{"id":48677,"date":"2026-10-23T14:24:39","date_gmt":"2026-10-23T07:24:39","guid":{"rendered":"https:\/\/sunbytes.io\/?p=48677"},"modified":"2026-10-23T14:29:42","modified_gmt":"2026-10-23T07:29:42","slug":"ai-code-security","status":"publish","type":"post","link":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/","title":{"rendered":"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)"},"content":{"rendered":"\n<p class=\"eplus-wrapper wp-block-paragraph\">Er bestaat geen aparte beveiligingsstandaard voor AI-gegenereerde code. Code van een AI-codeassistent, een agent of een AI app builder moet aan dezelfde standaarden voldoen als code die een developer schrijft. AI code security draait daarom om twee beslissingen: aan welke standaard u de code toetst, en hoe u het resultaat aantoont aan een klant, auditor of investeerder.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Het verschil tussen een gevoel van veiligheid en aantoonbare veiligheid is onderzocht. In een gebruikersstudie van Stanford, gepubliceerd op ACM CCS 2023, schreven deelnemers met een AI-codeassistent aantoonbaar minder veilige code dan een controlegroep, terwijl zij vaker dachten dat hun code veilig was (<a href=\"https:\/\/arxiv.org\/abs\/2211.03622\" target=\"_blank\" rel=\"noreferrer noopener\">Perry et al., 47 deelnemers<\/a>).<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Dit artikel laat zien hoe de OWASP Top 10:2025 op AI-gebouwde code past, welke standaarden gelden, welke ISO 27001-controls ertoe doen en waar u begint, inclusief het bewijs dat u bewaart. Voor de volledige route van prototype naar lancering leest u <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-coding-in-productie\/\" target=\"_blank\" rel=\"noreferrer noopener\">AI-gegenereerde code in productie<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">TL;DR<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">AI code security betekent dat code van AI-codetools vrij is van bekende kwetsbaarheidsklassen, en dat u dat kunt aantonen. Geen enkele standaard is alleen voor AI-gegenereerde code geschreven: OWASP en ISO\/IEC 27001 gelden voor die code precies zoals voor code van een developer.<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\">De OWASP Top 10:2025 geeft AI-gebouwde code een gedeelde lijst van tien risicocategorie\u00ebn; A01 Broken Access Control, A02 Security Misconfiguration en A03 Software Supply Chain Failures controleert u als eerste in een AI-gebouwd product.<\/li>\n\n\n\n<li class=\"eplus-wrapper\">Drie standaarden beantwoorden de meeste klantvragen: OWASP ASVS 5.0 als toetsbare standaard voor veilig programmeren, de OWASP Top 10:2025 als gedeeld vocabulaire en ISO\/IEC 27001:2022 Annex A als bewijs op organisatieniveau.<\/li>\n\n\n\n<li class=\"eplus-wrapper\">ISO\/IEC 27001:2022 Annex A 8.28 &#8220;Secure coding&#8221; geldt ook voor door AI geschreven code; controls 8.30 (uitbestede ontwikkeling) en 8.4 (toegang tot broncode) bepalen hoe u AI-codetools aanstuurt en wat u met ze deelt.<\/li>\n\n\n\n<li class=\"eplus-wrapper\">Een product met persoonsgegevens van echte gebruikers start op ASVS Level 1, gebruikt Level 2 voor inloggen, toegangscontrole en gegevensverwerking, en houdt een startpakket van zes bewijsstukken bij.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Wat AI code security betekent<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">AI code security is het vrijhouden van code uit AI-codetools \u2014 assistenten, agents en AI app builders \u2014 van bekende kwetsbaarheidsklassen, en het kunnen aantonen daarvan. De standaarden zijn dezelfde als voor elke webapplicatie. Drie dingen veranderen wanneer een AI-tool de code schrijft.<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>Volume.<\/strong> AI-codetools kunnen het aantal wijzigingen sterk verhogen, waardoor review op basis van risico en geautomatiseerde controles belangrijker worden.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Context.<\/strong> De tool kent uw datamodel, gebruikersrollen en dreigingsmodel niet, tenzij iemand ze vastlegt. Regels die van uw bedrijf afhangen \u2014 wie welk record mag zien \u2014 laat u dan aan de gok van de tool over.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Bewijs.<\/strong> De redenering achter beveiligingskeuzes van een AI-tool is vaak niet vastgelegd of niet begrepen door het team, dus het bewijs moet uit tests en reviews komen in plaats van uit het geheugen van een developer.<\/li>\n<\/ul>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De kwetsbaarheden zelf zijn goed beschreven; <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/vibe-coding-beveiligingsrisicos\/\" target=\"_blank\" rel=\"noreferrer noopener\">vibe coding-beveiligingsrisico&#8217;s<\/a> behandelt de zeven die in AI-gebouwde apps het zwaarst wegen. Een benoemde standaard zoals ISO\/IEC 27001:2022 Annex A 8.28 voegt een referentie toe waaraan een klant of auditor de code kan toetsen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">De OWASP Top 10:2025 toegepast op AI-gegenereerde code<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De OWASP Top 10:2025 geldt zonder aanpassing voor AI-gegenereerde code: de tien categorie\u00ebn beschrijven wat er misgaat in webapplicaties, wie de code ook schreef. OWASP noemt de lijst zelf &#8220;a standard awareness document for developers and web application security&#8221; \u2014 een gedeeld vocabulaire, geen test waarvoor u slaagt (<a href=\"https:\/\/owasp.org\/Top10\/2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10:2025<\/a>).<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Tabel 1 koppelt elke categorie uit 2025 aan de manier waarop die meestal in een AI-gebouwd product opduikt, met \u00e9\u00e9n vraag die een niet-technische eigenaar aan de developer kan stellen.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Categorie (OWASP Top 10:2025)<\/strong><\/th><th><strong>Hoe het meestal opduikt in AI-gebouwde code<\/strong><\/th><th><strong>Vraag aan uw developer<\/strong><\/th><\/tr><\/thead><tbody><tr><td>A01 Broken Access Control<\/td><td>Pagina&#8217;s en API-routes controleren of iemand is ingelogd, niet of het record van die gebruiker is<\/td><td>Kan gebruiker A het record van gebruiker B openen door een ID in de URL te wijzigen?<\/td><\/tr><tr><td>A02 Security Misconfiguration<\/td><td>Debugmodus, open databaseregels of ruime cross-origin-instellingen uit het prototype<\/td><td>Welke instellingen zijn veranderd tussen prototype en productie?<\/td><\/tr><tr><td>A03 Software Supply Chain Failures<\/td><td>Packages zonder review toegevoegd, inclusief namen die de AI-tool voorstelde en die mogelijk niet bestaan<\/td><td>Wie keurde elke dependency goed, en wordt elke dependency gescand?<\/td><\/tr><tr><td>A04 Cryptographic Failures<\/td><td>Tokens of sleutels in frontendcode of als platte tekst opgeslagen<\/td><td>Waar staan API-sleutels, wachtwoorden en tokens?<\/td><\/tr><tr><td>A05 Injection<\/td><td>Gebruikersinvoer zonder validatie doorgegeven aan databasequeries, shellcommando&#8217;s of modelprompts<\/td><td>Wordt elke invoer op de server gevalideerd, niet alleen in de browser?<\/td><\/tr><tr><td>A06 Insecure Design<\/td><td>Bedrijfsregels zoals terugbetalingen, rollen en limieten staan alleen in prompts en zijn nooit vastgelegd<\/td><td>Waar staat de regel wie wat mag doen?<\/td><\/tr><tr><td>A07 Authentication Failures<\/td><td>Inlog-, sessie- en wachtwoordresetflows in \u00e9\u00e9n keer gegenereerd en nooit op misbruik getest<\/td><td>Is inloggen beperkt in aantal pogingen, en worden sessies ingetrokken bij uitloggen?<\/td><\/tr><tr><td>A08 Software or Data Integrity Failures<\/td><td>Webhooks zonder verificatie geaccepteerd; een buildpipeline die iedereen in het team kan wijzigen<\/td><td>Worden webhooks geverifieerd, en wie kan de pipeline wijzigen?<\/td><\/tr><tr><td>A09 Security Logging and Alerting Failures<\/td><td>Geen registratie van wie welke gegevens heeft ingezien<\/td><td>Zou iemand het merken als vannacht alle klantgegevens zijn gedownload?<\/td><\/tr><tr><td>A10 Mishandling of Exceptional Conditions<\/td><td>Foutmeldingen die stack traces tonen of een verzoek doorlaten als een dienst uitvalt<\/td><td>Wat doet de app als de database of betaalprovider niet reageert?<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 1. OWASP Top 10:2025-categorie\u00ebn in AI-gebouwde producten<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Twee rijen verdienen een eigen herstelgids. Sleutels in frontendcode (A02 en A04) behandelt <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/gelekte-api-keys-in-ai-producten\/\" target=\"_blank\" rel=\"noreferrer noopener\">gelekte API-keys in AI-producten<\/a> stap voor stap. Verzonnen packagenamen (A03) worden uitgelegd in de Sunbytes-gids over AI code review.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wij raden aan A01, A02 en A03 als eerste te controleren in elk AI-gebouwd product met gegevens van echte gebruikers. A01 staat bovenaan in de ranglijst van 2025, Security Misconfiguration steeg van de vijfde plaats in 2021 naar de tweede, en Software Supply Chain Failures is een nieuwe categorie uit 2025 die voortbouwt op het eerdere &#8220;Vulnerable and Outdated Components&#8221; (<a href=\"https:\/\/owasp.org\/Top10\/2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10:2025<\/a>).<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Welke beveiligingsstandaarden gelden voor AI-gegenereerde code?<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Zes documenten dekken de beveiligingsvragen waar een AI-gebouwd product mee te maken krijgt: drie van OWASP voor de applicatie, \u00e9\u00e9n van OWASP voor AI-functies, ISO\/IEC 27001:2022 voor de organisatie en het NIST Secure Software Development Framework voor vragenlijsten naar Amerikaans model. Geen ervan is specifiek voor AI-code, en geen ervan is een wet. Tabel 2 toont wat elk document een AI-gebouwd product oplevert en wanneer u het nodig hebt.