O quadro normativo do IBP: o que os conselhos escolares têm de organizar antes de 2027 e 2030

O «IBP normenkader» (na íntegra: «Normenkader Informatiebeveiliging en Privacy») é o quadro de referência holandês para a segurança da informação e a privacidade no ensino básico e secundário. Descreve, em 94 normas concretas — 69 relativas à segurança da informação e 25 à privacidade —, o que uma instituição escolar tem de ter em vigor. O primeiro marco está próximo: até 1 de janeiro de 2027, todos os conselhos escolares têm de ter concluído uma autoavaliação e ter um plano para cumprir todas as normas. Até 1 de janeiro de 2030, todos os conselhos têm de estar a operar no nível de maturidade 3 em todas as normas.

Neste artigo, explicamos o que o quadro inclui e quem está por trás dele, como funciona o percurso de crescimento até 2030, como fazer uma medição de referência e como um conselho de administração que ainda não começou pode, mesmo assim, ter a sua autoavaliação e o seu plano prontos até 1 de janeiro de 2027.

Resumindo

• O que é: o «normenkader» do IBP é a norma holandesa para a segurança da informação e a privacidade no ensino básico e secundário, com 69 normas de segurança e 25 normas de privacidade.
• Quem: os conselhos escolares têm a responsabilidade final por todas as suas escolas.
• 1 de janeiro de 2027: autoavaliação concluída e plano em vigor. O nível 3 ainda não é necessário.
• 2030: nível de maturidade 3 em todas as normas a partir de 1 de janeiro de 2030.
• Começo: uma avaliação inicial do consumo de papel e dos comportamentos, além de um hábito de sensibilização que vai acumulando dados ao longo dos anos letivos.

O que é o «normenkader IBP»?

O «normenkader IBP» foi desenvolvido pelo programa «Digitaal Veilig Onderwijs», uma parceria entre o Ministério da Educação (OCW), a Kennisnet, a SIVON, o PO-Raad e o VO-Raad. Este documento adapta as normas de segurança genéricas à linguagem e às realidades de uma escola: dados dos alunos no sistema de informação escolar, contas de professores que também trabalham em dispositivos pessoais e fornecedores que tratam dados em nome da escola.

Este quadro é a resposta do setor a um problema prático: normas como a ISO 27001 foram criadas para empresas, não para um conselho com vinte locais e um coordenador de TI. Cada norma do quadro tem um nível de maturidade, pelo que um conselho pode autoavaliar-se e ver exatamente onde estão as lacunas. As normas oficiais, os documentos de apoio e o instrumento de autoavaliação são publicados pela Kennisnet em normenkaderibp.kennisnet.nl.

As TIC na educação: por que é que a segurança digital se tornou uma questão urgente

As TIC na educação têm crescido mais depressa do que as medidas de proteção que as rodeiam. Os ambientes de aprendizagem digitais, os sistemas de acompanhamento dos alunos, os testes online e centenas de aplicações processam dados sensíveis sobre menores todos os dias. Ao mesmo tempo, as escolas tornaram-se um alvo atraente: os incidentes de ransomware em instituições escolares mostraram como uma única conta comprometida pode perturbar o ensino durante semanas e expor os dados de milhares de alunos.

É por isso que o setor optou por um quadro comum, em vez de cada conselho de administração elaborar a sua própria política. Esse quadro também resolve uma questão de governação: a segurança digital é, explicitamente, uma responsabilidade do conselho de administração. É o conselho de administração que tem a responsabilidade final pela segurança da informação e pela privacidade em todas as suas escolas, e não o coordenador de TI que, por acaso, se preocupa com isso.

Quadro normativo do IBP 2030: o percurso de crescimento até ao nível de maturidade 3

O quadro inclui um percurso de crescimento, o «Groeipad», que define quando é que cada norma tem de ser cumprida, para que os conselhos possam trabalhar para atingir o objetivo a um ritmo realista. Há dois marcos que são os mais importantes. Até 1 de janeiro de 2027, cada conselho escolar tem de ter concluído uma autoavaliação, para saber em que ponto está, e tem de ter um plano para cumprir todas as normas. Até 1 de janeiro de 2030, cada conselho tem de atingir o nível de maturidade 3 em todas as normas.

O nível de maturidade 3 significa que as medidas estão documentadas e são aplicadas de forma consistente: não é apenas um dossier que está algures, mas sim uma prática diária que se mantém mesmo quando alguém a verifica. Para a maioria dos conselhos de administração, o caminho até ao nível 3 é mais longo no que diz respeito às normas organizacionais e humanas do que às técnicas, e são precisamente essas normas que demoram mais tempo a mudar.

