Het bericht Vul de Npuls ‘Temperatuurmeting transitie vervolgonderwijs’ in! verscheen eerst op MBO Digitaal.

Het bericht Landelijke themamiddag bedrijfsvoering mbo-scholen op 17 juni verscheen eerst op MBO Digitaal.

Leveranciersmanagement, AI en sectorale inkoopvoorwaarden

Door Ronald Kollen en Jack Le Doux

Hoe houd je regie nu de AI-ontwikkelingen elkaar in hoog tempo opvolgen? En hoe voldoe je aan de AI-verordening, die eisen stelt aan transparantie, datakwaliteit en risicobeheersing? Volgens Ronald Kollen (informatiemanager bij Firda) en Jack Le Doux (adviseur Informatiebeveiliging en Privacy bij het programma Cyberveiligheid) begint die uitdaging al bij de inkoop. Beiden benadrukken dat ze géén jurist en géén inkoper zijn – ze kijken vooral vanuit de praktijk van een mbo-instelling die hier dagelijks mee te maken heeft.

Twee vragen

De sessie opent met twee vragen. De eerste: moet een instelling kunnen eisen dat AI-functionaliteit uitgeschakeld wordt? De meeste deelnemers vinden van wel: je moet regie kunnen houden. Maar er volgen ook direct nuanceringen: wat als AI de kern van een nieuw product wordt? En wat als AI in machines zit waarover je geen volledige controle hebt? De vraag vraagt dus vooral om meer context. Bij de tweede vraag – wie is verantwoordelijk als AI foutieve studieadviezen ondersteunt? – blijkt al snel dat deze verantwoordelijkheid niet makkelijk te bepalen is. En dat je er als instelling alles aan moet doen om verkeerde studieadviezen te voorkomen.

Niet alles dichttimmeren

De rode draad in de workshop: timmer niet alles dicht, want dan blokkeer je innovatie. Ronald en Jack pleiten voor het combineren van strak leveranciersbeheer met lichtgewicht, iteratieve governance: continu monitoren, leren en bijsturen. Ook moet duidelijk zijn dat niemand de AI-governance alleen op zijn of haar bord kan krijgen. In de mbo-praktijk gaat het vaak om een-tweetjes tussen inkoop, de privacy officer, IBP, security en juridisch. Een deelnemer geeft aan dat hij bij zijn instelling proceseigenaar van zo’n keten is.

Wettelijke kaders

Aan kaders ontbreekt het niet. De AI-verordening regelt verantwoord gebruik en ontwikkeling van AI met het oog op veiligheid, grondrechten en vertrouwen van burgers. De Data Act stelt regels voor eerlijk delen, gebruiken en beschikbaar stellen van data om innovatie, concurrentie en gebruikerscontrole te bevorderen. Voor het onderwijs gelden vier hoogrisicoverwerkingen, plus twee als werkgever. Let op: als je als instelling zelf aanbieder van AI wordt, krijg je te maken met strengere verplichtingen!

Regie via inkoop

Inkoop is volgens Ronald en Jack een belangrijk instrument om de abstracte wetgeving te vertalen naar afdwingbare afspraken. Hiermee kun je verantwoordelijkheden, normen voor informatiebeveiliging en regels voor datagebruik vaststellen, inclusief de ruimte om gedurende het contract bij te sturen. Dat is bij AI-toepassingen extra belangrijk, omdat algoritmen en datastromen vaak verborgen risico’s bevatten.

Inkoopvoorwaardenkader voor het mbo?

GIBIT 2025 is een door gemeenten ontwikkeld en juridisch getoetst inkoopvoorwaardenkader met expliciete bepalingen voor AI. Als we deze aanpassen voor de mbo-praktijk kunnen we juridische kosten verlagen, efficiëntere inkoopprocessen mogelijk maken en aansluiten op sectorspecifieke risico’s en brancheafspraken. Ze versterken bovendien de samenwerking in de keten.

De deelnemers kunnen bijdragen aan dat inkoopvoorwaardenkader voor het mbo. Op post-its kunnen ze aangeven op welke punten ze zich zorgen maken als het gaat om AI en data in leveranciersrelaties. En welke onderwerpen de mbo-sector gezamenlijk moet vastleggen in inkoopvoorwaarden of standaarden. Op basis van de input onderzoekt het programma vervolgstappen rond sectorale inkoopvoorwaarden, gebaseerd op GIBIT 2025, bijvoorbeeld met een werkgroep. Geïnteresseerden kunnen zich aanmelden via het team van programma Cyberveiligheid mbo.

