Het kabinet gaat jaarlijks zes miljoen euro investeren in de cybersecurity van het primair en voortgezet onderwijs. Ook wordt er een normenkader voor informatiebeveiliging en privacy opgesteld en een Computer Emergency Response Team (CERT) opgericht dat scholen bij incidenten moet helpen. Dat schrijven minister Dijkgraaf van Onderwijs en minister Wiersma voor Primair en Voortgezet Onderwijs in een brief aan de Tweede Kamer.

"Steeds meer gegevens over leerlingen en studenten worden opgeslagen en uitgewisseld. Onderwijsinstellingen en onderzoeksinstellingen zijn in toenemende mate doelwit van cyberaanvallen. Voor instellingen wordt het steeds moeilijker om de privacy van leerlingen en studenten te beschermen tegen digitale dreigingen", aldus de bewindslieden, die toevoegen dat gegevens over leerlingen en studenten op straat kunnen komen te liggen en de continuïteit van het onderwijs in gevaar kan komen wanneer systemen onbereikbaar zijn.

Om de digitale veiligheid van het onderwijs te versterken hebben de ministers daarom verschillende maatregelen aangekondigd. Voor het uitvoeren van deze maatregelen wordt jaarlijks zes miljoen euro in de digitale veiligheid van het primair en voortgezet onderwijs geïnvesteerd. "Dit is een andere aanpak dan voorheen: wij kiezen voor meer centrale regie waarbij we sturen op normen, scholen ondersteunen met raad en daad, en externe audits en sneller optreden het sluitstuk zijn. Alleen dan kunnen schoolbesturen hun verantwoordelijkheid voor informatiebeveiliging, privacy en continuïteit invullen", zo stellen Dijkgraaf en Wiersma.

Normenkader

Een belangrijk onderdeel van de aanpak is het opstellen van een normenkader voor informatiebeveiliging en privacy. "Doordat er nu geen normenkader is, weten scholen niet altijd wat ze moeten doen om hun systemen te beveiligen", zo laten de ministers weten. "Ook privacymaatregelen vergen specialistische juridische kennis die niet op iedere school aanwezig is. Dat zorgt voor verschillen tussen scholen en daarmee ook voor verschillen in de digitale veiligheid van leerlingen. Daar willen we vanaf. "

Op dit moment wordt er gewerkt aan een eerste versie van het normenkader. Begin 2023 zal er vervolgens op basis van het normenkader een nulmeting binnen het onderwijs plaatsvinden. Scholen moeten daarna aan de slag. Om te kijken of scholen aan het kader voldoen zullen er periodiek monitors en benchmarks plaatsvinden. Ook worden schoolbesturen vanaf het schooljaar 2023/2024 verplicht om in hun jaarverslag expliciet aandacht te besteden aan informatiebeveiliging en privacy.

Computer Emergency Response Team

Een andere aankondigde maatregel is het opzetten van een Computer Emergency Response Team (CERT) voor het primair en voortgezet onderwijs. "Het CERT werkt als een ‘digitale brandweer’; het is een meldpunt waar scholen zich kunnen melden wanneer ze met een incident te maken krijgen en dat scholen ondersteunt bij de afhandeling daarvan", zo leggen Dijkgraaf en Wiersma uit. Op dit moment is er in het primair en voortgezet onderwijs nog geen hulp voor scholen bij dreigingen en incidenten. Wanneer het CERT operationeel is zal er ook een meldplicht voor cyberincidenten gaan gelden. Scholen moeten incidenten dan rapporteren.

Volgens de ministers worden met deze maatregelen belangrijke eerste stappen gezet in het borgen van de digitale veiligheid van alle leerlingen in het primair en voortgezet onderwijs. "Voor een integrale en overkoepelende aanpak van digitale veiligheid is nog een verdere verkenning en uitwerking nodig. Te denken valt aan een veilige digitale infrastructuur voor alle scholen met snel en betrouwbaar internet en real-time dreigingsdetectie. We gaan hier de komende tijd mee aan de slag."