De snelle ontwikkeling van kunstmatige intelligentie (AI), de toenemende afhankelijkheid van digitale systemen en de groeiende cyberdreigingen maken digitale veiligheid tot een strategisch thema voor bestuurders én toezichthouders. Voor raden van toezicht betekent dit dat ook de informatiepositie moet meegroeien.
Beschikt de RvT over voldoende informatie om toezicht te kunnen houden op digitale risico's en de inzet van AI?
Van incidenten naar strategisch toezicht
Het is tegenwoordig al niet langer de vraag óf een organisatie te maken krijgt met een cyberincident, maar wanneer. Ransomware, phishing, datalekken en verstoringen van digitale systemen kunnen grote gevolgen hebben voor de continuïteit van kinderopvang of onderwijs, de privacy van leerlingen en medewerkers en de reputatie van de organisatie.
Tegelijkertijd zorgt AI voor nieuwe kansen én nieuwe risico's. Denk aan het verwerken van persoonsgegevens in AI-toepassingen, afhankelijkheid van externe leveranciers, onduidelijke algoritmes en nieuwe beveiligingsvraagstukken. Voor toezichthouders betekent dit dat digitale veiligheid niet alleen een operationeel vraagstuk is, maar nadrukkelijk onderdeel wordt van strategische besluitvorming en risicotoezicht.
Wat vraagt dit van de informatiepositie van de RvT?
Toezichthouders hoeven geen technische experts te zijn, maar moeten wel de juiste vragen kunnen stellen.
Belangrijke vragen voor de informatiepositie zijn bijvoorbeeld:
Welke digitale en AI-risico's zijn voor onze organisatie het meest relevant?
Zijn informatiebeveiliging en privacy onderdeel van de organisatiebrede risicoanalyse?
Hoe ver is onze organisatie met het Normenkader Informatiebeveiliging en Privacy (IBP)?
Hoe wordt toezicht gehouden op leveranciers en AI-toepassingen?
Zijn rollen, verantwoordelijkheden en eigenaarschap helder belegd?
Hoe wordt gerapporteerd over incidenten, audits, privacy en cyberweerbaarheid?
Hoe blijft het bestuur zelf deskundig op het gebied van digitalisering en AI?
De Handreiking ‘De rol van de RvT bij digitale veiligheid’ voor kinderopvang en onderwijs legt uit wat het belang is van toezien op digitale veiligheid. In de handreiking wordt ook het belang van het implementeren van het Normenkader IBP toegelicht. Hoewel het Normenkader ontwikkeld is voor het funderend onderwijs, bevat het ook relevante elementen voor andere sectoren, zoals de kinderopvang. Daarnaast biedt de handreiking een gespreksleidraad met essentiële vragen, tips en onderwerpen voor de dialoog tussen interne toezichthouders en bestuurders.
Informatiebeveiliging en privacy (IBP) in beeld vóór 1 januari 2027
Het ministerie van OCW verwacht van schoolbesturen dat zij uiterlijk op 1 januari 2027 inzicht hebben in de digitale veiligheid van hun organisatie. OCW, Kennisnet, SIVON, de PO-Raad en de VO-raad roepen schoolbesturen op om – als zij dit nog niet hebben gedaan – te starten met een zelfevaluatie van het Normenkader Informatiebeveiliging en Privacy (IBP). Schoolbesturen die nog geen zelfevaluatie hebben gedaan, kunnen gebruik maken van de tool Zelfevaluatie Normenkader IBP van Kennisnet. Met deze tool krijg je laagdrempelig inzicht in waar je staat ten opzichte van het Normenkader IBP.
Het gesprek met de bestuurder
De Handreiking ‘De rol van de RvT bij digitale veiligheid’ adviseert toezichthouders om digitale veiligheid regelmatig op de agenda te zetten, door te vragen op risico's en ontwikkelingen en gebruik te maken van expertise binnen en buiten de organisatie.
Een goede informatiepositie ontstaat niet alleen door rapportages achteraf, maar vooral door een voortdurende dialoog tussen bestuurder en toezichthouder over risico's, ontwikkelingen en benodigde investeringen op het gebied van digitalisering, AI en cyberveiligheid.
Drie mogelijke vragen voor de volgende RvT-vergadering:
Op welke manier is in kaart gebracht welke AI-toepassingen er binnen onze organisatie gebruikt worden en welke risico's deze met zich meebrengen?
Hoe ver zijn wij met het Normenkader Informatiebeveiliging en Privacy?
Welke informatie heeft de Raad van Toezicht nodig om de digitale weerbaarheid van de organisatie goed te kunnen beoordelen?