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Standaard<\/strong><\/th><th><strong>Wat het is<\/strong><\/th><th><strong>Wat het een AI-gebouwd product oplevert<\/strong><\/th><th><strong>Wanneer u het nodig hebt<\/strong><\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/owasp.org\/Top10\/2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10:2025<\/a><\/td><td>Awareness-document met tien risicocategorie\u00ebn voor webapplicaties<\/td><td>Een gedeeld vocabulaire voor briefings, prompts en beveiligingsvragenlijsten<\/td><td>Vanaf het eerste prototype<\/td><\/tr><tr><td><a href=\"https:\/\/asvs.owasp.org\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP ASVS 5.0.0<\/a><\/td><td>Verificatiestandaard met genummerde eisen op drie niveaus; uitgebracht op 30 mei 2025<\/td><td>Eisen die een reviewer als geslaagd of gezakt kan markeren, en een benoembare lat<\/td><td>Zodra echte gebruikers of klanten van het product afhangen<\/td><\/tr><tr><td><a href=\"https:\/\/devguide.owasp.org\/en\/04-design\/02-web-app-checklist\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Developer Guide<\/a><\/td><td>Richtlijnen en checklists voor developers, inclusief de voormalige Secure Coding Practices-checklist<\/td><td>Een checklist voor wie de code schrijft of prompt<\/td><td>Wanneer een developer instapt of het werk overneemt<\/td><\/tr><tr><td><a href=\"https:\/\/genai.owasp.org\/resource\/owasp-top-10-for-llm-applications-2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10 for LLM Applications 2025<\/a><\/td><td>Tien risico&#8217;s voor applicaties die een taalmodel aanroepen<\/td><td>Namen voor prompt injection, datalekken en ontsporende modelkosten<\/td><td>Alleen als het product tijdens gebruik een model aanroept<\/td><\/tr><tr><td>ISO\/IEC 27001:2022 Annex A 8.25\u20138.29<\/td><td>Controls van een managementsysteem voor informatiebeveiliging (ISMS)<\/td><td>Bewijs op organisatieniveau dat veilige ontwikkeling is vastgelegd, toegepast en getest<\/td><td>Als een klant, aanbesteding of uw eigen certificeringsplan erom vraagt<\/td><\/tr><tr><td><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/218\/final\" target=\"_blank\" rel=\"noreferrer noopener\">NIST SP 800-218<\/a> (SSDF 1.1) en <a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/218\/a\/final\" target=\"_blank\" rel=\"noreferrer noopener\">SP 800-218A<\/a><\/td><td>Amerikaans Secure Software Development Framework (feb. 2022); 800-218A voegt praktijken voor generatieve AI toe (jul. 2024)<\/td><td>Een lijst met praktijken waar veel enterprise-vragenlijsten naar verwijzen<\/td><td>Als Amerikaanse of enterprise-klanten naar SSDF verwijzen<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 2. Beveiligingsstandaarden die gelden voor AI-gegenereerde code<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wij raden de OWASP Top 10:2025 aan als gedeeld vocabulaire en ASVS Level 1 als ondergrens voor elk AI-gebouwd product met echte gebruikers. Voeg ISO\/IEC 27001:2022 Annex A toe zodra een klant of een certificeringsplan bewijs over de organisatie vraagt, en de LLM Top 10 alleen als het product gebruikersinvoer naar een model stuurt.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full eplus-wrapper\"><img decoding=\"async\" width=\"1600\" height=\"900\" src=\"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers.webp\" alt=\"Drie lagen beveiligingsstandaarden voor AI-gegenereerde code\" class=\"wp-image-48679\" srcset=\"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers.webp 1600w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-300x169.webp 300w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-768x432.webp 768w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1024x576.webp 1024w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-178x100.webp 178w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1536x864.webp 1536w\" sizes=\"(max-width: 1600px) 100vw, 1600px\" \/><figcaption class=\"wp-element-caption\"><em>Drie lagen beveiligingsstandaarden voor AI-gegenereerde code<\/em><\/figcaption><\/figure>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">OWASP-standaarden voor veilig programmeren: ASVS en de Developer Guide<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Het OWASP-document dat werkt als standaard voor veilig programmeren is de Application Security Verification Standard (ASVS). De Top 10 vat risico&#8217;s samen; ASVS geeft eisen die een reviewer als geslaagd of gezakt kan markeren. ASVS 5.0.0, uitgebracht op 30 mei 2025, nummert elke eis als hoofdstuk.sectie.eis, zodat een bevinding naar een exacte regel in de standaard kan verwijzen (<a href=\"https:\/\/asvs.owasp.org\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP ASVS<\/a>).<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">ASVS kent drie niveaus. Level 1 is de basis waaraan elke applicatie moet voldoen, Level 2 past bij applicaties met persoonsgegevens of bedrijfsgevoelige gegevens, en Level 3 is bedoeld voor systemen met de hoogste zekerheidseisen. Wij raden Level 2 aan voor inloggen, toegangscontrole en de verwerking van persoonsgegevens zodra echte gebruikers het product gebruiken, omdat \u00e9\u00e9n gemiste regel daar gegevens van anderen blootlegt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading eplus-wrapper\">ASVS gebruiken met AI-codetools<\/h3>\n\n\n\n<ol class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>Zet eis-ID&#8217;s in de taak.<\/strong> Neem de relevante ASVS-eisnummers als acceptatiecriteria op in de prompt of het ticket.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Review op de ID&#8217;s.<\/strong> Laat de reviewer per eis-ID vastleggen: geslaagd, gezakt of niet van toepassing \u2014 geen algemeen &#8220;ziet er goed uit&#8221;.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Bewaar het resultaat.<\/strong> Sla het reviewverslag op bij de bijbehorende release; dat verslag is het bewijs waar een klant om vraagt.<\/li>\n<\/ol>\n\n\n\n<h3 class=\"wp-block-heading eplus-wrapper\">OWASP-checklist voor veilig programmeren<\/h3>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De OWASP Secure Coding Practices Quick Reference Guide, lang gebruikt als checklist voor veilig programmeren, is inmiddels gearchiveerd. OWASP meldt dat de &#8220;checklists have also been migrated to the Developer Guide&#8221;; nieuwe projecten gebruiken dus de checklists in de <a href=\"https:\/\/devguide.owasp.org\/en\/04-design\/02-web-app-checklist\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Developer Guide<\/a> (<a href=\"https:\/\/owasp.org\/www-project-secure-coding-practices-quick-reference-guide\/\" target=\"_blank\" rel=\"noreferrer noopener\">projectpagina OWASP Secure Coding Practices<\/a>). De Developer Guide vertelt wie de code schrijft of prompt wat er moet gebeuren; ASVS vertelt de reviewer wat er gecontroleerd moet worden.<\/p>\n\n\n\n<div class=\"wp-block-group eplus-wrapper has-global-padding is-layout-constrained wp-block-group-is-layout-constrained\">\n<p class=\"eplus-wrapper wp-block-paragraph\"><strong>Vroeg een klant welke standaard uw code volgt?<\/strong><\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een AI-built product review controleert de onderdelen waar beveiligingsvragenlijsten naar vragen \u2014 toegang tot data, inloggen, secrets en dependencies \u2014 en levert bevindingen met het bewijs erachter. De review staat los van herstelwerk, en u krijgt de resultaten in begrijpelijke taal met een geprioriteerd actieplan dat u bij uw antwoord kunt voegen.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">\u2192 <a href=\"https:\/\/sunbytes.io\/nl\/tech-service\/ai-built-product\/\" target=\"_blank\" rel=\"noreferrer noopener\">Bekijk wat de AI-built product review omvat<\/a><\/p>\n<\/div>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">ISO 27001 en veilig programmeren: wat Annex A 8.28 vraagt als AI de code schrijft<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">ISO\/IEC 27001:2022 Annex A 8.28 &#8220;Secure coding&#8221; vereist dat principes voor veilig programmeren worden toegepast bij softwareontwikkeling. De control schrijft geen regels op codeniveau voor; de organisatie kiest en documenteert zelf een set, en een benoemde OWASP-standaard zoals ASVS is een gangbare keuze. Annex A 8.28 geldt voor door AI geschreven code op dezelfde manier als voor code van een developer: de tool is niet uitgezonderd, en de persoon die de output accepteert evenmin.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Twee andere controls bepalen hoe AI-codetools in een ISMS passen. Annex A 8.30 &#8220;Outsourced development&#8221; vraagt de organisatie om ontwikkeling buiten het eigen team aan te sturen, te bewaken en te beoordelen; een praktische lezing is een AI-codetool te behandelen als een externe developer, wiens werk wordt gespecificeerd, gereviewd en goedgekeurd v\u00f3\u00f3r de release. Annex A 8.4 &#8220;Access to source code&#8221; bepaalt welke code, sleutels en gegevens in een AI-tool geplakt mogen worden, en onder welke accountinstellingen.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Annex A-control<\/strong><\/th><th><strong>Wat verandert als een AI-tool de code schrijft<\/strong><\/th><th><strong>Bewijs om te bewaren<\/strong><\/th><\/tr><\/thead><tbody><tr><td>8.25 Secure development life cycle<\/td><td>De ontwikkelprocedure noemt de gebruikte AI-tools en wie hun output reviewt<\/td><td>Vastgelegde ontwikkelprocedure<\/td><\/tr><tr><td>8.26 Application security requirements<\/td><td>Beveiligingseisen staan in prompts en tickets, bijvoorbeeld als ASVS-ID&#8217;s<\/td><td>Tickets met eis-ID&#8217;s<\/td><\/tr><tr><td>8.27 Secure system architecture and engineering principles<\/td><td>Architectuurkeuzes van de tool worden achteraf vastgelegd<\/td><td>Korte architectuurnotities<\/td><\/tr><tr><td>8.28 Secure coding<\/td><td>Een benoemde standaard (bijvoorbeeld ASVS 5.0) en een review van AI-output daartegen<\/td><td>Reviewverslag per eis<\/td><\/tr><tr><td>8.29 Security testing in development and acceptance<\/td><td>Tests dekken toegangscontrole en misbruikscenario&#8217;s, niet alleen &#8220;de functie werkt&#8221;<\/td><td>Testresultaten per release<\/td><\/tr><tr><td>8.30 Outsourced development<\/td><td>De AI-tool wordt aangestuurd, bewaakt en gereviewd als een externe developer<\/td><td>Review- en goedkeuringsverslagen<\/td><\/tr><tr><td>8.4 Access to source code<\/td><td>Regels over welke code, sleutels en gegevens met AI-tools gedeeld mogen worden<\/td><td>Toolinstellingen en \u00e9\u00e9n vastgelegde regel<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 3. ISO\/IEC 27001:2022 Annex A-controls voor door AI geschreven code<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een ISO 27001-certificaat dekt het ISMS van een organisatie, niet de beveiliging van een specifieke codebase; <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/iso-27001-appontwikkeling\/\" target=\"_blank\" rel=\"noreferrer noopener\">wat ISO 27001-certificering betekent voor appontwikkeling<\/a> legt uit wat het certificaat wel en niet aantoont. Vraagt een auditor &#8220;welke standaard voor veilig programmeren past u toe?&#8221;, dan is het antwoord een documentnaam met versie \u2014 bijvoorbeeld &#8220;OWASP ASVS 5.0.0, Level 1, Level 2 voor authenticatie en toegangscontrole&#8221; \u2014 en niet &#8220;best practices&#8221;.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Als uw app AI-functies heeft: de OWASP Top 10 for LLM Applications<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Producten die tijdens gebruik een taalmodel aanroepen \u2014 een chatbot, zoeken in documenten of een agent \u2014 hebben een tweede lijst nodig: de OWASP Top 10 for LLM Applications 2025 (<a href=\"https:\/\/genai.owasp.org\/resource\/owasp-top-10-for-llm-applications-2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP GenAI Security Project<\/a>). De lijst gaat over functies die gebruikersinvoer naar een model sturen, niet over code die een AI-tool schreef. Vier onderdelen wegen het zwaarst voor een klein team:<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>LLM01 Prompt Injection<\/strong> \u2014 tekst van een gebruiker of uit een document verandert de instructies van het model.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>LLM02 Sensitive Information Disclosure<\/strong> \u2014 het model geeft gegevens terug die de gebruiker niet mag zien.