B.7 Bedrijfsvoering

Onze locatie in Zwolle is voorzien van een nieuwe huisstijl (schilderwerk). Tegelijkertijd is een projectgroep gestart met het voorbereiden van een toekomstbestendig gebouw door middel van:

• herinrichting van het buitenterrein;
• het uitvoeren van duurzame onderhoudsmaatregelen;
• het efficiënter benutten van beschikbare onderwijsruimte (m²) op basis van de onderwijskundige visie.

De planvorming voor een biobased dierenverblijf, inclusief bijbehorend lokaal, op het buitenterrein van locatie Doetinchem is in de afrondende fase.

Aan de Broekstraat 17 te Doetinchem is een nieuw pand aangekocht om de opleidingen die momenteel op twee huurlocaties zijn gevestigd, samen te brengen op één locatie. Definitieve aankoop is onder voorbehoud van verlening van de omgevingsvergunning door de gemeente.

In 2025 is veel tijd besteed aan het opstellen van een functioneel en technisch Programma van Eisen (PvE), het uitwerken van inpassingsplannen voor de vernieuwbouw in Almelo. Ook zijn de eerste stappen gezet in de aanbestedingstrajecten voor zowel het bouwmanagement als de selectie van een architect.

In 2025 is gewerkt aan de planvorming voor de verdere ontwikkeling van onze school in Borculo. Deze ontwikkeling richt zich op het uitbreiden van de kantine en het realiseren van extra leslokalen. Aanleiding hiervoor is dat de tijdelijke units onvoldoende aansluiten op onze onderwijsvisie en niet bijdragen aan een plezierige werk- en leeromgeving.

In 2025 konden wij geen gebruik meer maken van de gymfaciliteiten in ’t Timpke. Hierdoor is een langdurig en zorgvuldig proces gestart om een passend alternatief voor onze gymlessen te vinden. Uiteindelijk is gekozen voor de sporthal in Beltrum, die inmiddels in gebruik is genomen als tijdelijke voorziening. Om de veiligheid, logistieke efficiëntie en de continuïteit van het onderwijs te waarborgen, zijn bij deze sporthal vier tijdelijke lokalen geplaatst.

Zone.college vindt bewustwording van informatiebeveiliging en privacy (IBP) bij medewerkers enorm belangrijk. Om medewerkers goed uit te rusten maakt Zone.college gebruik van Arda. Arda is een doorlopend online cybersecurity awareness programma met als doel om het cybersecurity bewustzijn van medewerkers te verhogen en zo de kans op geslaagde cyberaanvallen te verlagen.

Wanneer een verwerking van persoonsgegevens een hoog risico voor de rechten en vrijheden van natuurlijke personen inhoudt wordt er een Data Protection Impact Assessment (DPIA) uitgevoerd. Dit is met name het geval bij nieuwe projecten, producten of diensten die persoonsgegevens verwerken, met inbegrip van het gebruik van nieuwe technologieën. Zone.college heeft het afgelopen jaar zelf 1 nieuwe DPIA uitgevoerd. De samenwerkingsorganisaties SURF, MBO digitaal en Sivon voeren ook steeds vaker DPIA’s uit voor de hele sector. Zie Vendor Compliance van SURF.

Zone.college heef een procedure omtrent het melden/registreren van datalekken. Het IBP-team houdt dit nauwkeurig bij en bespreekt dit met het CERT (Computer Emergency Response Team). In dit overleg komt advies over te nemen stappen en maatregelen aan de orde. In 2025 zijn er 8 datalekken geregistreerd. Deze datalekken zijn binnen de wettelijke termijnen afgehandeld. De risico’s zijn relatief laag geweest.

Betrokkenen hebben een aantal rechten als organisaties hun persoonsgegevens verwerken. Dat staat in de Algemene verordening gegevensbescherming (AVG). We noemen dit 'privacyrechten'. Deze rechten zijn bedoeld om betrokkenen controle te laten houden over hun persoonsgegevens. In 2025 zijn er in totaal 2 officiële inzageverzoeken binnen gekomen. Deze zijn volgens de interne procedure tijdig afgehandeld.

