Normy kadrowe IBP: co rady szkolne muszą zorganizować przed 2027 i 2030 rokiem

IBP normenkader (w skrócie: Normenkader Informatiebeveiliging en Privacy) to holenderskie krajowe wytyczne dotyczące bezpieczeństwa informacji i ochrony prywatności w szkolnictwie podstawowym i średnim, opracowane z myślą o radach szkolnych w Holandii. W 94 konkretnych normach – 69 dotyczących bezpieczeństwa informacji i 25 dotyczących ochrony prywatności – opisują one, co musi zapewnić każda placówka szkolna. Wszystko opiera się na dwóch terminach: do 2027 roku każdy zarząd szkoły musi wiedzieć, na jakim etapie jest, i mieć gotowy plan, a do 1 stycznia 2030 roku każdy zarząd musi osiągnąć poziom dojrzałości 3 we wszystkich normach.

W tym artykule wyjaśniamy, co zawiera ten framework i kto za nim stoi, jak wygląda ścieżka rozwoju do 2030 roku oraz jak przeprowadzić pomiar bazowy, żeby twój plan opierał się na faktach, a nie na założeniach.

Krótko mówiąc

• Czym jest: IBP normenkader to holenderska norma dotycząca bezpieczeństwa informacji i ochrony prywatności w szkolnictwie podstawowym i średnim, obejmująca 69 norm bezpieczeństwa i 25 norm dotyczących ochrony prywatności.
• Kto: rady szkolne ponoszą ostateczną odpowiedzialność za wszystkie swoje szkoły.
• 2027: samoocena zakończona, a plan już gotowy.
• 2030: poziom dojrzałości 3 we wszystkich normach od 1 stycznia 2030 r.
• Na początek: pomiar wyjściowy dotyczący zużycia papieru i zachowań, a także nawyk świadomego postępowania, który pozwala gromadzić dane przez kolejne lata szkolne.

Czym jest program Normenkader IBP?

Zestaw norm IBP został opracowany w ramach programu „Digitaal Veilig Onderwijs” – partnerstwa między Ministerstwem Edukacji (OCW), Kennisnet, SIVON, PO-Raad i VO-Raad. Przekłada on ogólne standardy bezpieczeństwa na język i realia szkolne: dane uczniów w systemie informacji o uczniach, konta nauczycieli, którzy pracują też na urządzeniach prywatnych, oraz dostawców przetwarzających dane w imieniu szkoły.

Ten zestaw wytycznych to odpowiedź branży na konkretny problem: normy takie jak ISO 27001 zostały stworzone z myślą o firmach, a nie o zarządzie, który ma dwadzieścia oddziałów i jednego koordynatora IT. Każda norma w tym zestawie ma przypisany poziom dojrzałości, dzięki czemu zarząd może sam się ocenić i dokładnie zobaczyć, gdzie są luki. Oficjalne normy, dokumenty uzupełniające i narzędzie do samooceny są opublikowane przez Kennisnet na stronie normenkaderibp.kennisnet.nl.

Technologie informacyjno-komunikacyjne w edukacji: dlaczego bezpieczeństwo cyfrowe stało się sprawą pilną

Technologie informacyjno-komunikacyjne w edukacji rozwijają się szybciej niż środki zabezpieczające, które je otaczają. Cyfrowe środowiska edukacyjne, systemy monitorowania uczniów, testy online i setki aplikacji codziennie przetwarzają wrażliwe dane dotyczące nieletnich. Jednocześnie szkoły stały się atrakcyjnym celem: przypadki ataków ransomware na placówki szkolne pokazały, jak jedno zhakowane konto może zakłócić proces nauczania na całe tygodnie i narazić na niebezpieczeństwo dane tysięcy uczniów.

Właśnie dlatego sektor zdecydował się na jeden wspólny system ramowy, zamiast tego, żeby każda rada opracowywała własną politykę. System ten rozstrzyga też kwestię zarządzania: bezpieczeństwo cyfrowe jest wyraźnie obowiązkiem na poziomie rady. To rada ponosi ostateczną odpowiedzialność za bezpieczeństwo informacji i ochronę prywatności we wszystkich swoich szkołach, a nie jakiś pojedynczy koordynator IT, któremu akurat na tym zależy.