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>LLM06 Excessive Agency<\/strong> \u2014 het model kan zonder grenzen e-mails versturen, records wijzigen of tools aanroepen.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>LLM10 Unbounded Consumption<\/strong> \u2014 geen limiet op verzoeken of kosten, zodat \u00e9\u00e9n gebruiker de modelrekening kan opdrijven.<\/li>\n<\/ul>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De andere zes zijn LLM03 Supply Chain, LLM04 Data and Model Poisoning, LLM05 Improper Output Handling, LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses en LLM09 Misinformation. Voor teams die modellen bouwen of aanpassen voegt <a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/218\/a\/final\" target=\"_blank\" rel=\"noreferrer noopener\">NIST SP 800-218A<\/a> (juli 2024) praktijken voor generatieve AI toe aan het SSDF. De modelcontroles v\u00f3\u00f3r de lancering \u2014 minimale rechten, een prompt-injectietest en een kostenplafond \u2014 staan in de <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-production-readiness-checklist\/\" target=\"_blank\" rel=\"noreferrer noopener\">production readiness checklist<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Europese regels die naar deze standaarden wijzen<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Geen Europese wet noemt OWASP of maakt ISO 27001 verplicht voor een AI-gebouwd product, maar drie EU-regels vragen beveiligingsmaatregelen die u met een benoemde standaard kunt aantonen.<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>AVG (GDPR) artikel 32<\/strong> vereist &#8220;passende technische en organisatorische maatregelen&#8221; voor persoonsgegevens, en artikel 25 vraagt gegevensbescherming door ontwerp en door standaardinstellingen. Een benoemde standaard zoals ASVS laat zien wat &#8220;passend&#8221; betekende; in Nederland houdt de Autoriteit Persoonsgegevens toezicht.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>NIS2 artikel 21, lid 2, onder e<\/strong> gaat over beveiliging bij de aanschaf, ontwikkeling en het onderhoud van netwerk- en informatiesystemen, inclusief de behandeling van kwetsbaarheden. Nederland heeft NIS2 omgezet in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is (<a href=\"https:\/\/www.njb.nl\/wetgeving\/staatsbladen\/cyberbeveiligingswet\/\" target=\"_blank\" rel=\"noreferrer noopener\">Staatsblad 2026, 187<\/a>). Organisaties die eronder vallen, leggen deze eisen via contracten bij hun softwareleveranciers.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>De Cyberweerbaarheidsverordening (Cyber Resilience Act)<\/strong> (<a href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/eng\" target=\"_blank\" rel=\"noreferrer noopener\">Verordening (EU) 2024\/2847<\/a>) geldt voor producten met digitale elementen, zoals installeerbare software en mobiele apps. De meldplichten gelden vanaf 11 september 2026 en de hoofdverplichtingen vanaf 11 december 2027. Software die puur als dienst wordt geleverd valt er doorgaans buiten, tenzij het gaat om gegevensverwerking op afstand die een gedekt product nodig heeft om te werken.<\/li>\n<\/ul>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De EU AI-verordening reguleert AI-systemen, niet de code die een AI-tool voor u schrijft. Voor een SaaS-product zonder NIS2-klanten is AVG artikel 32 de regel die als eerste geldt; valt u of een klant onder NIS2, of verkoopt u een installeerbare app in de EU, dan komen de andere twee erbij.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Met welke standaard begint u?<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De juiste startstandaard hangt af van wie de vraag stelt en welke gegevens het product bevat. Tabel 4 geeft het startpunt voor zes veelvoorkomende situaties van een AI-gebouwd product.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Situatie<\/strong><\/th><th><strong>Begin met<\/strong><\/th><th><strong>Voeg toe wanneer<\/strong><\/th><\/tr><\/thead><tbody><tr><td>Interne tool of prototype met testdata<\/td><td>Bewustzijn van de OWASP Top 10:2025, secret scanning en dependency scanning<\/td><td>Echte gebruikers of echte gegevens komen erbij<\/td><\/tr><tr><td>Persoonsgegevens of betalingen van echte gebruikers<\/td><td>ASVS 5.0 Level 1 overal; Level 2 voor inloggen, toegangscontrole en gegevensverwerking<\/td><td>Een klant stuurt een beveiligingsvragenlijst<\/td><\/tr><tr><td>Beveiligingsvragenlijst van een enterprise-klant<\/td><td>ASVS-reviewverslag plus de Top 10-koppeling als bewijs<\/td><td>De klant vraagt om ISO 27001 of SOC 2<\/td><\/tr><tr><td>ISO 27001-gecertificeerde klant, of uw eigen certificeringsplan<\/td><td>Procedures voor Annex A 8.25\u20138.30 met ASVS als benoemde standaard voor veilig programmeren<\/td><td>Een auditor plant een stage 1-audit<\/td><\/tr><tr><td>Product roept tijdens gebruik een AI-model aan<\/td><td>OWASP Top 10 for LLM Applications 2025 bovenop ASVS<\/td><td>Agents krijgen rechten om gegevens te wijzigen<\/td><\/tr><tr><td>Uw organisatie of klant valt onder NIS2; installeerbare app verkocht in de EU<\/td><td>Bewijs voor NIS2 artikel 21, lid 2, onder e en de CRA, opgebouwd uit dezelfde ASVS- en ISO-verslagen<\/td><td>De hoofdverplichtingen van de CRA gelden vanaf 11 december 2027<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 4. Met welke beveiligingsstandaard u begint voor een AI-gebouwd product<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wij raden af om met ISO 27001-certificering te beginnen om de vragenlijst van \u00e9\u00e9n klant te beantwoorden. De vragenlijst gaat over het product, en een reviewverslag op basis van ASVS beantwoordt die vraag direct, terwijl certificering de hele organisatie betreft en een volledige auditcyclus kost.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Welk bewijs u een klant of auditor laat zien<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een klant of auditor accepteert bewijs dat de standaard noemt, het resultaat toont en een datum heeft. Voor een AI-gebouwd product vormen deze zes stukken een praktisch startpakket; individuele klanten kunnen aanvullend bewijs vragen:<\/p>\n\n\n\n<ol class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>Benoemde basislijn<\/strong> \u2014 bijvoorbeeld &#8220;OWASP ASVS 5.0.0 Level 1, Level 2 voor authenticatie en toegangscontrole&#8221;.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Geautomatiseerde resultaten<\/strong> \u2014 statische analyse (SAST: een scan van de broncode op bekende zwakke patronen), software composition analysis (SCA: een scan van externe packages op bekende kwetsbaarheden) en secret scanning, allemaal van de release die de klant beoordeelt.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Verslag van de menselijke review<\/strong> \u2014 wie reviewde, wanneer, en geslaagd of gezakt per eis-ID; de gids over <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-review\/\" target=\"_blank\" rel=\"noreferrer noopener\">AI code review<\/a> legt uit hoe u die review uitvoert.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Verslag van beveiligingstests<\/strong> \u2014 tests op toegangscontrole en misbruikscenario&#8217;s voor Annex A 8.29, inclusief een test dat de ene gebruiker de gegevens van een andere niet kan openen.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Openstaande bevindingen<\/strong> \u2014 elk met een eigenaar en een streefdatum.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Overzicht van AI-tools<\/strong> \u2014 \u00e9\u00e9n regel met de gebruikte AI-codetools en de Annex A 8.4-regel over wat met ze gedeeld mag worden. Teambrede regels voor AI-tools komen aan bod in <strong>AI code governance<\/strong>.<\/li>\n<\/ol>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Scans van het prototype blijven bruikbaar als historisch bewijs, maar vervangen geen controles op de release die wordt beoordeeld. Is een verslag ouder dan die release, voer de controle dan opnieuw uit voordat u het pakket verstuurt.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full eplus-wrapper\"><img decoding=\"async\" width=\"1600\" height=\"900\" src=\"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1.webp\" alt=\"Een startpakket met bewijs voor AI code security\" class=\"wp-image-48684\" srcset=\"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1.webp 1600w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1-300x169.webp 300w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1-1024x576.webp 1024w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1-768x432.webp 768w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1-1536x864.webp 1536w, https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/sunbytes-ai-code-security-standards-layers-1-178x100.webp 178w\" sizes=\"(max-width: 1600px) 100vw, 1600px\" \/><figcaption class=\"wp-element-caption\"><em>Een startpakket met bewijs voor AI code security<\/em><\/figcaption><\/figure>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Hoe Sunbytes AI-gebouwde producten beoordeelt voor beveiligingsvragen<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een beveiligingsstandaard maakt van &#8220;we denken dat de code veilig is&#8221; een lijst die een klant kan controleren. AI-codetools kunnen de code schrijven en de scanners draaien; een persoon moet het product nog steeds tegen die lijst toetsen.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De <a href=\"https:\/\/sunbytes.io\/nl\/tech-service\/ai-built-product\/\" target=\"_blank\" rel=\"noreferrer noopener\">AI-built product review<\/a> van Sunbytes helpt teams te zien waar de beveiligingsmaatregelen, de code en de technische opzet van hun product aandacht nodig hebben v\u00f3\u00f3r de lancering of breder gebruik. De review begint met een afgesproken scope over de relevante onderdelen: beveiliging, architectuur, kritieke workflows, deployment en onderhoudbaarheid. Bevindingen uit engineering en security worden in begrijpelijke taal uitgelegd, met onderbouwend bewijs en een geprioriteerd actieplan.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Vraagt een klant om verificatie tegen specifieke OWASP ASVS-eisen of om een aparte beveiligingsbeoordeling, dan legt u die eisen vast tijdens het afbakenen van de scope. Zo blijft het bewijs gericht op de vraag van de klant, zonder dat een algemene productreview als certificering wordt gepresenteerd.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Voor een controle van alleen de beveiliging van de code zelf voert het cybersecurityteam van Sunbytes een <a href=\"https:\/\/sunbytes.io\/nl\/cybersecurity-service-provider\/secure-code-review-services\/\" target=\"_blank\" rel=\"noreferrer noopener\">secure code review<\/a> uit. Beide diensten vallen onder het ISO\/IEC 27001-gecertificeerde managementsysteem voor informatiebeveiliging van Sunbytes en steunen op ruim 300 opgeleverde projecten.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wacht een beveiligingsvragenlijst of een lanceringsdatum op dit antwoord? <a href=\"https:\/\/sunbytes.io\/nl\/tech-service\/ai-built-product\/\" target=\"_blank\" rel=\"noreferrer noopener\">Start met een AI-built product review<\/a>.