Als verwerkingsverantwoordelijke is Zone.college wettelijk verantwoordelijk voor de verwerking van persoonsgegevens, ook wanneer de verwerking wordt uitbesteed. Onze leerlingen, studenten, deelnemers, ouders, medewerkers en externen hebben in vertrouwen hun persoonsgegevens met ons gedeeld. Zone.college maakt daarom afspraken met leveranciers in de vorm van verwerkersovereenkomsten als integraal onderdeel van IBP.  Afgelopen jaar zijn er in totaal 28 nieuwe verwerkersovereenkomsten afgesloten en/of vernieuwd.

Jaarlijks organiseert SURF de SURFaudit benchmark, waarbij participerende instellingen een self-assessment, peer review, interne audit of externe audit uitvoeren op basis van het SURFaudit Toetsingskader Informatiebeveiliging en Privacy. Deze benchmarks geven inzicht in de staat van informatiebeveiliging en privacy binnen de sector. Door deel te nemen, verkrijgt Zone.college een duidelijk beeld van de eigen positie en de ontwikkeling binnen de sector als geheel.

SURF verzamelt en analyseert de resultaten om een sectorbreed beeld te vormen van de mate van compliance met de gestelde normen. In 2025 is voor Zone.college voor het eerst een externe security audit uitgevoerd door Deloitte. Op basis van de uitkomsten zullen verbeterplannen worden opgesteld om verdere professionalisering van informatiebeveiliging en privacy te realiseren.

Cybercrime is een wereldwijd probleem. Dreigingen als ransomware, phishingmails en computerhacks liggen op de loer. Zone.college houdt dit nauwlettend in de gaten en onderneemt continu actie in de vorm van bewustwording (o.a. door phishing simulaties, e-learning, nieuwsbrieven) en technologische aanpassingen (o.a. door updates, patches, monitoring, 2FA).

Zone.college heeft de SURFsoc-dienst van SURF afgenomen en is de implementatie daarvan in 2024 gestart. In 2025 zijn me met deze dienst live gegaan. SURFsoc monitort cyberdreigingen en mogelijke aanvallen op de infrastructuur. Zo vergroten we de detectiecapaciteit van onze instelling. De kennis die binnen SURFsoc wordt opgedaan, wordt gedeeld met alle instellingen die aangesloten zijn op het SURF-netwerk. Zo verhogen we samen de informatiebeveiliging binnen onderwijs en onderzoek.

In 2025 heeft Zone.college meegedaan aan de sectorbrede cybercrisisoefening OZON. OZON is een 2-jaarlijks cybercrisisoefening voor onderwijs en onderzoek. Tijdens deze oefening is het vastgestelde crisisplan doorgenomen en achteraf is deze oefening geëvalueerd. De verbeterpunten worden meegenomen.

Er is aandacht voor blijvende professionalisering van het IBP-team, vormgegeven door het volgen van opleidingen, het bijwonen van landelijke bijeenkomsten en delen van expertise op het gebied van wetgeving en tooling binnen samenwerkingsverbanden van vmbo- en mbo-scholen. Onder regie van het IBP-team wordt uitvoering gegeven aan de wet AVG. Het team informeert de organisatie over deze wetgeving. Er is beleid gemaakt, risico’s zijn in kaart gebracht en is er informatie verzameld over incidenten (datalekken). Naast nauwe contacten met SURF, Kennisnet en MBO Digitaal is de samenwerking met Lumen Group gecontinueerd. Lumen Group ondersteunt de functionaris voor gegevensbescherming bij het beantwoorden van AVG-vraagstukken.

We hebben de baten geanalyseerd en gefilterd op basis van de kenmerken van private activiteiten.

• Werk in opdracht van derden ad € 2.143K wordt als publiek geclassificeerd, omdat hieronder grotendeels de overige subsidies, niet zijnde OCW subsidies, vallen.
• Opbrengsten verhuur ad € 80K zijn gecategoriseerd in verhuur aan onderwijsinstellingen (publiek) en overige verhuur. De laatste categorie is als privaat aangemerkt.
• Detachering personeel ad € 536K. Hiervoor wordt een detacheringsregister bijgehouden en de inhuurder vermeld. Hier is uit te herleiden of dit een publieke of private detachering betreft. Daarnaast betreft hiervan € 300K detachering aan Stichting Groei.zone. Dit is als privaat aangemerkt.
• Ouderbijdragen ad € 677K zien volledig toe op het bekostigde onderwijs en worden als publieke baten aangemerkt.
• Overige baten ad € 503K deze worden per grootboekrekening gecategoriseerd en daarnaast worden de mutaties hierin zelfstandig beoordeeld op mogelijke publieke activiteiten.