Der IBP-Normenkatalog: Was die Schulbehörden bis 2027 und 2030 regeln müssen

Der IBP-Normenkader (vollständiger Name: „Normenkader Informatiebeveiliging en Privacy“) ist das niederländische Rahmenwerk für Informationssicherheit und Datenschutz im Primar- und Sekundarschulwesen. Er beschreibt in 94 konkreten Normen – 69 zur Informationssicherheit und 25 zum Datenschutz –, welche Vorkehrungen eine Schulorganisation treffen muss. Der erste Meilenstein rückt näher: Bis zum 1. Januar 2027 muss jeder Schulträger eine Selbstevaluierung abgeschlossen und einen Plan zur Erfüllung aller Normen vorgelegt haben. Bis zum 1. Januar 2030 muss jeder Schulträger bei allen Normen die Reifegradstufe 3 erreichen.

In diesem Artikel erläutern wir, was das Rahmenwerk beinhaltet und wer dahinter steht, wie der Wachstumspfad bis 2030 funktioniert, wie eine Basismessung durchgeführt wird und wie ein Vorstand, der noch nicht damit begonnen hat, seine Selbsteinschätzung und seinen Plan dennoch bis zum 1. Januar 2027 fertigstellen kann.

Kurz gesagt

• Was: Der IBP-Normenkader ist der niederländische Standard für Informationssicherheit und Datenschutz im Primar- und Sekundarschulbereich und umfasst 69 Sicherheitsnormen sowie 25 Datenschutznormen.
• Wer: Die Schulbehörden tragen die letztendliche Verantwortung für alle ihre Schulen.
• 1. Januar 2027: Selbstbewertung abgeschlossen und Plan erstellt. Stufe 3 ist noch nicht erforderlich.
• 2030: Reifegrad 3 für alle Normen ab dem 1. Januar 2030.
• Start: eine Bestandsaufnahme des Papierverbrauchs und des Verhaltens sowie eine Gewohnheit zur Achtsamkeit, die im Laufe der Schuljahre Belege liefert.

Was ist der Normenkader IBP?

Der Normenkader IBP wurde im Rahmen des Programms „Digitaal Veilig Onderwijs“ entwickelt, einer Partnerschaft zwischen dem Bildungsministerium (OCW), Kennisnet, SIVON, dem PO-Raad und dem VO-Raad. Er überträgt allgemeine Sicherheitsstandards auf die Sprache und die Gegebenheiten einer Schule: Schülerdaten im Schülerinformationssystem, Konten von Lehrkräften, die auch auf privaten Geräten arbeiten, sowie Dienstleister, die Daten im Auftrag der Schule verarbeiten.

Das Rahmenwerk ist die Antwort der Branche auf ein praktisches Problem: Normen wie ISO 27001 wurden für Unternehmen verfasst, nicht für einen Vorstand mit zwanzig Standorten und einem IT-Koordinator. Jede Norm im Rahmenwerk ist mit einem Reifegrad verbunden, sodass ein Vorstand sich selbst bewerten und genau erkennen kann, wo Lücken bestehen. Die offiziellen Normen, die Begleitdokumente und das Instrument zur Selbstbewertung werden von Kennisnet unter normenkaderibp.kennisnet.nl veröffentlicht.

IKT im Bildungswesen: Warum digitale Sicherheit zu einer dringenden Aufgabe geworden ist

Der Einsatz von IKT im Bildungswesen hat sich schneller entwickelt als die entsprechenden Sicherheitsvorkehrungen. Digitale Lernumgebungen, Systeme zur Schülererfassung, Online-Tests und Hunderte von Apps verarbeiten tagtäglich sensible Daten über Minderjährige. Gleichzeitig sind Schulen zu einem attraktiven Ziel geworden: Ransomware-Angriffe auf schulische Einrichtungen haben gezeigt, wie ein einziger kompromittierter Account den Unterricht wochenlang lahmlegen und die Daten von Tausenden von Schülern gefährden kann.

Aus diesem Grund hat sich der Sektor für ein einheitliches Rahmenwerk entschieden, anstatt dass jeder Schulvorstand seine eigenen Richtlinien verfasst. Das Rahmenwerk klärt zudem eine Frage der Unternehmensführung: Die digitale Sicherheit fällt ausdrücklich in den Zuständigkeitsbereich des Schulvorstands. Der Schulvorstand trägt die letztendliche Verantwortung für die Informationssicherheit und den Datenschutz an allen seinen Schulen – nicht der einzelne IT-Koordinator, dem dieses Thema zufällig am Herzen liegt.