<\/p>\n\n\n<section class=\"faq-section faq-section--sidebar alignfull wp-block-sb-block-faq-section is-layout-flow wp-block-sb-block-faq-section-is-layout-flow\">\n            <div class=\"faq-section__intro faq-section__intro--sidebar\">\n                            <div class=\"faq-section__intro-text\">\n                                            <h2 class=\"faq-section__title\">FAQs<\/h2>\n                                                        <\/div>\n                                <\/div>\n\n        <div class=\"faq-section__items\">\n            <div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-13\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-14\"\n        >\n            <span class=\"faq-item__question-text\">Bestaat er een beveiligingsstandaard speciaal voor AI-gegenereerde code?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-14\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-13\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Nee. Per oktober 2026 is er geen OWASP-, ISO- of NIST-standaard die alleen voor code van AI-tools is geschreven. AI-gegenereerde code wordt getoetst aan dezelfde standaarden als alle code: de OWASP Top 10:2025 en OWASP ASVS 5.0 voor de applicatie, en ISO\/IEC 27001:2022 Annex A 8.28 voor de organisatie.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-15\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-16\"\n        >\n            <span class=\"faq-item__question-text\">Zijn AI-codetools toegestaan onder ISO 27001?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-16\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-15\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Ja. ISO\/IEC 27001:2022 verbiedt geen enkele ontwikkeltool; de norm vraagt de organisatie te beheersen hoe software wordt ontwikkeld. Annex A 8.28 vereist principes voor veilig programmeren, 8.4 regelt de toegang tot broncode en 8.30 de ontwikkeling buiten het eigen team. Leg vast welke AI-tools u gebruikt, wat met ze gedeeld mag worden en wie hun output reviewt.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-17\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-18\"\n        >\n            <span class=\"faq-item__question-text\">Met welke OWASP-standaard begint een klein team?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-18\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-17\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Een klein team begint met de OWASP Top 10:2025 als gedeeld vocabulaire en OWASP ASVS 5.0 Level 1 als ondergrens. ASVS vertaalt de risico&#8217;s uit de Top 10 naar eisen die een reviewer als geslaagd of gezakt kan markeren. Breng inloggen, toegangscontrole en de verwerking van persoonsgegevens naar ASVS Level 2 zodra u gegevens van echte gebruikers opslaat.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-19\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-20\"\n        >\n            <span class=\"faq-item__question-text\">Gelden OWASP-standaarden als een AI-tool de code schreef?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-20\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-19\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Ja. OWASP-standaarden beschrijven de beveiliging van de applicatie, niet hoe de code tot stand kwam. Een ontbrekende eigendomscontrole van een AI-codeassistent valt onder OWASP Top 10:2025-categorie A01 Broken Access Control, net als een die een developer schreef. Door AI geschreven code heeft wel een eigen reviewverslag nodig, omdat de redenering achter de oorspronkelijke keuze vaak niet is vastgelegd.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-21\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-22\"\n        >\n            <span class=\"faq-item__question-text\">Is een beveiligingsstandaard overdreven v\u00f3\u00f3r product-market fit?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-22\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-21\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Niet zodra er gegevens van echte gebruikers in het product staan. Een prototype met testdata heeft genoeg aan bewustzijn van de OWASP Top 10 plus secret scanning en dependency scanning. Komen er persoonsgegevens of betalingen van echte gebruikers bij, dan vereist AVG artikel 32 passende beveiligingsmaatregelen, en ASVS Level 1 is een lichte, benoemde manier om te laten zien wat &#8220;passend&#8221; betekende.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-23\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-24\"\n        >\n            <span class=\"faq-item__question-text\">Hoe laat ik een klant zien dat onze door AI geschreven code aan een standaard voldoet?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-24\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-23\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Stuur een gedateerd bewijspakket, geen verklaring. Noem de basislijn (bijvoorbeeld OWASP ASVS 5.0 Level 1, Level 2 voor authenticatie), voeg de laatste resultaten van SAST, SCA en secret scanning voor de betreffende release toe, voeg een reviewverslag met geslaagd of gezakt per eis-ID toe, en vermeld openstaande bevindingen met een eigenaar en een streefdatum.<\/p>        <\/div>\n    <\/div>\n<\/div>\n        <\/div>\n\n            <\/section>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Er bestaat geen aparte beveiligingsstandaard voor AI-gegenereerde code. Code van een AI-codeassistent, een agent of een AI app builder moet aan dezelfde standaarden voldoen als code die een developer schrijft. AI code security draait daarom om twee beslissingen: aan welke standaard u de code toetst, en hoe u het resultaat aantoont aan een klant, auditor of investeerder.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Het verschil tussen een gevoel van veiligheid en aantoonbare veiligheid is onderzocht. In een gebruikersstudie van Stanford, gepubliceerd op ACM CCS 2023, schreven deelnemers met een AI-codeassistent aantoonbaar minder veilige code dan een controlegroep, terwijl zij vaker dachten dat hun code veilig was (<a href=\"https:\/\/arxiv.org\/abs\/2211.03622\" target=\"_blank\" rel=\"noreferrer noopener\">Perry et al., 47 deelnemers<\/a>).<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Dit artikel laat zien hoe de OWASP Top 10:2025 op AI-gebouwde code past, welke standaarden gelden, welke ISO 27001-controls ertoe doen en waar u begint, inclusief het bewijs dat u bewaart. Voor de volledige route van prototype naar lancering leest u <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-coding-in-productie\/\" target=\"_blank\" rel=\"noreferrer noopener\">AI-gegenereerde code in productie<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">TL;DR<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">AI code security betekent dat code van AI-codetools vrij is van bekende kwetsbaarheidsklassen, en dat u dat kunt aantonen. Geen enkele standaard is alleen voor AI-gegenereerde code geschreven: OWASP en ISO\/IEC 27001 gelden voor die code precies zoals voor code van een developer.<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\">De OWASP Top 10:2025 geeft AI-gebouwde code een gedeelde lijst van tien risicocategorie\u00ebn; A01 Broken Access Control, A02 Security Misconfiguration en A03 Software Supply Chain Failures controleert u als eerste in een AI-gebouwd product.<\/li>\n\n\n\n<li class=\"eplus-wrapper\">Drie standaarden beantwoorden de meeste klantvragen: OWASP ASVS 5.0 als toetsbare standaard voor veilig programmeren, de OWASP Top 10:2025 als gedeeld vocabulaire en ISO\/IEC 27001:2022 Annex A als bewijs op organisatieniveau.<\/li>\n\n\n\n<li class=\"eplus-wrapper\">ISO\/IEC 27001:2022 Annex A 8.28 &#8220;Secure coding&#8221; geldt ook voor door AI geschreven code; controls 8.30 (uitbestede ontwikkeling) en 8.4 (toegang tot broncode) bepalen hoe u AI-codetools aanstuurt en wat u met ze deelt.<\/li>\n\n\n\n<li class=\"eplus-wrapper\">Een product met persoonsgegevens van echte gebruikers start op ASVS Level 1, gebruikt Level 2 voor inloggen, toegangscontrole en gegevensverwerking, en houdt een startpakket van zes bewijsstukken bij.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Wat AI code security betekent<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">AI code security is het vrijhouden van code uit AI-codetools \u2014 assistenten, agents en AI app builders \u2014 van bekende kwetsbaarheidsklassen, en het kunnen aantonen daarvan. De standaarden zijn dezelfde als voor elke webapplicatie. Drie dingen veranderen wanneer een AI-tool de code schrijft.<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>Volume.<\/strong> AI-codetools kunnen het aantal wijzigingen sterk verhogen, waardoor review op basis van risico en geautomatiseerde controles belangrijker worden.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Context.<\/strong> De tool kent uw datamodel, gebruikersrollen en dreigingsmodel niet, tenzij iemand ze vastlegt. Regels die van uw bedrijf afhangen \u2014 wie welk record mag zien \u2014 laat u dan aan de gok van de tool over.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Bewijs.<\/strong> De redenering achter beveiligingskeuzes van een AI-tool is vaak niet vastgelegd of niet begrepen door het team, dus het bewijs moet uit tests en reviews komen in plaats van uit het geheugen van een developer.<\/li>\n<\/ul>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De kwetsbaarheden zelf zijn goed beschreven; <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/vibe-coding-beveiligingsrisicos\/\" target=\"_blank\" rel=\"noreferrer noopener\">vibe coding-beveiligingsrisico&#8217;s<\/a> behandelt de zeven die in AI-gebouwde apps het zwaarst wegen. Een benoemde standaard zoals ISO\/IEC 27001:2022 Annex A 8.28 voegt een referentie toe waaraan een klant of auditor de code kan toetsen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">De OWASP Top 10:2025 toegepast op AI-gegenereerde code<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De OWASP Top 10:2025 geldt zonder aanpassing voor AI-gegenereerde code: de tien categorie\u00ebn beschrijven wat er misgaat in webapplicaties, wie de code ook schreef. OWASP noemt de lijst zelf &#8220;a standard awareness document for developers and web application security&#8221; \u2014 een gedeeld vocabulaire, geen test waarvoor u slaagt (<a href=\"https:\/\/owasp.org\/Top10\/2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10:2025<\/a>).<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Tabel 1 koppelt elke categorie uit 2025 aan de manier waarop die meestal in een AI-gebouwd product opduikt, met \u00e9\u00e9n vraag die een niet-technische eigenaar aan de developer kan stellen.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Categorie (OWASP Top 10:2025)<\/strong><\/th><th><strong>Hoe het meestal opduikt in AI-gebouwde code<\/strong><\/th><th><strong>Vraag aan uw developer<\/strong><\/th><\/tr><\/thead><tbody><tr><td>A01 Broken Access Control<\/td><td>Pagina&#8217;s en API-routes controleren of iemand is ingelogd, niet of het record van die gebruiker is<\/td><td>Kan gebruiker A het record van gebruiker B openen door een ID in de URL te wijzigen?