Il quadro normativo IBP: cosa devono predisporre i consigli scolastici entro il 2027 e il 2030

L’IBP Normenkader (nome completo: Normenkader Informatiebeveiliging en Privacy) è il quadro di riferimento nazionale olandese per la sicurezza delle informazioni e la privacy nell’istruzione primaria e secondaria, redatto per i consigli scolastici dei Paesi Bassi. Descrive, attraverso 94 norme concrete (69 relative alla sicurezza delle informazioni e 25 alla privacy), quali requisiti un’organizzazione scolastica deve soddisfare. Due date ne costituiscono i punti cardine: entro il 2027 ogni consiglio scolastico dovrà conoscere la propria situazione attuale e disporre di un piano, mentre entro il 1° gennaio 2030 ogni consiglio dovrà operare al livello di maturità 3 per tutte le norme.

In questo articolo spieghiamo cosa comprende il quadro di riferimento e chi ne è l'ideatore, come funziona il percorso di crescita verso il 2030 e come effettuare una misurazione di riferimento affinché il vostro piano si basi su dati concreti anziché su ipotesi.

In breve

• Cosa: l'IBP normenkader è lo standard olandese in materia di sicurezza delle informazioni e privacy nell'istruzione primaria e secondaria, che comprende 69 norme di sicurezza e 25 norme sulla privacy.
• Chi: i consigli scolastici hanno la responsabilità finale di tutte le loro scuole.
• 2027: autovalutazione completata e piano definito.
• 2030: livello di maturità 3 per tutte le norme a partire dal 1° gennaio 2030.
• Inizio: una valutazione iniziale del consumo di carta e dei comportamenti, oltre a un’abitudine di consapevolezza che accumula dati nel corso degli anni scolastici.

Che cos’è il “normenkader IBP”?

Il quadro normativo IBP è stato elaborato dal programma “Digitaal Veilig Onderwijs” (Istruzione digitale sicura), una partnership tra il Ministero dell’Istruzione (OCW), Kennisnet, SIVON, il PO-Raad e il VO-Raad. Esso traduce gli standard di sicurezza generici nel linguaggio e nelle contesti scolastici: i dati degli alunni nel sistema informativo scolastico, gli account degli insegnanti che utilizzano anche dispositivi personali, i fornitori che trattano i dati per conto della scuola.

Il quadro di riferimento rappresenta la risposta del settore a un problema concreto: norme come la ISO 27001 sono state redatte per le aziende, non per un consiglio di amministrazione con venti sedi e un unico coordinatore IT. Ogni norma del quadro di riferimento è accompagnata da un livello di maturità, in modo che un consiglio di amministrazione possa autovalutarsi e individuare con precisione le proprie lacune. Le norme ufficiali, i documenti di supporto e lo strumento di autovalutazione sono pubblicati da Kennisnet sul sito normenkaderibp.kennisnet.nl.

Le TIC nell'istruzione: perché la sicurezza digitale è diventata una questione urgente

L’uso delle TIC nell’istruzione si è sviluppato più rapidamente rispetto alle misure di protezione ad esse correlate. Gli ambienti di apprendimento digitali, i sistemi di monitoraggio degli studenti, i test online e centinaia di app trattano ogni giorno dati sensibili relativi ai minori. Allo stesso tempo, le scuole sono diventate un bersaglio allettante: gli attacchi ransomware subiti da istituti scolastici hanno dimostrato come un solo account compromesso possa interrompere l’attività didattica per settimane ed esporre i dati di migliaia di alunni.

Ecco perché il settore ha optato per un quadro di riferimento comune, anziché lasciare che ogni consiglio di amministrazione redigesse la propria politica. Il quadro di riferimento risolve inoltre una questione di governance: la sicurezza digitale è esplicitamente una responsabilità a livello di consiglio di amministrazione. È il consiglio di amministrazione ad assumersi la responsabilità finale della sicurezza delle informazioni e della privacy in tutte le sue scuole, non il singolo coordinatore IT che per caso se ne occupa.