We hebben de deuren op slot — maar wie heeft de sleutels?

Door Henry Meutstege

Odido, Basic Fit, TU Eindhoven: dit jaar waren er al meerdere grote cybersecurity-incidenten in het nieuws. Bij alle drie was onvoldoende logisch toegangsbeheer de directe oorzaak. Henry Meutstege opent zijn workshop met deze observatie, en met de constatering dat ook bij veel mbo-instellingen het beheer van identiteiten en rechten een zwakke schakel is. ‘We hebben de deuren en ramen technisch goed op slot, maar we hebben vaak geen idee wie de sleutels heeft.’

Voorkomen dat iedereen overal bij kan

Het patroon achter de genoemde hacks is veelzeggend: technisch was de boel best op orde, maar via social engineering van een servicemedewerker kregen aanvallers toegang tot hele klantendatabases. Daar zit ook het probleem: een servicemedewerker hoeft helemaal niet bij de volledige database te kunnen. In analogie geldt in het mbo: niet elke docent hoeft in het Student Informatie Systeem (SIS) bij álle cijfers en gegevens van studenten te kunnen.

Het fundament moet kloppen

Henry definieert logisch toegangsbeheer (internationaal Identity and Access Management, IAM) als de processen, technologieën en afspraken die bepalen wie toegang heeft tot wat, wanneer en onder welke voorwaarden. IAM werkt volgens hem alleen als het fundament klopt:

• Bronsystemen op orde: HRM voor medewerkers, SIS voor studenten en aparte registraties voor externen.
• Datakwaliteit en eigenaarschap: actuele en volledige gegevens, met eigenaarschap belegd bij HR of de onderwijsadministratie.
• Attributen en autorisatiematrix: IAM beslist op attributen (rol, afdeling, locatie, start- en einddatum) en een matrix koppelt die attributen aan rechten.

De keten loopt dus van betrouwbare brondata via juiste attributen en een vastgesteld rechtenmodel naar gecontroleerde toegang. Een functiehuis kan een mooie basis bieden, maar Henry geeft een waarschuwing mee: ‘Ga dat huis tijdens een IAM-traject niet ingrijpend wijzigen. Voor je het weet duurt de implementatie jaren.’

Gebruik beschikbare templates en handreikingen

Vanuit het programma Cyberveiligheid mbo is veel materiaal beschikbaar. SURF biedt templates voor onder meer identiteits- en toegangsbeheer, het toekennen en intrekken van autorisaties, autorisatiebeheer en controle en een autorisatiematrix, en handreikingen voor wachtwoordenbeleid en wachtwoordkluizen. Ook is er een mbo-beleidsdocument afgeleid van die SURF-templates dat via het netwerk IBP wordt gedeeld en de Handreiking Identity and Access Management van MBO Digitaal. Ook leveranciers Eduarte en Osiris hebben standaard autorisatiematrixen, en het programma Cyberveiligheid werkt aan een autorisatiematrix op basis van de referentierollen uit de MORA. Lang niet alle deelnemers weten dat deze materialen al klaarliggen.

Netwerken versterken elkaar in werkgroep IAM

Henry sluit af met een oproep. ‘Sluit je aan bij de IAM-werkgroep, waarin we bijvoorbeeld best practices delen en werken aan concrete templates en procedures. Vanuit het netwerk IBP zoeken we nadrukkelijk ook collega’s uit de netwerken Informatiemanagement en Architectuur. Want IAM is precies een onderwerp waar we elkaar kunnen versterken.’

Quickscan soevereiniteit

Door Rob Vos

Bij veel instellingen is digitale soevereiniteit een onderwerp van gesprek, vooral als het gaat over de vraag waar de data staat. Tegelijk constateert Rob Vos, strateeg Digitalisering bij Rijn IJssel en het programma Cyberveiligheid dat veel instellingen nog geen beleid hebben op dit gebied. ‘Minder afhankelijk worden van grote leveranciers kost tijd en geld, en het is op de meeste agenda’s geen hot item.’ Eén deelnemer noemt als praktijkvoorbeeld het inregelen van de maatregelen uit de DPIA voor Copilot.

