Medewerkers van een mbo-instelling willen een nieuwe applicatie gebruiken. De tool wordt al ingezet bij gemeenten en uitvoeringsorganisaties en er is een getekende verwerkersovereenkomst. Alles lijkt in orde. Totdat bij nader onderzoek blijkt dat de leverancier geen actuele certificering van informatiebeveiliging heeft en verwijst naar achterhaalde sectorafspraken. ‘De privacyfunctionaris trekt dan aan de rem, terwijl gebruikers staan te popelen om met de tool aan de slag te gaan’, vertelt Niels Dutij van het programma Cyberveiligheid mbo.

Volgens Niels komt het vaker voor dat mbo-instellingen te veel vertrouwen op een getekende verwerkersovereenkomst. ‘Instellingen denken soms dat ze een applicatie kunnen gebruiken zodra ze de verwerkersovereenkomst getekend hebben. Maar dan weten ze nog niet of ze de applicatie veilig kunnen gebruiken en of de persoonsgegevens van studenten en medewerkers voldoende beschermd zijn.’

Wat een verwerkersovereenkomst wel en niet regelt

In een verwerkersovereenkomst leggen de instelling en de leverancier afspraken vast over het verwerken van persoonsgegevens. Bijvoorbeeld welke persoonsgegevens de leverancier mag verwerken, met welk doel dat gebeurt en welke beveiligingsmaatregelen de partijen hebben afgesproken. ‘Maar je weet nog niet of de informatiebeveiliging van de leverancier ook daadwerkelijk op orde is’, vertelt Niels.

‘Je moet dus ook onderzoeken hoe de leverancier de persoonsgegevens beveiligt en wie erbij kan’, vervolgt hij. ‘Daarnaast heb je ook als instelling nog werk te doen. Je moet bepalen welke gegevens je wilt delen en hoe lang je die bewaart. Ook wil je vastleggen wat de risico’s zijn voor studenten en medewerkers en wat er gebeurt als het onverhoeds toch misgaat.’

Stap voor stap de risico’s onderzoeken

Volgens Niels vraagt leveranciersmanagement daarom om een zorgvuldige voorbereiding. ‘Voordat je een applicatie in gebruik neemt, wil je weten hoe de leverancier gegevens beveiligt en welke risico’s de verwerking met zich meebrengt. Een verwerkersovereenkomst is daarbij één onderdeel, maar niet het eindpunt. Verwerkt de leverancier bijvoorbeeld bijzondere persoonsgegevens? Hoe regelen we de toegangsrechten? Wat gebeurt er met alle data als ik stop met de tool? Ook deze vragen wil je voor ingebruikname beantwoorden om risico’s in kaart te brengen en te bepalen welke maatregelen nodig zijn. Eventueel laat je hiervoor een data protection impact assessment (DPIA) uitvoeren.’

Een DPIA brengt de privacyrisico’s van het verwerken van persoonsgegevens in kaart. Op basis daarvan kan de instelling maatregelen nemen om de risico’s te verkleinen. ‘Een DPIA is verplicht als de verwerking van persoonsgegevens waarschijnlijk een hoog privacyrisico heeft’, vertelt Niels. ‘Als een nieuwe tool veel persoonsgegevens verwerkt die bovendien gevoelig zijn, dan moeten er alarmbellen afgaan. Bijvoorbeeld een assessmenttool die gegevens verzamelt over capaciteiten, leerstijlen, persoonlijke omstandigheden of het risico op schooluitval. Dan wil je als school goed in beeld hebben wie er bij die gevoelige informatie kan, waar de gegevens zijn opgeslagen en hoe ze beveiligd zijn.’

Wat als de risico’s niet goed zijn afgedekt?

Als een instelling de privacyrisico’s onvoldoende onderzoekt of niet de juiste maatregelen neemt, kan dat grote gevolgen hebben voor studenten, medewerkers en de instelling zelf. ‘Het gaat al snel om gevoelige informatie’, vertelt Niels. ‘Je wilt voorkomen dat die door een slechte beveiliging of ongeoorloofd delen bij anderen terechtkomt. Want studentgegevens kunnen dan later in een andere context opduiken of gebruikt worden voor stigmatisering of profilering. Bij een applicatie die gegevens van duizenden studenten verwerkt, kan een incident veel studenten raken.’