<\/td><\/tr><tr><td>A02 Security Misconfiguration<\/td><td>Debugmodus, open databaseregels of ruime cross-origin-instellingen uit het prototype<\/td><td>Welke instellingen zijn veranderd tussen prototype en productie?<\/td><\/tr><tr><td>A03 Software Supply Chain Failures<\/td><td>Packages zonder review toegevoegd, inclusief namen die de AI-tool voorstelde en die mogelijk niet bestaan<\/td><td>Wie keurde elke dependency goed, en wordt elke dependency gescand?<\/td><\/tr><tr><td>A04 Cryptographic Failures<\/td><td>Tokens of sleutels in frontendcode of als platte tekst opgeslagen<\/td><td>Waar staan API-sleutels, wachtwoorden en tokens?<\/td><\/tr><tr><td>A05 Injection<\/td><td>Gebruikersinvoer zonder validatie doorgegeven aan databasequeries, shellcommando&#8217;s of modelprompts<\/td><td>Wordt elke invoer op de server gevalideerd, niet alleen in de browser?<\/td><\/tr><tr><td>A06 Insecure Design<\/td><td>Bedrijfsregels zoals terugbetalingen, rollen en limieten staan alleen in prompts en zijn nooit vastgelegd<\/td><td>Waar staat de regel wie wat mag doen?<\/td><\/tr><tr><td>A07 Authentication Failures<\/td><td>Inlog-, sessie- en wachtwoordresetflows in \u00e9\u00e9n keer gegenereerd en nooit op misbruik getest<\/td><td>Is inloggen beperkt in aantal pogingen, en worden sessies ingetrokken bij uitloggen?<\/td><\/tr><tr><td>A08 Software or Data Integrity Failures<\/td><td>Webhooks zonder verificatie geaccepteerd; een buildpipeline die iedereen in het team kan wijzigen<\/td><td>Worden webhooks geverifieerd, en wie kan de pipeline wijzigen?<\/td><\/tr><tr><td>A09 Security Logging and Alerting Failures<\/td><td>Geen registratie van wie welke gegevens heeft ingezien<\/td><td>Zou iemand het merken als vannacht alle klantgegevens zijn gedownload?<\/td><\/tr><tr><td>A10 Mishandling of Exceptional Conditions<\/td><td>Foutmeldingen die stack traces tonen of een verzoek doorlaten als een dienst uitvalt<\/td><td>Wat doet de app als de database of betaalprovider niet reageert?<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 1. OWASP Top 10:2025-categorie\u00ebn in AI-gebouwde producten<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Twee rijen verdienen een eigen herstelgids. Sleutels in frontendcode (A02 en A04) behandelt <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/gelekte-api-keys-in-ai-producten\/\" target=\"_blank\" rel=\"noreferrer noopener\">gelekte API-keys in AI-producten<\/a> stap voor stap. Verzonnen packagenamen (A03) worden uitgelegd in de Sunbytes-gids over AI code review.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wij raden aan A01, A02 en A03 als eerste te controleren in elk AI-gebouwd product met gegevens van echte gebruikers. A01 staat bovenaan in de ranglijst van 2025, Security Misconfiguration steeg van de vijfde plaats in 2021 naar de tweede, en Software Supply Chain Failures is een nieuwe categorie uit 2025 die voortbouwt op het eerdere &#8220;Vulnerable and Outdated Components&#8221; (<a href=\"https:\/\/owasp.org\/Top10\/2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10:2025<\/a>).<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Welke beveiligingsstandaarden gelden voor AI-gegenereerde code?<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Zes documenten dekken de beveiligingsvragen waar een AI-gebouwd product mee te maken krijgt: drie van OWASP voor de applicatie, \u00e9\u00e9n van OWASP voor AI-functies, ISO\/IEC 27001:2022 voor de organisatie en het NIST Secure Software Development Framework voor vragenlijsten naar Amerikaans model. Geen ervan is specifiek voor AI-code, en geen ervan is een wet. Tabel 2 toont wat elk document een AI-gebouwd product oplevert en wanneer u het nodig hebt.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Standaard<\/strong><\/th><th><strong>Wat het is<\/strong><\/th><th><strong>Wat het een AI-gebouwd product oplevert<\/strong><\/th><th><strong>Wanneer u het nodig hebt<\/strong><\/th><\/tr><\/thead><tbody><tr><td><a href=\"https:\/\/owasp.org\/Top10\/2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10:2025<\/a><\/td><td>Awareness-document met tien risicocategorie\u00ebn voor webapplicaties<\/td><td>Een gedeeld vocabulaire voor briefings, prompts en beveiligingsvragenlijsten<\/td><td>Vanaf het eerste prototype<\/td><\/tr><tr><td><a href=\"https:\/\/asvs.owasp.org\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP ASVS 5.0.0<\/a><\/td><td>Verificatiestandaard met genummerde eisen op drie niveaus; uitgebracht op 30 mei 2025<\/td><td>Eisen die een reviewer als geslaagd of gezakt kan markeren, en een benoembare lat<\/td><td>Zodra echte gebruikers of klanten van het product afhangen<\/td><\/tr><tr><td><a href=\"https:\/\/devguide.owasp.org\/en\/04-design\/02-web-app-checklist\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Developer Guide<\/a><\/td><td>Richtlijnen en checklists voor developers, inclusief de voormalige Secure Coding Practices-checklist<\/td><td>Een checklist voor wie de code schrijft of prompt<\/td><td>Wanneer een developer instapt of het werk overneemt<\/td><\/tr><tr><td><a href=\"https:\/\/genai.owasp.org\/resource\/owasp-top-10-for-llm-applications-2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Top 10 for LLM Applications 2025<\/a><\/td><td>Tien risico&#8217;s voor applicaties die een taalmodel aanroepen<\/td><td>Namen voor prompt injection, datalekken en ontsporende modelkosten<\/td><td>Alleen als het product tijdens gebruik een model aanroept<\/td><\/tr><tr><td>ISO\/IEC 27001:2022 Annex A 8.25\u20138.29<\/td><td>Controls van een managementsysteem voor informatiebeveiliging (ISMS)<\/td><td>Bewijs op organisatieniveau dat veilige ontwikkeling is vastgelegd, toegepast en getest<\/td><td>Als een klant, aanbesteding of uw eigen certificeringsplan erom vraagt<\/td><\/tr><tr><td><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/218\/final\" target=\"_blank\" rel=\"noreferrer noopener\">NIST SP 800-218<\/a> (SSDF 1.1) en <a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/218\/a\/final\" target=\"_blank\" rel=\"noreferrer noopener\">SP 800-218A<\/a><\/td><td>Amerikaans Secure Software Development Framework (feb. 2022); 800-218A voegt praktijken voor generatieve AI toe (jul. 2024)<\/td><td>Een lijst met praktijken waar veel enterprise-vragenlijsten naar verwijzen<\/td><td>Als Amerikaanse of enterprise-klanten naar SSDF verwijzen<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 2. Beveiligingsstandaarden die gelden voor AI-gegenereerde code<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wij raden de OWASP Top 10:2025 aan als gedeeld vocabulaire en ASVS Level 1 als ondergrens voor elk AI-gebouwd product met echte gebruikers. Voeg ISO\/IEC 27001:2022 Annex A toe zodra een klant of een certificeringsplan bewijs over de organisatie vraagt, en de LLM Top 10 alleen als het product gebruikersinvoer naar een model stuurt.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full eplus-wrapper\"><img decoding=\"async\" src=\"assets\/sunbytes-ai-code-security-standards-layers.webp\" alt=\"Drie lagen beveiligingsstandaarden voor AI-gegenereerde code: OWASP Top 10, OWASP ASVS en ISO 27001 Annex A\"\/><figcaption class=\"wp-element-caption\"><em>Drie lagen beveiligingsstandaarden voor AI-gegenereerde code<\/em><\/figcaption><\/figure>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">OWASP-standaarden voor veilig programmeren: ASVS en de Developer Guide<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Het OWASP-document dat werkt als standaard voor veilig programmeren is de Application Security Verification Standard (ASVS). De Top 10 vat risico&#8217;s samen; ASVS geeft eisen die een reviewer als geslaagd of gezakt kan markeren. ASVS 5.0.0, uitgebracht op 30 mei 2025, nummert elke eis als hoofdstuk.sectie.eis, zodat een bevinding naar een exacte regel in de standaard kan verwijzen (<a href=\"https:\/\/asvs.owasp.org\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP ASVS<\/a>).<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">ASVS kent drie niveaus. Level 1 is de basis waaraan elke applicatie moet voldoen, Level 2 past bij applicaties met persoonsgegevens of bedrijfsgevoelige gegevens, en Level 3 is bedoeld voor systemen met de hoogste zekerheidseisen. Wij raden Level 2 aan voor inloggen, toegangscontrole en de verwerking van persoonsgegevens zodra echte gebruikers het product gebruiken, omdat \u00e9\u00e9n gemiste regel daar gegevens van anderen blootlegt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading eplus-wrapper\">ASVS gebruiken met AI-codetools<\/h3>\n\n\n\n<ol class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>Zet eis-ID&#8217;s in de taak.<\/strong> Neem de relevante ASVS-eisnummers als acceptatiecriteria op in de prompt of het ticket.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Review op de ID&#8217;s.<\/strong> Laat de reviewer per eis-ID vastleggen: geslaagd, gezakt of niet van toepassing \u2014 geen algemeen &#8220;ziet er goed uit&#8221;.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Bewaar het resultaat.<\/strong> Sla het reviewverslag op bij de bijbehorende release; dat verslag is het bewijs waar een klant om vraagt.<\/li>\n<\/ol>\n\n\n\n<h3 class=\"wp-block-heading eplus-wrapper\">OWASP-checklist voor veilig programmeren<\/h3>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De OWASP Secure Coding Practices Quick Reference Guide, lang gebruikt als checklist voor veilig programmeren, is inmiddels gearchiveerd. OWASP meldt dat de &#8220;checklists have also been migrated to the Developer Guide&#8221;; nieuwe projecten gebruiken dus de checklists in de <a href=\"https:\/\/devguide.owasp.org\/en\/04-design\/02-web-app-checklist\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP Developer Guide<\/a> (<a href=\"https:\/\/owasp.org\/www-project-secure-coding-practices-quick-reference-guide\/\" target=\"_blank\" rel=\"noreferrer noopener\">projectpagina OWASP Secure Coding Practices<\/a>). De Developer Guide vertelt wie de code schrijft of prompt wat er moet gebeuren; ASVS vertelt de reviewer wat er gecontroleerd moet worden.<\/p>\n\n\n\n<div class=\"wp-block-group eplus-wrapper has-global-padding is-layout-constrained wp-block-group-is-layout-constrained\">\n<p class=\"eplus-wrapper wp-block-paragraph\"><strong>Vroeg een klant welke standaard uw code volgt?<\/strong><\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een AI-built product review controleert de onderdelen waar beveiligingsvragenlijsten naar vragen \u2014 toegang tot data, inloggen, secrets en dependencies \u2014 en levert bevindingen met het bewijs erachter. De review staat los van herstelwerk, en u krijgt de resultaten in begrijpelijke taal met een geprioriteerd actieplan dat u bij uw antwoord kunt voegen.