Le cadre normatif de l'IBP : ce que les conseils d'établissement doivent mettre en place avant 2027 et 2030

Le « Normenkader IBP » (en entier : « Normenkader Informatiebeveiliging en Privacy ») est le cadre néerlandais régissant la sécurité de l’information et la protection de la vie privée dans l’enseignement primaire et secondaire. Il décrit, à travers 94 normes concrètes (69 relatives à la sécurité de l’information et 25 à la protection de la vie privée), les mesures qu’un établissement scolaire doit mettre en place. La première étape approche : d’ici le 1er janvier 2027, chaque conseil d’établissement devra avoir réalisé une auto-évaluation et disposé d’un plan visant à respecter toutes les normes. D’ici le 1er janvier 2030, chaque conseil d’établissement devra atteindre le niveau de maturité 3 pour toutes les normes.

Dans cet article, nous expliquons en quoi consiste ce cadre et qui en est à l'origine, comment fonctionne la trajectoire de croissance à l'horizon 2030, comment réaliser une mesure de référence, et comment un conseil d'administration qui n'a pas encore commencé peut tout de même avoir son auto-évaluation et son plan prêts d'ici le 1er janvier 2027.

En bref

• Qu'est-ce que c'est ? Le « IBP normenkader » est la norme néerlandaise relative à la sécurité de l'information et à la protection de la vie privée dans l'enseignement primaire et secondaire ; elle comprend 69 normes de sécurité et 25 normes relatives à la protection de la vie privée.
• Qui : ce sont les conseils d'établissement qui assument la responsabilité finale de l'ensemble de leurs établissements scolaires.
• 1er janvier 2027 : auto-évaluation réalisée et plan mis en place. Le niveau 3 n'est pas encore requis.
• 2030 : niveau de maturité 3 pour toutes les normes à compter du 1er janvier 2030.
• Début : une évaluation initiale de la consommation de papier et des comportements, ainsi qu'une prise de conscience qui permet de recueillir des données tout au long de la scolarité.

Qu'est-ce que le « normenkader IBP » ?

Le « normenkader IBP » a été élaboré dans le cadre du programme « Digitaal Veilig Onderwijs », un partenariat entre le ministère de l'Éducation (OCW), Kennisnet, SIVON, le PO-Raad et le VO-Raad. Il transpose les normes de sécurité génériques dans le contexte et le langage propres à l'environnement scolaire : données des élèves dans le système d'information scolaire, comptes des enseignants qui travaillent également sur leurs appareils personnels, prestataires traitant des données pour le compte de l'établissement.

Ce cadre constitue la réponse du secteur à un problème concret : les normes telles que l’ISO 27001 ont été conçues pour des entreprises, et non pour un conseil d’administration comptant vingt sites et un seul coordinateur informatique. Chaque norme du cadre est associée à un niveau de maturité, ce qui permet à un conseil d’administration de s’auto-évaluer et d’identifier précisément ses lacunes. Les normes officielles, les documents d’accompagnement et l’outil d’auto-évaluation sont publiés par Kennisnet sur le site normenkaderibp.kennisnet.nl.

Les TIC dans l'éducation : pourquoi la sécurité numérique est devenue une priorité

Le développement des TIC dans l'éducation a progressé plus rapidement que les mesures de protection qui les encadrent. Les environnements d'apprentissage numériques, les systèmes de suivi des élèves, les évaluations en ligne et des centaines d'applications traitent chaque jour des données sensibles concernant des mineurs. Parallèlement, les établissements scolaires sont devenus une cible de choix : les incidents liés aux ransomwares au sein des établissements scolaires ont montré comment un seul compte piraté peut perturber l'enseignement pendant des semaines et exposer les données de milliers d'élèves.

C’est pourquoi le secteur a opté pour un cadre commun plutôt que de laisser chaque conseil d’administration rédiger sa propre politique. Ce cadre règle également une question de gouvernance : la sécurité numérique relève explicitement de la responsabilité du conseil d’administration. C’est ce dernier qui assume la responsabilité finale de la sécurité de l’information et de la protection de la vie privée dans l’ensemble de ses établissements scolaires, et non le coordinateur informatique qui, par hasard, s’intéresse à cette question.