Niels vervolgt: ‘Volgens de Algemene verordening gegevensbescherming (AVG) moet je als instelling kunnen aantonen dat je zorgvuldig met persoonsgegevens omgaat. Als een DPIA verplicht is, moet je die uitvoeren vóórdat je met de verwerking begint. Bij serieuze overtredingen kan de Autoriteit Persoonsgegevens aanzienlijke boetes opleggen en is de reputatieschade in de praktijk minstens zo relevant.’

Ook bestuurlijk kunnen de gevolgen groot zijn. ‘Als er iets misgaat met gevoelige gegevens van duizenden studenten, dan moet je als bestuurder kunnen uitleggen waarom je instelling die applicatie is gaan gebruiken. Welke risico’s hebben jullie onderzocht en welke maatregelen hebben jullie genomen? Als dat onderzoek niet is uitgevoerd, bevind je je in een lastige positie tegenover studenten, ouders, medewerkers en de toezichthouder.’

Waarom allemaal hetzelfde onderzoek doen?

Dat betekent niet dat iedere mbo-instelling al die onderzoeken naar tools zelf hoeft te doen. Het programma Cyberveiligheid mbo voert sectorale DPIA’s uit voor applicaties die veel mbo-instellingen gebruiken. Onafhankelijke specialisten onderzoeken de privacyrisico’s, waarbij het programma de belangen van de instellingen vertegenwoordigt en het onderzoek inhoudelijk begeleidt. De leverancier levert informatie aan en kan de bevindingen toelichten. De resultaten en aanbevelingen worden vervolgens met de instellingen gedeeld.

‘Dat is veel efficiënter dan dat elke instelling vanaf nul dezelfde DPIA uitvoert. We organiseren het sectorbreed in één keer goed en delen de uitkomsten. Instellingen hoeven niet allemaal dezelfde vragen aan een leverancier te stellen en kunnen gebruikmaken van gezamenlijke onderzoeksresultaten’, legt Niels uit. ‘Als instelling moet je daarna natuurlijk nog wel de aanbevelingen binnen je eigen organisatie uitvoeren. Een sectorale DPIA neemt je eigen verantwoordelijkheid niet weg.’

De inmiddels vijftien afgeronde sectorale DPIA’s leverden al veel concrete verbeterpunten op. Denk aan aanbevelingen over toegangsrechten, het beperken van de hoeveelheid persoonsgegevens en het versterken van de informatiebeveiliging. De afgeronde DPIA’s en bijbehorende aanbevelingen voor mbo-instellingen zijn beschikbaar in de Teams-omgeving van het netwerk IBP van MBO Digitaal.

Meer dan alleen een DPIA

Bij goed leveranciersmanagement komt meer kijken dan een verwerkersovereenkomst en een DPIA. Ook security-audits, certificeringen en keurmerken kunnen inzicht geven in hoe een leverancier omgaat met informatiebeveiliging en privacy.

Niels noemt het EDU-V-keurmerk als voorbeeld. Daarmee kunnen leveranciers van digitale onderwijs- en leermiddelen aantonen dat hun producten voldoen aan belangrijke afspraken over informatiebeveiliging, privacy en gegevensuitwisseling. ‘Een keurmerk helpt, maar vervangt niet het eigen nadenken’, benadrukt Niels. ‘Dus blijf je je als instelling altijd afvragen welke gegevens je verwerkt en in welke context je dat doet. En wat dat betekent voor je studenten en medewerkers.’

‘We hoeven als mbo niet tachtig keer dezelfde vragen aan dezelfde leverancier te stellen. Als we het gezamenlijk goed organiseren, kunnen instellingen hun energie steken in de keuzes en maatregelen die binnen hun eigen organisatie nog nodig zijn.’

Dit artikel verscheen in de Cybersecuritymaand. Benieuwd naar meer tips van experts en inzichten van mbo-scholen? Hier vind je alle verhalen.

Het bericht Een verwerkersovereenkomst is niet genoeg: hoe veilig is jouw softwareleverancier? verscheen eerst op MBO Digitaal.

Een verkeerd verstuurde e-mail, een melding dat je ergens ingelogd hebt terwijl je helemaal niet achter je pc zat of tóch op die verkeerde link geklikt. Het kan iedereen overkomen. Juist dan is het belangrijk om niet af te wachten, benadrukt CISO Matijs van Hilst. ‘Meld het meteen als iets niet klopt. Hoe sneller je erbij bent, hoe groter de kans dat de schade beperkt blijft.’