Repara que o «normenkader» é um documento independente: não é o NIS2. Ao abrigo da Lei de Cibersegurança holandesa, só o ensino superior financiado pelo Estado é abrangido; as escolas do ensino básico e secundário seguem, em vez disso, o «normenkader». Mais informações sobre isto nas perguntas frequentes abaixo.

Avaliação inicial: descobre qual é a tua situação em relação ao quadro normativo do IBP

O marco de 2027 é, essencialmente, uma avaliação de referência: percebe onde estás e traça um plano com base nisso. Uma boa avaliação de referência combina a realidade no papel com o comportamento real nas tuas escolas, porque essas duas coisas raramente coincidem.

1. Faz a autoavaliação. Avalia a tua organização em relação às normas, usando o instrumento oficial e o Groeipad no site do Kennisnet. Envolve o coordenador de TI e o responsável pela privacidade em conjunto: a segurança da informação e a privacidade estão interligadas, mas são avaliadas separadamente.
2. Mede o comportamento real. As políticas no papel pouco dizem sobre o que as pessoas fazem numa terça-feira de manhã. Uma simulação de phishing mostra como os colaboradores reagem a um ataque realista, e uma breve avaliação de conhecimentos revela o que eles sabem. Explicamos como fazer isso no nosso guia sobre a medição de referência da sensibilização para a segurança.
3. Compara e define prioridades. A discrepância entre o que está no papel e o que acontece na prática mostra-te onde está o verdadeiro risco. Dá prioridade às normas que o Groeipad destaca e às lacunas que afetam diretamente os dados dos alunos.
4. Inclui isso num plano com responsáveis e prazos. A direção tem a responsabilidade final, por isso o plano tem de constar da ordem de trabalhos da direção. Atribui um responsável a cada norma, repete a avaliação anualmente e terás o relatório de progresso que 2027 exige.

Quadro normativo do IBP 2027: do zero a um plano em oito semanas

Para uma direção que ainda nem começou, o dia 1 de janeiro de 2027 está mais perto do que o calendário sugere: se tirares as férias de Natal, restam apenas umas poucas semanas úteis. A boa notícia é que o objetivo de 2027 não exige o nível 3. O que se pede é que saibas onde estás e que tenhas um plano credível para lá chegares. Divide o trabalho em quatro blocos de duas semanas e isso é perfeitamente possível.

1. Semanas 1 e 2: organizar. Nomeia uma pessoa responsável pelo processo, reúne o coordenador de TI, o responsável pela proteção de dados e um membro do conselho de administração, e descarrega o instrumento de autoavaliação do Kennisnet. Chega a acordo sobre a data em que o plano vai ser apresentado ao conselho de administração.
2. Semanas 3 e 4: avaliar. Avalia as normas com o instrumento e, nessas mesmas semanas, avalia o comportamento: uma simulação de phishing e uma breve avaliação de conhecimentos entre os funcionários. Fazer as duas coisas ao mesmo tempo garante a integridade dos resultados no papel.
3. Semanas 5 e 6: define prioridades. Coloca as pontuações ao lado dos resultados comportamentais, começa pelas normas que o Groeipad coloca em primeiro lugar e pelas lacunas que afetam diretamente os dados dos alunos, e atribui a cada norma um responsável e um ano-alvo até 2030.
4. Semanas 7 e 8: decide. Coloca o plano na ordem de trabalhos do conselho de administração, faz com que seja aprovado e partilha o esboço com os responsáveis da escola. Começa já a implementar uma medida, por exemplo, o programa de sensibilização, para que o plano mostre que as coisas estão a avançar desde o primeiro dia.

Não vais conseguir terminar tudo antes de 1 de janeiro? Um plano com lacunas sinceras ainda vale mais do que uma autoavaliação perfeita que só chega em março. O que importa em 2027 é que a direção conheça a sua situação de partida, tenha escolhido as suas prioridades e tenha definido quem é responsável por quê.

Sensibilização para a segurança na educação: do papel à prática

Uma parte significativa das normas não tem a ver com firewalls, mas sim com as pessoas: reconhecer o phishing, tratar os dados dos alunos com cuidado, comunicar incidentes em vez de os esconder. O Nível 3 exige que isto aconteça de forma consistente, o que exclui a possibilidade de um dia de formação pontual. Um workshop em setembro já foi esquecido em novembro, e o novo colega que começa em janeiro nem sequer o viu.