Cadre normatif IBP 2030 : la trajectoire de croissance vers le niveau de maturité 3

Ce cadre s'accompagne d'un parcours de progression, le « Groeipad », qui précise à quel moment chaque norme doit être respectée, afin que les conseils scolaires puissent progresser vers cet objectif à un rythme réaliste. Deux étapes clés revêtent une importance particulière. D’ici le 1er janvier 2027, chaque conseil scolaire devra avoir réalisé une auto-évaluation afin de connaître son niveau d’avancement, et devra disposer d’un plan pour satisfaire à toutes les normes. D’ici le 1er janvier 2030, chaque conseil devra avoir atteint le niveau de maturité 3 pour toutes les normes.

Le niveau de maturité 3 signifie que les mesures sont documentées et appliquées de manière cohérente : il ne s’agit pas d’un simple classeur rangé quelque part, mais d’une pratique quotidienne qui tient la route lorsqu’on la vérifie. Pour la plupart des conseils d’administration, l’écart par rapport au niveau 3 est plus important au niveau des normes organisationnelles et humaines qu’au niveau des normes techniques, et ce sont précisément ces normes-là qui prennent le plus de temps à évoluer.

Il convient de noter que le « normenkader » constitue un cadre à part entière : il ne s'agit pas de la norme NIS2. En vertu de la loi néerlandaise sur la cybersécurité (Cyberbeveiligingswet), seules les établissements d'enseignement supérieur financés par des fonds publics sont visés ; les écoles primaires et secondaires doivent quant à elles se conformer au « normenkader ». Vous trouverez plus d'informations à ce sujet dans la FAQ ci-dessous.

Évaluation initiale : évaluez votre situation par rapport au cadre normatif IBP

L'étape clé de 2027 constitue essentiellement une mesure de référence : il s'agit d'évaluer où vous en êtes et d'élaborer un plan en conséquence. Une bonne mesure de référence tient compte à la fois de la situation théorique et du comportement réel au sein de vos établissements scolaires, car ces deux aspects coïncident rarement.

1. Réalisez l'auto-évaluation. Évaluez votre organisation par rapport aux normes à l'aide de l'outil officiel et du Groeipad disponibles sur le site Kennisnet. Impliquez à la fois le coordinateur informatique et le délégué à la protection des données : la sécurité de l'information et la protection des données se recoupent, mais elles font l'objet d'évaluations distinctes.
2. Évaluez les comportements réels. Une politique sur le papier ne dit pas grand-chose sur ce que font les gens un mardi matin. Une simulation d’hameçonnage permet de voir comment le personnel réagit face à une attaque réaliste, tandis qu’une brève évaluation des connaissances permet de déterminer ce qu’il sait. Pour savoir comment mettre cela en place, consultez notre guide sur l’évaluation de référence de la sensibilisation à la sécurité.
3. Comparez et établissez des priorités. L'écart entre la théorie et la pratique vous indique où se situe le véritable risque. Donnez la priorité aux normes mises en avant par le Groeipad et aux lacunes qui ont un impact direct sur les données des élèves.
4. Intégrez-le dans un plan en précisant les responsables et les échéances. C'est au conseil d'administration qu'incombe la responsabilité finale ; ce plan doit donc figurer à l'ordre du jour du conseil. Attribuez un responsable à chaque critère, effectuez le suivi chaque année, et vous disposerez ainsi du dossier de suivi demandé pour 2027.

Cadre normatif IBP 2027 : de zéro à un plan en huit semaines

Pour un conseil d’administration qui n’a pas encore entamé ses travaux, le 1er janvier 2027 est plus proche que ne le laisse penser le calendrier : si l’on soustrait les vacances de Noël, il ne reste qu’une poignée de semaines de travail. La bonne nouvelle, c’est que l’échéance de 2027 n’exige pas d’atteindre le niveau 3. Elle vous demande simplement de savoir où vous en êtes et d’avoir un plan crédible pour y parvenir. Divisez le travail en quatre blocs de deux semaines : c’est tout à fait réalisable.