Twijfel is ook een reden om te melden

Volgens Matijs wachten medewerkers soms te lang omdat ze niet zeker weten of er echt iets aan de hand is. Of omdat ze denken dat ze het probleem eerst zelf moeten oplossen. ‘Maar je hoeft niet zelf te beoordelen hoe ernstig iets is. Daar zijn collega’s van ICT of security voor. Ook als je alleen twijfelt, is het beter om even aan de bel te trekken.’

Dat geldt bijvoorbeeld als je per ongeluk informatie naar de verkeerde persoon stuurt, een laptop of telefoon kwijtraakt, een onverwachte MFA-melding (multifactorauthenticatie) krijgt of een verdachte mail ontvangt. Ook als je al op een link hebt geklikt, heeft melden nog steeds zin. ‘Een snelle melding geeft ons de kans om te controleren wat er is gebeurd en waar nodig direct maatregelen te nemen. Wachten maakt dat vaak alleen maar lastiger.’

Meer CISO-tips

In de Cybersecuritymaand delen we 4 praktische tips die je morgen al kunt toepassen. Eerder verscheen al tip #1 over wachtwoordzinnen en tip #2 over alert blijven op nepberichten. Houd mbodigitaal.nl deze maand in de gaten voor de laatste tip.

Het bericht Tip van de CISO #3: meld het meteen als iets niet klopt verscheen eerst op MBO Digitaal.

Johan van der Steen, informatiemanager bij het Da Vinci College, herkent het verzoek maar al te goed. ‘Soms vraagt iemand gewoon om dezelfde rechten als een collega. Terwijl je eigenlijk eerst moet kijken welke taken diegene uitvoert en welke toegang daarvoor nodig is.’ Want hoe meer mensen toegang hebben tot systemen en gegevens, hoe groter de risico’s voor informatiebeveiliging en privacy.

Een gezamenlijke basis

Om scholen hierbij te helpen, hebben de informatiemanagers van het Da Vinci College, het Graafschap College en het Hoornbeeck College gezamenlijk rollen en verantwoordelijkheden in kaart gebracht. Dat deden ze binnen de MORA, de referentiearchitectuur van het mbo. Dit is een soort gezamenlijke blauwdruk die beschrijft hoe processen, informatie en systemen binnen mbo-instellingen samenhangen. Lees meer in de MORA startgids.

‘Op hoofdlijnen werken mbo-scholen allemaal hetzelfde’, legt Carla Bloeme, informatiemanager bij het Graafschap College, uit. ‘Waarom zouden we dan allemaal afzonderlijk het wiel uitvinden?’ Tot nu toe beschreef de MORA vooral processen, informatie en systemen. Daar zijn nu rollen aan toegevoegd: wie doet wat en wie is waarvoor verantwoordelijk? Een belangrijke basis om vervolgens te bepalen welke toegangsrechten medewerkers nodig hebben.

Van intake tot examinering

Wat betekent dat in de praktijk? Johan geeft een voorbeeld. ‘Wanneer een student zich aanmeldt, volgt er misschien een intakegesprek. De intaker moet bepaalde informatie kunnen inzien en vastleggen. Maar als een student extra ondersteuning nodig heeft, komt bijvoorbeeld een tweedelijnsondersteuner in beeld. Die heeft weer andere verantwoordelijkheden.’

Ook bij examinering is een duidelijke taakverdeling belangrijk. Zo moet je voorkomen dat iemand zowel een examen beoordeelt als de uitslag definitief vaststelt. Door rollen helder vast te leggen, kunnen scholen beter bepalen wie toegang krijgt tot welke informatie en welke taken gescheiden moeten blijven.

Samen kom je verder

De samenwerking leverde de betrokken scholen ook nieuwe inzichten op. ‘Soms bleek dat we hetzelfde werk deden, maar er een andere naam voor gebruikten’, vertelt Johan. Door ervaringen te vergelijken, ontstond een gezamenlijke basis die andere mbo-scholen kunnen gebruiken.

Dat bespaart tijd en maakt het bovendien makkelijker om afspraken te maken met softwareleveranciers. Carla: ‘Je krijgt een soort kapstok waarmee je veel eenvoudiger kunt kijken hoe de rollen binnen je eigen organisatie zijn verdeeld.’

De volgende stap

Het vastleggen van de rollen is een eerste stap. Er wordt ook gewerkt aan een gezamenlijk model waarmee scholen kunnen toetsen welke toegangsrechten bij welke rol horen. Dat helpt om medewerkers de juiste toegang te geven en die weer in te trekken als hun taken veranderen.

