De drie ernstniveaus, de meldroutes en wie wat doet. Zo weet je straks precies wanneer een digitaal incident bij de Inspectie hoort.
De meldplicht is het deel van de Wet Vrij en Veilig Onderwijs dat scholen het meest spannend vinden. Wanneer is een incident “ernstig”? Wie belt de Inspectie? En wat als je twijfelt? Dit artikel maakt het concreet.
Onder de Wet Vrij en Veilig Onderwijs, naar verwachting van kracht per 1 augustus 20271, moet je ernstige veiligheidsincidenten melden bij de Inspectie van het Onderwijs. Dat geldt ook voor digitale incidenten. En juist daar is “ernstig” lastiger te bepalen dan bij een fysiek incident.
De kernDe meldplicht betekent dat het bevoegd gezag een ernstig veiligheidsincident meldt bij de Inspectie. Het concept-uitgangspunt is direct melden, in elk geval binnen 24 uur2. De exacte termijn en het modelformulier worden naar verwachting in de uitvoeringsbesluiten geregeld.
Belangrijk: de melding doet niet de leerkracht en ook niet de school zelf, maar het bevoegd gezag. Dat is in de praktijk het bestuur. De school levert de informatie aan, het bestuur dient in.
Het concept-uitgangspunt is “direct, in elk geval binnen 24 uur”. De definitieve termijn, de drempels en het modelformulier volgen naar verwachting uit de uitvoeringsbesluiten van OCW.
Of je moet melden, hangt af van het niveau van het incident. Wij werken met drie niveaus. Het niveau bepaalt de route.
Je registreert het incident en handelt het zelf af. Geen externe meldplicht. Denk aan beginnend cyberpesten zonder ernstige schade of een klein groepsapp-conflict.
Er is serieuze sociale, psychische of fysieke schade, of die dreigt. Melding bij de Inspectie, naar verwachting binnen 24 uur, plus vaak andere meldingen. Denk aan sextortion, wraakporno, AI-nudes, ernstige doxing, ransomware of een datalek.
Direct gevaar voor een leerling, personeel of de continuiteit van het onderwijs. Crisisprotocol, altijd de Inspectie, vaak politie en een communicatieteam. Denk aan een suiciderisico na sextortion, gijzeling van schoolsystemen of viraal gegaan beeldmateriaal.
Een incident dat begint als niveau 1 kan zomaar opschalen naar niveau 2. Dat gebeurt zodra een van deze triggers aanwezig is:
En van niveau 2 naar niveau 3 schaalt het op bij acuut suiciderisico, operationele stilstand van de school, viraal gegaan beeldmateriaal of direct fysiek gevaar.
“Bij twijfel schaal je op. Een melding te veel is beter dan een gemiste meldplicht.”
— Het uitgangspunt bij digitale incidentenDe Inspectie-melding staat zelden op zichzelf. Bij digitale incidenten zijn vaak meerdere meldingen tegelijk aan de orde. Dit is het overzicht.
| Melding | Wanneer | Termijn |
|---|---|---|
| Inspectie van het Onderwijs | Ernstig incident (niveau 2 of 3) | Direct, naar verwachting max 24 uur |
| Autoriteit Persoonsgegevens | Datalek met risico | Binnen 72 uur |
| Veilig Thuis (Meldcode) | Vermoeden mishandeling of uitbuiting | Volgens de 5 stappen, 0800-2000 |
| Politie | Strafbaar feit, dreiging, slachtoffer | Direct, 0900-8844 of 112 |
| Meldpunt van Offlimits | Online materiaal laten verwijderen | Direct, meldpunt.offlimits.nl |
Een datalek met leerlinggegevens kent dus twee meldingen tegelijk: de Autoriteit Persoonsgegevens binnen 72 uur en de Inspectie naar verwachting binnen 24 uur3. Dat overzicht houden onder tijdsdruk is precies waar veel scholen tegenaan lopen.
De rollenEen heldere rolverdeling voorkomt dat een melding blijft liggen of dubbel wordt gedaan. Dit zijn de belangrijkste rollen.
De rode draad: de school bereidt voor, het bestuur dient in. Zorg dat die lijn strak staat voordat de wet ingaat. Een tool die per incident automatisch het juiste meldconcept genereert, maakt die overdracht een stuk eenvoudiger.
Naar verwachting bij een ernstig incident (niveau 2 of 3), dus als er serieuze sociale, psychische of fysieke schade is of dreigt. Denk aan sextortion, wraakporno, AI-nudes, ernstige doxing, een ransomware-aanval of een datalek met persoonsgegevens. Het concept-uitgangspunt is direct melden, in elk geval binnen 24 uur.
Het bevoegd gezag, dus het bestuur, doet de officiele melding. De school bereidt voor en levert de informatie aan. Zorg dat de lijn veiligheidscoordinator, directie, bestuur en Inspectie strak staat voordat de wet ingaat.
Niveau 1 is intern: registreren en zelf afhandelen, geen externe meldplicht. Niveau 2 is ernstig: melden bij de Inspectie en vaak ook andere meldingen. Niveau 3 is acuut: crisisprotocol, Inspectie, politie en een communicatieteam. Een incident kan opschalen door triggers als suicidaliteit, viraal materiaal of media-aandacht.
Vaak wel. Bij een datalek meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. Bij een vermoeden van mishandeling of uitbuiting geldt de Meldcode en Veilig Thuis. Bij een strafbaar feit is aangifte bij de politie aan de orde. De Inspectie-melding staat dus zelden op zichzelf.
De exacte termijn staat nog niet vast. Het concept-uitgangspunt is direct, in elk geval binnen 24 uur. De definitieve termijn en het modelformulier worden naar verwachting geregeld in de uitvoeringsbesluiten van de Wet Vrij en Veilig Onderwijs.
De vijf maatregelen en hoe je je nu al voorbereidt.
Lees verder →Wat je vastlegt en hoe je het niveau bepaalt.
Lees verder →Het complete overzicht, met standaardniveau per type.
Lees verder →De incidentregistratie-tool van Cyber·burger bepaalt het ernstniveau en levert direct een kant-en-klaar Inspectie-meldconcept, plus een AP-meldconcept bij datalekken. Het bestuur dient alleen nog in. Alles in de browser, AVG-proof by design.
Bekijk de incidentregistratie-tool Of de trainingen voor je team
