Om de digitale weerbaarheid van het Nederlandse onderwijs te vergroten moet elke onderwijsinstelling in het middelbaar en hoger onderwijs worden aangesloten op een Security Operations Center (SOC) en de eigen informatiebeveiliging periodiek door een externe partij laten auditen. Dat wil demissionair minister Van Engelshoven van Onderwijs.

De minister reageert op een rapport van de Onderwijsinspectie dat naar aanleiding van de ransomware-aanval op de Universiteit Maastricht werd uitgevoerd. "De Inspectie concludeert dat er op het gebied van cyberveiligheid in het hoger onderwijs veel gebeurt, maar er zeker nog belangrijke stappen nodig zijn om de digitale weerbaarheid te vergroten", aldus Van Engelshoven.

De minister stelt dat er binnen het onderwijs al stappen zijn gezet, maar ook aanvullende maatregelen nodig zijn. "Kernelementen zijn dat elke instelling in het MBO en HO aan een vooraf afgesproken streefdoel voldoet, dat elke instelling wordt aangesloten op een mechanisme om 24/7 dreigingen te monitoren en dat elke instelling zich periodiek (ook) extern laat auditen", schrijft ze in een brief aan de Tweede Kamer. Van Engelshoven wil in het eerste kwartaal van volgend jaar met de sectoren een plan van aanpak hebben opgesteld met een kalender wanneer dit voor elke instelling gerealiseerd kan zijn.

Met het mechanisme om 24/7 dreigingen te monitoren doelt de minister op een Security Operations Center. "Cruciaal is het opzetten van een gezamenlijk Security Operations Center onder SURF. Een belangrijk onderdeel van dit SOC is de 24/7 monitoring van netwerken en signalering van dreigingen om cyberincidenten te voorkomen."

Daarnaast schrijft ze in de brief dat onderwijsinstellingen de basismaatregelen moeten implementeren, zoals het toepassen van multifactorauthenticatie, het segmenteren van netwerken, het regelmatig maken van back-ups, het testen van systemen en het bepalen van wie toegang heeft tot data en diensten. Uit het onderzoek van de inspectie blijkt namelijk dat een aantal onderwijsinstellingen deze maatregelen nog niet (volledig) toepast.

Bewustzijn en audits

Verder is het volgens Van Engelshoven belangrijk om in te zetten op het vergroten van het bewustzijn. "Het is echter essentieel dat in élke instelling en in alle lagen van de instelling maatregelen worden genomen om medewerkers en studenten bewust te maken van cyberdreigingen. Ik wil daarom afspraken maken zodat elke instelling, groot én klein, bekostigd én onbekostigd, dergelijke maatregelen neemt."

De minister zal dit najaar samen met de onderwijskoepels afspraken maken hoe vooral ook kleinere instellingen en de niet bekostigde instellingen geholpen kunnen worden met maatregelen om het bewustzijn in alle lagen van de instelling te vergroten.

Van Engelshoven schrijft tevens dat ze het belangrijk vindt dat alle instellingen in het hoger en middelbaar beroepsonderwijs, naast het gebruik van eigen, interne audits en zelf-assessments, zich laten toetsen door middel van externe audits. "Het belang van cyberveiligheid op het ongestoord verloop van het onderwijs en onderzoek rechtvaardigt dat. Ik maak daarom dit najaar met de koepels afspraken hoe we audits en monitoring vorm gaan geven en hoe we kunnen verzekeren dat elke instelling periodiek extern geaudit wordt."