Il quadro normativo IBP: cosa devono predisporre i consigli scolastici entro il 2027 e il 2030

L’IBP Normenkader (nome completo: Normenkader Informatiebeveiliging en Privacy) è il quadro di riferimento olandese per la sicurezza delle informazioni e la privacy nell’istruzione primaria e secondaria. Descrive, attraverso 94 norme concrete (69 relative alla sicurezza delle informazioni e 25 alla privacy), quali misure un ente scolastico deve aver messo in atto. La prima scadenza è vicina: entro il 1° gennaio 2027, ogni consiglio scolastico dovrà aver completato un’autovalutazione e disporre di un piano per soddisfare tutte le norme. Entro il 1° gennaio 2030, ogni consiglio scolastico dovrà operare al livello di maturità 3 per tutte le norme.

In questo articolo spieghiamo cosa comprende il quadro di riferimento e chi ne è l'ideatore, come funziona il percorso di crescita verso il 2030, come effettuare una misurazione di riferimento e come un consiglio di amministrazione che non ha ancora avviato il processo possa comunque avere pronta la propria autovalutazione e il proprio piano entro il 1° gennaio 2027.

In breve

• Cosa: l'IBP normenkader è lo standard olandese in materia di sicurezza delle informazioni e privacy nell'istruzione primaria e secondaria, che comprende 69 norme di sicurezza e 25 norme sulla privacy.
• Chi: i consigli scolastici hanno la responsabilità finale di tutte le loro scuole.
• 1° gennaio 2027: autovalutazione completata e piano definito. Il livello 3 non è ancora richiesto.
• 2030: livello di maturità 3 per tutte le norme a partire dal 1° gennaio 2030.
• Inizio: una valutazione iniziale del consumo di carta e dei comportamenti, oltre a un’abitudine di consapevolezza che accumula dati nel corso degli anni scolastici.

Che cos’è il “normenkader IBP”?

Il quadro normativo IBP è stato elaborato dal programma “Digitaal Veilig Onderwijs” (Istruzione digitale sicura), una partnership tra il Ministero dell’Istruzione (OCW), Kennisnet, SIVON, il PO-Raad e il VO-Raad. Esso traduce gli standard di sicurezza generici nel linguaggio e nelle contesti scolastici: i dati degli alunni nel sistema informativo scolastico, gli account degli insegnanti che utilizzano anche dispositivi personali, i fornitori che trattano i dati per conto della scuola.

Il quadro di riferimento rappresenta la risposta del settore a un problema concreto: norme come la ISO 27001 sono state redatte per le aziende, non per un consiglio di amministrazione con venti sedi e un unico coordinatore IT. Ogni norma del quadro di riferimento è accompagnata da un livello di maturità, in modo che un consiglio di amministrazione possa autovalutarsi e individuare con precisione le proprie lacune. Le norme ufficiali, i documenti di supporto e lo strumento di autovalutazione sono pubblicati da Kennisnet sul sito normenkaderibp.kennisnet.nl.

Le TIC nell'istruzione: perché la sicurezza digitale è diventata una questione urgente

L’uso delle TIC nell’istruzione si è sviluppato più rapidamente rispetto alle misure di protezione ad esse correlate. Gli ambienti di apprendimento digitali, i sistemi di monitoraggio degli studenti, i test online e centinaia di app trattano ogni giorno dati sensibili relativi ai minori. Allo stesso tempo, le scuole sono diventate un bersaglio allettante: gli attacchi ransomware subiti da istituti scolastici hanno dimostrato come un solo account compromesso possa interrompere l’attività didattica per settimane ed esporre i dati di migliaia di alunni.

Ecco perché il settore ha optato per un quadro di riferimento comune, anziché lasciare che ogni consiglio di amministrazione redigesse la propria politica. Il quadro di riferimento risolve inoltre una questione di governance: la sicurezza digitale è esplicitamente una responsabilità a livello di consiglio di amministrazione. È il consiglio di amministrazione ad assumersi la responsabilità finale della sicurezza delle informazioni e della privacy in tutte le sue scuole, non il singolo coordinatore IT che per caso se ne occupa.