1. Semaines 1 et 2 : organisation. Désignez une personne responsable du processus, réunissez le coordinateur informatique, le délégué à la protection des données et un membre du conseil d'administration, puis téléchargez l'outil d'auto-évaluation sur le site de Kennisnet. Convenez d'une date à laquelle le plan sera présenté au conseil d'administration.
2. Semaines 3 et 4 : évaluation. Évaluer les normes à l'aide de l'outil et, au cours de ces mêmes semaines, évaluer les comportements : une simulation d'hameçonnage et une brève évaluation des connaissances du personnel. Le fait de mener ces deux actions de front garantit l'exactitude des données sur papier.
3. Semaines 5 et 6 : établir des priorités. Indiquez les notes à côté des résultats comportementaux, commencez par les normes que le Groeipad considère comme prioritaires et par les écarts qui concernent directement les données des élèves, puis attribuez à chaque norme un responsable et une année cible d’ici 2030.
4. Semaines 7 et 8 : prendre une décision. Inscrire le plan à l'ordre du jour du conseil d'administration, le faire approuver et en communiquer les grandes lignes aux responsables de l'établissement. Lancer immédiatement une mesure, par exemple le programme de sensibilisation, afin que le plan montre une évolution dès le premier jour.

Vous n’arriverez pas à tout mettre en place avant le 1er janvier ? Un plan comportant des lacunes honnêtes vaut toujours mieux qu’une auto-évaluation parfaite qui n’arrivera qu’en mars. L’objectif pour 2027 est que le conseil d’administration connaisse sa situation de référence, ait choisi ses priorités et ait désigné les responsables de chaque domaine.

La sensibilisation à la sécurité dans l'enseignement : du papier à la pratique

Une grande partie des règles ne concerne pas les pare-feu, mais les personnes : savoir reconnaître une tentative d’hameçonnage, traiter les données des élèves avec soin, signaler les incidents au lieu de les dissimuler. Le niveau 3 exige que ces pratiques soient appliquées de manière systématique, ce qui exclut toute journée de formation ponctuelle. Un atelier organisé en septembre est déjà oublié en novembre, et le nouveau collègue qui commence en janvier n’en a jamais eu connaissance.

Les établissements scolaires sont confrontés à un défi particulier : le temps des enseignants est limité, leurs emplois du temps sont chargés et le groupe comprend du personnel de soutien et des bénévoles qui sont rarement assis derrière un bureau. Ce qui convient le mieux, c’est un format court et récurrent : quelques minutes de formation par semaine, par téléphone ou via un navigateur, entre deux cours. L’habitude elle-même devient votre preuve. La participation et les scores par équipe montrent que la sensibilisation est entretenue et mise en pratique en continu, ce qui correspond précisément à ce que le niveau 3 vous demande de démontrer.

Guardey : de la formation « normenkader » de l'IBP à une habitude hebdomadaire

Guardey a conçu sa formation à la sensibilisation à la sécurité autour de courts défis hebdomadaires d’environ trois minutes, intégrant des éléments de ludification, des classements et des séries de succès qui maintiennent l’engagement des équipes tout au long de l’année scolaire. Des simulations de hameçonnage intégrées permettent d’évaluer les comportements par rapport à votre niveau de référence et de suivre les progrès réalisés par la suite. L’ensemble fonctionne dans le navigateur ou via l’application mobile pour iOS et Android ; ainsi, un enseignant ne disposant pas d’un poste de travail fixe peut suivre la formation aussi facilement que le personnel administratif.

