Normenkader IBP: van zelfevaluatie naar een uitvoerbaar plan
De zelfevaluatie van het Normenkader IBP is afgerond. Er ligt een overzicht met sterke punten, ontbrekende informatie en verbeteracties. Voor het schoolbestuur begint daarmee een volgende opgave: bepalen wat eerst moet gebeuren, wie daarvoor verantwoordelijk is en welke bijdrage van IT-leveranciers nodig is.
Een uitvoerbaar IBP-plan verbindt ieder belangrijk verbeterpunt aan een concreet resultaat, een verantwoordelijke en een moment waarop u de uitkomst beoordeelt. Zo krijgt het bestuur grip op de voortgang en weten medewerkers en leveranciers wat van hen wordt verwacht.
Wat de zelfevaluatie u moet opleveren
IBP staat voor informatiebeveiliging en privacy. Kennisnet biedt voor het primair en voortgezet onderwijs de Zelfevaluatie Normenkader IBP. Die helpt om de huidige situatie te beoordelen en een plan van aanpak op te stellen. Volgens Kennisnet verwacht OCW dat scholen vóór 1 januari 2027 inzicht hebben in hun positie en een plan hebben om per 1 januari 2030 volwassenheidsniveau 3 te bereiken. Deze broninformatie is gecontroleerd in oktober 2026.
De praktische vraag voor uw bestuur is vervolgens: kunnen we met dit plan daadwerkelijk aan het werk? Inducem adviseert om bij de vertaling naar uitvoering de volgende vijf stappen te gebruiken.
1. Maak duidelijk wat u kunt onderbouwen
Loop de belangrijkste bevindingen samen met de betrokken medewerkers na. Maak per onderwerp zichtbaar welk document, welke afspraak of welke recente controle het oordeel ondersteunt. Noteer ook waar nog een aanname staat of aanvullende informatie nodig is.
Dat onderscheid helpt in het gesprek met uw leverancier. Een bevestiging dat toegangsrechten worden beheerd, roept bijvoorbeeld vervolgvragen op: op welke systemen heeft dit betrekking, wanneer zijn de rechten gecontroleerd en hoe zijn afwijkingen afgehandeld? Vraag om informatie die bij uw eigen situatie hoort. Spreek af wie die informatie beoordeelt en waar de conclusie wordt vastgelegd.
2. Kies prioriteiten die het onderwijs beschermen
Het Groeipad bij het Normenkader IBP ordent de aanpak op basis van onderlinge afhankelijkheden en het verminderen van risico’s. Gebruik dat als vertrekpunt voor de volgorde van uw verbeteringen.
Onze praktische aanbeveling is om daarnaast bij elk onderwerp drie vragen te stellen: wat kan dit betekenen voor leerlingen en medewerkers, welke andere verbetering hangt hiervan af en welke capaciteit is beschikbaar? Problemen rond toegang tot essentiële systemen vragen bijvoorbeeld een andere afweging dan het bijwerken van een verouderde beschrijving. Leg vast waarom iets prioriteit krijgt en wie een besluit neemt als uitvoering later mogelijk blijkt.
3. Maak van een verbeterpunt een werkafspraak
In deelproject 1.4 over de roadmap beschrijft het Normenkader IBP hoe de IBP-verantwoordelijke het plan met collega’s voorbereidt en het schoolbestuur het vaststelt. Daar horen ook verantwoordelijkheden, mijlpalen en voortgang bij.
Maak dit voor de dagelijkse uitvoering zo concreet mogelijk. Een bruikbare werkafspraak bevat:
Het gewenste resultaat: wat moet er na afloop zichtbaar geregeld zijn?
De verantwoordelijke: wie houdt intern overzicht en neemt besluiten over de uitvoering?
De bijdrage van anderen: wat moeten bijvoorbeeld HR, schoolleiding en leverancier aanleveren?
De planning: wanneer volgt een eerste resultaat en wanneer wordt het beoordeeld?
De onderbouwing: welke informatie laat zien dat de afspraak werkt?
Bespreek vooraf of mensen hiervoor tijd en bevoegdheid hebben. Wanneer meerdere teams nodig zijn, verdient juist de overdracht tussen die teams aandacht.
4. Betrek leveranciers op hun concrete bijdrage
Bespreek per verbeterpunt welke werkzaamheden onder de bestaande dienstverlening vallen en waar aanvullende afspraken nodig zijn. Maak duidelijk voor welke systemen de leverancier verantwoordelijk is en welke werkzaamheden uw eigen organisatie uitvoert.
Vraag de leverancier vervolgens om een voorstel dat u kunt beoordelen: wat wordt opgeleverd, welke informatie heeft hij nodig, wat kost het en hoe wordt het resultaat aangetoond? Neem openstaande vragen mee naar het leveranciersoverleg en leg de uitkomst vast bij het betreffende verbeterpunt. Zo blijft het verband tussen uw IBP-plan, de dienstverlening en de opvolging zichtbaar.
Voorbeeld: toegangsrechten bij uitdiensttreding
Stel dat een schoolbestuur in de zelfevaluatie ziet dat het intrekken van toegangsrechten bij uitdiensttreding onvoldoende is onderbouwd. HR geeft wijzigingen door, schoolleiders beheren enkele losse applicaties en een IT-leverancier beheert de centrale accounts.
Het bestuur kiest als eerste resultaat een aantoonbare werkwijze voor deze keten. HR en de schoolleiders spreken af welke wijzigingen zij doorgeven. De leverancier bevestigt welke accounts hij aanpast en hoe hij terugkoppelt. Een intern verantwoordelijke controleert bij een beperkte, afgesproken steekproef of alle betrokken partijen hun onderdeel hebben uitgevoerd.
In het volgende overleg blijkt dat een onderwijsapplicatie buiten de melding valt. Het team vult de werkwijze aan en herhaalt de controle. Het resultaat is een concrete verbetering met zicht op een resterend aandachtspunt.
5. Bespreek voortgang op besluiten en resultaten
Kies een vast overlegmoment dat past bij de omvang en urgentie van uw plan. Laat de verantwoordelijken vooraf aangeven welke resultaten beschikbaar zijn, wat is vertraagd en welk besluit nodig is.
Een compact bestuursoverzicht kan per prioriteit de verwachte oplevering, de beschikbare onderbouwing en het resterende risico tonen. Vraag bij een afgeronde actie wie het resultaat heeft beoordeeld en hoe het in de dagelijkse werkwijze wordt onderhouden. Bespreek bij vertraging de consequentie voor het onderwijs en de mogelijke vervolgstappen. Daarmee wordt voortgang een gesprek over keuzes en verantwoordelijkheden.
Van IBP-plan naar dagelijkse regie
Inducem helpt onderwijsorganisaties om bestuurlijke doelen te verbinden met IT-afspraken en uitvoering. Met Regie-as-a-Service ondersteunen we onder meer leveranciersoverleggen, verantwoordelijkheden en verbeteracties.
De uitkomsten van uw bestaande IBP-zelfevaluatie vormen daarbij een bruikbaar vertrekpunt. Waar aanvullend inzicht nodig is, bespreken we welke beoordeling past. Eviduce is in ontwikkeling; een algemene Cybercheck vormt geen volledige beoordeling van het Normenkader IBP.
Wilt u van uw zelfevaluatie naar een uitvoerbaar plan met duidelijke leveranciersafspraken? Bespreek uw IBP- en regievraag met Inducem.
