ISO 27001 im Bildungswesen: Warum Schulen und Bildungseinrichtungen jetzt zertifizieren

Am 23. Dezember 2019 legte ein Ransomware-Angriff die Universität Maastricht nahezu vollständig lahm: E-Mail, Forschungsdaten und Studierendensysteme waren tagelang nicht erreichbar. Fast sieben Jahre später steht das Bildungswesen noch immer weit oben auf der Liste der Angreifer. Schulen, Berufsschulen, Fachhochschulen und Universitäten verwahren sensible Daten von Minderjährigen und jungen Erwachsenen, arbeiten mit Hunderten von Lieferanten und verfügen selten über eine große Sicherheitsabteilung. Der Oktober, der Europäische Monat der Cybersicherheit, ist daher ein guter Zeitpunkt für die Frage, die sich immer mehr Schulträger stellen: Ist die ISO-27001-Zertifizierung für uns der logische nächste Schritt?

Warum das Bildungswesen ein beliebtes Ziel ist

Eine Kombination von Faktoren macht das Bildungswesen verwundbar:

Viele sensible Daten. Schüler- und Studierendendaten enthalten nicht nur Name und Anschrift, sondern auch Noten, Fehlzeiten, Förderakten und mitunter medizinische Informationen. Zudem handelt es sich häufig um Minderjährige, weshalb die DSGVO besondere Sorgfalt verlangt. Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) überwacht dies.

Eine offene Kultur. Bildung lebt vom Teilen und Zusammenarbeiten. Lehrkräfte, Schüler und Gastnutzer melden sich von eigenen Geräten an, zu Hause und in der Schule.

Eine lange Lieferkette. Schülerverwaltungssysteme, Prüfungsplattformen, digitale Lernmittel, Stundenplansoftware: Der durchschnittliche Schulträger arbeitet mit Dutzenden bis Hunderten von Lieferanten, die Zugriff auf personenbezogene Daten haben.

Begrenzte Kapazität. Gerade im Primar- und Sekundarbereich ist die IT-Funktion oft klein oder ausgelagert. Sicherheit ist dort eine von vielen Aufgaben.

Ransomware-Vorfälle an niederländischen Schulen und Universitäten der vergangenen Jahre zeigen die Auswirkungen: ausgefallener Unterricht, verschobene Prüfungen und personenbezogene Daten, die in falsche Hände geraten.

Welche Rahmenwerke gelten bereits?

Das Bildungswesen fängt nicht bei null an. Es gibt sektorale Rahmenwerke, die weitgehend auf ISO 27001 und ISO 27002 basieren.

Primar- und Sekundarbereich

Für Grund- und weiterführende Schulen in den Niederlanden gilt das Normenkader Informatiebeveiliging en Privacy (IBP), das Rahmenwerk für Informationssicherheit und Datenschutz, eine Zusammenarbeit des Bildungsministeriums (OCW), der Schulträgerverbände PO-Raad und VO-raad, SIVON und Kennisnet, der öffentlichen IT-Organisation für das Bildungswesen. Das Rahmenwerk arbeitet mit Reifegraden und einem Entwicklungspfad, wobei Stufe 3 als Zielniveau für Schulträger gilt. Die Maßnahmen orientieren sich eng an ISO 27001 und ISO 27002.

Berufsbildung und Hochschulen

Für Berufsbildung und Hochschulen existiert ein vergleichbares Normenkader IBP, entwickelt von SURF, der IT-Genossenschaft der niederländischen Bildungs- und Forschungseinrichtungen, gemeinsam mit Kennisnet und den Sektorverbänden. Die Einrichtungen bewerten sich selbst über SURFaudit, mit einem jährlichen Benchmark, der zeigt, wie der Sektor dasteht. Auch dieses Prüfungsraster ist an ISO 27001 und ISO 27002 angelehnt.

Gesetzgebung

Über den Sektorrahmen steht die DSGVO, die an Daten Minderjähriger besonders strenge Anforderungen stellt. Bildungseinrichtungen fallen als Sektor nicht unter das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet, Cbw), Forschungsorganisationen können jedoch in den Anwendungsbereich fallen. Universitäten und Einrichtungen, die neben Lehre auch Forschung oder andere benannte Dienste erbringen, sollten je Bereich prüfen, ob das Cbw auf sie anwendbar ist.

Wer das Normenkader IBP ernsthaft anwendet, hat also bereits einen großen Teil eines ISO-27001-Managementsystems im Haus. Der Unterschied liegt in der Nachweisbarkeit: ein Zertifikat einer unabhängigen Zertifizierungsstelle.

Warum zertifizieren, statt nur zu erfüllen?

Eine Selbstbewertung nach dem Rahmenwerk ist wertvoll, bleibt aber eine Eigenerklärung. Die Zertifizierung fügt vier Dinge hinzu:

Nachweisbarkeit nach außen. Eltern, Studierende, die Schulinspektion, Kommunen und Kooperationsverbünde fragen immer häufiger, wie ein Schulträger seine Informationssicherheit organisiert hat. Ein Zertifikat beantwortet diese Frage ohne lange Erklärungen.

