Door Wesley van der Stoep, directeur van SecureWave
Een roadmap voor informatiebeveiliging en privacy kan er overzichtelijk uitzien: acties, verantwoordelijken en deadlines. Toch is één vraag het bespreken waard: heeft degene die een actie moet uitvoeren daar ook tijd voor?
Nu het schooljaar is begonnen, is dit een goed moment om de plannen naast de beschikbare mensen en middelen te leggen. Wat willen jullie dit jaar bereiken? En wat is nodig om dat voor elkaar te krijgen?
Wat moet er vóór 2027 liggen?
Het ministerie van OCW verwacht dat schoolbesturen in het funderend onderwijs vóór 1 januari 2027 weten waar zij staan ten opzichte van het Normenkader Informatiebeveiliging en Privacy. Ook moet er een plan van aanpak zijn om uiterlijk 1 januari 2030 aan volwassenheidsniveau 3 te voldoen. Nieuwsbrieven Ministerie van OCW
In januari hoeft dus nog niet alles op dat niveau te zijn. Wel moet duidelijk zijn wat al geregeld is, waar verbetering nodig is en hoe jullie daarmee aan de slag gaan.
Breng ook in beeld wat al goed gaat
Een nulmeting helpt om dat overzicht te krijgen. Daarbij verdient wat al goed geregeld is net zoveel aandacht als wat nog ontbreekt. Je wilt immers verder bouwen op het werk dat al is gedaan.
Kijk wel waarop jullie oordeel is gebaseerd. Is duidelijk hoe een afspraak in de praktijk wordt uitgevoerd? Of moet dat nog worden uitgezocht? Laat onzekerheden zichtbaar in de beoordeling; dan weet je ook welke vragen nog een antwoord nodig hebben.
Hebben jullie al een nulmeting? Pak die er opnieuw bij. Welke verbeteringen zijn inmiddels uitgevoerd en zijn de uitkomsten nog actueel? Daarmee wordt ook zichtbaar wat de inspanningen van het afgelopen jaar hebben opgeleverd.
Maak keuzes die uitvoerbaar zijn
Na de nulmeting volgt een belangrijke afweging: wat moet direct worden aangepakt en welke verbeteringen kunnen in de verdere planning worden opgenomen?
Daar hoort een gesprek over capaciteit bij. Als een collega naast het dagelijkse werk ook het IBP-plan moet uitvoeren, moet ergens ruimte ontstaan. Dat kan betekenen dat andere werkzaamheden verschuiven, taken anders worden verdeeld of aanvullende ondersteuning nodig is.
Mijn advies is om dat gesprek te voeren voordat de roadmap wordt vastgesteld. Bespreek met bestuur, de IBP-verantwoordelijke en ICT of de planning haalbaar is. Maak ook duidelijk welke besluiten of middelen nog nodig zijn om verder te kunnen.
De voortgang wordt dan een gezamenlijk vraagstuk, in plaats van alleen een actielijst voor degene die IBP in zijn takenpakket heeft.
Een praktische eerste stap
Nog geen goed beeld van jullie uitgangspositie? Met de Zelfevaluatie Normenkader IBP van Kennisnet kun je zelf aan de slag. De tool ondersteunt ook het opstellen van een roadmap. Betrek daarbij de collega’s die weten hoe het binnen jullie organisatie in de praktijk is geregeld.
Maar wat als de capaciteit ontbreekt, jullie specifieke kennis missen of twijfelen of alles voldoende in beeld is? Vanuit SecureWave helpen we graag verder. We kunnen een nulmeting uitvoeren, samen met jullie een haalbare roadmap vormgeven en ondersteunen bij de uitvoering.
Hoe die ondersteuning eruitziet, bepalen we samen. We kunnen jullie begeleiden bij het implementeren van het normenkader, maar ook beschikbaar zijn voor de complexe vraagstukken die onderweg ontstaan. Een volledig begeleidingstraject is dus niet nodig wanneer jullie vooral behoefte hebben aan een ervaren sparringpartner of specialistische kennis op een bepaald onderwerp. We bouwen voort op wat jullie al hebben geregeld en vullen aan waar extra kennis of capaciteit nodig is.