Informatiebeveiliging, privacy en IT-audit in het onderwijs: rollen, SURF-normenkader, NIS2 en carrière in 2026

Waarom het onderwijs een lastige securitysector is

Een onderwijsinstelling beveiligen is fundamenteel anders dan een bank of een fabriek beveiligen. De sector heeft een aantal eigenschappen die de opgave uitzonderlijk maken — en die de inhoud van vrijwel elke security- of privacyfunctie bepalen:

• Openheid als kernwaarde. Kennis delen, samenwerken en academische vrijheid zijn de bestaansreden van het onderwijs. Netwerken zijn traditioneel open, gastaccounts en BYOD zijn de norm en dichttimmeren botst met de cultuur. Security moet hier balanceren met toegankelijkheid.
• Enorme, wisselende gebruikersgroepen. Een universiteit of ROC heeft tienduizenden studenten die elk jaar in- en uitstromen, plus docenten, onderzoekers en gastmedewerkers. Identiteits- en toegangsbeheer (IAM) op die schaal is een vak apart.
• Bijzondere persoonsgegevens van minderjarigen. In het funderend onderwijs gaat het om leerlinggegevens van kinderen — onder de AVG een categorie die extra bescherming verdient. Leerlingvolgsystemen, cijfers, zorgdossiers en beeldmateriaal vragen om strak privacybeheer.
• Waardevolle onderzoeksdata. Universiteiten en hogescholen beheren onderzoeksresultaten, intellectueel eigendom en soms gevoelige data. Dat maakt ze een doelwit voor spionage en diefstal van intellectueel eigendom, naast “gewone” cybercriminaliteit.
• Krappe budgetten en versnipperd IT-landschap. Publieke financiering, decentrale faculteiten en een wildgroei aan leermiddelen en apps maken standaardisatie moeilijk. Het aanvalsoppervlak is groot en verspreid.

De ransomware-aanval op de Universiteit Maastricht was geen incident op zichzelf: ook ROC's, hogescholen en schoolbesturen zijn de afgelopen jaren getroffen door gijzelsoftware, datalekken en phishing. Het gevolg is een structurele professionaliseringsslag — en een aanhoudende vraag naar mensen die hem kunnen dragen.

De dreigingen: waar securityteams in het onderwijs zich op richten

De dreigingen in het onderwijs zijn concreet en deels sectorspecifiek. Wie in de sector werkt, houdt zich dagelijks bezig met een aantal terugkerende aanvalsvormen:

• Ransomware en gijzelsoftware. Versleuteling van kern- en administratieve systemen legt roosters, examens en leerlingadministratie plat. Voor instellingen met deadlines (tentamens, diplomering) is de druk om te betalen groot.
• Phishing en accountovername. Studenten en medewerkers zijn een geliefd doelwit. Gestolen inloggegevens geven toegang tot mail, leeromgevingen en gevoelige data — en worden misbruikt voor factuurfraude en verdere aanvallen.
• Datalekken met leerling- en studentgegevens. Van een verkeerd geadresseerde cijferlijst tot een lek in een leerlingvolgsysteem: door de grote hoeveelheid persoonsgegevens van (vaak minderjarige) betrokkenen zijn de gevolgen onder de AVG groot.
• Spionage en diefstal van onderzoek. Bij kennisinstellingen loeren statelijke actoren en concurrenten op onderzoeksdata en intellectueel eigendom. Kennisveiligheid is daarom een apart en groeiend thema.
• Kwetsbare leermiddelen en de keten. Onderwijs draait op tientallen externe apps, uitgevers en clouddiensten. Een lek bij één leverancier werkt door in de hele keten — wat leveranciersrisicobeheer tot dagelijkse kost maakt.

Deze dreigingen verklaren waarom onderwijsinstellingen niet alleen beleidsmatige security officers zoeken, maar ook technische profielen: SOC-analisten en security engineers die aanvallen detecteren en afslaan. Veel hogeronderwijsinstellingen leunen daarbij op de gedeelde diensten van SURF, zoals SURFcert (het CERT voor onderwijs en onderzoek) en SURFsoc.

