Nieuwe Realiteit voor Nederlandse Scholen

De afspraken over een digitaal veilige schoolomgeving houden in dat alle scholen in het funderend onderwijs (primair en voortgezet onderwijs) uiterlijk per 1 januari 2030 moeten voldoen aan een landelijke norm voor informatiebeveiliging en privacy. Deze verplichting is niet vrijblijvend – het betreft een concrete uitvoering van bestaande wet- en regelgeving, waaronder de AVG (Algemene Verordening Gegevensbescherming).

🔒 Wat is er precies afgesproken?

De belangrijkste afspraak is dat scholen volwassenheidsniveau 3 van het Normenkader Informatiebeveiliging en Privacy voor Funderend Onderwijs (IBP FO) moeten behalen op alle normen.

Het Normenkader IBP FO in detail:

• 69 normen voor informatiebeveiliging en 25 normen voor privacy
• Een concrete set van richtlijnen en maatregelen over hoe scholen de digitale veiligheid en privacy van leerlingen, medewerkers en gegevens moeten waarborgen
• Ontwikkeld door het ministerie van OCW, Kennisnet, SIVON, PO-Raad en VO-raad

Volwassenheidsniveau 3 betekent:

Dit niveau duidt op een gedocumenteerde en beheerste aanpak van informatiebeveiliging en privacy. Het houdt in dat maatregelen niet alleen op papier staan, maar ook daadwerkelijk zijn geïmplementeerd, geëvalueerd en structureel worden onderhouden.

Concrete verplichtingen voor scholen:

• Maatregelen nemen om de continuïteit van het onderwijs te garanderen
• Privacygevoelige informatie beschermen tegen datalekken of hacks
• Een incidentresponsplan hebben voor cyberincidenten
• Leveranciersrisico’s beheersen en goede afspraken maken met ICT-leveranciers
• Een Privacy Officer aanstellen en een verwerkingsregister bijhouden

Tussentijdse mijlpalen:

• 1 januari 2027: Scholen moeten hun huidige status kennen via zelfevaluatie en een concreet plan hebben om niveau 3 te bereiken
• 2027-2030: Implementatieperiode met ondersteuning van het Programma Digitaal Veilig Onderwijs (DVO)

🛡️ Controle of werkelijke bedreiging?

Dit initiatief is primair een reactie op een werkelijke en toenemende bedreiging, niet zozeer een controlemiddel. Recent onderzoek van Kennisnet toont dit duidelijk aan.

Waarom het een acute bedreiging is:

Dramatische toename cyberaanvallen

Volgens het Dreigingsbeeld Cybersecurity 2025 van Kennisnet:

• Stijging van cyberaanvallen in het primair en voortgezet onderwijs sinds 2023
• 156% toename van identiteitsgerelateerde cyberaanvallen tussen 2023 en 2025 (bron: eSentire)
• In het eerste kwartaal van 2025 werd 35% van deze aanvallen uitgevoerd met infostealers (tegen 11% twee jaar eerder)

Recente incidenten met grote impact:

• Ransomware-aanval op Iddink Learning Materials (april 2024): Grote verstoring levering schoolboeken aan duizenden scholen
• DDoS-aanvallen op SURF (begin 2025): Uitval internet en digitale systemen bij vele scholen, uitgestelde examens
• Rhedens School ransomware-aanval (november 2024) door Blacksuit-groep
• 4.000 gelekte schoolaccounts ontdekt door School-CERT in mei 2025 via Operation Endgame

Gevoelige data van kwetsbare doelgroep

Scholen beheren bijzonder gevoelige persoonsgegevens:

• Namen, adressen, medische gegevens van minderjarigen
• Toetsresultaten en leerlingdossiers
• Contactgegevens ouders en medewerkers
• De Autoriteit Persoonsgegevens benadrukt dat kinderen recht hebben op extra bescherming onder de AVG

Continuïteit onderwijs in gevaar

• Uitval digitale leeromgevingen kan leiden tot lesuitval
• Onbruikbare leerlingadministratiesystemen verstoren de bedrijfsvoering
• Uitgestelde of geannuleerde examens bij cyberincidenten
• Hoge herstelkosten en imagoschade

Groeiende kwetsbaarheid

• Malware-as-a-Service: Cybercriminelen kunnen voor een maandelijks bedrag geavanceerde aanvallen uitvoeren
• AI-versnelling: Kunstmatige intelligentie maakt het eenvoudiger en goedkoper om malware en phishing-aanvallen te ontwikkelen
• Geautomatiseerde aanvallen: Criminelen gebruiken steeds vaker gestandaardiseerde aanvalsmethoden

🤝 Waarom komen scholen/brancheverenigingen hier wel mee?

