NIS2 voor het onderwijs

NIS2: wat moet je als onderwijsinstelling nu al regelen?

De Cyberbeveiligingswet (ook wel: Cbw) komt eraan. Dat is de Nederlandse implementatie van de Europese NIS2-richtlijn, bestaande uit concrete verplichtingen op het gebied van cybersecurity, governance en risicobeheersing. Op 15 augustus 2026 treedt deze wetgeving voor ons in werking en voor delen van het onderwijs krijgt het de komende jaren directe gevolgen. Tóch zien we dat veel onderwijsinstellingen nog op zoek zijn naar wat het concreet betekent.

Want: NIS2 draait niet concreet om een extra technische maatregel, nieuwe firewall of verplichte software. De grootste verandering zit namelijk op bestuurlijk niveau. Dat betekent dat onderwijsinstellingen moeten aantonen dat informatiebeveiliging wordt gestuurd, beheerst en geborgd.

Bare with us.

Onderwijs binnen de Cyberbeveiligingswet

Waar sectoren als energie, telecom en finance al van begin af aan duidelijk wisten dat zij onder NIS2 zouden vallen, geldt dat niet voor het onderwijs. De Europese richtlijn laat lidstaten namelijk zelf bepalen of onderwijsinstellingen onder de wetgeving behoren te vallen. Nederland heeft besloten om in ieder geval bekostigde instellingen in het hoger onderwijs onder de wet te brengen. Maar let op: voor andere onderwijsinstellingen is de kans heel groot dat je indirect onder de wet valt. Je krijgt namelijk steeds vaker te maken met eisen vanuit samenwerkingspartners, leveranciers, accountants, verzekeraars en toezichthouders. Daarnaast sluiten veel verplichtingen uit de Cyberbeveiligingswet nauw aan op bestaande ontwikkelingen binnen hetNormenkader IBP, AVG en ISO 27001.

Meer dan alleen technische beveiliging

Veel organisaties denken bij NIS2 aan cybersecuritymaatregelen zoals multifactorauthenticatie (MFA), monitoring of patchmanagement. Natuurlijk zijn dit belangrijke onderdelen, maar de Cyberbeveiligingswet kijkt nadrukkelijk breder dan deze concrete oplossingen. De wet stelt namelijk eisen aan zowel bestuurders, processen, documentatie, risicomanagement als incidentafhandeling. Organisaties moeten kunnen aantonen dat zij cyberrisico's kennen, beoordelen, monitoren én actief beheersen. Daarnaast ontstaat een wettelijke registratieplicht en meldplicht voor cyberincidenten. Je voelt hem dus al aankomen: informatiebeveiliging verschuift van een operationeel IT-thema naar een onderwerp voor het bestuur. Bestuurders zijn niet alleen verantwoordelijk voor de kwaliteit van het onderwijs en financiële zaken, maar nu ook expliciet voor digitale weerbaarheid van de instelling.

Van Normenkader IBP naar Cyberbeveiligingswet

Wat we ook zien, is dat onderwijsinstellingen zeker niet stil hebben gezeten op het gebied van informatiebeveiliging en privacy. Er zijn bijvoorbeeld beleidsdocumenten opgesteld, risicoanalyses uitgevoerd enmaatregelen geïmplementeerd op basis van het Normenkader IBP. Toch blijft vaak dat maatregelen versnipperd zijn vastgelegd of afhankelijk zijn van individuele medewerkers. Daarmee is er een verschil te zien tussen beveiliging die aanwezigis en de beveiliging die aantoonbaar beheerst wordt. En laat dat precies de hoofdlijn v an de Cyberbeveiligingswet zijn: de aantoonbaarheid van de maatregelen.

Dat betekent dat niet alleen het bestaan van een maatregel relevant is, maar ook:

• Is er eigenaarschap vastgesteld?
• Wordt de maatregel regelmatig geëvalueerd?
• Is het risico bestuurlijk geaccepteerd?
• Kan de organisatie dit onderbouwen richtingtoezichthouders en auditors?

Voor veel instellingen betekent dit - als we het samenvatten - dat bestaande inspanningen beter moeten worden georganiseerd, gedocumenteerden gerapporteerd. Wat daarvoor nodig is, is een centraal overzicht van risico's, systemen, leveranciers en bijbehorende verantwoordelijkheden. Risicoanalyses worden vaak wel uitgevoerd binnen afzonderlijke afdelingen of opleidingen, maar het is de kunst om dit organisatiebreed samen te brengen.

Information Security Management System

Juist daarom wordt het belang van een Information Security Management System (ISMS) steeds groter. Een ISMS helpt om beleid, risico's, maatregelen, controles, audits en rapportages op één centrale plek samen te brengen.

De drie grootste uitdagingen voor onderwijsinstellingen

Inmiddels is duidelijk wat de uitgangspunten zijn van de Cyberbeveiligingswet, maar waar lopen organisaties vaak tegenaan als ze zich bezighouden met compliancy aan deze wetgeving?