Groeiende urgentie

Dat de urgentie wel groeit, is volgens Vos af te lezen aan de cijfers en aan recente gebeurtenissen. Zo’n 92 procent van de westerse data wordt gehost in de Verenigde Staten, slechts 4 procent in Europa. En de overname van Solvinity door Kyndryl heeft vragen losgemaakt over uitbesteding van IT-beheer in de publieke sector. Wie heeft de macht over voorzieningen als DigiD en MijnOverheid bij een buitenlandse overname?

Wat is digitale soevereiniteit eigenlijk?

Digitale soevereiniteit gaat volgens Vos over zeggenschap, invloed, regie, keuzevrijheid én de innovatiekracht die je in een verder digitaliserende wereld nodig hebt. Hij maakt daarbij onderscheid tussen vier samenhangende vermogens:

• Digitale zeggenschap: het vermogen om zelfstandig beslissingen te nemen en uit te voeren over het gebruik, beheer en de verwerking van digitale middelen en data.
• Digitale regie: het vermogen om digitale middelen en dataprocessen actief te sturen, beheren en coördineren op basis van eigen doelen, verantwoordelijkheden en risico’s.
• Digitale invloed: het vermogen om digitale systemen, leveranciers, standaarden en beleidskaders mee vorm te geven en te sturen, óók wanneer de directe beslissingsmacht beperkt is.
• Digitale keuzevrijheid: het vermogen om tussen digitale alternatieven te kiezen en indien nodig over te stappen, dankzij interoperabiliteit, open standaarden en beperkte afhankelijkheden.

Soevereiniteit of autonomie?

Rob benadrukt het onderscheid tussen soevereiniteit en autonomie. Soevereiniteit betekent dat je mág beslissen, en is een kwestie van recht, gezag en formeel kader. Autonomie betekent dat je het ook kúnt. Het gaat hier over het praktisch vermogen om beslissingen daadwerkelijk uit te voeren. Beide horen bij risicobeoordeling, maar ook bij visievorming. ‘Volledige onafhankelijkheid kost veel tijd en middelen en is in de praktijk vaak niet haalbaar. Het is relevanter om je af te vragen of je wil dat Microsoft of vergelijkbare partij jouw waarden bepaalt.’

De aanpak van een hbo-instelling

Een deelnemer uit het hbo deelt hoe haar instelling probeert het onderwerp op de bestuursagenda te krijgen, mede onder druk van activistische docenten. Dat komt vooral neer op het gesprek op gang brengen, risicoafwegingen maken en kleine stappen zetten richting meer onafhankelijkheid. ‘Vraag je af welke risico’s je accepteert en welke zeker niet. Welke mitigerende maatregelen kun je dan inzetten?’

Quickscan om gesprek aan te gaan

De Quickscan soevereiniteit is precies voor die gesprekken bedoeld. De scan meet hoe effectief een leverancier de data, processen en stabiliteit van een organisatie beschermt tegen ongewenste invloeden van buitenaf. Op tien thema’s beantwoord je voor elke applicatie zo’n dertig stellingen, met als resultaat een soevereiniteitsprofiel. Dit profiel maakt inzichtelijk welke risico’s je als instelling loopt.

Tool in ontwikkeling

De Quickscan soevereiniteit is nog in ontwikkeling. In de sessie wordt duidelijk dat sommige vragen voor meerdere uitleg vatbaar zijn en dat de uitkomst mede afhangt van wie (welke functie) de scan invult. De feedback is precies waar Rob op hoopte, want zo ‘maken we de scan samen steeds beter’. De scan is ook bewust minder gedetailleerd dan andere instrumenten. ‘Te veel technische diepgang werkt averechts als je het gesprek wilt aangaan met HR-afdelingen, besturen of andere niet-IT’ers. Het doel is niet om de perfecte meting te doen, maar om het gesprek over soevereiniteit te starten. Daar liggen de eerste stapjes naar bewuster beleid voor soevereiniteit en autonomie.’

Het bericht Workshops gezamenlijke netwerkdag: AI & leveranciersmanagement, IAM en digitale soevereiniteit verscheen eerst op MBO Digitaal.

