Hogescholen en universiteiten worden onder de Cyberbeveiligingswet gebracht; het mbo volgt een eigen aanpak. In beide gevallen beheert u veel gegevens van studenten en medewerkers. SecurityPilot helpt informatiebeveiliging aantoonbaar in te richten, zonder dat het onderwijs erdoor stilvalt.
De Cbw behandelt het onderwijs niet als één sector. Wat voor u geldt, hangt af van het type instelling.
De minister van OCW brengt bekostigde instellingen onder de wet door ze aan te wijzen als belangrijke entiteit, via een eigen ministeriële regeling.
Het mbo valt niet onder de Cbw. OCW kiest voor een eigen aanpak voor de sector. Veel instellingen werken al met hetzelfde normenkader als het hoger onderwijs.
Onderzoek is een sector in de wet, maar alleen specifieke onderzoeksorganisaties vallen eronder. Of dat voor u geldt, hangt af van uw organisatie.
Aanbieders van leermiddelen, ICT en diensten vallen niet altijd zelf onder de wet, maar krijgen de eisen van instellingen via inkoop en contract.
Instellingen beheren persoonsgegevens van studenten en medewerkers, en onderzoeksgegevens die waardevol zijn. Informatiebeveiliging en privacy (AVG) lopen daarin samen op.
Het hoger onderwijs en onderzoek gebruiken het Normenkader Informatiebeveiliging van SURF als referentie. Ook het mbo werkt ermee. Het is een logisch fundament voor de zorgplicht.
Studenten, docenten en onderzoekers werken met eigen apparaten en koppelen met veel externe partijen. Dat vraagt om maatregelen die passen bij die openheid.
Uitval tijdens inschrijving, tentamens of onderzoek raakt direct studenten, docenten en onderzoekers.
Voor hogescholen en universiteiten die als belangrijke entiteit worden aangewezen.
Aangewezen instellingen melden zich aan bij het NCSC.
De drempelwaarden voor wat significant is, volgen uit de sectorregeling voor het hoger onderwijs.
Instellingen krijgen recht op bijstand en advies van een CSIRT bij dreigingen en incidenten.
Er komt op termijn een wettelijke zorgplicht voor passende en evenredige beveiligingsmaatregelen.
Start met de quickscan. Daarna kiest u de modules die bij uw situatie passen, los of als traject.
Een onderbouwd beeld van uw positie: aanwijzing in het hoger onderwijs, de eigen aanpak voor het mbo, of een rol als onderzoeksorganisatie of leverancier.
Gap-analyse op het Normenkader Informatiebeveiliging en op de te verwachten eisen van de Cbw.
Beveiligingseisen in inkoop en contracten met leveranciers, en een dossier voor wie zelf aan onderwijsinstellingen levert.
Incidentresponsplan, meldroute naar het CSIRT en het NCSC, en een oefening met uw crisisorganisatie.
Periodieke herijking, bestuursrapportage en aanspreekpunt voor toezichthouder, ketenpartners en opdrachtgevers.
Niet automatisch. De sector hoger onderwijs staat niet rechtstreeks in de wet. De minister van OCW brengt bekostigde instellingen onder de wet door ze aan te wijzen als belangrijke entiteit, via een eigen regeling. Daarmee komen een registratieplicht, een meldplicht en recht op bijstand van een CSIRT, en op termijn een zorgplicht.
Het mbo wordt niet onder de Cbw gebracht. OCW kiest voor een eigen aanpak voor de sector. Dat wil niet zeggen dat er niets verandert: informatiebeveiliging en privacy blijven eisen aan uw instelling stellen, en veel mbo-instellingen werken al met het Normenkader van SURF.
Een risicoanalyse, een meldproces en een bewijsdossier hebt u in elk geval nodig, ook als de precieze eisen nog volgen. Wie daar nu mee begint, hoeft later niet opnieuw. Het normenkader is een bruikbaar uitgangspunt.
Voor het hoger onderwijs is de minister van OCW de bevoegde autoriteit. Het voornemen is om het toezicht uit te laten voeren door de Inspectie van het Onderwijs.
Instellingen moeten risico’s in hun keten beheersen en vragen daarom om aantoonbare maatregelen, ook als u zelf niet onder de wet valt. Een leveranciersdossier helpt u die vragen sneller te beantwoorden.
Start met de quickscan. Afgebakend en met een onderbouwd antwoord.