De uitdaging zit volgens Carla vooral in de toepassing van de generieke rolbeschrijvingen naar de eigen school. ‘Je moet het vertalen naar je eigen organisatie.’ Haar advies aan andere scholen? ‘Begin bij een concreet vraagstuk, zoals onduidelijkheid over verantwoordelijkheden of toegangsrechten. Zo wordt de MORA een praktisch hulpmiddel om meer grip te krijgen op de organisatie én de cyberveiligheid te versterken.’

Dit artikel maakt deel uit van de reeks Schoolvoorbeelden. Tijdens de cybersecuritymaand laten we mbo-scholen aan het woord over hoe zij werken aan hun cyberweerbaarheid.

Het bericht Wie mag wat? Mbo-scholen leggen samen de basis voor betere cyberveiligheid verscheen eerst op MBO Digitaal.

Als College van Bestuur ben je eindverantwoordelijk voor informatiebeveiliging en privacy. Dat betekent niet dat je elk technisch detail hoeft te kennen, maar wél dat je erop moet kunnen vertrouwen dat je organisatie de risico’s beheerst en tijdig aan de afspraken voor de Cyberweerbaarheidspool voldoet.

De komende jaren zijn cruciaal. In 2029 moet de mbo-sector gemiddeld volwassenheidsniveau 3.0 bereiken op het gebied van informatiebeveiliging en privacy. In 2030 moet elke individuele instelling op dat niveau zitten. Op 1 oktober 2027 start al de Cyberweerbaarheidspool. Om hieraan deel te nemen, moet je instelling minimaal 22 onderdelen van de informatiebeveiliging niveau 3 hebben bereikt. Een externe auditor toetst of dat daadwerkelijk het geval is.

Meer weten over deze eisen? Lees het artikel over de roadmap Cyberweerbaarheidspool.

Stel jezelf deze 5 vragen

1. Waar staan we nu op het gebied van informatiebeveiliging en privacy?

   Het sectorgemiddelde ligt op 2.0 voor informatiebeveiliging en 2.4 voor privacy. Weet je hoe jouw instelling scoort? En weet je op welke onderdelen nog de grootste stappen nodig zijn om niveau 3.0 te bereiken?

2. Hebben wij een concreet plan om niveau 3.0 te bereiken?

   Een doelstelling alleen is niet genoeg. Is duidelijk welke stappen de komende jaren nodig zijn? Zijn daarvoor concrete mijlpalen afgesproken en is er voldoende tijd, budget en capaciteit beschikbaar?

3. Liggen wij op schema voor deelname aan de Cyberweerbaarheidspool per 1 oktober 2027?

   Weet je welke onderdelen binnen jouw instelling nog aandacht vragen en of de planning richting oktober 2027 haalbaar is?

4. Is er een duidelijke eigenaar met mandaat en budget?

   Informatiebeveiliging en privacy vragen om duidelijke verantwoordelijkheid binnen de organisatie. Is er iemand die het overzicht heeft, beslissingen kan nemen en beschikt over voldoende mandaat, capaciteit en budget om maatregelen door te voeren?

5. Krijgen we als bestuur voldoende informatie om tijdig bij te sturen?

   Cyberveiligheid vraagt om blijvende aandacht. Wordt de voortgang regelmatig besproken in de planning-en-controlcyclus? En krijg je als bestuur informatie waarmee je kunt zien waar de risico’s zitten, of maatregelen werken en waar extra actie nodig is?

Ondersteuning nodig?

Het programma Cyberveiligheid ondersteunt instellingen bij het versterken van cyberveiligheid en privacy. Van zelfevaluaties tot implementatieondersteuning en voorbereiding op de Cyberweerbaarheidspool. Neem contact op met Martijn Bijleveld (programmamanager).

Dit artikel verscheen in het kader van de Cybersecuritymaand oktober. In deze maand vind je tips van CISO’s, verhalen van scholen en meer op de website van MBO Digitaal.

Het bericht 5 vragen die elk College van Bestuur zichzelf moet stellen over cyberveiligheid verscheen eerst op MBO Digitaal.