As escolas enfrentam aqui um desafio específico: o tempo dos professores é escasso, os horários estão lotados e o grupo inclui pessoal de apoio e voluntários que raramente se sentam atrás de uma secretária. O ideal é um formato curto e recorrente: alguns minutos de formação por semana, ao telefone ou no navegador, entre duas aulas. O próprio hábito torna-se a tua prova. A participação e as pontuações por equipa mostram que a sensibilização é treinada e aplicada continuamente, que é precisamente o que o nível 3 te pede para demonstrar.

Guardey: de «normenkader» da IBP a um hábito semanal

A Guardey criou a sua formação em sensibilização para a segurança com base em pequenos desafios semanais de cerca de três minutos, com gamificação, tabelas de classificação e séries de dias consecutivos que mantêm as equipas envolvidas ao longo do ano letivo. As simulações de phishing integradas abrangem a vertente comportamental da tua linha de base e mostram o progresso a partir daí. Tudo funciona no navegador ou na aplicação móvel para iOS e Android, pelo que um professor sem um local de trabalho fixo pode dar formação com a mesma facilidade que no gabinete do pessoal.

Os relatórios estão prontos para auditoria: participação, pontuações e progresso por equipa, exportáveis como prova para quadros normativos como o NIS2 e a ISO 27001, e igualmente utilizáveis como documentação para as normas de sensibilização do quadro normativo do IBP. Mais de 500 organizações trabalham com o Guardey, incluindo o Parlamento Europeu. A implementação demora apenas alguns minutos e, na nossa página de formação, podes ver como as escolas utilizam o Guardey na prática.

Perguntas frequentes sobre o quadro normativo do IBP

O quadro normativo do IBP é obrigatório?

O «normenkader» é a norma a que o próprio setor da educação se comprometeu, com marcos definidos: uma autoavaliação e um plano até 1 de janeiro de 2027, e o nível de maturidade 3 até 1 de janeiro de 2030. Não é uma lei no sentido em que a AVG o é, mas espera-se que os conselhos de administração demonstrem progressos ao longo do «Groeipad», e os marcos são considerados vinculativos dentro do setor.

O que é que tem de estar pronto até 1 de janeiro de 2027, exatamente?

Duas coisas: uma autoavaliação preenchida que mostre o teu nível atual de maturidade em cada norma e um plano que descreva como vais atingir o nível 3 em todas as normas até 1 de janeiro de 2030, com responsáveis e prioridades. O nível 3, por si só, ainda não é obrigatório em 2027. Usa o instrumento oficial da Kennisnet e acrescenta uma avaliação do comportamento real dos colaboradores, para que o plano não fique só no papel.

O quadro normativo do IBP na educação: aplica-se também ao ensino profissional (MBO), ao ensino superior profissional (HBO) e ao ensino superior (WO)?

Não. O «normenkader IBP» foi elaborado para o ensino básico e secundário. O ensino profissional e o ensino superior utilizam os quadros de referência da SURF, e o ensino superior financiado com fundos públicos está a ser regulamentado ao abrigo da «Cyberbeveiligingswet», a transposição neerlandesa da NIS2. A forma como a NIS2 aborda o setor da educação, incluindo limiares e obrigações, é explicada no nosso artigo sobre os requisitos da NIS2 para o setor da educação.

O que é o nível de maturidade 3?

O quadro avalia cada norma numa escala de maturidade. O nível 3 significa que as medidas estão documentadas e são aplicadas de forma consistente: o mesmo comportamento seguro em todas as escolas, todas as semanas, com provas que o comprovem. É essa combinação de documentação e prática consistente que os conselhos de administração têm de alcançar em todas as normas até 1 de janeiro de 2030.

Por onde é que se começa se ainda não fizeste nada?

Começa já com as duas avaliações, antes das férias de Natal: a autoavaliação para a vertente documental e uma simulação de phishing, juntamente com uma avaliação de conhecimentos, para a vertente comportamental. Juntas, elas dão origem ao plano exigido para 1 de janeiro de 2027, e o calendário de oito semanas acima mostra como encaixá-lo. Começa também já o programa de sensibilização, porque os hábitos são o que demora mais tempo a criar e os resultados têm de se acumular ao longo de vários anos letivos.

O quadro normativo do IBP parece um exercício de conformidade, mas, no fundo, é uma promessa simples aos alunos e aos pais: os vossos dados estão seguros na escola. O plano tem de estar pronto a 1 de janeiro de 2027, mas o trabalho de verdade vai até 2030. As direções que aproveitarem bem as próximas semanas vão distribuir esse trabalho por três anos letivos e dar tempo para que as normas humanas — que são as que demoram mais a assentar — amadureçam. As direções que esperarem até 2029 vão perceber que o comportamento não muda num semestre.