Ramy normatywne IBP 2030: ścieżka rozwoju prowadząca do poziomu dojrzałości 3

W ramach tego systemu przewidziano ścieżkę rozwoju, tzw. „Groeipad”, która określa, kiedy trzeba spełnić poszczególne normy, dzięki czemu rady szkolne mogą dążyć do celu w realistycznym tempie. Najważniejsze są dwa etapy. Do 2027 roku każda rada szkolna musi przeprowadzić samoocenę, żeby wiedzieć, na jakim etapie się znajduje, i opracować plan spełnienia wszystkich norm. Do 1 stycznia 2030 roku każda rada musi osiągnąć poziom dojrzałości 3 we wszystkich normach.

Poziom dojrzałości 3 oznacza, że działania są udokumentowane i konsekwentnie wdrażane: nie chodzi o jakiś segregator leżący gdzieś w kącie, ale o codzienną praktykę, która wytrzymuje sprawdzenie. Dla większości zarządów droga do poziomu 3 jest dłuższa w zakresie norm organizacyjnych i dotyczących ludzi niż tych technicznych, a właśnie te normy najtrudniej zmienić.

Pamiętaj, że „normenkader” to odrębny dokument: nie jest to NIS2. Zgodnie z holenderską ustawą o cyberbezpieczeństwie (Cyberbeveiligingswet) wytyczne te dotyczą wyłącznie uczelni wyższych finansowanych ze środków publicznych; szkoły podstawowe i średnie kierują się natomiast „normenkaderem”. Więcej na ten temat znajdziesz w sekcji FAQ poniżej.

Pomiar wyjściowy: sprawdź, jak wypadasz w porównaniu z normami IBP

Rok 2027 to w zasadzie punkt odniesienia: dowiedz się, na jakim etapie jesteś, i opracuj plan działania. Dobry punkt odniesienia łączy teorię z rzeczywistym zachowaniem w twoich szkołach, bo te dwie rzeczy rzadko się pokrywają.

1. Przeprowadź samoocenę. Oceń swoją organizację w odniesieniu do norm, korzystając z oficjalnego narzędzia oraz Groeipad na stronie Kennisnet. Zaangażuj w to zarówno koordynatora IT, jak i inspektora ochrony danych: bezpieczeństwo informacji i ochrona danych osobowych się pokrywają, ale są oceniane osobno.
2. Zmierz, jak naprawdę się zachowują. Zasady zapisane na papierze niewiele mówią o tym, co ludzie robią we wtorek rano. Symulacja ataku phishingowego pokazuje, jak pracownicy reagują na realistyczny atak, a krótki test wiedzy sprawdza, co faktycznie wiedzą. Jak to zorganizować, opisujemy w naszym przewodniku po pomiarze wyjściowym świadomości bezpieczeństwa.
3. Porównaj i ustal priorytety. Różnica między teorią a praktyką pokazuje, gdzie leży prawdziwe ryzyko. Skoncentruj się na normach, które Groeipad stawia na pierwszym miejscu, oraz na lukach, które bezpośrednio wpływają na dane uczniów.
4. Ustal plan z wyznaczonymi osobami odpowiedzialnymi i terminami. Ostateczną odpowiedzialność ponosi zarząd, więc plan powinien znaleźć się w porządku obrad zarządu. Przypisz do każdego wskaźnika konkretną osobę odpowiedzialną, powtarzaj pomiary co roku, a będziesz miał dokumentację postępów, której wymaga rok 2027.

Świadomość bezpieczeństwa w edukacji: od teorii do praktyki

Znaczna część tych zasad nie dotyczy zapór sieciowych, tylko ludzi: rozpoznawanie phishingu, ostrożne obchodzenie się z danymi uczniów, zgłaszanie incydentów zamiast ich ukrywania. Poziom 3 wymaga, żeby to wszystko odbywało się konsekwentnie, co wyklucza jednorazowy dzień szkoleniowy. Warsztaty we wrześniu są już zapomniane w listopadzie, a nowy kolega, który zaczyna w styczniu, w ogóle ich nie widział.

Szkoły stoją tu przed konkretnym wyzwaniem: nauczyciele mają mało czasu, harmonogramy są wypełnione po brzegi, a w grupie są też pracownicy pomocniczy i wolontariusze, którzy rzadko siedzą przy biurku. Najlepiej sprawdzi się krótki, cykliczny format: kilka minut szkolenia tygodniowo, przez telefon lub w przeglądarce, między dwiema lekcjami. Sam nawyk staje się twoim dowodem. Uczestnictwo i wyniki poszczególnych zespołów pokazują, że świadomość jest nieustannie kształtowana i stosowana w praktyce, a właśnie to musisz wykazać na poziomie 3.