Normenkader IBP 2030: Der Wachstumspfad zur Reifegradstufe 3

Das Rahmenwerk umfasst einen Entwicklungsplan, den „Groeipad“, der festlegt, wann welche Standards erfüllt sein müssen, damit die Schulbehörden in einem realistischen Tempo auf das Ziel hinarbeiten können. Zwei Meilensteine sind dabei besonders wichtig: Bis zum 1. Januar 2027 muss jeder Schulausschuss eine Selbstevaluation abgeschlossen haben, um seinen aktuellen Stand zu kennen, und über einen Plan zur Erfüllung aller Standards verfügen. Bis zum 1. Januar 2030 muss jeder Ausschuss bei allen Standards die Reifestufe 3 erreichen.

Reifegrad 3 bedeutet, dass Maßnahmen dokumentiert sind und konsequent umgesetzt werden: kein Ordner, der irgendwo herumliegt, sondern tägliche Praxis, die einer Überprüfung standhält. Für die meisten Vorstände ist der Weg bis zu Reifegrad 3 bei den organisatorischen und menschlichen Normen länger als bei den technischen, und genau diese Normen lassen sich am schwersten ändern.

Bitte beachten Sie, dass der „Normenkader“ eigenständig ist: Er ist nicht mit NIS2 gleichzusetzen. Nach dem niederländischen Cyberbeveiligingswet fallen ausschließlich öffentlich finanzierte Hochschuleinrichtungen unter diese Regelung; Grund- und weiterführende Schulen richten sich stattdessen nach dem „Normenkader“. Mehr dazu in den unten stehenden FAQ.

Ausgangsmessung: Finden Sie heraus, wo Sie im IBP-Normenrahmen stehen

Der Meilenstein 2027 ist im Wesentlichen eine Bestandsaufnahme: Man muss wissen, wo man steht, und darauf aufbauend einen Plan erstellen. Eine gute Bestandsaufnahme verbindet die theoretische Realität mit dem tatsächlichen Verhalten an Ihren Schulen, denn diese beiden Aspekte stimmen selten überein.

1. Führen Sie die Selbsteinschätzung durch. Bewerten Sie Ihre Organisation anhand der Normen mit dem offiziellen Instrument und dem „Groeipad“ auf der Kennisnet-Website. Beziehen Sie den IT-Koordinator und den Datenschutzbeauftragten gemeinsam ein: Informationssicherheit und Datenschutz überschneiden sich zwar, werden jedoch getrennt bewertet.
2. Messen Sie das tatsächliche Verhalten. Eine Richtlinie auf dem Papier sagt wenig darüber aus, wie sich die Mitarbeiter an einem Dienstagmorgen verhalten. Eine Phishing-Simulation zeigt, wie die Mitarbeiter auf einen realistischen Angriff reagieren, und eine kurze Wissensüberprüfung gibt Aufschluss darüber, was sie wissen. Wie Sie dies umsetzen können, beschreiben wir in unserem Leitfaden zur Basisbewertung des Sicherheitsbewusstseins.
3. Vergleichen und Prioritäten setzen. Die Diskrepanz zwischen Theorie und Praxis zeigt Ihnen, wo das eigentliche Risiko liegt. Setzen Sie Prioritäten bei den Normen, die im „Groeipad“ an erster Stelle stehen, sowie bei den Lücken, die sich direkt auf die Schülerdaten auswirken.
4. Halten Sie dies in einem Plan mit Verantwortlichen und Terminen fest. Da der Vorstand die letztendliche Verantwortung trägt, gehört der Plan auf die Tagesordnung des Vorstands. Weisen Sie jeder Vorgabe einen Verantwortlichen zu, wiederholen Sie die Messung jährlich, und schon haben Sie die Fortschrittsdokumentation, die für 2027 gefordert wird.

Normenkader IBP 2027: In acht Wochen von Null zu einem Plan

Für einen Vorstand, der seine Arbeit noch nicht aufgenommen hat, ist der 1. Januar 2027 näher, als es der Kalender vermuten lässt: Zieht man die Weihnachtsferien ab, bleiben nur noch eine Handvoll Arbeitswochen übrig. Die gute Nachricht ist, dass der Meilenstein 2027 keine Stufe 3 verlangt. Es geht vielmehr darum, dass Sie wissen, wo Sie stehen, und einen glaubwürdigen Plan haben, um dorthin zu gelangen. Teilen Sie die Arbeit in vier Blöcke à zwei Wochen auf, dann ist das machbar.