Het normenkader: SURFaudit, Normenkader IBP, NIS2 en de AVG

Wie in het onderwijs met security en privacy werkt, beweegt zich binnen een set sectorkaders die je moet kennen. Ze verschillen bovendien per onderwijstype.

Het SURFaudit-kader — de norm voor hoger onderwijs en onderzoek

Voor universiteiten, hogescholen en onderzoeksinstellingen is het SURFaudit Toetsingskader Informatiebeveiliging de standaard. Het is gebaseerd op ISO 27001/27002 en telt 15 domeinen met circa 69 beheersmaatregelen. Elke maatregel krijgt bij een audit een volwassenheidsscore van 1 tot 5; de sector heeft afgesproken te streven naar gemiddeld niveau 3 (“gedefinieerd en beheerst”). Via de tweejaarlijkse SURFaudit-benchmark vergelijken instellingen zich onderling. SURF heeft daarnaast een Security Baseline voor onderwijs en onderzoek uitgebracht. Goed om te weten: het toetsingskader kent sinds eind 2025 een tijdelijke onderhoudspauze in afwachting van een bredere herijking, maar het blijft leidend voor de manier waarop hogeronderwijsinstellingen hun informatiebeveiliging inrichten en aantonen.

Het Normenkader IBP — de norm voor het funderend onderwijs

Voor het primair en voortgezet onderwijs is er sinds enkele jaren het Normenkader Informatiebeveiliging en Privacy (Normenkader IBP), een gezamenlijk product van het ministerie van OCW, de PO-Raad, de VO-raad, SIVON en Kennisnet. Het beschrijft normen voor een digitaal veilige schoolorganisatie en biedt concrete voorbeeldmaatregelen. De planning is helder: schoolbesturen moeten vanaf 1 januari 2027 via een zelfevaluatie weten waar ze staan, eind 2026 een plan hebben om door te groeien en uiterlijk 2030 volwassenheidsniveau 3 bereiken. Kennisnet biedt hiervoor een zelfevaluatietool aan. Voor wie in het funderend onderwijs of het MBO werkt, is dit kader het dagelijkse referentiepunt.

De Cyberbeveiligingswet (NIS2) — nu ook voor hoger onderwijs en onderzoek

De Nederlandse Cyberbeveiligingswet, de implementatie van de Europese NIS2-richtlijn, treedt naar verwachting rond 15 augustus 2026 in werking. Nieuw is dat de minister van OCW in april 2025 heeft besloten dat het bekostigd hoger onderwijs en onderzoek onder de wet valt: NIS2 schaart hoger onderwijs onder de sector “onderzoek”, waardoor universiteiten en hogescholen als essentiële of belangrijke entiteit worden aangemerkt. De registratie- en meldplicht gelden direct bij aanwijzing, terwijl de volledige zorgplicht en het bestuurderstoezicht pas na een overgangsperiode van kracht worden. Voor deze instellingen ontstaat daarmee een concrete vraag naar security officers en CISO's die de zorgplicht inrichten. Het funderend onderwijs en het MBO vallen niet standaard onder de wet, maar bereiden zich vaak wél voor via het Normenkader IBP.

De AVG en de bescherming van leerling- en studentgegevens

Geen sector verwerkt zoveel gegevens van minderjarigen als het onderwijs. Leerlingvolgsystemen, cijfers, zorg- en verzuimdossiers, beeldmateriaal en digitale leermiddelen vallen allemaal onder de AVG, die gegevens van kinderen extra beschermt. Onderwijsinstellingen zijn overheidsinstanties dan wel organisaties met grootschalige, systematische verwerking, waardoor een Functionaris Gegevensbescherming doorgaans verplicht is en DPIA's bij nieuwe systemen aan de orde van de dag zijn. Kenmerkend voor de sector zijn de gezamenlijk uitgevoerde DPIA's op grote clouddiensten zoals Google Workspace for Education en Microsoft 365, waarbij SURF en SIVON namens de instellingen risico's en afspraken met leveranciers vastleggen. Het Privacyconvenant Onderwijs regelt bovendien standaardafspraken met leermiddelenaanbieders.