Quadro normativo IBP 2030: il percorso di crescita verso il livello di maturità 3

Il quadro di riferimento prevede un percorso di crescita, il “Groeipad”, che specifica quando devono essere soddisfatti i vari standard, in modo che i consigli scolastici possano lavorare per raggiungere l’obiettivo a un ritmo realistico. Due tappe fondamentali rivestono particolare importanza. Entro il 1° gennaio 2027, ogni consiglio scolastico dovrà aver completato un’autovalutazione, in modo da conoscere la propria situazione attuale, e dovrà disporre di un piano per soddisfare tutte le norme. Entro il 1° gennaio 2030, ogni consiglio dovrà raggiungere il livello di maturità 3 per tutte le norme.

Il livello di maturità 3 significa che le misure sono documentate e applicate in modo coerente: non si tratta di un semplice raccoglitore che giace da qualche parte, ma di una pratica quotidiana che regge al controllo. Per la maggior parte dei consigli di amministrazione, il divario rispetto al livello 3 è maggiore per quanto riguarda le norme organizzative e relazionali rispetto a quelle tecniche, e sono proprio queste le norme che richiedono più tempo per essere modificate.

Si noti che il “normenkader” costituisce un quadro normativo a sé stante: non è il NIS2. Ai sensi della legge olandese sulla sicurezza informatica (Cyberbeveiligingswet), tale quadro normativo si applica esclusivamente all’istruzione superiore finanziata con fondi pubblici; le scuole primarie e secondarie seguono invece il “normenkader”. Maggiori informazioni al riguardo sono disponibili nelle FAQ riportate di seguito.

Misurazione iniziale: scopri a che punto sei rispetto al quadro di riferimento IBP

L'obiettivo del 2027 è essenzialmente un punto di riferimento: capire a che punto ci si trova e definire un piano di azione. Un buon punto di riferimento coniuga la realtà teorica con il comportamento effettivo nelle vostre scuole, poiché raramente le due cose coincidono.

1. Esegui l’autovalutazione. Valuta la tua organizzazione rispetto ai parametri di riferimento utilizzando lo strumento ufficiale e il Groeipad disponibili sul sito di Kennisnet. Coinvolgi contemporaneamente il coordinatore IT e il responsabile della protezione dei dati: la sicurezza delle informazioni e la protezione dei dati si sovrappongono, ma vengono valutate separatamente.
2. Misurate il comportamento effettivo. Le linee guida sulla carta dicono ben poco su ciò che le persone fanno un martedì mattina. Una simulazione di phishing mostra come il personale reagisce a un attacco realistico, mentre una breve verifica delle conoscenze mette in luce ciò che sanno. Come organizzare tutto questo, lo descriviamo nella nostra guida alla misurazione di base della consapevolezza in materia di sicurezza.
3. Confronta e stabilisci le priorità. Il divario tra teoria e pratica ti indica dove si trova il vero rischio. Dai priorità alle norme che il Groeipad pone in primo piano e alle lacune che riguardano direttamente i dati degli alunni.
4. Inseritelo in un piano con i responsabili e le scadenze. La responsabilità finale spetta al consiglio di amministrazione, quindi il piano deve essere inserito nell’ordine del giorno del consiglio. Assegnate a ogni parametro un responsabile, ripetete la misurazione ogni anno e avrete il dossier sui progressi richiesto per il 2027.

Quadro normativo IBP 2027: da zero a un piano in otto settimane

Per un consiglio di amministrazione che non ha ancora iniziato i lavori, il 1° gennaio 2027 è più vicino di quanto il calendario lasci intendere: se si sottraggono le vacanze di Natale, rimangono solo poche settimane lavorative. La buona notizia è che la scadenza del 2027 non richiede il livello 3. Richiede invece di sapere a che punto ci si trova e di avere un piano credibile per raggiungerlo. Suddividendo il lavoro in quattro blocchi di due settimane ciascuno, l’obiettivo è raggiungibile.

