Der IBP-Normenkatalog: Was die Schulbehörden bis 2027 und 2030 regeln müssen

Der IBP-Normenkader (vollständiger Name: „Normenkader Informatiebeveiliging en Privacy“) ist der niederländische nationale Rahmen für Informationssicherheit und Datenschutz im Primar- und Sekundarschulwesen, der für Schulbehörden in den Niederlanden erstellt wurde. Er beschreibt in 94 konkreten Normen – 69 zur Informationssicherheit und 25 zum Datenschutz –, welche Voraussetzungen eine Schulorganisation erfüllen muss. Zwei Termine bilden den Rahmen: Bis 2027 muss jeder Schulträger wissen, wo er steht, und über einen Plan verfügen, und bis zum 1. Januar 2030 muss jeder Schulträger bei allen Normen die Reifegradstufe 3 erreichen.

In diesem Artikel erläutern wir, was das Rahmenwerk beinhaltet und wer dahintersteht, wie der Wachstumspfad bis 2030 aussieht und wie Sie eine Basismessung durchführen, damit Ihr Plan auf Fakten statt auf Annahmen basiert.

Kurz gesagt

• Was: Der IBP-Normenkader ist der niederländische Standard für Informationssicherheit und Datenschutz im Primar- und Sekundarschulbereich und umfasst 69 Sicherheitsnormen sowie 25 Datenschutznormen.
• Wer: Die Schulbehörden tragen die letztendliche Verantwortung für alle ihre Schulen.
• 2027: Selbstbewertung abgeschlossen und Plan aufgestellt.
• 2030: Reifegrad 3 für alle Normen ab dem 1. Januar 2030.
• Start: eine Bestandsaufnahme des Papierverbrauchs und des Verhaltens sowie eine Gewohnheit zur Achtsamkeit, die im Laufe der Schuljahre Belege liefert.

Was ist der Normenkader IBP?

Der Normenkader IBP wurde im Rahmen des Programms „Digitaal Veilig Onderwijs“ entwickelt, einer Partnerschaft zwischen dem Bildungsministerium (OCW), Kennisnet, SIVON, dem PO-Raad und dem VO-Raad. Er überträgt allgemeine Sicherheitsstandards auf die Sprache und die Gegebenheiten einer Schule: Schülerdaten im Schülerinformationssystem, Konten von Lehrkräften, die auch auf privaten Geräten arbeiten, sowie Dienstleister, die Daten im Auftrag der Schule verarbeiten.

Das Rahmenwerk ist die Antwort der Branche auf ein praktisches Problem: Normen wie ISO 27001 wurden für Unternehmen verfasst, nicht für einen Vorstand mit zwanzig Standorten und einem IT-Koordinator. Jede Norm im Rahmenwerk ist mit einem Reifegrad verbunden, sodass ein Vorstand sich selbst bewerten und genau erkennen kann, wo Lücken bestehen. Die offiziellen Normen, die Begleitdokumente und das Instrument zur Selbstbewertung werden von Kennisnet unter normenkaderibp.kennisnet.nl veröffentlicht.

IKT im Bildungswesen: Warum digitale Sicherheit zu einer dringenden Aufgabe geworden ist

Der Einsatz von IKT im Bildungswesen hat sich schneller entwickelt als die entsprechenden Sicherheitsvorkehrungen. Digitale Lernumgebungen, Systeme zur Schülererfassung, Online-Tests und Hunderte von Apps verarbeiten tagtäglich sensible Daten über Minderjährige. Gleichzeitig sind Schulen zu einem attraktiven Ziel geworden: Ransomware-Angriffe auf schulische Einrichtungen haben gezeigt, wie ein einziger kompromittierter Account den Unterricht wochenlang lahmlegen und die Daten von Tausenden von Schülern gefährden kann.

Aus diesem Grund hat sich der Sektor für ein einheitliches Rahmenwerk entschieden, anstatt dass jeder Schulvorstand seine eigenen Richtlinien verfasst. Das Rahmenwerk klärt zudem eine Frage der Unternehmensführung: Die digitale Sicherheit fällt ausdrücklich in den Zuständigkeitsbereich des Schulvorstands. Der Schulvorstand trägt die letztendliche Verantwortung für die Informationssicherheit und den Datenschutz an allen seinen Schulen – nicht der einzelne IT-Koordinator, dem dieses Thema zufällig am Herzen liegt.

