Hoger onderwijs ondergebracht in nieuwe Cyberbeveiligingswet

Minister Bruins van Onderwijs heeft besloten om hogescholen en universiteiten wettelijk onder te brengen in de nieuwe Cyberbeveiligingswet (Cbw). Daarmee worden eisen op het gebied van digitale veiligheid voor het eerst wettelijk vastgelegd, in plaats van uitsluitend via bestuurlijke afspraken geregeld. Aanleiding voor dit besluit is de groeiende en steeds geavanceerdere dreiging van cyberaanvallen op onderwijsinstellingen, zoals recent zichtbaar werd bij een gerichte aanval op de TU Eindhoven en de digitale samenwerkingsorganisatie SURF.

De minister benadrukt dat de digitale dreiging voor het onderwijs niet alleen toeneemt, maar ook in complexiteit groeit. Onderwijsinstellingen vormen steeds vaker niet alleen een direct doelwit van cybercriminelen, maar worden ook benut als springplank naar andere organisaties binnen het bredere digitale ecosysteem.

Om instellingen voldoende voorbereidingstijd te geven, kiest de minister voor een gefaseerde invoering van de wet. Vanaf de inwerkingtreding van de Cbw zullen voor het hoger onderwijs direct een meldplicht en registratieplicht gelden. Deze verplichtingen gaan gepaard met actief toezicht en bieden instellingen bovendien een wettelijk recht op ondersteuning door een gespecialiseerd Computer Security Incident Response Team (CSIRT), dat bij cyberincidenten snel en effectief kan ingrijpen.

De zwaardere zorgplicht, waarbij instellingen verplicht zijn hun digitale weerbaarheid actief en aantoonbaar te verbeteren, en het toezicht daarop, worden pas in een latere fase ingevoerd. Bruins licht toe: “Met deze gefaseerde aanpak geef ik instellingen expliciet de ruimte om zich goed voor te bereiden. Het gaat om stevige eisen die zorgvuldig moeten worden ingevoerd.”

Mbo-onderwijs valt buiten de wetgeving

Opvallend is dat het middelbaar beroepsonderwijs (mbo) vooralsnog buiten het bereik van de Cyberbeveiligingswet blijft. Volgens de minister betekent dit niet dat de cyberweerbaarheid van mbo-instellingen minder belangrijk is. Integendeel, hij prijst de stappen die het mbo al heeft gezet en benadrukt dat ook het mbo door moet gaan met het versterken van zijn digitale weerbaarheid.

Mbo-instellingen zijn tot en met 2027 betrokken bij het sectorbrede programma Cyberveiligheid mbo. Binnen dit programma worden gezamenlijke initiatieven ontwikkeld, waaronder de oprichting van een cyberrisicopool, de inzet van ‘Chief Information Security Officers (CISO) as a service’ en de verdere professionalisering van risicomanagement.

Aansluiting bij bestaande inspanningen

Volgens Bruins sluiten de normen die in de Cyberbeveiligingswet worden vastgelegd grotendeels aan bij de bestaande werkwijzen binnen het vervolgonderwijs. De afgelopen jaren hebben veel instellingen al stappen gezet in de richting van een professionelere aanpak van digitale risico’s. Door nu wettelijk vast te leggen wat voorheen op basis van bestuurlijke afspraken gebeurde, hoopt de minister de weerbaarheid van het hoger onderwijs structureel te versterken.

Het besluit tot wettelijke verankering volgde na uitgebreid overleg met vertegenwoordigers uit het onderwijsveld, SURF en andere relevante partijen. Ondanks zorgen vanuit de instellingen over extra administratieve lasten, is het ministerie van oordeel dat wettelijke verplichtingen noodzakelijk zijn geworden gezien de ernst en frequentie van digitale dreigingen waarmee het onderwijs te maken krijgt.

Door: Drifter