1. Settimane 1 e 2: organizzazione. Nominare una persona responsabile del processo, riunire attorno a un tavolo il coordinatore IT, il responsabile della protezione dei dati e un membro del consiglio di amministrazione, e scaricare lo strumento di autovalutazione dal sito di Kennisnet. Concordare la data in cui il piano sarà presentato al consiglio di amministrazione.
2. Settimane 3 e 4: misurazione. Valutare i valori di riferimento con lo strumento e, nelle stesse settimane, misurare il comportamento: una simulazione di phishing e una breve verifica delle conoscenze tra il personale. Effettuare entrambe le attività contemporaneamente garantisce l’affidabilità dei dati cartacei.
3. Settimane 5 e 6: stabilire le priorità. Annotare i punteggi accanto ai risultati comportamentali, iniziare dalle norme che il Groeipad considera prioritarie e dalle lacune che incidono direttamente sui dati degli alunni, e assegnare a ogni norma un responsabile e un anno obiettivo nel percorso verso il 2030.
4. Settimane 7 e 8: prendere una decisione. Inserire il piano nell’ordine del giorno del consiglio di istituto, farlo approvare e condividerne le linee guida con i dirigenti scolastici. Avviare subito un’iniziativa, ad esempio il programma di sensibilizzazione, in modo che il piano mostri risultati concreti fin dal primo giorno.

Non riuscirai a completarlo prima del 1° gennaio? Un piano che presenti delle lacune sincere vale comunque più di un’autovalutazione perfetta che arriva a marzo. L’obiettivo per il 2027 è che il consiglio di amministrazione conosca la propria situazione di partenza, abbia scelto le proprie priorità e abbia indicato chi è responsabile di cosa.

Sensibilizzazione alla sicurezza nel settore dell’istruzione: dalla teoria alla pratica

Una parte significativa delle norme non riguarda i firewall, ma le persone: riconoscere le truffe di phishing, gestire con attenzione i dati degli studenti, segnalare gli incidenti invece di nasconderli. Il Livello 3 richiede che ciò avvenga in modo costante, il che esclude la possibilità di una giornata di formazione una tantum. Un workshop tenutosi a settembre viene dimenticato già a novembre, e il nuovo collega che inizia a gennaio non ne ha mai saputo nulla.

Le scuole devono affrontare una sfida specifica in questo ambito: il tempo a disposizione degli insegnanti è limitato, gli orari sono pieni e il gruppo comprende personale di supporto e volontari che raramente siedono dietro una scrivania. La soluzione ideale è un formato breve e ricorrente: pochi minuti di formazione a settimana, al telefono o tramite browser, tra una lezione e l’altra. L’abitudine stessa diventa la vostra prova. La partecipazione e i punteggi per squadra dimostrano che la consapevolezza viene allenata e applicata continuamente, che è esattamente ciò che il livello 3 vi chiede di dimostrare.

Guardey: da “normenkader” dell’IBP a un’abitudine settimanale

Guardey ha strutturato il proprio programma di formazione sulla sicurezza informatica attorno a brevi sfide settimanali della durata di circa tre minuti, con elementi di gamification, classifiche e serie di risultati consecutivi che mantengono vivo l’interesse dei team per tutto l’anno scolastico. Le simulazioni integrate di phishing analizzano l’aspetto comportamentale del vostro livello di riferimento e mostrano i progressi compiuti nel tempo. Il tutto funziona direttamente nel browser o nell’app mobile per iOS e Android, così un insegnante che non ha una postazione di lavoro fissa può seguire la formazione con la stessa facilità del personale che lavora in ufficio.

