ISO 27090 en ISO 42001: de verschillen uitgelegd
Jonathan BezdekCTO
5 Min. leestijd
ISO 27090 geeft richting aan AI-beveiligingswerk. ISO 42001 stelt eisen aan een managementsysteem voor kunstmatige intelligentie, of AIMS. Organisaties kunnen ze samen gebruiken om beveiligingspraktijken te verbinden met bredere AI-governance. Bronnen: publicatiegegevens van ISO 27090, publicatiegegevens van ISO 42001.
ISO 27090 en ISO 42001 in één oogopslag
| Vergelijking | ISO 27090 | ISO 42001 |
|---|---|---|
| Primair doel | AI-systemen beschermen tegen beveiligingsdreigingen | Verantwoorde ontwikkeling en inzet van AI organiseren |
| Soort norm | Beveiligingsrichtlijnen | Eisen voor een AI-managementsysteem |
| Praktische vraag | Hoe zou dit AI-systeem gecompromitteerd kunnen worden? | Hoe sturen we AI consistent aan in de hele organisatie? |
| Belangrijkste focus | Dreigingen voor AI-data, -modellen en -workflows | AI-beleid, verantwoordelijkheden, risico's, doelstellingen en verbetering |
| Voorbeelden van aandachtspunten | Datavergiftiging, modeldiefstal en verwante aanvallen | Beveiliging, veiligheid, transparantie, bias en andere AI-risico's |
| Certificering | Richtlijnen; biedt geen certificeringsroute voor een AIMS | Vrijwillige certificering van het AIMS van de organisatie |
| Wie kan de norm gebruiken | Organisaties die AI ontwikkelen of gebruiken | Organisaties die AI ontwikkelen, aanbieden of gebruiken |
| Huidige editie | ISO/IEC 27090:2026 | ISO/IEC 42001:2023 |
| Eerste publicatie | 14 oktober 2026 | 18 december 2023 |
Bronnen: publicatiegegevens van ISO 27090, publicatiegegevens van ISO 42001 en uitleg van ISO over ISO 42001.
Hun reikwijdte overlapt. ISO 42001 rekent AI-beveiliging tot bredere organisatorische aandachtspunten. ISO 27090 behandelt ook governance in de context van AI-beveiliging. Hun verschillende doelen verklaren hoe ze elkaar kunnen aanvullen. Bronnen: uitleg van ISO over ISO 42001, uitleg van ISO over ISO 27090.
Certificering voor ISO 27090 en ISO 42001
Bij ISO 42001-certificering wordt beoordeeld of het AI-managementsysteem van een organisatie aan de eisen van de norm voldoet. Onafhankelijke certificatie-instellingen voeren de certificering uit; ISO zelf certificeert geen organisaties. Afzonderlijke AI-toepassingen hebben nog steeds een eigen beveiligingsbeoordeling nodig. Bron: uitleg van ISO over ISO 42001.
Leg bij het uitbesteden van werk op basis van ISO 27090 vast welke beveiligingsreview u nodig hebt: welke systemen, welke aanvalsscenario's en welk bewijs de bevindingen moet onderbouwen. Zo krijgt de beoordeling een concrete scope en een bruikbaar resultaat.
Welke norm moet u gebruiken
Kies op basis van het probleem dat u moet oplossen. Deze tabel is een praktische beslishulp.
| Uw situatie | Waar de focus ligt | Aanbevolen volgende stap |
|---|---|---|
| AI-gebruik heeft geen duidelijke eigenaren of regels | ISO 42001 | Leg verantwoordelijkheid, beleid en een reviewproces vast |
| Een model of toepassing loopt specifieke aanvalsrisico's | ISO 27090 | Analyseer aanvalsscenario's en kies de waarborgen die u test |
| Een klant vraagt om certificering van het AI-managementsysteem | ISO 42001 | Bepaal de certificeringsscope en beoordeel de gereedheid |
| AI-governance bestaat, maar het beveiligingsbewijs is zwak | Vul aan met de richtlijnen van ISO 27090 | Verbind beveiligingsrisico's met beheersmaatregelen en testresultaten |
| U lanceert een AI-dienst en bouwt governance op | Gebruik beide samen | Stem managementverantwoordelijkheden en beveiligingswerk af in één programma |
Een urgent beveiligingsprobleem in een toepassing verdient directe aandacht. Een breder governanceprogramma kan zich ontwikkelen naast het werk dat nodig is om dat risico weg te nemen.
