Normenkader IBP en devices: wat betekent het voor inkoop en beheer?

Gepubliceerd op 2 november 2026 · Door de redactie van EduStockr · Bronnen gecontroleerd op 27 oktober 2026 · Alle artikelen

In het kort: Het Normenkader IBP van Kennisnet, OCW, PO-Raad, VO-raad en SIVON telt 69 normen voor informatiebeveiliging en 25 voor privacy. Voor devices zijn vooral de normen over mobiele apparaten (beheer via MDM, versleuteling, malwarebescherming), patchmanagement, registratie van apparatuur, verwijdering van data en leveranciersafspraken van belang. Volgens OCW moeten alle scholen uiterlijk in 2030 aan de landelijke normen voor digitale veiligheid voldoen; Kennisnet noemt niveau 3 het minimum waar de sector naar streeft. Leg de technische eisen vast in uw uitvraag en de organisatorische kant in uw eigen beleid.

Wat is het Normenkader IBP?

Het Normenkader IBP (informatiebeveiliging en privacy) is het gezamenlijke kader voor digitale veiligheid in het funderend onderwijs. Volgens Kennisnet bevat het 69 normen voor informatiebeveiliging en 25 normen voor privacy, met dezelfde eisen voor alle scholen in het primair, voortgezet en speciaal onderwijs en voor samenwerkingsverbanden. Het kader is opgesteld door het ministerie van OCW, de PO-Raad, de VO-raad, SIVON en Kennisnet en staat als website op normenkaderibp.kennisnet.nl.

Elke norm heeft een beschrijving, een uitleg waarom de norm nodig is, maatregelen per volwassenheidsniveau en voorbeelddocumenten. Er zijn vijf niveaus. Kennisnet noemt niveau 3 het minimum waar de sector samen naar streeft. Het bijbehorende Groeipad verdeelt het werk in vijf fasen: inrichten, ontwikkelen, uitbreiden, verfijnen en optimaliseren.

Voor speciaal onderwijs dat een zorginformatiesysteem gebruikt, geldt volgens Kennisnet daarnaast NEN 7510. Dat raakt ook de devices waarop medewerkers dat systeem openen.

Welke termijn geldt voor schoolbesturen?

Hier is het oppassen met oudere bronnen. In 2024 was het streven nog dat schoolbesturen in 2027 niveau 3 zouden halen. In november 2025 heeft OCW het programma Digitaal Veilig Onderwijs verlengd. Volgens het Rijksoverheid-bericht van 6 november 2025 moeten schoolbesturen vanaf 2027 weten hoe ze ervoor staan en een plan hebben om naar de landelijke normen toe te werken. Uiterlijk in 2030 moeten alle scholen aan die normen voldoen. Kennisnet maakt dat concreet: uiterlijk 1 januari 2027 weten waar u staat met het Normenkader IBP, met een plan om uiterlijk 1 januari 2030 aan volwassenheidsniveau 3 te voldoen. OCW spreekt van een afspraak met de schoolbesturen. De AVG geldt daarnaast gewoon als wet.

In de praktijk betekent dit: devices die u in 2026 of 2027 aanschaft, zijn in 2030 nog in gebruik. Wat u nu inkoopt, bepaalt dus mede of u dat jaar op niveau 3 zit. Er ligt nog veel werk. In de verkenning IBP in beeld van het programma Digitaal Veilig Onderwijs (april 2026) kwamen de zelfevaluaties van 485 schoolbesturen, ongeveer 40 procent van de sector, uit op gemiddeld niveau 1,7 op een schaal van 1 tot 5. Volgens de VO-raad zit de sector daarmee grotendeels in de beginfase (niveau 1 en 2).

Welke normen raken laptops, Chromebooks en tablets?

Het informatiebeveiligingsdeel van het normenkader is verdeeld in vijftien domeinen. De onderstaande normen hebben het meest met apparaten te maken. De omschrijving is onze samenvatting; de volledige normtekst staat bij Kennisnet.

Op het privacydeel komen devices vooral terug via verwerkersovereenkomsten en het register van verwerkingen. Meer over de AVG-kant leest u in AVG op school: devices en leerlinggegevens veilig geregeld.

Van norm naar uitvraag: wat vraagt u aan de leverancier?

Het normenkader beschrijft wat de school moet bereiken. De leverancier kan daar een deel van aanleveren. Deze punten kunt u in een uitvraag opnemen:

• Beheerbaarheid: het device is volledig te beheren in uw MDM of beheerconsole (Google Admin, Intune, Apple School Manager met een MDM).
• Voorbereide inschrijving: de leverancier registreert de apparaten vóór levering in uw beheeromgeving, zodat ze bij de eerste keer aanzetten onder beheer komen.
• Updateperiode: per aangeboden model de einddatum van beveiligingsupdates, met bron. Voor Chromebooks staat die per model bij Google; bij Windows hangt het af van de versie en editie.
• Versleuteling: standaard ingeschakelde opslagversleuteling, of de mogelijkheid die centraal af te dwingen.
• Registratie: een leverlijst met serienummers, modellen en eventueel asset-labels, in een formaat dat u kunt inlezen.
• Reparatie en vervanging: wat er met de opslag gebeurt als een apparaat naar de reparateur gaat of wordt omgeruild.
• Afvoer: gecertificeerde dataverwijdering met een certificaat of rapport per serienummer.
• Verwerkersrol: of de leverancier persoonsgegevens verwerkt (bij inschrijving, beheer of reparatie) en of er dan een verwerkersovereenkomst komt, bijvoorbeeld volgens de Algemene verwerkersovereenkomst onderwijs die bij het Privacyconvenant beschikbaar is voor leveranciers buiten het convenant.