Guardey: od programu „IBP normenkader” do cotygodniowego nawyku

Guardey oparł swoje szkolenia z zakresu świadomości bezpieczeństwa na krótkich, cotygodniowych wyzwaniach trwających około trzech minut, z elementami grywalizacji, tabelami wyników i seriami, które utrzymują zaangażowanie zespołów przez cały rok szkolny. Zintegrowane symulacje phishingu uwzględniają behawioralny aspekt twojej linii bazowej i pokazują postępy po jej ustaleniu. Wszystko działa w przeglądarce lub w aplikacji mobilnej na iOS i Androida, więc nauczyciel bez stałego miejsca pracy może prowadzić szkolenia równie łatwo, jak pracownicy w sekretariacie.

Raporty są gotowe do audytu: dane o uczestnictwie, wynikach i postępach poszczególnych zespołów można wyeksportować jako dokumentację na potrzeby takich standardów jak NIS2 i ISO 27001, a także wykorzystać jako dokumentację spełnienia norm dotyczących świadomości zawartych w ramach normatywnych IBP. Z Guardey korzysta ponad 500 organizacji, w tym Parlament Europejski. Wdrożenie zajmuje zaledwie kilka minut, a na naszej stronie poświęconej edukacji możesz przeczytać, jak szkoły wykorzystują Guardey w praktyce.

Najczęściej zadawane pytania dotyczące kadry normowej IBP

Czy program szkoleniowy IBP jest obowiązkowy?

„Normenkader” to standard, do którego sektor edukacji sam się zobowiązał, z ustalonymi etapami: samoocena i plan do 2027 r., poziom dojrzałości 3 do 1 stycznia 2030 r. Nie jest to prawo w takim sensie jak AVG, ale od zarządów oczekuje się, że będą wykazywać postępy na ścieżce rozwoju („Groeipad”), a etapy te są traktowane w sektorze jako wiążące.

Ramy normatywne IBP w edukacji: czy dotyczą one również szkół zawodowych (MBO), wyższych szkół zawodowych (HBO) i uczelni wyższych (WO)?

Nie. Normenkader IBP jest przeznaczony dla szkół podstawowych i średnich. Szkolnictwo zawodowe i wyższe opierają się na ramach SURF, a uczelnie finansowane ze środków publicznych podlegają przepisom ustawy o cyberbezpieczeństwie (Cyberbeveiligingswet), która stanowi holenderską implementację dyrektywy NIS2. Jak dyrektywa NIS2 traktuje sektor edukacji, w tym progi i obowiązki, wyjaśniamy w naszym artykule o wymaganiach NIS2 dla sektora edukacji.

Czym jest poziom dojrzałości 3?

W ramach tego systemu każda norma jest oceniana w skali dojrzałości. Poziom 3 oznacza, że środki są udokumentowane i konsekwentnie stosowane: te same bezpieczne praktyki w każdej szkole, co tydzień, poparte dowodami. Właśnie takie połączenie dokumentacji i konsekwentnego działania rady muszą osiągnąć w odniesieniu do wszystkich norm do 1 stycznia 2030 roku.

Od czego zacząć, jeśli jeszcze nic nie zrobiłeś?

Zacznij od dwóch pomiarów w tym roku szkolnym: samooceny w zakresie aspektu dokumentacyjnego oraz symulacji phishingu połączonej z oceną wiedzy w zakresie aspektu behawioralnego. Razem dają one plan, którego wymaga rok 2027. Od razu zacznij też program uświadamiający, bo nawyki buduje się najwolniej, a dowody muszą się gromadzić przez wiele lat szkolnych.

Program IBP „normenkader” wygląda jak zwykłe wypełnianie przepisów, ale tak naprawdę to prosta obietnica dla uczniów i rodziców: ich dane są w szkole bezpieczne. Rady, które zaczną już teraz, mogą rozłożyć tę pracę na trzy lata szkolne i dać czas na dojrzewanie tych „ludzkich norm” – bo to właśnie one zmieniają się najwolniej. Rady, które poczekają do 2029 roku, przekonają się, że zachowania nie zmieniają się w ciągu jednego semestru.