Zo gebruikt u ISO 27090 en ISO 42001 samen
Een bedrijf dat een AI-supportassistent invoert, kan zijn werk bijvoorbeeld als volgt afstemmen. Dit zijn illustratieve implementatiekeuzes.
| Activiteit | Hoe ISO 42001 het werk kan structureren | Hoe ISO 27090 het beveiligingswerk kan onderbouwen |
|---|---|---|
| De dienst plannen | Wijs een eigenaar aan en spreek het doel af | Breng gevoelige assets en aanvalspaden in kaart |
| Leveranciers beoordelen | Leg verantwoordelijkheden en reviewcriteria vast | Onderzoek de blootstelling via modellen, data en afhankelijkheden |
| Release goedkeuren | Leg risicobesluiten en de verantwoordelijke goedkeurder vast | Test relevante aanvallen en de waarborgen van de toepassing |
| Wijzigingen beheren | Beoordeel resultaten en besluit over verbeteringen | Beoordeel de beveiliging opnieuw wanneer modellen, data of integraties veranderen |
Houd per AI-systeem één vastlegging bij, met koppelingen naar eigenaren, risico's, beheersmaatregelen, tests en besluiten. Hergebruik bewijs waar het relevant is en leg vast welke beoordelingscriteria het ondersteunt.
Een beveiligingstest kan bijvoorbeeld laten zien of een beperkte actie werd geblokkeerd. De bijbehorende reviewvastlegging kan laten zien wie dat resultaat heeft beoordeeld en besloten of het systeem klaar was voor release. Beide vastleggingen zijn nuttig, en ze beantwoorden verschillende vragen.
Lees in ISO 42001, NIST AI RMF en de AI-verordening: verbind de rollen hoe ISO 42001 zich verhoudt tot het NIST AI RMF en de Europese AI-verordening.
Veelgestelde vragen
Vervangt ISO 27090 ISO 42001?
Nee. Ze dienen verschillende doelen: richtlijnen voor AI-beveiliging en eisen voor een AI-managementsysteem.
Kunnen organisaties die AI van derden gebruiken ze toepassen?
Ja. Beide normen richten zich op organisaties die AI gebruiken.
Bewijst ISO 42001-certificering dat elke AI-toepassing veilig is?
Nee. De certificering beoordeelt het AIMS. De beveiliging van toepassingen moet nog steeds worden geëvalueerd.
Bronnen: uitleg van ISO over ISO 27090 en uitleg van ISO over ISO 42001.
Verbind AI-governance met beveiligingsbewijs
Begin bij het resultaat dat u nodig hebt: duidelijkere verantwoordelijkheid voor AI, sterkere beveiliging van toepassingen of een combinatie van beide. Wijs een eigenaar aan voor het werk en bepaal welk bewijs de voortgang aantoont.
Secani verbindt eisen, risico's, beheersmaatregelen, bewijs, eigenaren en reviewbesluiten in één werkruimte. Neem contact op met Secani over het organiseren van uw AI-governance en beveiligingswerk.
Bouw controleerbare compliance-workflows
Secani verbindt scopes, bewijs, taken en AI-agents in één gedeelde werkruimte.
Gerelateerde artikelen
Alle artikelenAI-governance
ISO 27090 uitgelegd voor AI-securityteams
Een praktische gids bij de nieuwe cybersecuritynorm voor AI, de aanvallen die ze behandelt en het bewijs dat securityteams kunnen gebruiken.
AI-governance
ISO 42001, NIST AI RMF en de AI-verordening: verbind de rollen
Gebruik AI-managementsystemen en risicoframeworks om governance te organiseren en beoordeel de wettelijke eisen van de AI-verordening afzonderlijk.
AI-governance
EU AI Act: classificeer uw toepassingen en plan het bewijs
Een actuele, rolgebaseerde aanpak om gereed te zijn voor de AI-verordening, inclusief het bijgewerkte tijdschema van de Commissie, de beoordeling van hoog risico en verantwoorde governance.