ISO/IEC 27090: AI-beveiliging naast ISO 27001

U moet per AI-systeem in productie een aparte dreigingsbeoordeling uitvoeren die de beveiligingsrisico's van het model zelf adresseert, niet alleen de infrastructuur eromheen, en die beoordeling in uw bestaande ISO/IEC 27001-risicoregister vastleggen.

De aanleiding is een analyse van 19 oktober 2026 van ISO/IEC 27090 als AI-specifieke beveiligingslaag, die stelt dat ISO en IEC een standaard hebben afgerond die AI-systemen tegen aanvallen als promptinjectie, datavergiftiging, informatie-extractie en modeldiefstal beschermt. Het voorbeeld is de verhouding tussen ISO/IEC 27090, ISO/IEC 27001 en ISO/IEC 27002: de eerste vult de twee anderen aan met een AI-gerichte dreigings- en controlelaag. In onze beoordeling betekent dit dat de verantwoordelijkheid verschuift van "we passen onze cybersecurity toe op AI" naar "we tonen aan dat we deze specifieke dreigingen beheersen"; wie uitsluitend met klassieke controles werkt, beschrijft deze dreigingen te globaal om ze te kunnen toetsen.

Welke dreigingen richt ISO/IEC 27090 zich op?

AI-systemen hebben aanvalsvlakken die een firewall of toegangscontrole op zichzelf niet afdekt. Promptinjectie — waarbij verborgen instructies in invoer of externe inhoud het gedrag van een model sturen — raakt de werking van het systeem zelf. Datavergiftiging verandert hoe het model leert. Informatie-extractie en modeldiefstal stelen intellectueel eigendom of trainingsgegevens. Membership inference en privacy-aanvallen onthullen of specifieke personen in trainingsdata hebben gestaan. Deze dreigingen vragen om specifieke taal en aparte maatregelen.

Wat is de verhouding tot bestaande normen?

ISO/IEC 27090 vervangt ISO/IEC 27001 en ISO/IEC 27002 niet. ISO/IEC 27001 levert het bestuurlijke fundament met risico-eigenaarschap en continue verbetering. ISO/IEC 27002 beschrijft de generieke beveiligingsmaatregelen. ISO/IEC 27090 voegt daar een bril voor AI-beveiliging aan toe. Dit verschilt van ISO/IEC 42001, dat het bredere AI-managementsysteem beschrijft, en van het NIST AI Risk Management Framework, dat AI-risico breed kadert; ISO/IEC 27090 richt zich specifiek op beveiligingsdreigingen.

Welke risico's ontstaan bij implementatie?

Publicatie van een standaard certificeert geen product en bewijst niet dat een AI-systeem veilig is. Zolang een afzonderlijke regel het niet voorschrijft, is ISO/IEC 27090 geen wettelijke verplichting. Het risico is dat teams ISO/IEC 27090 als los project draaien zonder bestuurlijke verankering, of dat de claim "we voldoen aan ISO/IEC 27090" leeg blijft zonder bewijs van getoetste maatregelen en logbewijs. Een ander risico: de compliancefunctie onderscheidt niet welke verplichting werkelijk uit wetgeving volgt en welke uit eigen beleid, zodat toezeggingen aan toezichthouders niet kloppen.

Welke concrete stappen moet u nemen?

1. Inventariseer het hele AI-systeem — noteer per onderdeel welke dreigingen gelden, wie eigenaar is en welke maatregelen u preventief en detectief treft.
2. Koppel aan elk onderdeel concrete dreigingen — promptinjectie, data- of modelvergiftiging, informatie-extractie, modeldiefstal, privacy-aanvallen en ongeautoriseerde toolacties.
3. Toets maatregelen tegen productie-configuratie — herzie de beoordeling na elke wijziging aan model, data, prompt, tool of infrastructuur.
4. Leg vast wie eigenaar is — wijs per AI-systeem een risico-eigenaar aan en neem de dreigingsbeoordeling in het risicoregister van uw ISO/IEC 27001-systeem op.
5. Leg contractueel vast wat opvraagbaar is — bepaal in leverancierscontracten dat getoetste maatregelen en logbewijs opvraagbaar zijn, niet alleen een verwijzing naar de norm.

De standaard biedt een gemeenschappelijke taal voor dreigingen en maatregelen. Wat de standaard niet kan doen: bepalen welke maatregelen in uw specifieke context werkelijk nodig zijn, of vaststellen of u ze correct hebt ingericht. Dat blijft uw eigen professionele oordeel, ondersteund door regelmatige toetsing tegen de werkelijke productie-configuratie en door incidentrespons die onderscheidt tussen cyberincidenten en incidenten waarbij een model buiten zijn taakgrenzen handelt.