ICT om te verbinden
De meeste scholen in Nederland werken met Microsoft 365. Toch zijn er structureel vragen over licenties, privacy en veilige inrichting. Want Microsoft 365 gebruiken is één ding. Het goed en AVG-proof beheren is een ander.
Microsoft 365 in het onderwijs
Microsoft 365 is voor veel scholen de digitale werkomgeving geworden: van e-mail en Teams tot OneDrive, SharePoint en het beheer van apparaten via Intune. De suite biedt onderwijsinstellingen een geïntegreerde omgeving voor communicatie, samenwerking en leren. Maar die integratie brengt ook verantwoordelijkheid met zich mee. Wie beheert de omgeving? Wat gebeurt er met leerlinggegevens? En voldoet de inrichting aan de AVG en het IBP-normenkader?
Microsoft 365 education: welke licenties zijn er voor scholen
Microsoft biedt scholen speciale Education-licenties aan, die qua functionaliteit en prijs afwijken van commerciële abonnementen. De meest gebruikte varianten zijn:
- Microsoft 365 A1 is de gratis basisvariant voor scholen. Beschikbaar voor zowel leerlingen als medewerkers, inclusief webversies van Office-apps, Teams en OneDrive. Geen desktopapplicaties inbegrepen.
- Microsoft 365 A3 voegt desktopapplicaties, uitgebreidere beveiliging en compliancetools toe. Voor scholen die meer grip willen op toegangsbeheer en gegevensbeveiliging.
- Microsoft 365 A5 is de meest uitgebreide variant, met geavanceerde beveiligings- en nalevingsfuncties. Relevant voor scholen die aan strengere eisen moeten voldoen of grote hoeveelheden gevoelige data verwerken.
Scholen die via een coöperatie of gezamenlijke inkooporganisatie licenties afnemen, profiteren doorgaans van betere prijzen en voorwaarden dan bij individuele aanschaf. Bovendien zijn voor het Nederlandse onderwijs aanvullende afspraken gemaakt met Microsoft over gegevensverwerking en privacy, via SURF en sectororganisaties, die verder gaan dan de standaard Microsoft-voorwaarden.
Microsoft 365 en de AVG
Het gebruik van Microsoft 365 in het onderwijs is vanuit AVG-perspectief toegestaan, mits de omgeving correct is ingericht. De minister van Onderwijs bevestigde dat na onderzoek door SURF en andere instanties: er is geen reden om te twijfelen aan de rechtmatigheid van Microsoft 365 in het Nederlandse onderwijs, mits de afgesproken maatregelen worden nageleefd.
Maar “toegestaan” betekent niet “automatisch compliant”. Er zijn concrete verplichtingen:
Verwerkersovereenkomst
Microsoft treedt op als verwerker van persoonsgegevens namens de school. Er moet een actuele verwerkersovereenkomst zijn. Voor scholen die licenties afnemen via de sectorale overeenkomsten is dit al geregeld, maar het verwerkingsregister moet wel worden bijgehouden.
DPIA
Bij de invoering of uitbreiding van Microsoft 365-gebruik is een Data Protection Impact Assessment vereist als er sprake is van hoog-risicoverwerking. Denk aan het inzetten van Microsoft Copilot, uitgebreide analytics op leerlinggedrag of koppeling met externe systemen.
Inrichting en toegangsbeheer
Privacy is een gedeelde verantwoordelijkheid: Microsoft levert een veilig platform, maar de school moet het veilig inrichten. Dat betekent onder andere: multifactorauthenticatie (MFA) inschakelen, toegangsrechten beperken tot wat noodzakelijk is, en controleren welke gegevens worden gedeeld via Teams of OneDrive.
Microsoft Copilot
De integratie van AI in Microsoft 365 via Copilot stelt nieuwe vragen rond privacy. Welke gegevens worden verwerkt? Waar worden die opgeslagen? Scholen die Copilot inzetten moeten dit vastleggen in hun verwerkingsregister en beoordelen of een aanvullende DPIA nodig is. De huidige status hierover kun je terugvinden op de website van surf.
De Autoriteit Persoonsgegevens publiceert specifieke richtlijnen voor het onderwijs over het gebruik van clouddiensten en privacywetgeving.
Veilige inrichting van Microsoft 365 voor scholen
Een Microsoft 365-omgeving die niet goed is ingericht, is een risico. Uit praktijkervaring blijkt dat essentiële beveiligingsmaatregelen regelmatig niet of onvolledig zijn ingesteld. Ook bij scholen die al jaren met de suite werken.
De meest kritische punten:
Multifactorauthenticatie
De meest effectieve maatregel tegen ongeautoriseerde toegang is multifactorauthenticatie. Microsoft Entra ID (voorheen Azure AD) maakt dit mogelijk voor alle gebruikers. Scholen die MFA nog niet voor alle accounts hebben ingeschakeld, lopen een aanzienlijk risico. De aanval op de TU Eindhoven in 2025 begon precies daar.
Voorwaardelijke toegang
Deze instelling bepaalt onder welke omstandigheden gebruikers toegang krijgen tot systemen: vanaf welk apparaat, via welk netwerk, met welke verificatie. Goed ingestelde policies beperken de schade bij een gecompromitteerd account.
Apparaatbeheer via Intune
Intune is de MDM-oplossing van Microsoft waarmee je centraal alle apparaten beheert die toegang hebben tot de schoolomgeving. Laptops, tablets en telefoons van zowel medewerkers als leerlingen. Je stelt centraal in welke apparaten toegang krijgen, rolt apps uit en kunt een apparaat op afstand wissen als het kwijtraakt. Essentieel voor scholen waar mensen op meerdere of eigen apparaten werken.