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">\u2192 <a href=\"https:\/\/sunbytes.io\/nl\/tech-service\/ai-built-product\/\" target=\"_blank\" rel=\"noreferrer noopener\">Bekijk wat de AI-built product review omvat<\/a><\/p>\n<\/div>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">ISO 27001 en veilig programmeren: wat Annex A 8.28 vraagt als AI de code schrijft<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">ISO\/IEC 27001:2022 Annex A 8.28 &#8220;Secure coding&#8221; vereist dat principes voor veilig programmeren worden toegepast bij softwareontwikkeling. De control schrijft geen regels op codeniveau voor; de organisatie kiest en documenteert zelf een set, en een benoemde OWASP-standaard zoals ASVS is een gangbare keuze. Annex A 8.28 geldt voor door AI geschreven code op dezelfde manier als voor code van een developer: de tool is niet uitgezonderd, en de persoon die de output accepteert evenmin.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Twee andere controls bepalen hoe AI-codetools in een ISMS passen. Annex A 8.30 &#8220;Outsourced development&#8221; vraagt de organisatie om ontwikkeling buiten het eigen team aan te sturen, te bewaken en te beoordelen; een praktische lezing is een AI-codetool te behandelen als een externe developer, wiens werk wordt gespecificeerd, gereviewd en goedgekeurd v\u00f3\u00f3r de release. Annex A 8.4 &#8220;Access to source code&#8221; bepaalt welke code, sleutels en gegevens in een AI-tool geplakt mogen worden, en onder welke accountinstellingen.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Annex A-control<\/strong><\/th><th><strong>Wat verandert als een AI-tool de code schrijft<\/strong><\/th><th><strong>Bewijs om te bewaren<\/strong><\/th><\/tr><\/thead><tbody><tr><td>8.25 Secure development life cycle<\/td><td>De ontwikkelprocedure noemt de gebruikte AI-tools en wie hun output reviewt<\/td><td>Vastgelegde ontwikkelprocedure<\/td><\/tr><tr><td>8.26 Application security requirements<\/td><td>Beveiligingseisen staan in prompts en tickets, bijvoorbeeld als ASVS-ID&#8217;s<\/td><td>Tickets met eis-ID&#8217;s<\/td><\/tr><tr><td>8.27 Secure system architecture and engineering principles<\/td><td>Architectuurkeuzes van de tool worden achteraf vastgelegd<\/td><td>Korte architectuurnotities<\/td><\/tr><tr><td>8.28 Secure coding<\/td><td>Een benoemde standaard (bijvoorbeeld ASVS 5.0) en een review van AI-output daartegen<\/td><td>Reviewverslag per eis<\/td><\/tr><tr><td>8.29 Security testing in development and acceptance<\/td><td>Tests dekken toegangscontrole en misbruikscenario&#8217;s, niet alleen &#8220;de functie werkt&#8221;<\/td><td>Testresultaten per release<\/td><\/tr><tr><td>8.30 Outsourced development<\/td><td>De AI-tool wordt aangestuurd, bewaakt en gereviewd als een externe developer<\/td><td>Review- en goedkeuringsverslagen<\/td><\/tr><tr><td>8.4 Access to source code<\/td><td>Regels over welke code, sleutels en gegevens met AI-tools gedeeld mogen worden<\/td><td>Toolinstellingen en \u00e9\u00e9n vastgelegde regel<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 3. ISO\/IEC 27001:2022 Annex A-controls voor door AI geschreven code<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een ISO 27001-certificaat dekt het ISMS van een organisatie, niet de beveiliging van een specifieke codebase; <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/iso-27001-appontwikkeling\/\" target=\"_blank\" rel=\"noreferrer noopener\">wat ISO 27001-certificering betekent voor appontwikkeling<\/a> legt uit wat het certificaat wel en niet aantoont. Vraagt een auditor &#8220;welke standaard voor veilig programmeren past u toe?&#8221;, dan is het antwoord een documentnaam met versie \u2014 bijvoorbeeld &#8220;OWASP ASVS 5.0.0, Level 1, Level 2 voor authenticatie en toegangscontrole&#8221; \u2014 en niet &#8220;best practices&#8221;.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Als uw app AI-functies heeft: de OWASP Top 10 for LLM Applications<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Producten die tijdens gebruik een taalmodel aanroepen \u2014 een chatbot, zoeken in documenten of een agent \u2014 hebben een tweede lijst nodig: de OWASP Top 10 for LLM Applications 2025 (<a href=\"https:\/\/genai.owasp.org\/resource\/owasp-top-10-for-llm-applications-2025\/\" target=\"_blank\" rel=\"noreferrer noopener\">OWASP GenAI Security Project<\/a>). De lijst gaat over functies die gebruikersinvoer naar een model sturen, niet over code die een AI-tool schreef. Vier onderdelen wegen het zwaarst voor een klein team:<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>LLM01 Prompt Injection<\/strong> \u2014 tekst van een gebruiker of uit een document verandert de instructies van het model.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>LLM02 Sensitive Information Disclosure<\/strong> \u2014 het model geeft gegevens terug die de gebruiker niet mag zien.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>LLM06 Excessive Agency<\/strong> \u2014 het model kan zonder grenzen e-mails versturen, records wijzigen of tools aanroepen.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>LLM10 Unbounded Consumption<\/strong> \u2014 geen limiet op verzoeken of kosten, zodat \u00e9\u00e9n gebruiker de modelrekening kan opdrijven.<\/li>\n<\/ul>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De andere zes zijn LLM03 Supply Chain, LLM04 Data and Model Poisoning, LLM05 Improper Output Handling, LLM07 System Prompt Leakage, LLM08 Vector and Embedding Weaknesses en LLM09 Misinformation. Voor teams die modellen bouwen of aanpassen voegt <a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/218\/a\/final\" target=\"_blank\" rel=\"noreferrer noopener\">NIST SP 800-218A<\/a> (juli 2024) praktijken voor generatieve AI toe aan het SSDF. De modelcontroles v\u00f3\u00f3r de lancering \u2014 minimale rechten, een prompt-injectietest en een kostenplafond \u2014 staan in de <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-production-readiness-checklist\/\" target=\"_blank\" rel=\"noreferrer noopener\">production readiness checklist<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Europese regels die naar deze standaarden wijzen<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Geen Europese wet noemt OWASP of maakt ISO 27001 verplicht voor een AI-gebouwd product, maar drie EU-regels vragen beveiligingsmaatregelen die u met een benoemde standaard kunt aantonen.<\/p>\n\n\n\n<ul class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>AVG (GDPR) artikel 32<\/strong> vereist &#8220;passende technische en organisatorische maatregelen&#8221; voor persoonsgegevens, en artikel 25 vraagt gegevensbescherming door ontwerp en door standaardinstellingen. Een benoemde standaard zoals ASVS laat zien wat &#8220;passend&#8221; betekende; in Nederland houdt de Autoriteit Persoonsgegevens toezicht.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>NIS2 artikel 21, lid 2, onder e<\/strong> gaat over beveiliging bij de aanschaf, ontwikkeling en het onderhoud van netwerk- en informatiesystemen, inclusief de behandeling van kwetsbaarheden. Nederland heeft NIS2 omgezet in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is (<a href=\"https:\/\/www.njb.nl\/wetgeving\/staatsbladen\/cyberbeveiligingswet\/\" target=\"_blank\" rel=\"noreferrer noopener\">Staatsblad 2026, 187<\/a>). Organisaties die eronder vallen, leggen deze eisen via contracten bij hun softwareleveranciers.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>De Cyberweerbaarheidsverordening (Cyber Resilience Act)<\/strong> (<a href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/eng\" target=\"_blank\" rel=\"noreferrer noopener\">Verordening (EU) 2024\/2847<\/a>) geldt voor producten met digitale elementen, zoals installeerbare software en mobiele apps. De meldplichten gelden vanaf 11 september 2026 en de hoofdverplichtingen vanaf 11 december 2027. Software die puur als dienst wordt geleverd valt er doorgaans buiten, tenzij het gaat om gegevensverwerking op afstand die een gedekt product nodig heeft om te werken.<\/li>\n<\/ul>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De EU AI-verordening reguleert AI-systemen, niet de code die een AI-tool voor u schrijft. Voor een SaaS-product zonder NIS2-klanten is AVG artikel 32 de regel die als eerste geldt; valt u of een klant onder NIS2, of verkoopt u een installeerbare app in de EU, dan komen de andere twee erbij.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Met welke standaard begint u?<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De juiste startstandaard hangt af van wie de vraag stelt en welke gegevens het product bevat. Tabel 4 geeft het startpunt voor zes veelvoorkomende situaties van een AI-gebouwd product.<\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes eplus-wrapper\"><table class=\"has-fixed-layout\"><thead><tr><th><strong>Situatie<\/strong><\/th><th><strong>Begin met<\/strong><\/th><th><strong>Voeg toe wanneer<\/strong><\/th><\/tr><\/thead><tbody><tr><td>Interne tool of prototype met testdata<\/td><td>Bewustzijn van de OWASP Top 10:2025, secret scanning en dependency scanning<\/td><td>Echte gebruikers of echte gegevens komen erbij<\/td><\/tr><tr><td>Persoonsgegevens of betalingen van echte gebruikers<\/td><td>ASVS 5.0 Level 1 overal; Level 2 voor inloggen, toegangscontrole en gegevensverwerking<\/td><td>Een klant stuurt een beveiligingsvragenlijst<\/td><\/tr><tr><td>Beveiligingsvragenlijst van een enterprise-klant<\/td><td>ASVS-reviewverslag plus de Top 10-koppeling als bewijs<\/td><td>De klant vraagt om ISO 27001 of SOC 2<\/td><\/tr><tr><td>ISO 27001-gecertificeerde klant, of uw eigen certificeringsplan<\/td><td>Procedures voor Annex A 8.25\u20138.30 met ASVS als benoemde standaard voor veilig programmeren<\/td><td>Een auditor plant een stage 1-audit<\/td><\/tr><tr><td>Product roept tijdens gebruik een AI-model aan<\/td><td>OWASP Top 10 for LLM Applications 2025 bovenop ASVS<\/td><td>Agents krijgen rechten om gegevens te wijzigen<\/td><\/tr><tr><td>Uw organisatie of klant valt onder NIS2; installeerbare app verkocht in de EU<\/td><td>Bewijs voor NIS2 artikel 21, lid 2, onder e en de CRA, opgebouwd uit dezelfde ASVS- en ISO-verslagen<\/td><td>De hoofdverplichtingen van de CRA gelden vanaf 11 december 2027<\/td><\/tr><\/tbody><\/table><figcaption class=\"wp-element-caption\"><em>Tabel 4. Met welke beveiligingsstandaard u begint voor een AI-gebouwd product<\/em><\/figcaption><\/figure>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wij raden af om met ISO 27001-certificering te beginnen om de vragenlijst van \u00e9\u00e9n klant te beantwoorden. De vragenlijst gaat over het product, en een reviewverslag op basis van ASVS beantwoordt die vraag direct, terwijl certificering de hele organisatie betreft en een volledige auditcyclus kost.<\/p>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Welk bewijs u een klant of auditor laat zien<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een klant of auditor accepteert bewijs dat de standaard noemt, het resultaat toont en een datum heeft. Voor een AI-gebouwd product vormen deze zes stukken een praktisch startpakket; individuele klanten kunnen aanvullend bewijs vragen:<\/p>\n\n\n\n<ol class=\"wp-block-list eplus-wrapper\">\n<li class=\"eplus-wrapper\"><strong>Benoemde basislijn<\/strong> \u2014 bijvoorbeeld &#8220;OWASP ASVS 5.0.0 Level 1, Level 2 voor authenticatie en toegangscontrole&#8221;.