I report sono pronti per la revisione: partecipazione, punteggi e progressi per ogni squadra, esportabili come documentazione a supporto di standard quali NIS2 e ISO 27001, e utilizzabili anche come documentazione per le norme di sensibilizzazione previste dal quadro normativo IBP. Oltre 500 organizzazioni utilizzano Guardey, tra cui il Parlamento europeo. L’implementazione richiede pochi minuti e, sulla nostra pagina dedicata alla formazione, potete scoprire come le scuole utilizzano Guardey nella pratica.

Domande frequenti sul quadro normativo IBP

Il quadro normativo IBP è obbligatorio?

Il “normenkader” è lo standard a cui il settore dell’istruzione si è impegnato a attenersi, con tappe fisse: un’autovalutazione e un piano entro il 1° gennaio 2027, il livello di maturità 3 entro il 1° gennaio 2030. Non si tratta di una legge nel senso in cui lo è l’AVG, ma i consigli di amministrazione sono tenuti a dimostrare i progressi compiuti lungo il “Groeipad”, e le tappe sono considerate vincolanti all’interno del settore.

Cosa deve essere pronto esattamente entro il 1° gennaio 2027?

Due cose: un’autovalutazione completa che illustri il vostro attuale grado di maturità per ciascuna norma e un piano che descriva come intendete raggiungere il livello 3 per tutte le norme entro il 1° gennaio 2030, indicando i responsabili e le priorità. Il livello 3 di per sé non è ancora obbligatorio nel 2027. Utilizzate lo strumento ufficiale fornito da Kennisnet e aggiungete una valutazione del comportamento effettivo del personale, in modo che il piano non rimanga solo sulla carta.

Il quadro normativo IBP nel settore dell'istruzione: si applica anche all'istruzione professionale (MBO), all'istruzione superiore professionale (HBO) e all'istruzione universitaria (WO)?

No. Il quadro normativo IBP è destinato all’istruzione primaria e secondaria. L’istruzione professionale e quella superiore si avvalgono dei quadri di riferimento SURF, mentre l’istruzione superiore finanziata con fondi pubblici è disciplinata dalla Cyberbeveiligingswet, la normativa olandese che attua la direttiva NIS2. Nel nostro articolo sui requisiti NIS2 per il settore dell’istruzione spieghiamo come la direttiva NIS2 disciplini il settore dell’istruzione, comprese le soglie e gli obblighi.

Che cos’è il livello di maturità 3?

Il quadro di riferimento assegna a ciascuna norma un punteggio su una scala di maturità. Il livello 3 indica che le misure sono documentate e applicate in modo coerente: lo stesso comportamento sicuro in ogni scuola, ogni settimana, con prove a sostegno. È proprio questa combinazione di documentazione e pratica coerente che i consigli scolastici devono raggiungere per tutte le norme entro il 1° gennaio 2030.

Da dove si comincia se non si è ancora fatto nulla?

Iniziate subito con le due valutazioni, prima delle vacanze di Natale: l’autovalutazione per l’aspetto teorico e una simulazione di phishing, oltre a una verifica delle conoscenze, per l’aspetto comportamentale. Insieme, queste valutazioni daranno vita al piano richiesto per il 1° gennaio 2027, e il programma di otto settimane riportato sopra mostra come inserirlo nel calendario. Avviate subito anche il programma di sensibilizzazione, poiché le abitudini sono ciò che richiede più tempo per essere consolidate e i risultati devono maturare nel corso di diversi anni scolastici.

Il quadro normativo dell’IBP sembra un semplice esercizio di conformità, ma in realtà si tratta di una semplice promessa fatta agli alunni e ai genitori: i loro dati sono al sicuro a scuola. Il piano deve essere presentato entro il 1° gennaio 2027, ma il lavoro vero e proprio proseguirà fino al 2030. I consigli scolastici che sapranno sfruttare al meglio le prossime settimane distribuiranno tale lavoro su tre anni scolastici e daranno alle norme comportamentali, che sono quelle che richiedono più tempo per essere assimilate, il tempo necessario per maturare. I consigli scolastici che aspetteranno fino al 2029 scopriranno che i comportamenti non cambiano nel giro di un semestre.