Overig · Onderwijs
IAM in het hoger onderwijs: toegangsbeheer onder SURFaudit en de Cyberbeveiligingswet
Hbo en wo toetsen hun informatiebeveiliging via het toetsingskader van SURFaudit en vallen onder de aankomende Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese richtlijn NIS2. Toegangsbeheer, met sterke authenticatie, least privilege, lifecyclebeheer en logging, is daarin een kernonderdeel. Geautomatiseerde provisioning vanuit je personeelssysteem maakt dat schaalbaar en aantoonbaar.
Marcel van Beek · IAM Specialist · 4 min read
Welke kaders gelden voor het hoger onderwijs?
Het hoger onderwijs werkt al jaren met een gezamenlijke aanpak via SURF, de ICT-coöperatie van onderwijs en onderzoek. Twee kaders zijn leidend:
Het toetsingskader van SURFaudit. Mbo, hbo en wo meten hun informatiebeveiliging jaarlijks via dit kader, dat is gebaseerd op het volwassenheidsmodel van NOREA en NBA. Volwassenheidsniveau 3 is de afgesproken ambitie.
De Cyberbeveiligingswet. Dit is de Nederlandse omzetting van de Europese richtlijn NIS2. De minister heeft besloten dat hbo en wo hieronder vallen. De wet treedt naar verwachting in 2026 in werking, met een ingroeiperiode van ongeveer drie jaar, en bevat tien zorgplichtmaatregelen plus een meldplicht bij significante incidenten.
En het mbo?
Het mbo gebruikt hetzelfde toetsingskader van SURFaudit en werkt aan dezelfde ambitie van niveau 3. Het mbo is niet automatisch aangewezen onder de Cyberbeveiligingswet en blijft hierover in overleg met OCW. De aanpak voor toegangsbeheer is in grote lijnen gelijk aan die van het hoger onderwijs.
Wat betekent dit voor toegangsbeheer?
De zorgplicht uit de Cyberbeveiligingswet en de normen uit SURFaudit komen op het vlak van IAM op hetzelfde neer. Je moet kunnen aantonen dat je:
sterke authenticatie toepast, zoals meervoudige verificatie
toegang beperkt volgens least privilege
accounts automatisch aanmaakt, aanpast en intrekt bij personeelswijzigingen
toegang en wijzigingen logt voor audits en incidentrespons
Toegangsbeheer is daarmee geen bijzaak, maar een van de plekken waar deze kaders het meest concreet worden.
Hoe schaal je IAM in een grote, complexe instelling?
Een universiteit of hogeschool heeft duizenden medewerkers, veel faculteiten en een enorme verscheidenheid aan systemen. Een orchestratielaag boven Microsoft Entra ID of Google Workspace, gevoed door het personeelssysteem, brengt daar structuur in:
Provisioning vanuit HR zorgt dat accounts automatisch ontstaan, meebewegen en weer worden ingetrokken.
Rolgebaseerde toegang per functie, faculteit en afdeling houdt rechten verklaarbaar en beperkt.
Koppelingen via SCIM brengen applicaties onder hetzelfde toegangsbeheer, zonder losse silo's.
Logging en rapportage leveren het bewijs dat SURFaudit en de Cyberbeveiligingswet vragen.
Veelgestelde vragen
Valt mijn instelling onder de Cyberbeveiligingswet? Hbo en wo zijn aangewezen. Voor het mbo loopt nog overleg. Ook als je instelling er niet onder valt, blijven de maatregelen waardevol en sluiten ze aan op SURFaudit.
Wanneer treedt de Cyberbeveiligingswet in werking? De verwachting is in 2026, met een ingroeiperiode van ongeveer drie jaar om aan de zorgplicht te voldoen. Houd de actuele besluitvorming in de gaten.
Sluit geautomatiseerde IAM aan op SURFaudit? Ja. Geautomatiseerde provisioning, least privilege en logging dekken meerdere normen tegelijk af en maken je volwassenheidsniveau aantoonbaar.
Explore more blogs
Segregation of Duties (SoD): wat het is en hoe je het afdwingt
Wat is segregation of duties (functiescheiding)? Uitleg, voorbeelden en waarom het vaak misgaat. Plus hoe je SoD-conflicten automatisch tegenhoudt.
Marcel van Beek · 4 min read
How do you apply AGDLP in a hybrid Entra/AD environment? (And why you shouldn't want to anymore)
Short answer: preferably not. AGDLP (Accounts → Global groups → Domain Local groups → Permissions) is a concept from the era of manual management. The entire nesting construction exists for one reason: to allow a human to assign permissions with as few mouse clicks as possible. As soon as an agent assigns group memberships directly based on HR data, this reason disappears and only the complexity remains. Moreover, in a hybrid environment, this complexity actively works against you, because Entra ID completely ignores nesting for licences and app assignment. In this article, you can read how AGDLP works and why it was once smart, where it breaks down in a hybrid environment, and what the modern alternative looks like: direct memberships, managed by automation.
Marcel van Beek · 5 min read
How do I set up role-based access control (RBAC) and least privilege for a municipality?
Start with the roles in your HR system and map them to roles, not to individual permissions per person. Group each role with precisely the access required for the job, adhering to the principle of least privilege. Manage these roles centrally and let an orchestration layer automatically assign and revoke them. This keeps access predictable, limited and demonstrable.
Mike Fraanje · 4 min read
See what Joinly can do for your organisation?
Start a free trial today or get in touch for advice on your HR and Microsoft environment.