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Geautomatiseerde resultaten<\/strong> \u2014 statische analyse (SAST: een scan van de broncode op bekende zwakke patronen), software composition analysis (SCA: een scan van externe packages op bekende kwetsbaarheden) en secret scanning, allemaal van de release die de klant beoordeelt.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Verslag van de menselijke review<\/strong> \u2014 wie reviewde, wanneer, en geslaagd of gezakt per eis-ID; de gids over <a href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-review\/\" target=\"_blank\" rel=\"noreferrer noopener\">AI code review<\/a> legt uit hoe u die review uitvoert.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Verslag van beveiligingstests<\/strong> \u2014 tests op toegangscontrole en misbruikscenario&#8217;s voor Annex A 8.29, inclusief een test dat de ene gebruiker de gegevens van een andere niet kan openen.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Openstaande bevindingen<\/strong> \u2014 elk met een eigenaar en een streefdatum.<\/li>\n\n\n\n<li class=\"eplus-wrapper\"><strong>Overzicht van AI-tools<\/strong> \u2014 \u00e9\u00e9n regel met de gebruikte AI-codetools en de Annex A 8.4-regel over wat met ze gedeeld mag worden. Teambrede regels voor AI-tools komen aan bod in <strong>AI code governance<\/strong>.<\/li>\n<\/ol>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Scans van het prototype blijven bruikbaar als historisch bewijs, maar vervangen geen controles op de release die wordt beoordeeld. Is een verslag ouder dan die release, voer de controle dan opnieuw uit voordat u het pakket verstuurt.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full eplus-wrapper\"><img decoding=\"async\" src=\"assets\/sunbytes-ai-code-security-evidence-pack.webp\" alt=\"Zes bewijsstukken die samen een startpakket vormen voor AI code security\"\/><figcaption class=\"wp-element-caption\"><em>Een startpakket met bewijs voor AI code security<\/em><\/figcaption><\/figure>\n\n\n\n<h2 class=\"wp-block-heading eplus-wrapper\">Hoe Sunbytes AI-gebouwde producten beoordeelt voor beveiligingsvragen<\/h2>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Een beveiligingsstandaard maakt van &#8220;we denken dat de code veilig is&#8221; een lijst die een klant kan controleren. AI-codetools kunnen de code schrijven en de scanners draaien; een persoon moet het product nog steeds tegen die lijst toetsen.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">De <a href=\"https:\/\/sunbytes.io\/nl\/tech-service\/ai-built-product\/\" target=\"_blank\" rel=\"noreferrer noopener\">AI-built product review<\/a> van Sunbytes helpt teams te zien waar de beveiligingsmaatregelen, de code en de technische opzet van hun product aandacht nodig hebben v\u00f3\u00f3r de lancering of breder gebruik. De review begint met een afgesproken scope over de relevante onderdelen: beveiliging, architectuur, kritieke workflows, deployment en onderhoudbaarheid. Bevindingen uit engineering en security worden in begrijpelijke taal uitgelegd, met onderbouwend bewijs en een geprioriteerd actieplan.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Vraagt een klant om verificatie tegen specifieke OWASP ASVS-eisen of om een aparte beveiligingsbeoordeling, dan legt u die eisen vast tijdens het afbakenen van de scope. Zo blijft het bewijs gericht op de vraag van de klant, zonder dat een algemene productreview als certificering wordt gepresenteerd.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Voor een controle van alleen de beveiliging van de code zelf voert het cybersecurityteam van Sunbytes een <a href=\"https:\/\/sunbytes.io\/nl\/cybersecurity-service-provider\/secure-code-review-services\/\" target=\"_blank\" rel=\"noreferrer noopener\">secure code review<\/a> uit. Beide diensten vallen onder het ISO\/IEC 27001-gecertificeerde managementsysteem voor informatiebeveiliging van Sunbytes en steunen op ruim 300 opgeleverde projecten.<\/p>\n\n\n\n<p class=\"eplus-wrapper wp-block-paragraph\">Wacht een beveiligingsvragenlijst of een lanceringsdatum op dit antwoord? <a href=\"https:\/\/sunbytes.io\/nl\/tech-service\/ai-built-product\/\" target=\"_blank\" rel=\"noreferrer noopener\">Start met een AI-built product review<\/a>.<\/p>\n\n\n<section class=\"faq-section faq-section--sidebar alignfull wp-block-sb-block-faq-section is-layout-flow wp-block-sb-block-faq-section-is-layout-flow\">\n            <div class=\"faq-section__intro faq-section__intro--sidebar\">\n                            <div class=\"faq-section__intro-text\">\n                                            <h2 class=\"faq-section__title\">FAQs<\/h2>\n                                                        <\/div>\n                                <\/div>\n\n        <div class=\"faq-section__items\">\n            <div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-37\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-38\"\n        >\n            <span class=\"faq-item__question-text\">Bestaat er een beveiligingsstandaard speciaal voor AI-gegenereerde code?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-38\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-37\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Nee. Per oktober 2026 is er geen OWASP-, ISO- of NIST-standaard die alleen voor code van AI-tools is geschreven. AI-gegenereerde code wordt getoetst aan dezelfde standaarden als alle code: de OWASP Top 10:2025 en OWASP ASVS 5.0 voor de applicatie, en ISO\/IEC 27001:2022 Annex A 8.28 voor de organisatie.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-39\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-40\"\n        >\n            <span class=\"faq-item__question-text\">Zijn AI-codetools toegestaan onder ISO 27001?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-40\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-39\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Ja. ISO\/IEC 27001:2022 verbiedt geen enkele ontwikkeltool; de norm vraagt de organisatie te beheersen hoe software wordt ontwikkeld. Annex A 8.28 vereist principes voor veilig programmeren, 8.4 regelt de toegang tot broncode en 8.30 de ontwikkeling buiten het eigen team. Leg vast welke AI-tools u gebruikt, wat met ze gedeeld mag worden en wie hun output reviewt.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-41\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-42\"\n        >\n            <span class=\"faq-item__question-text\">Met welke OWASP-standaard begint een klein team?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-42\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-41\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Een klein team begint met de OWASP Top 10:2025 als gedeeld vocabulaire en OWASP ASVS 5.0 Level 1 als ondergrens. ASVS vertaalt de risico&#8217;s uit de Top 10 naar eisen die een reviewer als geslaagd of gezakt kan markeren. Breng inloggen, toegangscontrole en de verwerking van persoonsgegevens naar ASVS Level 2 zodra u gegevens van echte gebruikers opslaat.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-43\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-44\"\n        >\n            <span class=\"faq-item__question-text\">Gelden OWASP-standaarden als een AI-tool de code schreef?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-44\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-43\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Ja. OWASP-standaarden beschrijven de beveiliging van de applicatie, niet hoe de code tot stand kwam. Een ontbrekende eigendomscontrole van een AI-codeassistent valt onder OWASP Top 10:2025-categorie A01 Broken Access Control, net als een die een developer schreef. Door AI geschreven code heeft wel een eigen reviewverslag nodig, omdat de redenering achter de oorspronkelijke keuze vaak niet is vastgelegd.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-45\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-46\"\n        >\n            <span class=\"faq-item__question-text\">Is een beveiligingsstandaard overdreven v\u00f3\u00f3r product-market fit?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-46\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-45\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Niet zodra er gegevens van echte gebruikers in het product staan. Een prototype met testdata heeft genoeg aan bewustzijn van de OWASP Top 10 plus secret scanning en dependency scanning. Komen er persoonsgegevens of betalingen van echte gebruikers bij, dan vereist AVG artikel 32 passende beveiligingsmaatregelen, en ASVS Level 1 is een lichte, benoemde manier om te laten zien wat &#8220;passend&#8221; betekende.<\/p>        <\/div>\n    <\/div>\n<\/div>\n<div class=\"faq-item wp-block-sb-block-faq-item\" data-faq-item=\"true\">\n        <h5 class=\"faq-item__question\">\n        <button\n            class=\"faq-item__trigger\"\n            type=\"button\"\n            id=\"faq-trigger-47\"\n            aria-expanded=\"false\"\n            aria-controls=\"faq-panel-48\"\n        >\n            <span class=\"faq-item__question-text\">Hoe laat ik een klant zien dat onze door AI geschreven code aan een standaard voldoet?<\/span>\n            <svg\n                class=\"faq-item__icon\"\n                width=\"20\"\n                height=\"20\"\n                viewBox=\"0 0 20 20\"\n                aria-hidden=\"true\"\n                focusable=\"false\"\n                xmlns=\"http:\/\/www.w3.org\/2000\/svg\"\n            >\n                <path\n                    d=\"M5 7.5L10 12.5L15 7.5\"\n                    stroke=\"currentColor\"\n                    stroke-width=\"1.75\"\n                    stroke-linecap=\"round\"\n                    stroke-linejoin=\"round\"\n                    fill=\"none\"\n                \/>\n            <\/svg>\n        <\/button>\n    <\/h5>\n    <div\n        id=\"faq-panel-48\"\n        class=\"faq-item__panel\"\n        role=\"region\"\n        aria-labelledby=\"faq-trigger-47\"\n        hidden\n    >\n        <div class=\"faq-item__answer\">\n            <p class=\"eplus-wrapper wp-block-paragraph\">Stuur een gedateerd bewijspakket, geen verklaring. Noem de basislijn (bijvoorbeeld OWASP ASVS 5.0 Level 1, Level 2 voor authenticatie), voeg de laatste resultaten van SAST, SCA en secret scanning voor de betreffende release toe, voeg een reviewverslag met geslaagd of gezakt per eis-ID toe, en vermeld openstaande bevindingen met een eigenaar en een streefdatum.<\/p>        <\/div>\n    <\/div>\n<\/div>\n        <\/div>\n\n            <\/section>\n","protected":false},"excerpt":{"rendered":"<p>Er bestaat geen aparte beveiligingsstandaard voor AI-gegenereerde code. Code van een AI-codeassistent, een agent of een AI app builder moet aan dezelfde standaarden voldoen als code die een developer schrijft. AI code security draait daarom om twee beslissingen: aan welke standaard u de code toetst, en hoe u het resultaat aantoont aan een klant, auditor [&hellip;]<\/p>\n","protected":false},"author":9,"featured_media":48650,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"related_mode":"latest","related_category":0,"related_post_ids":[],"footnotes":""},"categories":[45],"tags":[],"class_list":["post-48677","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-softwareontwikkeling"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.7 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)<\/title>\n<meta name=\"description\" content=\"AI code security vraagt om een standaard, niet alleen een scanner. Lees welke OWASP- en ISO 27001-controls gelden voor AI-code en welk bewijs u toont.