De rollen: wie doet wat in het onderwijs?

Omdat security, privacy en compliance in het onderwijs zowel een beleidsmatige als een sterk operationele kant hebben — en de organisatiegrootte enorm verschilt tussen een basisschool en een universiteit — kom je in vacatures een breed palet aan titels tegen. De belangrijkste:

De grenzen tussen deze rollen zijn vloeiend en hangen sterk af van de omvang. Bij een klein schoolbestuur combineert één IBP'er de security-, privacy- én adviesrol; bij een grote universiteit bestaat een compleet CISO Office met security officers, een privacyteam, IAM-specialisten en een eigen of gedeeld SOC. Wil je het onderscheid tussen de securityrollen scherp krijgen, lees dan onze gids over het verschil tussen CISO, ISO, BISO en TISO. Voor de instap verheldert de rol van de Information Security Officer het meest, en voor de privacykant helpt onze uitleg over wat een Functionaris Gegevensbescherming doet.

Hoe security in het onderwijs verschilt van andere sectoren

De functietitels heten hetzelfde als elders, maar de inhoud is anders. Een paar zaken maken het vak in het onderwijs specifiek:

• Overtuigen in plaats van opleggen. Docenten, onderzoekers en bestuurders hechten aan autonomie. Security lukt hier alleen met draagvlak, awareness en goede uitleg — niet met dwang. Soft skills wegen zwaar.
• Privacy en security lopen door elkaar. Doordat het om gegevens van (minderjarige) leerlingen draait, zijn informatiebeveiliging en privacy in het onderwijs vaak in één IBP-functie of -team verenigd. Kennis van beide werelden is een pré.
• Samenwerken op sectorniveau. Via SURF, Kennisnet en SIVON deelt de sector diensten, normenkaders, DPIA's en dreigingsinformatie. Je werkt zelden alleen; kennis van deze samenwerkingsverbanden is waardevol.
• Publieke middelen, publieke verantwoording. Budgetten zijn krap en publiek. Je moet keuzes onderbouwen richting bestuur, medezeggenschap en toezichthouders, en risico's afwegen tegen de onderwijsopdracht.

Daarom vragen onderwijsinstellingen naast inhoudelijke kennis nadrukkelijk om verbindend vermogen: het talent om security en privacy werkbaar te maken in een omgeving waar openheid, autonomie en de onderwijsopdracht altijd meewegen.

Wat verdien je in security, privacy en audit in het onderwijs?

Onderwijsinstellingen belonen via de sector-cao's (de cao Nederlandse Universiteiten, de cao hbo, de cao MBO en de cao's voor primair en voortgezet onderwijs). Voor security- en privacyfuncties zit de sector doorgaans rond of iets onder het landelijk gemiddelde, maar met uitstekende secundaire arbeidsvoorwaarden, veel vakantiedagen en een goed pensioen. Onderstaande bandbreedtes geven een realistische indicatie voor de Nederlandse markt in 2026:

De exacte beloning hangt sterk af van het onderwijstype en de omvang. Een CISO van een grote universiteit met tienduizenden studenten en veel onderzoek zit aan de bovenkant; een IBP'er bij een klein schoolbestuur ligt lager. Ter vergelijking kun je ook het CISO-salaris in Nederland en het salaris van een privacy officer bekijken om te zien hoe het onderwijs zich tot het landelijk gemiddelde verhoudt.