Opening

De gezamenlijke netwerkdag begon met een viertal aan het woord: Martijn Bijleveld (programmamanager Cyberveiligheid mbo, namens netwerk IBP), Karin Eijsink (beleidsmanager Informatiemanagement), Shivaye Jagesar (namens netwerk Architectuur) en Leon Sproten (voorzitter netwerk IM) heetten de deelnemers welkom. De toon was vanaf het begin uitnodigend: ‘Laten we elkaar informeren en het vooral gezellig hebben.’ Leon gebruikte het openingsmoment voor een oproep. Het netwerk Architectuur zoekt al ruim een jaar een nieuwe voorzitter. ‘Sta op en neem het voorzitterschap van dit actieve netwerk op je’, hield hij de zaal voor.

Martijn gaf de deelnemers nog een praktische tip mee voor de rest van de dag: ‘Loop ook eens binnen bij de workshops van een ander netwerk. Zodat je weet wat er bij de collega-netwerken speelt. Dat is precies waar deze gezamenlijke netwerkdag voor bedoeld is.’

Carrousel en presentaties workshops

Na de plenaire opening door de drie netwerken volgde de carrousel. In elevatorpitch-stijl vertelden de workshop-presentatoren kort en krachtig in maximaal een minuut over de inhoud van hun sessies.

Bekijk hier de filmpjes en presentaties

Panelgesprek: Heldere afspraken, betere samenwerking

Wat betekenen Edu-V, Npuls en SURF Vendor Compliance in de praktijk? Drie vertegenwoordigers van deze programma’s en drie experts uit de netwerken gingen hierover onder leiding van Imane Oulali met elkaar in gesprek. De rode draad: het landschap is nog versnipperd, maar samen optrekken loont. Voor instellingen én voor leveranciers.

Lees hier het verslag van het panelgesprek

Workshops

Er waren drie rondes met in totaal 15 workshops georganiseerd door de netwerken, partners en mbo-instellingen. Een afsluitende vierde ronde was gereserveerd voor de individuele netwerken. De programmamanagers praatten hierin de netwerkleden bij over de belangrijkste ontwikkelingen binnen hun netwerk.

De beschrijvingen van de workshops vind je op deze pagina, de presentaties en elevatorpitiches ervan kun je hier terugkijken. Een verslag van drie workshops vanuit het programma Cyberveiligheid mbo lees je op deze webpagina.

Afsluiting

Ter afsluiting bedankten Martijn, Leon, Karin en Shivaye de deelnemers voor hun aanwezigheid. En ze vroegen de aanwezigen om een eerste reactie. Het organiseren van een gezamenlijke netwerkdag werd gewaardeerd. ‘Goed dat we dit doen, want zo krijgen we ook te horen wat er leeft bij de andere netwerken’, zoals een aanwezige de dag samenvatte. De algemene consensus na afloop was dat er steeds meer thema’s zijn waar de drie netwerken verbinding moeten zoeken én kunnen vinden. Er zijn meerdere activiteiten die we nog niet netwerkoverstijgend organiseren, maar waarbij dat wel meerwaarde biedt. Shivaye: ‘Als we sparren met mensen van verschillende niveaus en afdelingen in instellingen, krijgen we waardevolle feedback vanuit verschillende perspectieven.’

Het bericht Terugblik gezamenlijke netwerkdag IBP, Informatiemanagement en Architectuur verscheen eerst op MBO Digitaal.

Leveranciersmanagement, AI en sectorale inkoopvoorwaarden

Ronald Kollen en Jack Le Doux

Download de presentatie

Generieke autorisatiematrix gebaseerd op MORA-rollen

Max Passet en Shivaye Jagesar

Download de presentatie

Mbo digitaliseringsroute in de praktijk

Leon Sprooten

Download de presentatie

Hoe staat de applicatiecatalogus ervoor?

Rob Vos

Download de presentatie

EduWallet: regie en autonomie over je eigen data in een open leerecosysteem

Juul de Louw en Peter Eikelboom

Download de presentatie

We hebben de deuren op slot – maar wie heeft de sleutels?

