.03?

Een passende inrichting is: Incidentmanager, FG/IBP en proceseigenaar. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.