Quadro normativo IBP 2030: il percorso di crescita verso il livello di maturità 3

Il quadro di riferimento prevede un percorso di crescita, il “Groeipad”, che indica chiaramente quando devono essere soddisfatti i vari standard, in modo che i consigli scolastici possano lavorare per raggiungere l’obiettivo a un ritmo realistico. Due tappe fondamentali rivestono particolare importanza. Entro il 2027, ogni consiglio scolastico dovrà aver completato un’autovalutazione, in modo da conoscere la propria situazione attuale, e dovrà disporre di un piano per soddisfare tutte le norme. Entro il 1° gennaio 2030, ogni consiglio dovrà raggiungere il livello di maturità 3 in tutte le norme.

Il livello di maturità 3 significa che le misure sono documentate e applicate in modo coerente: non si tratta di un semplice raccoglitore che giace da qualche parte, ma di una pratica quotidiana che regge al controllo. Per la maggior parte dei consigli di amministrazione, il divario rispetto al livello 3 è maggiore per quanto riguarda le norme organizzative e relazionali rispetto a quelle tecniche, e sono proprio queste le norme che richiedono più tempo per essere modificate.

Si noti che il “normenkader” costituisce un quadro normativo a sé stante: non è il NIS2. Ai sensi della legge olandese sulla sicurezza informatica (Cyberbeveiligingswet), tale quadro normativo si applica esclusivamente all’istruzione superiore finanziata con fondi pubblici; le scuole primarie e secondarie seguono invece il “normenkader”. Maggiori informazioni al riguardo sono disponibili nelle FAQ riportate di seguito.

Misurazione iniziale: scopri a che punto sei rispetto al quadro di riferimento IBP

L'obiettivo del 2027 è essenzialmente un punto di riferimento: capire a che punto ci si trova e definire un piano di azione. Un buon punto di riferimento coniuga la realtà teorica con il comportamento effettivo nelle vostre scuole, poiché raramente le due cose coincidono.

1. Esegui l’autovalutazione. Valuta la tua organizzazione rispetto ai parametri di riferimento utilizzando lo strumento ufficiale e il Groeipad disponibili sul sito di Kennisnet. Coinvolgi contemporaneamente il coordinatore IT e il responsabile della protezione dei dati: la sicurezza delle informazioni e la protezione dei dati si sovrappongono, ma vengono valutate separatamente.
2. Misurate il comportamento effettivo. Le linee guida sulla carta dicono ben poco su ciò che le persone fanno un martedì mattina. Una simulazione di phishing mostra come il personale reagisce a un attacco realistico, mentre una breve verifica delle conoscenze mette in luce ciò che sanno. Come organizzare tutto questo, lo descriviamo nella nostra guida alla misurazione di base della consapevolezza in materia di sicurezza.
3. Confronta e stabilisci le priorità. Il divario tra teoria e pratica ti indica dove si trova il vero rischio. Dai priorità alle norme che il Groeipad pone in primo piano e alle lacune che riguardano direttamente i dati degli alunni.
4. Inseritelo in un piano con i responsabili e le scadenze. La responsabilità finale spetta al consiglio di amministrazione, quindi il piano deve essere inserito nell’ordine del giorno del consiglio. Assegnate a ogni parametro un responsabile, ripetete la misurazione ogni anno e avrete il dossier sui progressi richiesto per il 2027.

Sensibilizzazione alla sicurezza nel settore dell’istruzione: dalla teoria alla pratica

Una parte significativa delle norme non riguarda i firewall, ma le persone: riconoscere le truffe di phishing, gestire con attenzione i dati degli studenti, segnalare gli incidenti invece di nasconderli. Il Livello 3 richiede che ciò avvenga in modo costante, il che esclude la possibilità di una giornata di formazione una tantum. Un workshop tenutosi a settembre viene dimenticato già a novembre, e il nuovo collega che inizia a gennaio non ne ha mai saputo nulla.

Le scuole devono affrontare una sfida specifica in questo ambito: il tempo a disposizione degli insegnanti è limitato, gli orari sono pieni e il gruppo comprende personale di supporto e volontari che raramente siedono dietro una scrivania. La soluzione ideale è un formato breve e ricorrente: pochi minuti di formazione a settimana, al telefono o tramite browser, tra una lezione e l’altra. L’abitudine stessa diventa la vostra prova. La partecipazione e i punteggi per squadra dimostrano che la consapevolezza viene allenata e applicata continuamente, che è esattamente ciò che il livello 3 vi chiede di dimostrare.