Henry Meutstege

Download de presentatie

Dataobjecten in MORA: dit kun je ermee

Aladin Mhamdi en Shivaye Jagesar

Download de presentatie

Nextcloud: status en verdieping

Rob Vos

Download de presentatie

MORA als startpunt voor een BIA

Henk Links en Shivaye Jagesar

Download de presentatie

Quickscan soevereiniteit

Rob Vos

Download de presentatie

Doorpakken op data-governance

Frank ten Hove en Richard de Koning

Download de presentatie

Van interpretatie naar praktijk: GO.04 niveau 3 begrijpbaar en toepasbaar

Edo Meinema en Aladin Mhamdi

Download de presentatie

Npuls voorzieningenwijzer – van losse digitale sectorvoorzieningen naar één verhaal

Silvia Verkleij en Desirée van den Bergh

MORA – the game

Maartje Hermans en Carla Bloeme

Download de presentatie

Cyberweerbaarheidspool – the game

Martijn Bijleveld

Het bericht Gezamenlijke netwerkdag: pitches en presentaties workshops verscheen eerst op MBO Digitaal.

Drie programma’s, drie pitches

H-P Köhler neemt het voortouw met een toelichting over Edu-V, het afsprakenstelsel voor betrouwbare digitale gegevensuitwisseling in het po, vo en mbo. De stichting organiseert ook het toezicht op de naleving en beheert het keurmerk. Edu-V moet zorgen voor meer regie over data voor school en student, meer vertrouwen in de betrouwbaarheid en veiligheid van systemen, en een gelijker speelveld voor leveranciers. En voor beter onderwijs, door meer transparantie, inzicht en flexibiliteit in de markt van leermiddelen. Edu-V werkt aan een toepassingsprofiel dat het stelsel verbindt met de breder gebruikte standaard OOAPI.

Volgens kwartiermaker Isabelle van Woerkom streeft Npuls, een afsprakenstelsel voor digitale leermaterialen en educatieve technologie in het vervolgonderwijs, twee doelen na. Studenten moeten zelf de regie hebben over de eigen leer- en ontwikkelroute én doorlopend het beste (actueel en van hoge kwaliteit) onderwijs kunnen volgen. Ook wil Npuls AI en data waarde(n)vol inzetten. Het stelsel legt afspraken vast over onder andere privacy, informatiebeveiliging, technische standaarden en beheer.

In zijn pitch vertelt Koos Kruithof dat SURF Vendor Compliance (SVC) het compliance-onderdeel van de inkoop bij SURF is. De dienst omvat onder meer compliance assessments, DPIA’s en security assessments, uitgevoerd door een multidisciplinair team van (privacy)juristen, technici en beveiligingsexperts. Onderwijsdata staan bij grote partijen, en onderwijsinstellingen willen en moeten borgen dat hierbij de juiste eisen worden gesteld en afgedwongen. SVC gaat hierover het gesprek aan met leveranciers en instellingen. De dienst geeft instellingen meer onderhandelingskracht richting leveranciers. In Koos’ eigen woorden: die moeten ‘comply or die’.

Welk probleem lossen we eigenlijk op?

Imane opent het gesprek met een fundamentele vraag: wat lossen deze stelsels eigenlijk op? H-P wijst op privacy- en security-issues: ‘Scholen krijgen een instrument waarmee ze de inkoop kunnen sturen. Dat geeft meer vertrouwen in wat ze afnemen – ook op ethisch gebied’. Isabelle plaatst de stelsels in een historisch en toekomstgericht perspectief: waar het onderwijs tot nu toe vooral papieren processen heeft gedigitaliseerd, is de komende flexibilisering van het onderwijs de echte uitdaging. ‘De stelsels zorgen voor een speelveld dat hierbij past, waarin instellingen niet alleen staan.’ Ook Koos legt de nadruk op de kracht van het collectief: ‘overkoepelend kun je zaken afdwingen bij leveranciers’.

Niels Dutij (netwerk IBP) komt met een suggestie. ‘Er zijn veel standaarden naast elkaar: kunnen we die niet meer samentrekken? Bovendien lopen leveranciers onderling sterk uiteen in hun kennis van techniek en beveiliging. We zouden als sectoren veel meer uniforme eisen moeten stellen, zodat het voor leveranciers duidelijk is hoe zij security en compliance moeten vormgeven.’

Wie betaalt de rekening?

Verhogen leveranciers hun tarieven niet als ze aan al die voorwaarden moeten voldoen, vraagt iemand in het publiek zich af. Volgens Isabelle werken afsprakenstelsels juist prijsdempend: ‘Ook voor leveranciers wordt het speelveld eenvoudiger. En voor Npuls krijgen ze compensatie omdat ze standaarden versneld moeten integreren.’ Koos stelt dat juist de instelling die alles alleen wil regelen, tegen hogere kosten oploopt. ‘Als groep sta je veel sterker; in je eentje ben je geen partij.’ H-P wijst erop dat Edu-V expliciet bepaalt dat leveranciers geen kosten voor koppelingen in rekening mogen brengen.

