Wat is het Normenkader IBP FO?
Het Normenkader Informatiebeveiliging en Privacy voor Funderend Onderwijs — afgekort Normenkader IBP FO — is het verplichte kader voor alle basis- en middelbare scholen in Nederland. Het beschrijft de minimale set eisen waaraan een schoolorganisatie moet voldoen om digitaal veilig te zijn en de privacy van leerlingen, ouders en medewerkers aantoonbaar te waarborgen.
Het kader is ontwikkeld in samenwerking met het Ministerie van OCW, Kennisnet, SIVON, de PO-Raad en de VO-raad. Het geldt voor het gehele funderend onderwijs: basisscholen, middelbare scholen en samenwerkingsverbanden.
Waarom is het verplicht?
Scholen verwerken dagelijks gevoelige persoonsgegevens van minderjarige leerlingen. De toenemende digitalisering brengt groeiende dreigingen mee: het Dreigingsbeeld Cybersecurity 2025 van School-CERT toont een significante stijging van cyberaanvallen op PO en VO.
Schoolbestuurders zijn wettelijk eindverantwoordelijk voor de digitale veiligheid van hun organisatie. Bij niet-naleving van het Normenkader IBP FO kunnen zij aansprakelijk worden gesteld. Het Ministerie van OCW start na 2030 met formeel toezicht en handhaving.
Belangrijk: Vanaf verslagjaar 2024 moeten schoolbesturen al expliciet rapporteren over IBP-beleid in het bestuursverslag — ook als zij nog niet volledig voldoen. Dit geldt nu, niet pas in 2027.
Drie deadlines die u niet mag missen
2024 — Bestuursverslag
In het jaarverslag over verslagjaar 2024 moeten schoolbesturen expliciet vermelden welk IBP-beleid zij voeren en wat de stand van zaken is ten opzichte van het Normenkader IBP FO. Deze verplichting geldt nu.
1 januari 2027 — Zelfevaluatie en verbeterplan
Dit is de meest urgente deadline. Elk schoolbestuur moet via een formele zelfevaluatie aantonen waar het staat op alle 94 normen en een concreet verbeterplan hebben om volwassenheidsniveau 3 te bereiken. De ervaring leert dat een volledig IBP-traject zonder externe begeleiding 12 tot 18 maanden in beslag neemt. De tijd om te starten is nu.
1 januari 2030 — Volledig compliant
Uiterlijk 2030 moeten alle scholen voldoen aan alle 94 normen op volwassenheidsniveau 3. Daarna treedt het Ministerie van OCW op als toezichthouder en handhaver.
Hoe SARISC Groep helpt
SARISC Groep biedt een volledig dienstenpakket voor het Normenkader IBP FO — pragmatisch en afgestemd op uw omvang en tempo. Geen dikke rapporten, maar concrete stappen die direct bijdragen aan uw aantoonbaarheid.
Nulmeting Normenkader IBP FO
Inzicht in uw huidige positie op alle 94 normen, een geprioriteerde risicokaart en een concreet verbeterplan richting 2027 en 2030. Binnen vier weken weet u exact waar uw school staat.
CISO-as-a-Service voor scholen
Gecertificeerde CISO-expertise op maat — van strategisch beleid en risicobeoordelingen tot bestuurlijke rapportage. Zonder fulltime dienstverband, altijd conform het Normenkader IBP FO.
FG-as-a-Service (Functionaris Gegevensbescherming)
De AVG verplicht u een FG aan te stellen. Wij vervullen deze rol flexibel: van enkele uren per maand tot volledig uitbesteed, inclusief verwerkingsregister, DPIA’s en datalekprotocol.
IBP FO Audit & Penetratietest
Onafhankelijke audit op basis van het Normenkader IBP FO, optioneel aangevuld met een penetratietest op uw schoolnetwerk. U ontvangt een helder rapport met bevindingen en aanbevelingen.
Implementatiebegeleiding via het Groeipad
Stap-voor-stap begeleiding door het IBP FO Groeipad — van bewustwording en beleid tot technische maatregelen en aantoonbaarheid. Op uw tempo, passend bij uw organisatiecapaciteit.
Veelgestelde vragen
Wat is het Normenkader IBP FO precies?
Het Normenkader IBP FO is een verplicht kader met 94 normen voor alle PO- en VO-scholen in Nederland — 69 voor informatiebeveiliging en 25 voor privacy. Het beschrijft de minimale eisen voor een digitaal veilige schoolorganisatie, ontwikkeld door OCW, Kennisnet, SIVON, PO-Raad en VO-raad.
Wanneer moet mijn school voldoen en wat zijn de consequenties?
Drie deadlines: verslagjaar 2024 (bestuursverslag, nu verplicht), 1 januari 2027 (zelfevaluatie en verbeterplan) en 1 januari 2030 (niveau 3 verplicht, OCW handhaaft). Schoolbestuurders zijn eindverantwoordelijk en kunnen bij niet-naleving aansprakelijk worden gesteld.
Wat is het verschil tussen volwassenheidsniveau 1, 2 en 3?
Niveau 1: maatregel incidenteel aanwezig. Niveau 2: gestructureerd en herhaalbaar. Niveau 3 — het vereiste eindniveau — betekent aantoonbaar, beheerst en continu verbeterend. De meeste scholen zitten momenteel op niveau 1 of 2.
Wat is CISO-as-a-Service en waarom is het geschikt voor scholen?
Een gecertificeerde Chief Information Security Officer op flexibele basis — zonder fulltime dienstverband. Ideaal voor schoolbesturen die strategisch beveiligingsleiderschap nodig hebben. De CISO stelt beleid op, leidt risicobeoordelingen en rapporteert aan het bestuur conform IBP FO.
Wat is het verschil tussen het Normenkader IBP FO en NIS2?
IBP FO is het primaire verplichte kader voor PO en VO. NIS2 (Cyberbeveiligingswet) geldt breder en is primair relevant voor grotere onderwijsorganisaties en hoger onderwijs. SARISC Groep adviseert over beide en signaleert synergieën.
Waar staat uw school?
Neem contact op voor een vrijblijvend gesprek. Wij bespreken uw situatie, de meest urgente risico’s en hoe SARISC Groep u ondersteunt richting de deadline van 2027.