1. Decentrale IT-omgevingen en besluitvorming

Onderwijsinstellingen zijn vaak complex georganiseerd. Verschillende locaties, faculteiten, opleidingen en onderzoeksgroepen werken vaak met hun eigen systemen, processen en leveranciers. Daardoor ontstaat een versnipperd IT-landschap waarin het lastig is om centraal inzicht te krijgen in risico's, compliance-eisen en beveiligingsmaatregelen. Als een bepaald aspect binnen locatie A goed geregeld is, hoeft dat nog niet te betekenen dat dit bij locatie B op hetzelfde niveau is ingericht. Het gevolg? Bestuurders hebben geen overkoepeld overzicht van de daadwerkelijke cyberrisico's binnen de organisatie.

2. Beperkte capaciteit en expertise

Veel onderwijsinstellingen hebben geen fulltime CISO of uitgebreid securityteam in dienst. Informatiebeveiliging wordt daardoor vaak uitgevoerd naast reguliere IT-werkzaamheden, terwijl de hoeveelheid wet- en regelgeving en de complexiteit van dreigingen juist toeneemt. Dat vraagt automatisch om focus en veel tijd. De beschikbare capaciteit en de toenemende verantwoordelijkheden kunnen dus gaan botsen. En dan hebben we het nog niet gehad over specifieke uitdagingen bij onderwijsinstellingen. Denk aan open netwerken, grote aantallen gebruikers, onderzoekssamenwerkingen en de afhankelijkheid van externe leveranciers.

3. Bestuurlijke rapportage en eigenaarschap

In veel organisaties wordt informatiebeveiliging nog steeds gezien als een technisch onderwerp. De wet verwacht echter dat bestuurders actief betrokken zijn bij cyberrisico's en de voortgang van verbetermaatregelen in de gaten houden. Aangezien bestuurders weinig hebben aan technische rapportages, moeten zij heldere rapportagelijnen en begrijpelijke managementinformatie krijgen. Dit geeft inzicht in de impact op onderwijscontinuïteit, privacyrisico's, compliance en reputatie. Juist daarom wordt bestuurlijke rapportage onder de Cyberbeveiligingswet een essentieel onderdeel van informatiebeveiliging. Niet voor auditors of toezichthouders, maar vooral om bestuurders in staat te stellen de juiste keuzes te maken.

Wat moeten onderwijsinstellingen concreet regelen?

Op basis van de eisen uit de Cyberbeveiligingswet, én de uitdagingen die wij in de onderwijssector zien, zijn er een aantal aandachtsgebieden voor vrijwel iedere onderwijsinstelling:

1. Cybersecurity bestuurlijk beleggen

Bestuurders moeten periodiek inzicht krijgen in cyberrisico's, voortgang van verbetermaatregelen en de status van compliance. Informatiebeveiliging verschuift steeds meer van IT naar bestuur.

2. Kritische processen identificeren

Welke systemen zijn essentieel voor jouw organisatie, het onderwijs, onderzoek en bedrijfsvoering? Welke processen mogen absoluut niet uitvallen en hebben de meeste impact? Breng dit heel scherp in kaart.

3. Een volwassen ISMS opzetten

Een Information Security Management System (ISMS) vormt de basis voor structurele sturing. Hierin worden beleid, risico's, maatregelen, audits en verbeteracties centraal beheerd.

4. Risico's aantoonbaar beheersen

Risicoanalyses moeten niet alleen worden uitgevoerd, maar ook actueel blijven. Daarnaast moeten keuzes en maatregelen aantoonbaar worden vastgelegd.

5. Incidentmanagement aanscherpen

Onderwijsinstellingen moeten voorbereid zijn op cyberincidenten. Dan hebben we het concreet over processen voor detectie, escalatie, beoordeling en melding van incidenten.

6. Grip krijgen op leveranciers

Steeds meer onderwijsprocessen draaien op cloudplatformen en externe diensten. De Cyberbeveiligingswet verwacht dat organisaties ook risico's binnen de keten beheersen.

Conclusie

Wat onderwijsinstellingen vaak niet in de gaten hebben, is dat je al moet acteren vóórdat de Cyberbeveiligingswet daadwerkelijk in werking treedt (op 15 augustus 2026!). In de praktijk kost het opzetten van governance, processen en aantoonbare beheersing namelijk veel meer tijd dan het implementeren van technische maatregelen.

Moraal van het verhaal: dit is het moment om te gaan acteren op de maatregelen. Beoordeling je eigen situatie kritisch. Welke verplichtingen gelden straks voor jouw organisatie? Welke onderdelen zijn al geregeld? En waar zitten nog risico's?

Dit hoef je natuurlijk niet alleen te doen. Wij kijken graag mee naar jouw huidige situatie en hoe we samen compliant kunnen zijn aan de strenge Cyberbeveiligingswet. In de Factsheet CISO-as-a-Service voor het Onderwijs lees je alles over de aanpak, werkzaamheden en mogelijkheden binnen de onderwijssector.