Vaardigheden en certificeringen die in het onderwijs tellen

Onderwijsinstellingen vragen vrijwel altijd om een hbo- of wo-werk- en denkniveau en aantoonbare affiniteit met techniek én de onderwijscontext. Daarbovenop maken de juiste certificeringen en sectorkennis het verschil:

• CISSP of CISM: de brede, internationaal erkende securitycertificeringen voor (aankomend) ISO's en CISO's.
• Kennis van het SURFaudit-kader en het Normenkader IBP: in een sector die op deze normenkaders stuurt, is aantoonbare ervaring ermee vaak net zo waardevol als een titel.
• CISA en CRISC: de standaard voor IT-audit- respectievelijk IT-risk- en compliancerollen bij grote instellingen.
• CIPP/E en CIPM: de privacycertificeringen van de IAPP, waardevol voor Privacy Officers en FG's die met leerling- en studentgegevens werken.
• Praktijkkennis: ervaring met IAM op schaal, de AVG rond minderjarigen, DPIA's op leermiddelen en clouddiensten, ISO 27001 en de samenwerking met SURF, Kennisnet en SIVON weegt in deze sector zwaar mee.

Juist de combinatie van een security- of auditcertificering met aantoonbaar gevoel voor de onderwijscontext en bestuurlijke verhoudingen maakt je als kandidaat schaars en gewild.

Het carrièrepad: zo kom je de sector in

Er zijn meerdere routes naar een security- of privacyfunctie in het onderwijs. De meest voorkomende:

• Vanuit IT of functioneel beheer: systeem-, netwerk- of applicatiebeheerders binnen een instelling groeien door naar een security engineer-, IBP- of ISO-rol.
• Vanuit audit of consultancy: veel professionals beginnen als junior IT-auditor of als adviseur informatiebeveiliging en stappen na enkele jaren over naar een vaste rol bij een universiteit of onderwijskoepel.
• Vanuit privacy of juridisch: medewerkers met een AVG-achtergrond stappen over naar Privacy Officer, FG of gecombineerd IBP'er bij een schoolbestuur of hogeschool.
• Doorgroei naar de top: vanuit ISO of IBP-coördinator kun je doorstromen naar security manager en uiteindelijk CISO van een grote onderwijsinstelling.

Omdat het onderwijs op het snijvlak van techniek, privacy en maatschappelijke opdracht zit, is het een dankbaar speelveld voor wie zichtbaar impact wil maken: security die hier goed werkt, houdt het onderwijs draaiend en beschermt de gegevens van miljoenen leerlingen en studenten.

Welke werkgevers zoeken professionals?

De vraag is breed verspreid over alle onderwijstypen. Op IT Compliance Jobs zie je vacatures bij onder meer universiteiten, hogescholen, MBO-instellingen en ROC's, schoolbesturen in het primair en voortgezet onderwijs en onderwijskoepels en samenwerkingsverbanden, plus bij sectororganisaties als SURF, Kennisnet en SIVON. Functietitels variëren van “Information Security Officer” en “CISO” tot “Coördinator Informatiebeveiliging en Privacy”, “Privacy Officer”, “Functionaris Gegevensbescherming” en “IT-auditor”. Door de combinatie van het SURFaudit-kader, het Normenkader IBP, de nieuwe Cyberbeveiligingswet en de AVG blijft de vraag de komende jaren naar verwachting hoog.

Conclusie: een sector in volle professionaliseringsslag

Het onderwijs is uitgegroeid tot een van de meest dynamische werkgebieden voor security-, privacy- en auditprofessionals in Nederland. Het werk is maatschappelijk relevant en veelzijdig: je beschermt de gegevens van leerlingen en studenten, houdt leeromgevingen en onderzoek draaiend en balanceert voortdurend tussen openheid en beveiliging. Het normenkader — SURFaudit, het Normenkader IBP, de Cyberbeveiligingswet en de AVG — geeft je rol gewicht, terwijl de publieke context je dwingt te overtuigen in plaats van op te leggen. Of je nu instapt als security engineer, doorgroeit als IBP-coördinator of Information Security Officer, of de stap naar CISO zet: de sector biedt inhoudelijk uitdagend werk met uitstekend perspectief.

Klaar voor de volgende stap? Bekijk de actuele vacatures in security, privacy en audit bij onderwijsinstellingen op IT Compliance Jobs en vind de organisatie die vandaag een professional zoekt.