Normenkader IBP 2030: Der Wachstumspfad zur Reifegradstufe 3

Das Rahmenwerk umfasst einen Entwicklungsplan, den „Groeipad“, der genau festlegt, wann welche Standards erfüllt sein müssen, damit die Schulbehörden in einem realistischen Tempo auf das Ziel hinarbeiten können. Zwei Meilensteine sind dabei besonders wichtig. Bis 2027 muss jeder Schulausschuss eine Selbsteinschätzung durchgeführt haben, um zu wissen, wo er steht, und einen Plan zur Erfüllung aller Standards vorlegen. Bis zum 1. Januar 2030 muss jeder Ausschuss bei allen Standards die Reifestufe 3 erreichen.

Reifegrad 3 bedeutet, dass Maßnahmen dokumentiert sind und konsequent umgesetzt werden: kein Ordner, der irgendwo herumliegt, sondern tägliche Praxis, die einer Überprüfung standhält. Für die meisten Vorstände ist der Weg bis zu Reifegrad 3 bei den organisatorischen und menschlichen Normen länger als bei den technischen, und genau diese Normen lassen sich am schwersten ändern.

Bitte beachten Sie, dass der „Normenkader“ eigenständig ist: Er ist nicht mit NIS2 gleichzusetzen. Nach dem niederländischen Cyberbeveiligingswet fallen ausschließlich öffentlich finanzierte Hochschuleinrichtungen unter diese Regelung; Grund- und weiterführende Schulen richten sich stattdessen nach dem „Normenkader“. Mehr dazu in den unten stehenden FAQ.

Ausgangsmessung: Finden Sie heraus, wo Sie im IBP-Normenrahmen stehen

Der Meilenstein 2027 ist im Wesentlichen eine Bestandsaufnahme: Man muss wissen, wo man steht, und darauf aufbauend einen Plan erstellen. Eine gute Bestandsaufnahme verbindet die theoretische Realität mit dem tatsächlichen Verhalten an Ihren Schulen, denn diese beiden Aspekte stimmen selten überein.

1. Führen Sie die Selbsteinschätzung durch. Bewerten Sie Ihre Organisation anhand der Normen mit dem offiziellen Instrument und dem „Groeipad“ auf der Kennisnet-Website. Beziehen Sie den IT-Koordinator und den Datenschutzbeauftragten gemeinsam ein: Informationssicherheit und Datenschutz überschneiden sich zwar, werden jedoch getrennt bewertet.
2. Messen Sie das tatsächliche Verhalten. Eine Richtlinie auf dem Papier sagt wenig darüber aus, wie sich die Mitarbeiter an einem Dienstagmorgen verhalten. Eine Phishing-Simulation zeigt, wie die Mitarbeiter auf einen realistischen Angriff reagieren, und eine kurze Wissensüberprüfung gibt Aufschluss darüber, was sie wissen. Wie Sie dies umsetzen können, beschreiben wir in unserem Leitfaden zur Basisbewertung des Sicherheitsbewusstseins.
3. Vergleichen und Prioritäten setzen. Die Diskrepanz zwischen Theorie und Praxis zeigt Ihnen, wo das eigentliche Risiko liegt. Setzen Sie Prioritäten bei den Normen, die im „Groeipad“ an erster Stelle stehen, sowie bei den Lücken, die sich direkt auf die Schülerdaten auswirken.
4. Halten Sie dies in einem Plan mit Verantwortlichen und Terminen fest. Da der Vorstand die letztendliche Verantwortung trägt, gehört der Plan auf die Tagesordnung des Vorstands. Weisen Sie jeder Vorgabe einen Verantwortlichen zu, wiederholen Sie die Messung jährlich, und schon haben Sie die Fortschrittsdokumentation, die für 2027 gefordert wird.

Sicherheitsbewusstsein im Bildungswesen: vom Papier zum Handeln

Bei einem erheblichen Teil der Vorschriften geht es nicht um Firewalls, sondern um Menschen: Phishing erkennen, sorgfältig mit Schülerdaten umgehen, Vorfälle melden, anstatt sie zu vertuschen. Stufe 3 verlangt, dass dies konsequent umgesetzt wird, was einen einmaligen Fortbildungstag ausschließt. Ein Workshop im September ist im November schon wieder vergessen, und der neue Kollege, der im Januar anfängt, hat ihn gar nicht mitbekommen.

Schulen stehen hier vor einer besonderen Herausforderung: Die Zeit der Lehrkräfte ist knapp, die Stundenpläne sind voll, und zur Gruppe gehören auch Hilfskräfte und ehrenamtliche Mitarbeiter, die selten am Schreibtisch sitzen. Hier eignet sich ein kurzes, wiederkehrendes Format: ein paar Minuten Schulung pro Woche, am Telefon oder im Browser, zwischen zwei Unterrichtsstunden. Die Gewohnheit selbst wird zum Beweis. Die Teilnahme und die Punktzahlen pro Team zeigen, dass das Bewusstsein kontinuierlich geschult und angewendet wird – und genau das ist es, was Sie auf Stufe 3 nachweisen sollen.