Een bredere vragenlijst vindt u in 10 vragen die u elke deviceleverancier moet stellen.

Wat de school zelf moet regelen

Een leverancier kan geen niveau 3 voor u halen. Veel normen gaan over beleid, rollen en processen. Bij devices gaat het om:

1. Beleid voor mobiele apparaten: wie welk apparaat krijgt, wat er wel en niet op mag, hoe thuisgebruik werkt. SM.03 vraagt op niveau 3 om formeel, gedocumenteerd en gecommuniceerd beleid.
2. Inrichting van het beheer: beleid per groep (leerling, docent, beheerder), automatische updates, schermvergrendeling, blokkering bij verlies. Hoe dat per platform werkt, leest u in Schooldevices centraal beheren met MDM.
3. Procedure bij verlies of diefstal: wie meldt het, wie blokkeert het apparaat en de accounts, wie beoordeelt of het een datalek is.
4. Patchbeleid: hoe snel updates worden uitgerold en wat u doet met apparaten die geen updates meer krijgen.
5. Registratie bijhouden: uitgifte, inname, reparatie en afvoer per serienummer.
6. Afvoer en hergebruik: wissen volgens vaste procedure, ook als apparaten naar een opkoper gaan. Zie ook Oude laptops en tablets inruilen.

Kennisnet biedt de gratis tool Zelfevaluatie Normenkader IBP. In de vernieuwde versie maakt u daarin ook direct een plan van aanpak. Begin daar, voordat u eisen gaat formuleren.

Checklist: staat uw devicevloot klaar voor niveau 3?

• Is elk device in gebruik ingeschreven in een beheeromgeving?
• Weet u per model tot wanneer het beveiligingsupdates krijgt?
• Is opslagversleuteling aan en kunt u dat aantonen?
• Kunt u een kwijtgeraakt device binnen korte tijd blokkeren en de toegang tot schoolapplicaties afsluiten?
• Is er een actuele lijst met serienummer, gebruiker en status?
• Is er een verwerkersovereenkomst met elke partij die bij beheer, reparatie of afvoer persoonsgegevens kan zien?
• Krijgt u na afvoer een verwijderingscertificaat per apparaat?
• Is het beleid voor mobiele apparaten vastgesteld en bekend bij medewerkers?

Dit is algemene informatie, geen juridisch advies. Laat de vertaling van het normenkader naar uw situatie toetsen door uw functionaris gegevensbescherming (FG) of uw security officer.

Zo pakken wij dit aan

EduStockr verkoopt zelf geen hardware. Bij een aanvraag nemen wij uw eisen uit het normenkader op in de uitvraag aan gescreende leveranciers: beheerbaarheid, voorbereide inschrijving, updateperiode per model, versleuteling, leverlijst, reparatie- en afvoerafspraken en de verwerkersrol. De voorstellen leggen wij naast elkaar, met onze vooraf vastgelegde vergoeding erbij, zodat u ziet welke leverancier welke eisen invult. U beslist en koopt rechtstreeks bij de leverancier, die levert, factureert en garantie geeft. Het beleid en de inrichting van uw beheer blijven bij u. Hoe een traject verloopt, leest u op onze werkwijze.

Veelgestelde vragen

Is het Normenkader IBP verplicht?

OCW spreekt van een afspraak tussen schoolbesturen en het ministerie: uiterlijk in 2030 moeten alle scholen aan de normen voldoen. De AVG is wel wet. Het normenkader helpt om aan te tonen dat u passende maatregelen neemt.

Welke norm gaat over MDM?

Norm SM.03 Mobiele apparaten en telewerken. Op niveau 3 vraagt die om formeel, gedocumenteerd en gecommuniceerd beleid met MDM, actuele malwarebescherming en het afsluiten van de toegang tot centrale applicaties bij verlies of diefstal.

Kan de leverancier garantie geven dat wij aan het normenkader voldoen?

Nee. Of u aan de normen voldoet, hangt grotendeels af van uw eigen beleid en processen. Een leverancier kan wel aantonen dat zijn apparaten en diensten de technische eisen ondersteunen.

Geldt het normenkader ook voor Chromebooks en iPads?

Ja. Het normenkader is platformonafhankelijk. Het gaat om de maatregelen, niet om het merk. Elk platform heeft eigen beheermogelijkheden om die maatregelen in te vullen.

Waar begin ik als bestuur?

Met de zelfevaluatie van Kennisnet en het Groeipad. Daaruit volgt welke normen voor devices het eerst aandacht vragen.

Over dit artikel: geschreven door de redactie van EduStockr, een handelsnaam van J-Mobile B.V., met een eigen vestiging aan Ambachtsweg 8, 5492 NJ Nijnsel. EduStockr bemiddelt bij de inkoop van devices en verkoopt zelf geen hardware. Dit artikel is opgesteld met hulp van AI-hulpmiddelen; de feiten zijn gecontroleerd aan de hand van de genoemde bronnen op 27 oktober 2026. Ziet u een fout of is iets verouderd? Mail info@edustockr.nl.