Les rapports sont prêts pour un audit : participation, scores et progrès par équipe, exportables comme justificatifs pour des référentiels tels que NIS2 et ISO 27001, et tout aussi utilisables comme dossier pour les normes de sensibilisation du cadre normatif IBP. Plus de 500 organisations utilisent Guardey, dont le Parlement européen. La mise en place ne prend que quelques minutes, et sur notre page dédiée à l'éducation, vous pouvez découvrir comment les établissements scolaires utilisent Guardey dans la pratique.

Foire aux questions sur le cadre normatif de l'IBP

Le cadre normatif de l'IBP est-il obligatoire ?

Le « normenkader » est la norme à laquelle le secteur de l’éducation s’est lui-même engagé, avec des étapes fixes : une auto-évaluation et un plan d’ici le 1er janvier 2027, et le niveau de maturité 3 d’ici le 1er janvier 2030. Il ne s’agit pas d’une loi au sens où l’est l’AVG, mais les conseils d’administration sont tenus de démontrer leurs progrès le long du « Groeipad », et ces étapes sont considérées comme contraignantes au sein du secteur.

Quelles sont exactement les mesures qui doivent être mises en place d'ici le 1er janvier 2027 ?

Deux éléments sont requis : une auto-évaluation complète qui montre votre niveau de maturité actuel pour chaque norme, et un plan décrivant comment vous comptez atteindre le niveau 3 pour toutes les normes d’ici le 1er janvier 2030, en précisant les responsables et les priorités. Le niveau 3 n’est pas encore obligatoire en 2027. Utilisez l’outil officiel de Kennisnet et ajoutez une évaluation du comportement réel du personnel afin que le plan ne reste pas lettre morte.

Le cadre normatif de l'IBP dans l'enseignement : s'applique-t-il également à l'enseignement professionnel (MBO), à l'enseignement supérieur professionnel (HBO) et à l'enseignement universitaire (WO) ?

Non. Le « normenkader IBP » est destiné à l'enseignement primaire et secondaire. L'enseignement professionnel et l'enseignement supérieur s'appuient sur les cadres de référence SURF, tandis que l'enseignement supérieur financé par des fonds publics relève de la « Cyberbeveiligingswet », la transposition néerlandaise de la directive NIS2. Nous expliquons dans notre article consacré aux exigences de la directive NIS2 pour le secteur de l'éducation comment cette dernière s'applique à ce secteur, notamment en ce qui concerne les seuils et les obligations.

Qu'est-ce que le niveau de maturité 3 ?

Ce cadre évalue chaque norme selon une échelle de maturité. Le niveau 3 signifie que les mesures sont documentées et appliquées de manière cohérente : le même comportement en matière de sécurité dans chaque établissement scolaire, chaque semaine, avec des preuves à l'appui. C'est cette combinaison entre documentation et mise en œuvre cohérente que les conseils d'administration doivent atteindre pour toutes les normes d'ici le 1er janvier 2030.

Par où commencer quand on n'a encore rien fait ?

Commencez dès maintenant, avant les vacances de Noël, par ces deux évaluations : l’auto-évaluation pour l’aspect « papier » et une simulation de hameçonnage accompagnée d’une évaluation des connaissances pour l’aspect « comportemental ». Ensemble, elles permettent d’élaborer le plan requis pour le 1er janvier 2027, et le calendrier de huit semaines ci-dessus montre comment l’intégrer. Lancez également sans tarder le programme de sensibilisation, car les habitudes sont ce qu’il y a de plus long à acquérir et les résultats doivent s’accumuler sur plusieurs années scolaires.

Le cadre normatif de l’IBP ressemble à un simple exercice de mise en conformité, mais il recèle en réalité une promesse simple faite aux élèves et aux parents : leurs données sont en sécurité à l’école. Le plan doit être mis en place au 1er janvier 2027, mais le véritable travail se poursuivra jusqu’en 2030. Les conseils d’administration qui sauront tirer parti des semaines à venir répartiront ce travail sur trois années scolaires et laisseront aux normes humaines, les plus lentes à s’imposer, le temps de mûrir. Ceux qui attendront jusqu’en 2029 constateront que les comportements ne changent pas en un semestre.