In de MORA 2.7 Cyberrelease versie zijn de volgende aanpassingen gedaan:

1. Nieuwe MORA look & feel: wanneer informatie slecht vindbaar is, ontstaan er blinde vlekken. De vindbaarheid van informatie binnen de MORA is verhoogd door aanpassingen in de navigatiestructuur en pagina’s op de MORA website. Hierdoor kunnen mensen die hier belang bij hebben relatief nieuwe elementen, zoals dataobjecten en rolobjecten, gemakkelijker vinden.
2. Rollen: de MORA heeft processen die veelvuldig gebruikt worden voor allerlei use-cases. Om door te zetten op procesmanagement bevat de MORA nu ook rolobjecten. Deze objecten geven aan welke rollen een instelling minimaal nodig heeft om een proces uit te kunnen voeren in de vorm van een set van taken, verantwoordelijkheden en bevoegdheden. Met deze toevoeging kunnen andere instrumenten worden gecreëerd, bijvoorbeeld een MORA-gebaseerde autorisatiematrix. Een instrument wat nodig is om de doelstellingen te behalen voor de cyberweerbaarheidspool. Samen met beleidsadviseurs van de MBO Raad, Klimmbo en de inzet van instellingen zijn deze rollen gecreëerd. Het metamodel van MORA is iets aangepast om rolobjecten een plek te kunnen geven in de MORA.
3. Dataobjecten: waar de MORA voorheen alleen globaal beschreef wat we weten (bijvoorbeeld het begrip “student”), beschrijft de nieuwe gegevenslaag welke specifieke gegevens de instelling heeft, zoals een adres of identiteit. Deze toevoeging is in versie 2.6 geïntroduceerd, waarbij deze Cyberrelease ook dataobjecten toepast op procesketens. Hiermee wordt  inzichtelijk welke (persoons-)gegevens worden verwerkt in processen!
4. Meer consistentie in beschrijvingen: een aantal processen en relaties zijn tijdens de Cyberrelease aangepast om een betere lading te krijgen. Sommige namen en definities waren onvolledig en zijn nu zuiverder opgeschreven. Dit zorgt voor eenduidigheid en maakt de MORA steeds een stukje beter.

In de Release notes MORA 2.7 Cyberrelease worden alle aanpassingen in detail uitgewerkt.

Het bericht MORA 2.7 Cyberrelease staat online! verscheen eerst op MBO Digitaal.

Een mail van je directeur. Een Teams-bericht van een collega. Een link naar een document dat je snel even moet bekijken. Het ziet er betrouwbaar uit, dus klikken maar? CISO John Strijker adviseert juist om daar een kleine pauze in te bouwen. ‘De standaardreactie zou eigenlijk moeten zijn: klik niet meteen. Vraag jezelf eerst even af of het bericht klopt en of het logisch is dat je dit krijgt.’

Kijk verder dan alleen spelfouten of een vreemde afzender

Phishingberichten worden steeds overtuigender. Met behulp van AI kunnen criminelen teksten, stemmen en beelden realistisch namaken. Alleen kijken naar spelfouten of een vreemde afzender is daardoor steeds minder voldoende. ‘Context wordt steeds belangrijker’, zegt John. ‘Past deze boodschap bij de afzender? Verwacht je dit verzoek? Is het logisch dat iemand je via dit kanaal vraagt om op een link te klikken, gegevens te delen of iets goed te keuren?’

Twijfel je? Controleer het dan via een andere weg. Bel de collega die het bericht stuurde, open zelf de bekende website in plaats van via de link of vraag je ICT- of securityafdeling om mee te kijken. ‘Je hoeft niet overal wantrouwig tegenover te staan. Maar een paar seconden extra nadenken kan veel verschil maken. Juist als iets dringend, aantrekkelijk of heel overtuigend overkomt.’

Let ook op bij telefoontjes

Ook bij vreemde telefoontjes van ‘collega’s’ moet je oppassen, benadrukt John. ‘In Italië is een bank voor miljoenen opgelicht bij fraude met hulp van AI. De oplichters maakten een deepfake stem om een medewerker ervan te overtuigen dat deze een senior collega aan de lijn had die de transactie goedkeurde. Krijg je een afwijkend verzoek, dan kan het altijd verstandig om te dubbelchecken.’

Meer CISO-tips

In de Cybersecuritymaand delen we 4 praktische tips die je morgen al kunt toepassen. Eerder verscheen al tip #1 over wachtwoordzinnen. Houd mbodigitaal.nl deze maand in de gaten voor meer tips.

Het bericht Tip van de CISO #2: echt of nep? Kijk naar de context verscheen eerst op MBO Digitaal.

Het bericht Nieuwsbrief 141 is uit! verscheen eerst op MBO Digitaal.

