Normy kadrowe IBP: co rady szkolne muszą zorganizować przed 2027 i 2030 rokiem

IBP normenkader (w pełnej nazwie: Normenkader Informatiebeveiliging en Privacy) to holenderskie ramy dotyczące bezpieczeństwa informacji i ochrony prywatności w szkolnictwie podstawowym i średnim. Opisują one w 94 konkretnych normach – 69 dotyczących bezpieczeństwa informacji i 25 dotyczących ochrony prywatności – co musi zapewnić każda placówka szkolna. Pierwszy kamień milowy jest już blisko: do 1 stycznia 2027 r. każda rada szkolna musi przeprowadzić samoocenę i mieć plan spełnienia wszystkich norm. Do 1 stycznia 2030 r. każda rada musi osiągnąć poziom dojrzałości 3 we wszystkich normach.

W tym artykule wyjaśniamy, co obejmuje ten system, kto za nim stoi, jak wygląda ścieżka rozwoju do 2030 roku, jak przeprowadzić pomiar wyjściowy oraz jak zarząd, który jeszcze nie zaczął działać, może mimo to przygotować swoją samoocenę i plan do 1 stycznia 2027 roku.

Krótko mówiąc

• Czym jest: IBP normenkader to holenderska norma dotycząca bezpieczeństwa informacji i ochrony prywatności w szkolnictwie podstawowym i średnim, obejmująca 69 norm bezpieczeństwa i 25 norm dotyczących ochrony prywatności.
• Kto: rady szkolne ponoszą ostateczną odpowiedzialność za wszystkie swoje szkoły.
• 1 stycznia 2027 r.: samoocena zakończona, plan gotowy. Poziom 3 nie jest jeszcze wymagany.
• 2030: poziom dojrzałości 3 we wszystkich normach od 1 stycznia 2030 r.
• Na początek: pomiar wyjściowy dotyczący zużycia papieru i zachowań, a także nawyk świadomego postępowania, który pozwala gromadzić dane przez kolejne lata szkolne.

Czym jest program Normenkader IBP?

Zestaw norm IBP został opracowany w ramach programu „Digitaal Veilig Onderwijs” – partnerstwa między Ministerstwem Edukacji (OCW), Kennisnet, SIVON, PO-Raad i VO-Raad. Przekłada on ogólne standardy bezpieczeństwa na język i realia szkolne: dane uczniów w systemie informacji o uczniach, konta nauczycieli, którzy pracują też na urządzeniach prywatnych, oraz dostawców przetwarzających dane w imieniu szkoły.

Ten zestaw wytycznych to odpowiedź branży na konkretny problem: normy takie jak ISO 27001 zostały stworzone z myślą o firmach, a nie o zarządzie, który ma dwadzieścia oddziałów i jednego koordynatora IT. Każda norma w tym zestawie ma przypisany poziom dojrzałości, dzięki czemu zarząd może sam się ocenić i dokładnie zobaczyć, gdzie są luki. Oficjalne normy, dokumenty uzupełniające i narzędzie do samooceny są opublikowane przez Kennisnet na stronie normenkaderibp.kennisnet.nl.

Technologie informacyjno-komunikacyjne w edukacji: dlaczego bezpieczeństwo cyfrowe stało się sprawą pilną

Technologie informacyjno-komunikacyjne w edukacji rozwijają się szybciej niż środki zabezpieczające, które je otaczają. Cyfrowe środowiska edukacyjne, systemy monitorowania uczniów, testy online i setki aplikacji codziennie przetwarzają wrażliwe dane dotyczące nieletnich. Jednocześnie szkoły stały się atrakcyjnym celem: przypadki ataków ransomware na placówki szkolne pokazały, jak jedno zhakowane konto może zakłócić proces nauczania na całe tygodnie i narazić na niebezpieczeństwo dane tysięcy uczniów.

Właśnie dlatego sektor zdecydował się na jeden wspólny system ramowy, zamiast tego, żeby każda rada opracowywała własną politykę. System ten rozstrzyga też kwestię zarządzania: bezpieczeństwo cyfrowe jest wyraźnie obowiązkiem na poziomie rady. To rada ponosi ostateczną odpowiedzialność za bezpieczeństwo informacji i ochronę prywatności we wszystkich swoich szkołach, a nie jakiś pojedynczy koordynator IT, któremu akurat na tym zależy.