Lieferanten und Ausschreibungen. Edtech-Anbieter und Bildungsdienstleister werden in Ausschreibungen und Auftragsverarbeitungsverträgen immer öfter nach ISO 27001 gefragt. Wer selbst zertifiziert ist, kann diese Anforderung glaubwürdig auch an die eigene Lieferkette stellen.

Verantwortung der Leitung. Der Schulträger trägt die Endverantwortung für den Schutz von Schüler- und Studierendendaten. Ein zertifiziertes ISMS gibt der Leitung einen festen Zyklus aus Risikoanalyse, Maßnahmen, internem Audit und Managementbewertung, mit dem sie diese Verantwortung nachweisbar wahrnimmt.

Ein gemeinsamer Rahmen. ISO 27001 ist die gemeinsame Grundlage unter dem Normenkader IBP, SURFaudit und den DSGVO-Pflichten. Ein Managementsystem statt getrennter Listen je Rahmenwerk.

ISO 27001 im Bildungswesen umsetzen: so gehen Sie vor

Der Weg zur Zertifizierung ist für jede Organisation im Großen und Ganzen gleich; wir haben ihn zuvor in 10 Schritten zur Zertifizierung beschrieben. Für Bildungseinrichtungen verdienen folgende Punkte besondere Aufmerksamkeit:

1.Legen Sie den Geltungsbereich auf Trägerebene fest. Beziehen Sie die Geschäftsstelle und alle Schulen oder Standorte ein. Ein Geltungsbereich, der nur die Geschäftsstelle abdeckt, sagt wenig darüber aus, wo Schülerdaten tatsächlich verarbeitet werden.

2.Richten Sie die Risikoanalyse auf Bildungsprozesse aus. Schülerverwaltungssysteme, digitale Prüfungen, Notenverwaltung, BYOD von Lehrkräften und Schülern, Cloud-Dienste und die Übergabe von Akten zwischen Schulen.

3.Halten Sie die Rollenverteilung fest. Der Datenschutzbeauftragte, ein Security Officer oder IBP-Koordinator, der IT-Partner und die Schulleitungen haben jeweils eine eigene Rolle. Machen Sie diese explizit, auch wenn die IT ausgelagert ist.

4.Investieren Sie in Awareness für Lehrkräfte. Phishing, schwache Passwörter und das unbeabsichtigte Teilen von Akten sind im Bildungswesen häufige Ursachen für Vorfälle. Kurze, wiederholte Schulungen wirken besser als eine einzige Jahressitzung.

5.Organisieren Sie das Lieferantenmanagement. Führen Sie ein aktuelles Register der Lieferanten, Auftragsverarbeitungsverträge und Bewertungen. Nutzen Sie, wo möglich, die Mustervereinbarungen des Sektors.

6.Richten Sie einen Vorfallprozess ein. Wer bewertet eine Datenpanne, wer meldet an die Datenschutzbehörde und wer informiert Eltern oder Studierende? Üben Sie das vorab, nicht erst während des Vorfalls.

Wie uComply hilft

Ein Schulträger mit mehreren Schulen möchte ein Managementsystem, aber auch eine saubere Trennung je Schule. Mit Business Units richten Sie in einer uComply-Umgebung je Schule einen eigenen Arbeitsbereich für Risiken, Vorfälle und Assets ein, während der Träger den Gesamtüberblick behält und Normen und Maßnahmen geteilt bleiben.

Neben ISO 27001 fügen Sie das Normenkader IBP als eigenen Standard hinzu. Maßnahmen verwalten Sie einmal und verknüpfen sie mit mehreren Normanforderungen, sodass Sie mit denselben Nachweisen sowohl das Rahmenwerk als auch ISO 27001 belegen. Die Gap-Analyse zeigt, was noch fehlt.

Da nahezu jede Bildungseinrichtung in Microsoft 365 arbeitet, fügt sich uComply nahtlos ein: Die Anwendung läuft vollständig in Ihrer eigenen Microsoft-365-Umgebung, und Ihre Daten verlassen Ihre Organisation nicht. Über das Flightdeck-Dashboard sieht die Leitung den Fortschritt je Norm und die offenen Risiken auf einen Blick.

Kleinere Träger ohne eigene IT-Kapazität können direkt mit uComply SaaS starten und später in den eigenen Tenant wechseln. Die gesamte Arbeit zieht mit um.

Zusammenfassung

Das Bildungswesen verarbeitet sensible Daten Minderjähriger, arbeitet mit einer langen Lieferkette und ist ein erwiesenes Ziel für Ransomware. Die Sektorrahmen, das Normenkader IBP und SURFaudit, basieren bereits auf ISO 27001. Die Zertifizierung macht aus einer Eigenerklärung eine unabhängig nachgewiesene Beherrschung, gegenüber Eltern, Studierenden, Inspektion, Kommunen und Lieferanten.

Möchten Sie sehen, wie uComply ISO 27001 und das Normenkader IBP in einer Umgebung für Ihren Träger oder Ihre Einrichtung einrichtet? Planen Sie eine unverbindliche Demo oder sehen Sie sich unsere Preise an.