Afspraak over het delen van volwassenheidscores IBP

In het mbo meten we sinds 2015 de volwassenheid op het gebied van informatiebeveiliging en privacy. Dat doen we aan de hand van de Benchmark IBP en sinds 2024 ook via externe security-audits. Op instellingsniveau bieden de resultaten van deze metingen een helder overzicht van de mate waarin de maatregelen rond IBP succesvol zijn geïmplementeerd. Ze leveren daarmee een roadmap voor de instelling om mee aan de slag te gaan.

Sectorbreed beeld van IBP

Naast deze individuele inzichten leveren de resultaten vanuit deze benchmarks en audits ook een sectorbreed beeld op. Dat is waardevol in gesprekken met externe stakeholders, zoals SURF en OCW, over wat nodig is om de cyberweerbaarheid binnen het mbo te verhogen.

Ook zijn de volwassenheidsgegevens belangrijk voor het programma Cyberveiligheid mbo. Op basis ervan evalueren in hoeverre programma-activiteiten succesvol zijn, zodat we kunnen bijsturen of nieuwe activiteiten kunnen opstarten.

Op deze manier krijgen we verder in beeld welke scholen succesvol maatregelen hebben ingericht voor bepaalde onderdelen van het toetsingskader. Dergelijke best practices kunnen we in overleg met de school delen binnen het Netwerk IBP en het programma Cyberveiligheid. Zo werken we aan een bibliotheek met modeldocumenten die alle scholen kunnen gebruiken.

Dit is in lijn met de mbo-brede onderkenning van het belang van het delen van kennis op het gebied van IBP, en met de uitgangspunten van ons Convenant Cyberveiligheid.

Afspraken kennisdeling

Ook de Regiegroep IBP en de Stuurgroep Cyberveiligheid onderschrijven het belang van deze kennisuitwisseling. Daarom hebben ze samen afgesproken dat MBO Digitaal voor de mbo-sector de volwassenheidsscores IB en P vanuit zelfassessments, benchmarks en externe security-audits verzamelt en op een veilige manier verwerkt.*

De veiligheid wordt gewaarborgd door de gegevens uit te wisselen via beveiligde verbindingen en ze gepseudonimiseerd op te slaan. Individuele gegevens die terug te herleiden zijn naar een mbo-school worden nooit gedeeld zonder toestemming van de betreffende instelling. Eventuele publicaties m.b.t. het volwassenheidsniveau van de instellingen worden altijd gereviewd door de Regiegroep IBP in het mbo.

* Besproken en akkoord via Regiegroep IBP op 16 januari 2025; besproken en akkoord via Stuurgroep Cyberveiligheid op 29 januari 2025.