Ramy normatywne IBP 2030: ścieżka rozwoju prowadząca do poziomu dojrzałości 3

W ramach tego systemu przewidziano ścieżkę rozwoju – tzw. „Groeipad” – która określa, kiedy trzeba spełnić poszczególne normy, dzięki czemu rady szkolne mogą dążyć do celu w realistycznym tempie. Najważniejsze są dwa etapy. Do 1 stycznia 2027 r. każda rada szkolna musi przeprowadzić samoocenę, żeby wiedzieć, na jakim etapie jest, i musi mieć plan spełnienia wszystkich norm. Do 1 stycznia 2030 r. każda rada musi osiągnąć poziom dojrzałości 3 we wszystkich normach.

Poziom dojrzałości 3 oznacza, że działania są udokumentowane i konsekwentnie wdrażane: nie chodzi o jakiś segregator leżący gdzieś w kącie, ale o codzienną praktykę, która wytrzymuje sprawdzenie. Dla większości zarządów droga do poziomu 3 jest dłuższa w zakresie norm organizacyjnych i dotyczących ludzi niż tych technicznych, a właśnie te normy najtrudniej zmienić.

Pamiętaj, że „normenkader” to odrębny dokument: nie jest to NIS2. Zgodnie z holenderską ustawą o cyberbezpieczeństwie (Cyberbeveiligingswet) wytyczne te dotyczą wyłącznie uczelni wyższych finansowanych ze środków publicznych; szkoły podstawowe i średnie kierują się natomiast „normenkaderem”. Więcej na ten temat znajdziesz w sekcji FAQ poniżej.

Pomiar wyjściowy: sprawdź, jak wypadasz w porównaniu z normami IBP

Rok 2027 to w zasadzie punkt odniesienia: dowiedz się, na jakim etapie jesteś, i opracuj plan działania. Dobry punkt odniesienia łączy teorię z rzeczywistym zachowaniem w twoich szkołach, bo te dwie rzeczy rzadko się pokrywają.

1. Przeprowadź samoocenę. Oceń swoją organizację w odniesieniu do norm, korzystając z oficjalnego narzędzia oraz Groeipad na stronie Kennisnet. Zaangażuj w to zarówno koordynatora IT, jak i inspektora ochrony danych: bezpieczeństwo informacji i ochrona danych osobowych się pokrywają, ale są oceniane osobno.
2. Zmierz, jak naprawdę się zachowują. Zasady zapisane na papierze niewiele mówią o tym, co ludzie robią we wtorek rano. Symulacja ataku phishingowego pokazuje, jak pracownicy reagują na realistyczny atak, a krótki test wiedzy sprawdza, co faktycznie wiedzą. Jak to zorganizować, opisujemy w naszym przewodniku po pomiarze wyjściowym świadomości bezpieczeństwa.
3. Porównaj i ustal priorytety. Różnica między teorią a praktyką pokazuje, gdzie leży prawdziwe ryzyko. Skoncentruj się na normach, które Groeipad stawia na pierwszym miejscu, oraz na lukach, które bezpośrednio wpływają na dane uczniów.
4. Ustal plan z wyznaczonymi osobami odpowiedzialnymi i terminami. Ostateczną odpowiedzialność ponosi zarząd, więc plan powinien znaleźć się w porządku obrad zarządu. Przypisz do każdego wskaźnika konkretną osobę odpowiedzialną, powtarzaj pomiary co roku, a będziesz miał dokumentację postępów, której wymaga rok 2027.

Ramy normatywne IBP 2027: od zera do gotowego planu w osiem tygodni

Dla zarządu, który jeszcze nie rozpoczął pracy, 1 stycznia 2027 r. jest bliżej, niż sugeruje kalendarz: odejmij przerwę świąteczną, a zostanie ci tylko kilka tygodni roboczych. Dobra wiadomość jest taka, że cel na 2027 r. nie wymaga osiągnięcia poziomu 3. Chodzi o to, żebyś wiedział, na jakim etapie jesteś, i miał wiarygodny plan, jak tam dotrzeć. Podziel pracę na cztery dwutygodniowe bloki, a uda ci się to osiągnąć.