1. Woche 1 und 2: Organisation. Bestimmen Sie eine Person, die für den Prozess verantwortlich ist, bringen Sie den IT-Koordinator, den Datenschutzbeauftragten und ein Vorstandsmitglied an einen Tisch und laden Sie das Selbstbewertungsinstrument von Kennisnet herunter. Einigen Sie sich auf einen Termin, an dem der Plan dem Vorstand vorgelegt wird.
2. Woche 3 und 4: Messung. Ermitteln Sie die Normwerte mit dem Instrument und messen Sie in denselben Wochen das Verhalten: eine Phishing-Simulation und eine kurze Wissensüberprüfung unter den Mitarbeitern. Indem beides gleichzeitig durchgeführt wird, bleibt die papierbasierte Seite zuverlässig.
3. Woche 5 und 6: Prioritäten setzen. Tragen Sie die Punktzahlen neben die Verhaltensergebnisse ein, beginnen Sie mit den Normen, die im „Groeipad“ an erster Stelle stehen, sowie mit den Defiziten, die sich direkt auf die Schülerdaten auswirken, und weisen Sie jeder Norm einen Verantwortlichen und ein Zieljahr auf dem Weg bis 2030 zu.
4. Woche 7 und 8: Entscheiden Sie sich. Setzen Sie den Plan auf die Tagesordnung des Schulvorstands, lassen Sie ihn genehmigen und teilen Sie die Grundzüge mit der Schulleitung. Leiten Sie eine Maßnahme sofort ein, zum Beispiel das Sensibilisierungsprogramm, damit der Plan vom ersten Tag an Fortschritte zeigt.

Werden Sie es nicht ganz bis zum 1. Januar schaffen? Ein Plan mit ehrlichen Lücken ist immer noch mehr wert als eine perfekte Selbsteinschätzung, die erst im März vorliegt. Bei 2027 geht es darum, dass der Vorstand seine Ausgangslage kennt, seine Prioritäten festgelegt und benannt hat, wer für was verantwortlich ist.

Sicherheitsbewusstsein im Bildungswesen: vom Papier zum Handeln

Bei einem erheblichen Teil der Vorschriften geht es nicht um Firewalls, sondern um Menschen: Phishing erkennen, sorgfältig mit Schülerdaten umgehen, Vorfälle melden, anstatt sie zu vertuschen. Stufe 3 verlangt, dass dies konsequent umgesetzt wird, was einen einmaligen Fortbildungstag ausschließt. Ein Workshop im September ist im November schon wieder vergessen, und der neue Kollege, der im Januar anfängt, hat ihn gar nicht mitbekommen.

Schulen stehen hier vor einer besonderen Herausforderung: Die Zeit der Lehrkräfte ist knapp, die Stundenpläne sind voll, und zur Gruppe gehören auch Hilfskräfte und ehrenamtliche Mitarbeiter, die selten am Schreibtisch sitzen. Hier eignet sich ein kurzes, wiederkehrendes Format: ein paar Minuten Schulung pro Woche, am Telefon oder im Browser, zwischen zwei Unterrichtsstunden. Die Gewohnheit selbst wird zum Beweis. Die Teilnahme und die Punktzahlen pro Team zeigen, dass das Bewusstsein kontinuierlich geschult und angewendet wird – und genau das ist es, was Sie auf Stufe 3 nachweisen sollen.

Guardey: Vom IBP-Normenkader zur wöchentlichen Gewohnheit

Guardey hat sein Schulungsprogramm zur Sensibilisierung für Sicherheitsfragen auf kurze, wöchentliche Herausforderungen von etwa drei Minuten ausgelegt, die durch Gamification, Ranglisten und Serien die Teams während des gesamten Schuljahres motivieren. Integrierte Phishing-Simulationen decken den verhaltensbezogenen Aspekt Ihrer Ausgangsbasis ab und zeigen den anschließenden Fortschritt auf. Alles läuft im Browser oder in der mobilen App für iOS und Android, sodass ein Lehrer ohne festen Arbeitsplatz genauso einfach schulen kann wie das Personal im Sekretariat.