Dataclassificatie en DLP
Microsoft Purview is de compliance-tool binnen Microsoft 365 waarmee je gevoelige gegevens identificeert en labelt, zoals leerlingdossiers of personeelsinformatie. Data Loss Prevention (DLP) voorkomt vervolgens dat die gegevens onbedoeld worden gedeeld, bijvoorbeeld via e-mail of Teams. Zo houd je controle over wat de schoolomgeving verlaat.
Dit sluit direct aan op de eisen van het IBP-normenkader voor funderend onderwijs. Meer daarover lees je op onze pagina over cybersecurity in het onderwijs.
Microsoft 365 in de klas: Teams, OneDrive en meer
Naast beheer en beveiliging is Microsoft 365 voor docenten en leerlingen de dagelijkse werkomgeving. Teams is voor veel scholen het centrale platform geworden voor communicatie, lesmateriaal en samenwerking. OneDrive en SharePoint worden gebruikt voor opslag en het delen van documenten.
Dat dagelijkse gebruik heeft ook een privacy-dimensie. Welke gegevens worden gelogd in Teams? Wie heeft toegang tot bestanden in OneDrive? Mogen leerlingen persoonlijke accounts koppelen aan de schoolomgeving? Dit zijn vragen die scholen structureel moeten beantwoorden, niet alleen bij implementatie maar ook bij uitbreiding van het gebruik.
Docenten die Microsoft 365 effectief willen inzetten in hun onderwijs, hebben baat bij gerichte training. Niet alleen in de tools zelf, maar ook in de grenzen: wat deel je wel en niet via Teams, hoe ga je om met leerlinggegevens in OneDrive en wat betekent de AVG voor jouw dagelijkse praktijk.
Hoe KIEN scholen ondersteunt bij Microsoft 365
KIEN beheert Microsoft 365 voor ruim 130 schoollocaties in Zuid-Holland. Dat betekent licenties via gezamenlijke inkoop, technisch beheer van de omgeving en ondersteuning bij veilige inrichting conform de AVG en het IBP-normenkader.
Via KIEN Kennis bieden we trainingen voor docenten en medewerkers in het werken met Microsoft 365: van basisvaardigheden tot Teams en SharePoint in een onderwijscontext. Scholen die hun omgeving willen laten doorlichten op privacy en beveiliging, kunnen daarvoor bij ons terecht.
Voor vragen over AVG, verwerkersovereenkomsten of de inrichting van Microsoft 365 in jouw school: neem contact op.
Complete ICT-ontzorging binnen het onderwijs
Er zijn talrijke voordelen om je als school aan te sluiten bij KIEN. De drie belangrijkste zijn:
1) De diepte van de dienstverlening
Belangrijk, gezien de toenemende complexiteit van ICT.
2) De controle
Leden zijn eigenaar, dus betrokken bij elke keuze. en
3) Het inkoopvoordeel
Natuurlijk doordat wij gezamenlijk met elkaar optrekken.
Alleen ga je snel, samen kom je verder.
Kom met ons in contact
Ontdek meer over de voordelen van een lidmaatschap bij ons.
Veelgestelde vragen over Microsoft 365 in het onderwijs
Is Microsoft 365 AVG-proof voor scholen?
Ja, mits correct ingericht. De minister van Onderwijs heeft bevestigd dat gebruik van Microsoft 365 in het Nederlandse onderwijs rechtmatig is, op basis van afspraken die via SURF en sectororganisaties met Microsoft zijn gemaakt. De school blijft zelf verantwoordelijk voor een correcte inrichting en een actueel verwerkingsregister.
Welke Microsoft 365-licentie hebben scholen nodig?
Dat hangt af van de behoeften. A1 is gratis en geschikt voor basisgebruik. A3 voegt desktopapplicaties en uitgebreidere beveiligingstools toe. A5 biedt de meest geavanceerde compliance- en beveiligingsfuncties. Scholen die via een coöperatie inkopen, krijgen doorgaans betere voorwaarden dan bij individuele aanschaf.
Moet MFA verplicht zijn voor alle gebruikers?
Ja, dat is de aanbeveling en in het kader van het IBP-normenkader feitelijk een vereiste. MFA voorkomt dat een gelekt wachtwoord direct toegang geeft tot de gehele Microsoft 365-omgeving.
Wat zijn de privacyrisico’s van Microsoft Teams in de klas?
Teams legt communicatiedata vast. Scholen moeten helder hebben welke gegevens worden opgeslagen, wie er toegang toe heeft en hoe lang ze worden bewaard. Dit hoort in het verwerkingsregister. Koppeling van persoonlijke accounts aan de schoolomgeving moet worden vermeden.
Wat verandert er door Microsoft Copilot?
Copilot verwerkt gegevens uit de Microsoft 365-omgeving om taken te automatiseren. Voor scholen betekent dit extra aandacht voor welke data Copilot kan benaderen, hoe dit wordt vastgelegd in het verwerkingsregister en of een aanvullende DPIA nodig is. De meeste recente status is oranje: Privacyrisico’s Microsoft 365 Copilot blijven gemiddeld
Hoe verhoudt Microsoft 365 zich tot het IBP-normenkader?
Het IBP-normenkader stelt eisen aan toegangsbeheer, monitoring en gegevensbeveiliging. Microsoft 365 biedt de technische middelen, zoals Entra ID, Intune en Purview om aan die eisen te voldoen. Of dat ook daadwerkelijk zo is, hangt af van hoe de omgeving is ingericht.
