Een praktische werkwijze volgens de nieuwe wet. Wat je vastlegt, hoe je het niveau bepaalt en hoe je in de eerste 24 uur het juiste doet.
Registreren klinkt als administratie. Maar een goed incidentregister is je beste hulp als de Inspectie straks meekijkt. Dit is hoe je digitale incidenten vastlegt volgens de Wet Vrij en Veilig Onderwijs, zonder dat het je dagen kost.
Vanaf 1 augustus 2027 gaat naar verwachting de Wet Vrij en Veilig Onderwijs in1. Die vraagt scholen om elk veiligheidsincident vast te leggen. Ook de digitale. Een leeg register is straks geen geruststelling, maar een risico.
Het goede nieuws: registreren wordt eenvoudig als je een vaste werkwijze hebt. In dit artikel lopen we die werkwijze stap voor stap door.
De basisHet incidentregister is meer dan een lijst. Het is de bron voor je jaarlijkse evaluatie van het veiligheidsbeleid, dat het bevoegd gezag onder de nieuwe wet naar verwachting elk schooljaar moet uitvoeren1. Het laat ook zien dat je school weet wat er speelt en er iets mee doet.
Bij digitale incidenten is dat extra belangrijk. Ze zijn vluchtig. Een groepsapp wordt geleegd, een account verdwijnt, een beeld wordt doorgestuurd en weer verwijderd. Wie niet snel registreert, verliest het overzicht.
Twijfel je of iets in het register hoort? Leg het dan vast. Onderschatten is het grootste risico bij digitale incidenten, want wat klein lijkt kan in een dag viraal gaan.
Een bruikbaar incidentregister bevat per incident een vaste set velden. Zo mis je niets en kun je later verantwoorden wat je hebt gedaan.
Een korte feitelijke beschrijving, de datum en tijd, en wie erbij betrokken was. Houd het zakelijk en zonder oordeel.
Welk type incident is het en welk ernstniveau krijgt het: intern, ernstig of acuut. Dat niveau bepaalt de route.
Welke acties je hebt ondernomen en welke externe meldingen je hebt gedaan, bijvoorbeeld bij de Inspectie, de Autoriteit Persoonsgegevens of de politie.
Screenshots en app-historie, lokaal en veilig opgeslagen. Stuur seksueel beeldmateriaal nooit door, dat is zelf strafbaar.
Hoe is het afgelopen, wat heeft gewerkt en wat neem je mee. Dit voedt de jaarlijkse evaluatie.
Niet elk incident is even ernstig. Een goede triage werkt in drie stappen. Elk digitaal incident krijgt zo automatisch een niveau, en het niveau bepaalt de route.
Bepaal eerst het type incident. Elk type heeft een standaardniveau: intern (niveau 1), ernstig (niveau 2) of acuut (niveau 3). Beginnend cyberpesten is bijvoorbeeld standaard niveau 1. Sextortion is standaard niveau 2.
Loop daarna een korte set ja-of-nee-vragen langs. Eén “ja” tilt het niveau minimaal naar niveau 2. Denk aan: is er letsel of suïcidaliteit? Is een leerling slachtoffer van een strafbaar feit? Zijn er seksuele beelden van een minderjarige bij betrokken? Is het materiaal viraal gegaan? Zijn persoonsgegevens van 10 of meer personen gelekt?
Tot slot de crisisvragen. Eén “ja” tilt het niveau naar 3: acuut suïciderisico, operationele stilstand van de school, direct fysiek gevaar of media-aandacht binnen 24 uur.
“Het niveau bepaal je niet op gevoel, maar met vaste vragen. Dat maakt het navolgbaar.”
— Het principe achter een goede triageWil je weten wanneer een incident precies bij de Inspectie moet? Lees dan de meldplicht bij de Inspectie uitgelegd.
De eerste urenDe eerste dag is bepalend. Bij elk digitaal incident gelden een paar vaste eerste stappen.
Voor het laten verwijderen van naaktbeelden, sextortion-materiaal of AI-nepnaakt van minderjarigen: meldpunt.offlimits.nl. Voor steun aan slachtoffers: de hulplijn van Offlimits, 020-261 52 75.
Een incidentregister bevat gevoelige gegevens. De AVG geldt onverkort. Verwerk daarom niet meer persoonsgegevens dan nodig en overweeg pseudonimisering, zeker als je het register breder deelt binnen de organisatie.
Of leerlingnamen in het register mogen en hoe lang je een incident bewaart, zijn nog open punten. De precieze richtlijn wordt naar verwachting duidelijker met de uitvoeringsbesluiten. Stem het in de tussentijd af met je Functionaris Gegevensbescherming.
Een praktische oplossing is een register dat lokaal werkt, zodat leerlinggegevens je school niet verlaten. Dat maakt een verwerkersovereenkomst overbodig en houdt je AVG-proof by design. Precies zo werkt de incidentregistratie-tool van Cyber·burger: drie korte vraagblokken, direct een routekaart en een rapport, alles in de browser.
Onder de Wet Vrij en Veilig Onderwijs registreer je elk veiligheidsincident, ook digitale. Denk aan online pesten, sextortion, AI-nudes, doxing, datalekken, money mules en ransomware. Een goede vuistregel: leg alles vast wat de veiligheid of het welzijn van een leerling of personeelslid raakt.
Dit is een open punt dat de AVG raakt. Verwerk niet meer persoonsgegevens dan nodig en overweeg pseudonimisering. De precieze richtlijn rond namen in het register wordt naar verwachting duidelijker met de uitvoeringsbesluiten. Stem het af met je Functionaris Gegevensbescherming.
Een gangbare termijn voor het schoolse incidentregister is vijf jaar, gekoppeld aan de jaarlijkse evaluatie van het veiligheidsbeleid. Of de Wet Vrij en Veilig Onderwijs een eigen termijn vaststelt, wordt naar verwachting in de uitvoeringsbesluiten geregeld.
Leg vast: wat er gebeurde, wanneer, wie betrokken was, welk niveau het incident kreeg, welke stappen je hebt gezet, welke meldingen je hebt gedaan en hoe het is afgelopen. Bewaar bewijs zoals screenshots veilig en niet doorgestuurd.
Ja. Een tool die je door de juiste vragen leidt, bepaalt automatisch het ernstniveau, levert een routekaart en genereert een rapport voor je archief. Dat scheelt tijd en voorkomt dat je een verplichte melding mist. De incidentregistratie-tool van CyberBurger doet dit volledig in de browser, zonder dat leerlinggegevens je school verlaten.
De vijf maatregelen en hoe je je nu al voorbereidt.
Lees verder →Wanneer een incident bij de Inspectie moet en wie meldt.
Lees verder →Het complete overzicht, met standaardniveau per type.
Lees verder →De incidentregistratie-tool van Cyber·burger leidt je door de drie vraagblokken, bepaalt automatisch het niveau en levert direct een routekaart, een Inspectie-meldconcept en een rapport voor je register. Alles in de browser, geen leerlinggegevens op onze servers.
Bekijk de incidentregistratie-tool Of het documentenpakket