Die Berichte sind auditfähig: Teilnahme, Punktestände und Fortschritte pro Team lassen sich als Nachweis für Rahmenwerke wie NIS2 und ISO 27001 exportieren und dienen gleichermaßen als Grundlage für die Sensibilisierungsstandards im IBP-Normenrahmen. Mehr als 500 Organisationen arbeiten mit Guardey, darunter das Europäische Parlament. Die Einführung dauert nur wenige Minuten, und auf unserer Seite zum Thema Bildung können Sie nachlesen, wie Schulen Guardey in der Praxis einsetzen.

Häufig gestellte Fragen zum IBP-Normenrahmen

Ist der IBP-Normenkader verbindlich?

Der „Normenkader“ ist der Standard, zu dessen Einhaltung sich der Bildungssektor selbst verpflichtet hat, mit festgelegten Meilensteinen: eine Selbstevaluation und ein Plan bis zum 1. Januar 2027, Reifegrad 3 bis zum 1. Januar 2030. Es handelt sich dabei nicht um ein Gesetz im Sinne der AVG, aber von den Schulvorständen wird erwartet, dass sie Fortschritte entlang des „Groeipad“ nachweisen, und die Meilensteine gelten innerhalb des Sektors als verbindlich.

Was genau muss bis zum 1. Januar 2027 bereitstehen?

Zwei Dinge: eine ausgefüllte Selbsteinschätzung, aus der Ihr aktueller Reifegrad bei jeder Norm hervorgeht, und ein Plan, in dem beschrieben wird, wie Sie bis zum 1. Januar 2030 bei allen Normen Stufe 3 erreichen wollen, einschließlich Verantwortlicher und Prioritäten. Stufe 3 selbst ist im Jahr 2027 noch nicht erforderlich. Verwenden Sie das offizielle Instrument von Kennisnet und fügen Sie eine Erfassung des tatsächlichen Verhaltens der Mitarbeiter hinzu, damit der Plan nicht nur auf dem Papier steht.

IBP-Normenrahmen im Bildungswesen: Gilt er auch für MBO, HBO und WO?

Nein. Der Normenkader IBP richtet sich an den Primar- und Sekundarbereich. Die berufliche Bildung und die Hochschulbildung arbeiten mit den SURF-Rahmenwerken, und die öffentlich finanzierte Hochschulbildung fällt unter das Cyberbeveiligingswet, die niederländische Umsetzung von NIS2. Wie NIS2 den Bildungsbereich behandelt, einschließlich Schwellenwerten und Verpflichtungen, erläutern wir in unserem Artikel über die NIS2-Anforderungen für den Bildungsbereich.

Was ist Reifegrad 3?

Das Rahmenwerk bewertet jede Norm anhand einer Reifegradskala. Stufe 3 bedeutet, dass Maßnahmen dokumentiert und konsequent umgesetzt werden: dasselbe sichere Verhalten in jeder Schule, jede Woche, mit entsprechenden Nachweisen. Diese Kombination aus Dokumentation und konsequenter Umsetzung müssen die Schulbehörden bis zum 1. Januar 2030 bei allen Normen erreichen.

Wo fängt man an, wenn man noch gar nichts getan hat?

Beginnen Sie bereits jetzt, noch vor den Weihnachtsferien, mit den beiden Maßnahmen: der Selbsteinschätzung für den theoretischen Teil und einer Phishing-Simulation sowie einer Wissensüberprüfung für den verhaltensbezogenen Teil. Zusammen ergeben sie den Plan, der für den 1. Januar 2027 erforderlich ist, und der oben aufgeführte achtwöchige Zeitplan zeigt, wie sich dieser einplanen lässt. Starten Sie auch das Sensibilisierungsprogramm sofort, denn Gewohnheiten lassen sich nur langsam aufbauen, und die Belege müssen sich über mehrere Schuljahre hinweg ansammeln.

Der IBP-Normenkader wirkt wie eine reine Compliance-Maßnahme, doch im Grunde ist er ein einfaches Versprechen an Schüler und Eltern: Ihre Daten sind in der Schule sicher. Der Plan soll bis zum 1. Januar 2027 vorliegen, die eigentliche Arbeit läuft jedoch bis 2030. Schulbehörden, die die kommenden Wochen gut nutzen, verteilen diese Arbeit auf drei Schuljahre und geben den menschlichen Normen – den langsamsten Faktoren – Zeit, sich zu etablieren. Schulbehörden, die bis 2029 warten, werden feststellen, dass sich das Verhalten nicht innerhalb eines Semesters ändert.