Contra het beeld dat dit een ‘van bovenaf opgelegde maatregel’ is, tonen de feiten aan dat de brancheverenigingen actief initiatiefnemer zijn geweest.

Gezamenlijk partnerschap

Het Programma Digitaal Veilig Onderwijs is een samenwerking tussen:

• Ministerie van OCW (beleid en financiering)
• PO-Raad (primair onderwijs)
• VO-raad (voortgezet onderwijs)
• Kennisnet (ICT-expertise)
• SIVON (schoolbesturen)

Erkenning van urgentie door de sector

• Staatssecretaris Becking heeft het programma DVO verlengd tot 2029 op verzoek van de sector
• Nulmeting 2023: Geen enkele school voldeed volledig aan het gewenste beveiligingsniveau
• Brancheverenigingen lobbyen actief voor meer ondersteuning en financiering

Complexiteit vraagt samenwerking

Waarom individuele aanpak faalt:

• Gebrek aan expertise: Kleine schoolbesturen hebben onvoldoende ICT-kennis in huis
• Hoge kosten: Professionele cybersecurity is voor individuele scholen vaak onbetaalbaar
• Leveranciersafhankelijkheid: Beperkt aantal gespecialiseerde onderwijsleveranciers
• Uniformiteit nodig: Verschillende beveiligingsniveaus creëren zwakste schakel-probleem

Voordelen van sectoraanpak:

• Kennisdeling en gezamenlijke inkoop
• Subsidies en ondersteuning via DVO-programma (€6 miljoen per jaar structureel sinds 2022)
• School-CERT: Gespecialiseerd incident-response team voor het onderwijs
• Voorbeelddocumenten en implementatietools
• Collectieve onderhandelingspositie tegenover leveranciers

💰 Financiële ondersteuning en kosten

Overheidsbudget

• €6 miljoen per jaar structureel voor cyberveiligheid onderwijs (sinds 2022)
• Programma DVO verlengd tot 2029 voor continue ondersteuning
• Subsidie Digitale School 2024: Tot €375.000 per jaar voor innovatie

Ondersteuningsaanbod

Het DVO-programma biedt:

• Gratis tools en diensten voor risicoanalyses
• Voorbeelddocumenten voor beleid en procedures
• Workshops en webinars voor kennisontwikkeling
• Data Protection Impact Assessments (DPIA’s)
• Dienst Verwerkersovereenkomsten voor leverancierscontracten

🎯 Toezicht en handhaving

Stimulerende aanpak (2025-2027)

• Inspectie van het Onderwijs gaat vanaf 2027 stimulerend in gesprek met schoolbesturen
• Focus op ondersteuning bij implementatie plannen
• Geen sancties tijdens de opbouwfase

Toekomstige handhaving (na 2030)

• Staatssecretaris Becking verkent mogelijkheden voor formele bevoegdheden Onderwijsinspectie
• Vergelijkbaarheid met andere onderwijssectoren wordt nagestreefd
• Rapportageplicht in jaarverslagen van schoolbesturen

📈 Impact en resultaten tot nu toe

School-CERT statistieken

• Groeiend aantal aangesloten scholen bij het incident-response team
• Proactieve waarschuwingen bij dreigingen (zoals de 4.000 gelekte accounts)
• Snelle respons bij actuele incidenten in de sector

Bewustwording

• Toename meldingen cyberincidenten (indicatie groeiend bewustzijn)
• Meer aandacht voor leveranciersrisico’s na grote incidenten
• Structurele samenwerking tussen scholen en cybersecurity-experts

🔮 Toekomstperspectief

Groeiende dreigingen

• AI-aanvallen worden sophisticater en goedkoper
• Ransomware-as-a-Service bereikbaar voor meer criminelen
• Toenemende afhankelijkheid van cloud-diensten en SaaS-oplossingen

Kansen voor verbetering

• Gezamenlijke inkoop cybersecuritydiensten voor kostenbesparing
• Sectorspecifieke oplossingen door gespecialiseerde leveranciers
• Kennisuitwisseling tussen scholen voor best practices

Belangrijke links en bronnen:

• Normenkader IBP voor het Onderwijs – Kennisnet
• Programma Digitaal Veilig Onderwijs – DVO
• Dreigingsbeeld Cybersecurity 2025 – Kennisnet
• Privacyregels voor scholen – Autoriteit Persoonsgegevens
• Recente nieuwsbericht staatssecretaris – Rijksoverheid

Bronnen: VO-raad (november 2025), Kennisnet Dreigingsbeeld 2025, Tweakers, Security.nl, Autoriteit Persoonsgegevens, CBS Cybersecuritymonitor 2024