Hoe Identity & Access Management scholen helpt te voldoen aan de AVG en het Normenkader IBP
Leerplatforms, leerlingvolgsystemen, HR-applicaties, cloudopslag, mail, AI-tools. Al deze applicaties hebben hun eigen gebruikers, rollen en rechten. Maar hoe houd je als bestuur zicht op wie toegang heeft tot wat? En hoe borg je dat deze toegang past binnen de eisen van de AVG en het Normenkader IBP?
Verantwoordelijkheid begint bij toegang
De AVG schrijft voor dat persoonsgegevens alleen toegankelijk mogen zijn voor mensen die ze echt nodig hebben om hun werk te doen. In de praktijk gaat dat vaak mis: medewerkers krijgen meer rechten dan nodig, vaak “voor het gemak”. Het is sneller, overzicht ontbreekt of men wil voorkomen dat iemand wordt buitengesloten. “Dat kan toch geen kwaad?” wordt dan al snel gedacht. Maar dit gemak brengt risico’s: accounts van oud-medewerkers blijven actief, tijdelijke rechten worden niet ingetrokken en een stagiair kan toegang hebben tot dezelfde mappen als een teamleider.
Identity & Access Management (IAM) maakt de bescherming van persoonsgegevens concreet. Het bepaalt wie welke gegevens kan zien en waarom, en zorgt dat medewerkers alleen toegang hebben tot wat voor hun werk noodzakelijk is. Privacy wordt standaard ingebouwd in systemen en processen, zodat bescherming geen extra handeling vraagt. Activiteiten worden geregistreerd, zodat het bestuur kan aantonen dat gegevens zorgvuldig worden beheerd. Zo vertaalt IAM de verplichtingen van de AVG naar de praktijk: het creëert overzicht, voorkomt onnodige risico’s en zorgt dat iedereen binnen de school veilig en verantwoord met gegevens omgaat. Daarmee help je te voldoen aan de kernprincipes van de AVG, zoals dataminimalisatie, beveiliging van persoonsgegevens en verantwoordingsplicht.
"Met rollen en rechten leg je een transparante basis voor toegangsbeheer."
- Bas Vledder, Onderwijsconsulent
Van beleid naar beheersing
Met de update van het Normenkader IBP is de lat voor informatiebeveiliging en privacy in het onderwijs verder aangescherpt. Niet in de zin van meer regels, maar in de vorm van meer duidelijkheid: wat moet er precies geregeld zijn, wie is verantwoordelijk en hoe kun je dat aantonen?
De normen zijn concreter geformuleerd, met bijbehorende hulpmiddelen en voorbeelden. Daarnaast is een groeipad toegevoegd, waarmee scholen kunnen meten waar ze staan en stapsgewijs kunnen toewerken naar volwassenheidsniveau 3 (het niveau dat elk bestuur uiterlijk in 2027 moet bereiken).
IAM ondersteunt de normen uit Domein 10 (Identity & Access Management) en helpt bij het beheersen van toegangs- en identiteitsrisico’s. Belangrijk om te onthouden: het gebruik van een IAM-systeem alleen is niet voldoende; om volledig aan de normen te voldoen zijn ook beleid, controles en periodieke evaluaties nodig.
Norm in het IBP
Beschrijving van de norm
Vereiste IAM-functionaliteit
Praktisch voorbeeld op school
Menselijk gedrag blijft een factor
De meeste datalekken ontstaan niet door hackers, maar door mensen. Een gedeeld wachtwoord, een verkeerd ingesteld rechtenniveau, een vergeten account. IAM voorkomt veel van die risico’s door het menselijke handelen te ondersteunen met techniek: wat automatisch goed geregeld is, hoeft niet meer handmatig mis te gaan.
Tegelijk blijft menselijk bewustzijn essentieel. IAM maakt veilig gedrag makkelijker, maar het neemt de verantwoordelijkheid niet weg. Een veilig toegangsbeleid vraagt om samenwerking tussen bestuur, ICT, administratie en medewerkers. De technologie is slechts zo effectief als de organisatie die erachter staat.
Van compliance naar vertrouwen
Naast een technische maatregel om aan regels te voldoen, is IAM ook een instrument om vertrouwen te versterken: vertrouwen van ouders dat hun kindgegevens veilig zijn, vertrouwen van medewerkers dat systemen goed zijn ingericht, en vertrouwen van bestuurders dat zij “in control” zijn.
De combinatie van de AVG en het Normenkader IBP maakt duidelijk dat toegangsbeheer zowel een IT-vraagstuk als een bestuurlijke verantwoordelijkheid is.
Hoe volwassen is jullie toegangsbeheer?
Elke school werkt met persoonsgegevens. De vraag is niet óf je dat doet, maar hoe bewust en beheerst je dat doet. IAM helpt om grip te krijgen. Niet door meer regels toe te voegen, maar door beleid technisch te verankeren.
Het Normenkader IBP vraagt van besturen dat ze hun informatiebeveiliging aantoonbaar op orde hebben. De AVG verplicht dat persoonsgegevens alleen toegankelijk zijn voor wie ze nodig heeft. IAM verbindt die twee werelden: beleid en praktijk, papier en bewijs, verantwoordelijkheid en vertrouwen.
Misschien is dat wel de kern van goed bestuur in het digitale tijdperk: weten wie toegang heeft en waarom.
Lees meer over IAM
Het digitale schoolgebouw dat nooit op slot gaat en wat jij daar als bestuurder van merkt
Stel je een school voor waar de deuren dag en nacht openstaan. Iedereen kan binnenlopen, sloten werken soms wel, soms niet. Leerlingen dwalen door lokalen, docenten weten niet waar ze mogen zijn, en invallers krijgen toegang tot ruimtes waar ze niets te zoeken hebben.
Een soepele schoolstart met IAM
De start van het schooljaar is ieder jaar een piekperiode: nieuwe leerlingen en medewerkers, aangepaste roosters, extra devices en veranderde licenties. Alles moet op tijd klaar zijn. Op papier lijkt het vaak geregeld, maar in de praktijk blijkt dit steevast een stresstest voor de IT-afdeling. Juist in deze periode staan de ‘onzichtbare processen’ onder druk. Denk aan de vraag: wie heeft toegang tot welke systemen, wanneer en met welke rechten? Als dat niet goed geregeld is, leidt dat tot frustratie, vertraging en veiligheidsrisico’s... Precies op het moment dat je een soepele start wilt maken.