Guardey: Vom IBP-Normenkader zur wöchentlichen Gewohnheit

Guardey hat sein Schulungsprogramm zur Sensibilisierung für Sicherheitsfragen auf kurze, wöchentliche Herausforderungen von etwa drei Minuten ausgelegt, die durch Gamification, Ranglisten und Serien die Teams während des gesamten Schuljahres motivieren. Integrierte Phishing-Simulationen decken den verhaltensbezogenen Aspekt Ihrer Ausgangsbasis ab und zeigen den anschließenden Fortschritt auf. Alles läuft im Browser oder in der mobilen App für iOS und Android, sodass ein Lehrer ohne festen Arbeitsplatz genauso einfach schulen kann wie das Personal im Sekretariat.

Die Berichte sind auditfähig: Teilnahme, Punktestände und Fortschritte pro Team lassen sich als Nachweis für Rahmenwerke wie NIS2 und ISO 27001 exportieren und dienen gleichermaßen als Grundlage für die Sensibilisierungsstandards im IBP-Normenrahmen. Mehr als 500 Organisationen arbeiten mit Guardey, darunter das Europäische Parlament. Die Einführung dauert nur wenige Minuten, und auf unserer Seite zum Thema Bildung können Sie nachlesen, wie Schulen Guardey in der Praxis einsetzen.

Häufig gestellte Fragen zum IBP-Normenrahmen

Ist der IBP-Normenkader verbindlich?

Der „Normenkader“ ist der Standard, zu dessen Einhaltung sich der Bildungssektor selbst verpflichtet hat, mit festgelegten Meilensteinen: eine Selbstevaluation und ein Plan bis 2027, Reifegrad 3 bis zum 1. Januar 2030. Es handelt sich dabei nicht um ein Gesetz im Sinne des AVG, aber von den Schulvorständen wird erwartet, dass sie Fortschritte entlang des „Groeipad“ nachweisen, und die Meilensteine gelten innerhalb des Sektors als verbindlich.

IBP-Normenrahmen im Bildungswesen: Gilt er auch für MBO, HBO und WO?

Nein. Der Normenkader IBP richtet sich an den Primar- und Sekundarbereich. Die berufliche Bildung und die Hochschulbildung arbeiten mit den SURF-Rahmenwerken, und die öffentlich finanzierte Hochschulbildung fällt unter das Cyberbeveiligingswet, die niederländische Umsetzung von NIS2. Wie NIS2 den Bildungsbereich behandelt, einschließlich Schwellenwerten und Verpflichtungen, erläutern wir in unserem Artikel über die NIS2-Anforderungen für den Bildungsbereich.

Was ist Reifegrad 3?

Das Rahmenwerk bewertet jede Norm anhand einer Reifegradskala. Stufe 3 bedeutet, dass Maßnahmen dokumentiert und konsequent umgesetzt werden: dasselbe sichere Verhalten in jeder Schule, jede Woche, mit entsprechenden Nachweisen. Diese Kombination aus Dokumentation und konsequenter Umsetzung müssen die Schulbehörden bis zum 1. Januar 2030 bei allen Normen erreichen.

Wo fängt man an, wenn man noch gar nichts getan hat?

Beginnen Sie mit den beiden Maßnahmen in diesem Schuljahr: der Selbsteinschätzung für den theoretischen Teil und einer Phishing-Simulation sowie einer Wissensüberprüfung für den verhaltensbezogenen Teil. Zusammen ergeben sie den Plan, den das Ziel für 2027 vorsieht. Starten Sie auch das Sensibilisierungsprogramm sofort, denn Gewohnheiten lassen sich nur langsam aufbauen, und die Ergebnisse müssen sich über mehrere Schuljahre hinweg entwickeln.

Der IBP-Normenkatalog mag wie eine reine Compliance-Maßnahme erscheinen, doch im Grunde ist er ein einfaches Versprechen an Schüler und Eltern: Ihre Daten sind in der Schule sicher. Schulbehörden, die jetzt damit beginnen, können die Arbeit auf drei Schuljahre verteilen und den menschlichen Normen – die am langsamsten vorankommen – Zeit geben, sich zu etablieren. Schulbehörden, die bis 2029 warten, werden feststellen, dass sich das Verhalten nicht innerhalb eines Semesters ändert.