Guardey: da “normenkader” dell’IBP a un’abitudine settimanale

Guardey ha strutturato il proprio programma di formazione sulla sicurezza informatica attorno a brevi sfide settimanali della durata di circa tre minuti, con elementi di gamification, classifiche e serie di risultati consecutivi che mantengono vivo l’interesse dei team per tutto l’anno scolastico. Le simulazioni integrate di phishing analizzano l’aspetto comportamentale del vostro livello di riferimento e mostrano i progressi compiuti nel tempo. Il tutto funziona direttamente nel browser o nell’app mobile per iOS e Android, così un insegnante che non ha una postazione di lavoro fissa può seguire la formazione con la stessa facilità del personale che lavora in ufficio.

I report sono pronti per la revisione: partecipazione, punteggi e progressi per ogni squadra, esportabili come documentazione a supporto di standard quali NIS2 e ISO 27001, e utilizzabili anche come documentazione per le norme di sensibilizzazione previste dal quadro normativo IBP. Oltre 500 organizzazioni utilizzano Guardey, tra cui il Parlamento europeo. L’implementazione richiede pochi minuti e, sulla nostra pagina dedicata alla formazione, potete scoprire come le scuole utilizzano Guardey nella pratica.

Domande frequenti sul quadro normativo IBP

Il quadro normativo IBP è obbligatorio?

Il “normenkader” è lo standard a cui il settore dell’istruzione si è impegnato a attenersi, con tappe fisse: un’autovalutazione e un piano entro il 2027, il livello di maturità 3 entro il 1° gennaio 2030. Non si tratta di una legge nel senso in cui lo è l’AVG, ma i consigli di amministrazione sono tenuti a dimostrare i progressi compiuti lungo il “Groeipad”, e le tappe sono considerate vincolanti all’interno del settore.

Il quadro normativo IBP nel settore dell'istruzione: si applica anche all'istruzione professionale (MBO), all'istruzione superiore professionale (HBO) e all'istruzione universitaria (WO)?

No. Il quadro normativo IBP è destinato all’istruzione primaria e secondaria. L’istruzione professionale e quella superiore si avvalgono dei quadri di riferimento SURF, mentre l’istruzione superiore finanziata con fondi pubblici è disciplinata dalla Cyberbeveiligingswet, la normativa olandese che attua la direttiva NIS2. Nel nostro articolo sui requisiti NIS2 per il settore dell’istruzione spieghiamo come la direttiva NIS2 disciplini il settore dell’istruzione, comprese le soglie e gli obblighi.

Che cos’è il livello di maturità 3?

Il quadro di riferimento assegna a ciascuna norma un punteggio su una scala di maturità. Il livello 3 indica che le misure sono documentate e applicate in modo coerente: lo stesso comportamento sicuro in ogni scuola, ogni settimana, con prove a sostegno. È proprio questa combinazione di documentazione e pratica coerente che i consigli scolastici devono raggiungere per tutte le norme entro il 1° gennaio 2030.

Da dove si comincia se non si è ancora fatto nulla?

Iniziate con le due valutazioni previste per quest'anno scolastico: l'autovalutazione per l'aspetto cartaceo e una simulazione di phishing, accompagnata da una verifica delle conoscenze, per l'aspetto comportamentale. Insieme, queste due valutazioni danno vita al piano richiesto per il 2027. Avviate subito anche il programma di sensibilizzazione, poiché le abitudini sono ciò che richiede più tempo per essere consolidate e i risultati devono maturare nel corso di diversi anni scolastici.

Il quadro normativo dell’IBP sembra un semplice esercizio di conformità, ma in realtà si tratta di una semplice promessa fatta agli alunni e ai genitori: i loro dati sono al sicuro a scuola. I consigli scolastici che iniziano ora possono distribuire il lavoro su tre anni scolastici e lasciare che le norme comportamentali, quelle che richiedono più tempo, maturino col tempo. I consigli scolastici che aspetteranno fino al 2029 scopriranno che i comportamenti non cambiano nel giro di un semestre.