Een afsprakenstelsel over afsprakenstelsels?

Voor Aladin Mhamdi (netwerk Architectuur) hadden Edu-V en Npuls er al veel eerder mogen zijn. ‘Het kost ons veel tijd om alle afspraken en voorwaarden bij te houden. Het landschap is erg versnipperd en niet helder. Als school kunnen we niet onder de motorkap kijken op het niveau dat een compliance-dienst dat doet. Maar nu hebben we bijna een afsprakenstelsel nodig over hoe we met verschillende afsprakenstelsels omgaan. Een applicatiecatalogus zou hierin volgens mij dé uitkomst zijn.’

Isabelle herkent deze behoefte. ‘Het zou mooi zijn als keurmerk, DPIA en aanverwante toetsen samenkomen, zodat een instelling bij inkoop kan vertrouwen dat alle vinkjes op groen staan.’ H-P wijst ook op aankomende wettelijke kaders: OCW en de programma’s zijn in gesprek over welke onderdelen verplicht worden. ‘Daarmee krijgt een school straks ook een juridische stok achter de deur. Een contract is dan niet genoeg als een leverancier niet aan de afspraken voldoet.’

Ruimte voor innovatie

Een tweede vraag uit de zaal: ‘Houden de stelsels wel rekening met innovatie?’ Volgens H-P zeker wel: ‘Interoperabiliteit is een voorwaarde om te kunnen innoveren, en de afspraken vormen puzzelstukjes waarmee leveranciers kunnen experimenteren.’ Isabelle voegt toe dat nieuwe partijen door de stelsels sneller zien welke nieuwe koppelingen ze kunnen maken. Marc Dietzenbacher van het netwerk Informatiemanagement beaamt dit: ‘De stelsels maken de markt transparanter. Dat geeft meer ruimte om te innoveren.’

Wat staat er nog op de agenda?

Tot slot kijkt het panel vooruit. MBO Digitaal, Npuls en Edu-V zijn in gesprek over hoe OOAPI breder geïmplementeerd kan worden; er is zelfs een vacature voor een projectleider die dit traject vormgeeft. De samenwerking tussen Edu-V en Npuls wordt structureel: gezamenlijke afstemming, gezamenlijke ontwikkeling van generieke standaarden en een gezamenlijke roadmap voor harmonisatie. ‘Voor een school maakt het uiteindelijk niet uit of iets Npuls, Edu-V of OOAPI heet,’ merkt Aladin op, ‘die wil gewoon weten waar het aan toe is.’

H-P sluit af met een groot compliment aan de zaal vol mbo’ers. ‘Het is niet vanzelfsprekend zoals jullie elkaar zo actief opzoeken in vele netwerken en werkgroepen. Dat zie ik veel minder in andere sectoren. Blijft dat doen, want samen sta je sterker.’

Het bericht Panelgesprek Edu-V, Npuls en SURF: Heldere afspraken, betere samenwerking verscheen eerst op MBO Digitaal.

Met bestuurlijke afspraken hebben we ambitieuze doelen voor de cyberveiligheid van de sector vastgelegd. In 2029 willen we mbo-breed een gemiddeld volwassenheidsniveau van 3,0 scoren op het NBA-toetsingskader, en een jaar later moet elke individuele instelling op dat niveau zitten.

Van 1,8 naar 3,0: een forse ambitie

‘En daarvoor hebben we nog wel een weg te gaan’, vertelt programmamanager Martijn Bijleveld. ‘De externe security-audits geven aan dat het huidige sectorgemiddelde 1,8 is. Daarmee is de sprong naar een gemiddeld volwassenheidsniveau 3.0 in 2029 bijna onoverbrugbaar. Met de cyberweerbaarheidspool zetten we een concreet baken op weg naar die streefvolwassenheid.’

