Schoolbesturen hebben hun cybersecurity nog niet op orde, zo stelt de VO-raad op basis van onderzoek door SIVON, de ict-coöperatie van en voor het primair en voortgezet onderwijs (pdf). De VO-raad is een Nederlandse belangenorganisatie van schoolbesturen en scholen in het voortgezet onderwijs.

Voor het onderzoek werden veertien schoolbesturen binnen het primair en voortgezet onderwijs getoetst op informatiebeveiliging. Dit werd gedaan aan de hand van de 69 normen van het Normenkader Informatiebeveiliging en Privacy voor Funderend Onderwijs (IBP FO). Het gemiddelde volwassenheidsniveau van de getoetste schoolbesturen is een 1,9 op een schaal van 5. Het gewenste niveau voor de implementatie van informatiebeveiliging is een 3. Het streven is dat alle schoolbesturen in 2027 niveau 3 hebben gehaald.

Zo voldoet nagenoeg geen enkel schoolbestuur aan de eisen voor risicomanagement. Tevens blijkt dat 'business continuity', waaronder ook crisismanagement, bijna volledig ontbreekt, wat ook geldt voor de informatiebeveiligingsorganisatie, met een beschrijving van taken en verantwoordelijkheden. Volgens de VO-raad is het dan ook belangrijk dat er 'commitment' vanuit het schoolbestuur is om informatiebeveiliging naar een hoger niveau te brengen.