Het bericht Edu-V in één oogopslag: elk kwartaal een nieuwe factsheet verscheen eerst op MBO Digitaal.

Het bericht Netwerkoverstijgend samenwerken vanaf 2026-2027 verscheen eerst op MBO Digitaal.

Een klein voorbeeld, maar volgens Michiel wel tekenend voor hoe het Graafschap College met cyberveiligheid omgaat. Iedereen heeft daarin een verantwoordelijkheid, zeker ook het bestuur. ‘Als je als instelling een onderwerp belangrijk vindt, moet je dat aan alle kanten uitstralen.’

Van doen naar aantoonbaar doen

Het Graafschap College is een middelgroot roc met bijna 10.000 studenten en meerdere locaties in de Achterhoek en Liemers. Zo’n anderhalf jaar geleden liet de eerste externe security-audit zien dat er werk aan de winkel was. De uitkomst viel tegen. ‘We dachten dat we al best op een redelijk niveau zaten. Maar vooral in het vastleggen en documenteren hadden we echt een achterstand.’

Daarop zette het Graafschap College een stevig programma op om toe te werken naar het vereiste volwassenheidsniveau voor de Cyberweerbaarheidspool. De concerncontroller trekt het programma, maar nadrukkelijk samen met verschillende onderdelen van de organisatie.

Een belangrijk inzicht uit de audit: goed bezig zijn is niet genoeg. Je moet ook kunnen aantonen wat je doet. ‘We beoordeelden onszelf vooral op de vraag: doen we dit? Maar heb je ook vastgelegd dát je het moet doen? En kun je laten zien dat je het gedaan hebt?’ Inmiddels laat een eerste evaluatie zien dat het Graafschap College vooruitgang boekt.

Cyberveiligheid raakt de hele organisatie

Niet alleen ICT is aan zet. Bij de invoering van een nieuw studentinformatiesysteem werkt ICT nauw samen met HR om rollen en autorisaties goed vast te leggen. Wie mag bij welke informatie? En wat gebeurt er met die toegang als iemand van functie verandert?

‘In het verleden deden we dat soms op goed vertrouwen’, vertelt Michiel. ‘Dan zie je dat bij een functiewisseling bepaalde autorisaties blijven bestaan. Op dit onderwerp kun je je dat niet veroorloven. Het gaat over je kroonjuwelen: gegevens van studenten en medewerkers.’

Ook medewerkers worden actief betrokken. Al zeker zes jaar werkt het Graafschap College aan bewustwording met onder meer microlearnings, bewustwordingscampagnes, phishing-competitie, een cyber-escaperoom. Soms serieus, soms met een knipoog. Want juist die combinatie werkt volgens Michiel.

Bestuurders, laat zien dat je meedoet!

Voor bestuurders ziet Michiel een duidelijke rol. Niet door zich met alle technische details te bemoeien, maar door cyberveiligheid zichtbaar belangrijk te maken. Zelf doet hij bijvoorbeeld mee aan bewustwordingscampagnes en filmpjes voor medewerkers.

Daarnaast helpt het volgens hem om als bestuurder te begrijpen wat er speelt. Een leergang over digitale soevereiniteit maakte hem bijvoorbeeld opnieuw bewust van de risico’s en afhankelijkheden waarmee organisaties te maken hebben. Zijn belangrijkste inzicht? ‘We zijn met z’n allen nog ontzettend naïef. We kunnen en moeten heel veel doen om het criminelen niet makkelijk te maken. Maar het risico helemaal naar nul brengen, kan niet.’

Samenwerking binnen mbo is belangrijk

Juist daarom vindt hij de samenwerking binnen het mbo zo belangrijk. Het Graafschap College maakt gebruik van gezamenlijke expertise en ondersteuning en wisselt kennis uit met andere instellingen. ‘Als je dingen van elkaar kunt leren, moet je dat gewoon doen.’

Zijn boodschap aan andere mbo-instellingen is dan ook helder: maak cyberveiligheid niet van één persoon of afdeling. ‘Beleg het op verschillende plekken in de organisatie. Het moet door verschillende mensen gedragen worden. Als die ketenaanpak lukt, kom je heel ver.’

Dit artikel is onderdeel van een reeks waarin mbo-scholen vertellen hoe zij werken aan cyberveiligheid en zich voorbereiden op deelname aan de Cyberweerbaarheidspool.

Het bericht Graafschap College: ‘Bestuur heeft duidelijke rol in cyberveiligheid’ verscheen eerst op MBO Digitaal.