Volwassenheidseisen voor 22 statements

Om in september 2027 aanspraak te kunnen maken op de garantstelling vanuit de pool gelden er volwassenheidseisen voor 22 van de 69 statements uit het toetsingskader. Deze statements zijn bovengemiddeld bepalend voor de cyberweerbaarheid en moeten voor het grootste deel op niveau 3 uitkomen. Martijn: ‘Zo brengen we een duidelijke prioritering aan en bereiken we volgens de prognose in 2027 ruimschoots een gemiddeld niveau van 2,3. We liggen dan op schema richting onze ambities voor 2029/2030. En we zorgen er zo voor dat we op een verantwoorde manier voor elkaar garant kunnen staan als de cyberweerbaarheidspool in september 2027 van start gaat. De komende periode ondersteunen we vanuit het programma instellingen ook volop om concreet aan de slag te gaan met de 22 statements.’

Waarom een roadmap?

De roadmap maakt de opgave voor instellingen overzichtelijk, haalbaar en beheersbaar. ‘De roadmap laat zien wat er wanneer moet gebeuren en waarom’, licht Edo Meinema van het programma toe. ‘In de eerste fase brengen we de basis op orde: onder andere governance, risicomanagement en bewustwording. In fase twee verschuift de aandacht naar werkende kernmaatregelen en operationele beveiliging. En in fase drie zorgen we dat alles structureel is ingebed en aantoonbaar standhoudt.’ Op deze manier wordt de opgave, individueel en voor de sector, overzichtelijk, haalbaar en beheersbaar.

Regie blijft bij de instellingen

Een belangrijk uitgangspunt van de roadmap is dat instellingen zelf de regie houden. ‘We gaan voor uniformiteit waar mogelijk en maatwerk waar nodig’, vat Edo het samen. ‘Wie al verder is, kan opgedane kennis delen. Wie ondersteuning nodig heeft, kan dit aanvragen vanuit het programma. We beschikken namelijk over een berg aan opgedane kennis en ervaring bij de verschillende instellingen. Omdat alle instellingen hetzelfde stappenplan in hetzelfde ritme volgen, kunnen we vanuit het programma centraal activiteiten organiseren en van elkaar leren.’

Wat het programma Cyberveiligheid biedt

Het programma biedt tijdens de roadmap een uitgebreid palet aan sectorbrede en individuele ondersteuning: inloopspreekuren, online en on-site workshops, schrijfsessies voor beleidsdocumenten, themagerichte coaching en individuele begeleiding van team of bestuur. CISO as a Service van het programma, Henry Meutstege, staat hiervoor samen met Edo paraat. Ook is het team recent uitgebreid met de ervaren CISO’s Matijs van Hilst en John Strijker. ‘Met zijn vieren zijn we beschikbaar om instellingen op locatie of op afstand te helpen,’ vertelt Edo.

…en wat instellingen zelf doen

‘Van instellingen verwachten we hiervoor commitment en transparantie over de voortgang terug’, vult Henry Meutstege aan. ‘Niet om te toetsen, maar zodat we kunnen bijsturen als dat nodig is. We willen voorkomen dat we in september 2027 tot de conclusie komen dat we iets gemist hebben.’ In de mbo-brede GRC-applicatie TrustBound is hiervoor voor elk statement van het toetsingskader een overzichtelijke takenlijst ontwikkeld. ‘Die biedt ook duidelijkheid voor de instellingen: zij zien hier wat de planning, status en voortgang van de taken op de roadmap zijn.’

Samen werken aan een cyberweerbaarder mbo

‘Wij leveren de structuur, de kennis en de ondersteuning,’ vat Edo de roadmap samen. ‘De instellingen leveren de regie en het commitment. We hebben veel kennis in de sector, verspreid over alle instellingen. Als we samen optrekken, kan elke instelling op alle onderdelen volwassener worden. Samen werken we aan één doel: een mbo-sector die aantoonbaar cyberweerbaar is.’

Meer weten over de roadmap of de Cyberweerbaarheidspool? Neem contact op met Edo Meinema of Henry Meutstege.

Het bericht Roadmap Cyberweerbaarheidspool: samen op weg naar een aantoonbaar weerbare sector verscheen eerst op MBO Digitaal.

Het bericht Nieuwsbrief 137 is uit! verscheen eerst op MBO Digitaal.

Het bericht Edu-V, Npuls en SURF op gezamenlijke netwerkdag IBP, IM en Architectuur verscheen eerst op MBO Digitaal.

Het bericht Data je mee? Datadinsdag 9 juni bij Deltion verscheen eerst op MBO Digitaal.