1. Tygodnie 1 i 2: organizacja. Wybierz jedną osobę odpowiedzialną za cały proces, zaproś do rozmów koordynatora IT, inspektora ochrony danych i członka zarządu, a potem pobierz narzędzie do samooceny ze strony Kennisnet. Uzgodnijcie, kiedy plan trafi do zarządu.
2. Tygodnie 3 i 4: pomiary. Ocenisz normy za pomocą narzędzia, a w tych samych tygodniach zmierzysz zachowania: przeprowadzisz symulację phishingu i krótką ankietę sprawdzającą wiedzę wśród pracowników. Wykonanie obu zadań jednocześnie gwarantuje rzetelność wyników na papierze.
3. Tygodnie 5 i 6: ustal priorytety. Przypisz wyniki do poszczególnych zachowań, zacznij od norm, które Groeipad stawia na pierwszym miejscu, oraz od luk, które bezpośrednio dotyczą danych uczniów, a następnie przypisz każdej normie osobę odpowiedzialną i rok docelowy w perspektywie do 2030 roku.
4. Tygodnie 7 i 8: podejmij decyzję. Umieść plan w porządku obrad rady, doprowadź do jego zatwierdzenia i przedstaw zarys planu kierownictwu szkoły. Od razu zacznij realizować jedno z działań, na przykład program uświadamiający, żeby od pierwszego dnia widać było postępy w realizacji planu.

Nie dasz rady tego zrobić w całości przed 1 stycznia? Plan z pewnymi lukami jest wciąż lepszy niż idealna samoocena, która pojawi się dopiero w marcu. W 2027 roku chodzi o to, żeby zarząd znał swoją punkt wyjścia, wybrał priorytety i wyznaczył, kto za co odpowiada.

Świadomość bezpieczeństwa w edukacji: od teorii do praktyki

Znaczna część tych zasad nie dotyczy zapór sieciowych, tylko ludzi: rozpoznawanie phishingu, ostrożne obchodzenie się z danymi uczniów, zgłaszanie incydentów zamiast ich ukrywania. Poziom 3 wymaga, żeby to wszystko odbywało się konsekwentnie, co wyklucza jednorazowy dzień szkoleniowy. Warsztaty we wrześniu są już zapomniane w listopadzie, a nowy kolega, który zaczyna w styczniu, w ogóle ich nie widział.

Szkoły stoją tu przed konkretnym wyzwaniem: nauczyciele mają mało czasu, harmonogramy są wypełnione po brzegi, a w grupie są też pracownicy pomocniczy i wolontariusze, którzy rzadko siedzą przy biurku. Najlepiej sprawdzi się krótki, cykliczny format: kilka minut szkolenia tygodniowo, przez telefon lub w przeglądarce, między dwiema lekcjami. Sam nawyk staje się twoim dowodem. Uczestnictwo i wyniki poszczególnych zespołów pokazują, że świadomość jest nieustannie kształtowana i stosowana w praktyce, a właśnie to musisz wykazać na poziomie 3.

Guardey: od programu „IBP normenkader” do cotygodniowego nawyku

Guardey oparł swoje szkolenia z zakresu świadomości bezpieczeństwa na krótkich, cotygodniowych wyzwaniach trwających około trzech minut, z elementami grywalizacji, tabelami wyników i seriami, które utrzymują zaangażowanie zespołów przez cały rok szkolny. Zintegrowane symulacje phishingu uwzględniają behawioralny aspekt twojej linii bazowej i pokazują postępy po jej ustaleniu. Wszystko działa w przeglądarce lub w aplikacji mobilnej na iOS i Androida, więc nauczyciel bez stałego miejsca pracy może prowadzić szkolenia równie łatwo, jak pracownicy w sekretariacie.

Raporty są gotowe do audytu: dane o uczestnictwie, wynikach i postępach poszczególnych zespołów można wyeksportować jako dokumentację na potrzeby takich standardów jak NIS2 i ISO 27001, a także wykorzystać jako dokumentację spełnienia norm dotyczących świadomości zawartych w ramach normatywnych IBP. Z Guardey korzysta ponad 500 organizacji, w tym Parlament Europejski. Wdrożenie zajmuje zaledwie kilka minut, a na naszej stronie poświęconej edukacji możesz przeczytać, jak szkoły wykorzystują Guardey w praktyce.

Najczęściej zadawane pytania dotyczące kadry normowej IBP

Czy program szkoleniowy IBP jest obowiązkowy?

„Normenkader” to standard, do którego sektor edukacji sam się zobowiązał, z ustalonymi etapami: samoocena i plan do 1 stycznia 2027 r., poziom dojrzałości 3 do 1 stycznia 2030 r. Nie jest to prawo w takim sensie jak AVG, ale od zarządów oczekuje się, że będą wykazywać postępy w ramach „Groeipad”, a etapy te są traktowane w sektorze jako wiążące.

Co dokładnie musi być gotowe do 1 stycznia 2027 roku?

Dwie rzeczy: wypełniona samoocena, która pokazuje, na jakim etapie dojrzałości jesteś w każdej normie, oraz plan opisujący, jak zamierzasz osiągnąć poziom 3 we wszystkich normach do 1 stycznia 2030 r., wraz z osobami odpowiedzialnymi i priorytetami. Sam poziom 3 nie jest jeszcze wymagany w 2027 r. Skorzystaj z oficjalnego narzędzia od Kennisnet i dodaj ocenę rzeczywistych zachowań pracowników, żeby plan nie pozostał tylko na papierze.

Ramy normatywne IBP w edukacji: czy dotyczą one również szkół zawodowych (MBO), wyższych szkół zawodowych (HBO) i uczelni wyższych (WO)?

Nie. Normenkader IBP jest przeznaczony dla szkół podstawowych i średnich. Szkolnictwo zawodowe i wyższe opierają się na ramach SURF, a uczelnie finansowane ze środków publicznych podlegają przepisom ustawy o cyberbezpieczeństwie (Cyberbeveiligingswet), która stanowi holenderską implementację dyrektywy NIS2. Jak dyrektywa NIS2 traktuje sektor edukacji, w tym progi i obowiązki, wyjaśniamy w naszym artykule o wymaganiach NIS2 dla sektora edukacji.

Czym jest poziom dojrzałości 3?

W ramach tego systemu każda norma jest oceniana w skali dojrzałości. Poziom 3 oznacza, że środki są udokumentowane i konsekwentnie stosowane: te same bezpieczne praktyki w każdej szkole, co tydzień, poparte dowodami. Właśnie takie połączenie dokumentacji i konsekwentnego działania rady muszą osiągnąć w odniesieniu do wszystkich norm do 1 stycznia 2030 roku.

Od czego zacząć, jeśli jeszcze nic nie zrobiłeś?

Zacznij od dwóch działań jeszcze przed przerwą świąteczną: samooceny w zakresie dokumentacji papierowej oraz symulacji ataku phishingowego połączonej z testem wiedzy w zakresie zachowań. Razem pozwolą one stworzyć plan, którego wymaga termin 1 stycznia 2027 r., a powyższy ośmiotygodniowy harmonogram pokazuje, jak to wszystko wpasować. Rozpocznij też od razu program podnoszenia świadomości, bo nawyki buduje się najwolniej, a dowody muszą się gromadzić przez wiele lat szkolnych.

Program IBP może wyglądać na zwykłe wypełnianie przepisów, ale tak naprawdę to prosta obietnica dla uczniów i rodziców: ich dane są w szkole bezpieczne. Termin realizacji planu to 1 stycznia 2027 r., ale prawdziwa praca potrwa aż do 2030 r. Rady, które dobrze wykorzystają nadchodzące tygodnie, rozłożą te działania na trzy lata szkolne i dadzą czas na dojrzewanie tym, którzy najwolniej się dostosowują. Rady, które poczekają do 2029 r., przekonają się, że zachowania nie zmienią się w ciągu jednego semestru.