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/\" \/>\n<meta property=\"og:locale\" content=\"nl_NL\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)\" \/>\n<meta property=\"og:description\" content=\"AI code security vraagt om een standaard, niet alleen een scanner. Lees welke OWASP- en ISO 27001-controls gelden voor AI-code en welk bewijs u toont.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/\" \/>\n<meta property=\"og:site_name\" content=\"Sunbytes\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/sunbytes\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-23T07:24:39+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-23T07:29:42+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/ai-code-security-1.webp\" \/>\n\t<meta property=\"og:image:width\" content=\"1002\" \/>\n\t<meta property=\"og:image:height\" content=\"564\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/webp\" \/>\n<meta name=\"author\" content=\"Thien Le\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Geschreven door\" \/>\n\t<meta name=\"twitter:data1\" content=\"Thien Le\" \/>\n\t<meta name=\"twitter:label2\" content=\"Geschatte leestijd\" \/>\n\t<meta name=\"twitter:data2\" content=\"32 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#organization\",\"name\":\"Sunbytes\",\"url\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"nl-NL\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/08\\\/SUNBYTES-LOGO.svg\",\"contentUrl\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/08\\\/SUNBYTES-LOGO.svg\",\"width\":120,\"height\":30,\"caption\":\"Sunbytes\"},\"image\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.facebook.com\\\/sunbytes\\\/\",\"https:\\\/\\\/www.linkedin.com\\\/company\\\/sunbytes-accelerate-workforce-solutions\\\/\",\"https:\\\/\\\/www.linkedin.com\\\/company\\\/sunbytes\\\/\"],\"knowsAbout\":[\"HR Solutions\",\"Payroll service\",\"EOR service\",\"Tech services\",\"Security services\"]},{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/\"},\"author\":{\"name\":\"Thien Le\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#\\\/schema\\\/person\\\/edb46097c22381bf08caa3b6a0713677\"},\"headline\":\"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)\",\"datePublished\":\"2026-10-23T07:24:39+00:00\",\"dateModified\":\"2026-10-23T07:29:42+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/\"},\"wordCount\":6855,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/ai-code-security-1.webp\",\"articleSection\":[\"Softwareontwikkeling\"],\"inLanguage\":\"nl-NL\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/\",\"url\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/\",\"name\":\"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/ai-code-security-1.webp\",\"datePublished\":\"2026-10-23T07:24:39+00:00\",\"dateModified\":\"2026-10-23T07:29:42+00:00\",\"description\":\"AI code security vraagt om een standaard, niet alleen een scanner. Lees welke OWASP- en ISO 27001-controls gelden voor AI-code en welk bewijs u toont.\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#breadcrumb\"},\"inLanguage\":\"nl-NL\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"nl-NL\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#primaryimage\",\"url\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/ai-code-security-1.webp\",\"contentUrl\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/10\\\/ai-code-security-1.webp\",\"width\":1002,\"height\":564,\"caption\":\"ai code security\"},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/softwareontwikkeling\\\/ai-code-security\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#website\",\"url\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/\",\"name\":\"Sunbytes\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"nl-NL\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/#\\\/schema\\\/person\\\/edb46097c22381bf08caa3b6a0713677\",\"name\":\"Thien Le\",\"pronouns\":\"She\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"nl-NL\",\"@id\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/08\\\/Sunbytes0976-150x150.webp\",\"url\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/08\\\/Sunbytes0976-150x150.webp\",\"contentUrl\":\"https:\\\/\\\/sunbytes.io\\\/wp-content\\\/uploads\\\/2026\\\/08\\\/Sunbytes0976-150x150.webp\",\"caption\":\"Thien Le\"},\"description\":\"Thien Le is a B2B content writer with more than four years of experience in crafting compelling B2B content for a global audience, specializing in how people, technology, and business operations come together. At Sunbytes, she plans, connects insights from HR experts, edits, and uses technology to improve content quality. Her content helps readers cut through complexity and find practical information for hiring, paying, and managing people across borders.\",\"url\":\"https:\\\/\\\/sunbytes.io\\\/nl\\\/blog\\\/author\\\/thien-le\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)","description":"AI code security vraagt om een standaard, niet alleen een scanner. Lees welke OWASP- en ISO 27001-controls gelden voor AI-code en welk bewijs u toont.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/","og_locale":"nl_NL","og_type":"article","og_title":"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)","og_description":"AI code security vraagt om een standaard, niet alleen een scanner. Lees welke OWASP- en ISO 27001-controls gelden voor AI-code en welk bewijs u toont.","og_url":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/","og_site_name":"Sunbytes","article_publisher":"https:\/\/www.facebook.com\/sunbytes\/","article_published_time":"2026-10-23T07:24:39+00:00","article_modified_time":"2026-10-23T07:29:42+00:00","og_image":[{"width":1002,"height":564,"url":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/ai-code-security-1.webp","type":"image\/webp"}],"author":"Thien Le","twitter_card":"summary_large_image","twitter_misc":{"Geschreven door":"Thien Le","Geschatte leestijd":"32 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Organization","@id":"https:\/\/sunbytes.io\/nl\/#organization","name":"Sunbytes","url":"https:\/\/sunbytes.io\/nl\/","logo":{"@type":"ImageObject","inLanguage":"nl-NL","@id":"https:\/\/sunbytes.io\/nl\/#\/schema\/logo\/image\/","url":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/08\/SUNBYTES-LOGO.svg","contentUrl":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/08\/SUNBYTES-LOGO.svg","width":120,"height":30,"caption":"Sunbytes"},"image":{"@id":"https:\/\/sunbytes.io\/nl\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/sunbytes\/","https:\/\/www.linkedin.com\/company\/sunbytes-accelerate-workforce-solutions\/","https:\/\/www.linkedin.com\/company\/sunbytes\/"],"knowsAbout":["HR Solutions","Payroll service","EOR service","Tech services","Security services"]},{"@type":"Article","@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#article","isPartOf":{"@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/"},"author":{"name":"Thien Le","@id":"https:\/\/sunbytes.io\/nl\/#\/schema\/person\/edb46097c22381bf08caa3b6a0713677"},"headline":"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)","datePublished":"2026-10-23T07:24:39+00:00","dateModified":"2026-10-23T07:29:42+00:00","mainEntityOfPage":{"@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/"},"wordCount":6855,"commentCount":0,"publisher":{"@id":"https:\/\/sunbytes.io\/nl\/#organization"},"image":{"@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#primaryimage"},"thumbnailUrl":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/ai-code-security-1.webp","articleSection":["Softwareontwikkeling"],"inLanguage":"nl-NL","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/","url":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/","name":"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)","isPartOf":{"@id":"https:\/\/sunbytes.io\/nl\/#website"},"primaryImageOfPage":{"@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#primaryimage"},"image":{"@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#primaryimage"},"thumbnailUrl":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/ai-code-security-1.webp","datePublished":"2026-10-23T07:24:39+00:00","dateModified":"2026-10-23T07:29:42+00:00","description":"AI code security vraagt om een standaard, niet alleen een scanner. Lees welke OWASP- en ISO 27001-controls gelden voor AI-code en welk bewijs u toont.","breadcrumb":{"@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#breadcrumb"},"inLanguage":"nl-NL","potentialAction":[{"@type":"ReadAction","target":["https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/"]}]},{"@type":"ImageObject","inLanguage":"nl-NL","@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#primaryimage","url":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/ai-code-security-1.webp","contentUrl":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/10\/ai-code-security-1.webp","width":1002,"height":564,"caption":"ai code security"},{"@type":"BreadcrumbList","@id":"https:\/\/sunbytes.io\/nl\/blog\/softwareontwikkeling\/ai-code-security\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/sunbytes.io\/nl\/"},{"@type":"ListItem","position":2,"name":"Beveiligingsstandaarden voor AI-gegenereerde code (OWASP en ISO 27001)"}]},{"@type":"WebSite","@id":"https:\/\/sunbytes.io\/nl\/#website","url":"https:\/\/sunbytes.io\/nl\/","name":"Sunbytes","description":"","publisher":{"@id":"https:\/\/sunbytes.io\/nl\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/sunbytes.io\/nl\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"nl-NL"},{"@type":"Person","@id":"https:\/\/sunbytes.io\/nl\/#\/schema\/person\/edb46097c22381bf08caa3b6a0713677","name":"Thien Le","pronouns":"She","image":{"@type":"ImageObject","inLanguage":"nl-NL","@id":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/08\/Sunbytes0976-150x150.webp","url":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/08\/Sunbytes0976-150x150.webp","contentUrl":"https:\/\/sunbytes.io\/wp-content\/uploads\/2026\/08\/Sunbytes0976-150x150.webp","caption":"Thien Le"},"description":"Thien Le is a B2B content writer with more than four years of experience in crafting compelling B2B content for a global audience, specializing in how people, technology, and business operations come together. At Sunbytes, she plans, connects insights from HR experts, edits, and uses technology to improve content quality. Her content helps readers cut through complexity and find practical information for hiring, paying, and managing people across borders.","url":"https:\/\/sunbytes.io\/nl\/blog\/author\/thien-le\/"}]}},"_links":{"self":[{"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/posts\/48677","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/comments?post=48677"}],"version-history":[{"count":3,"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/posts\/48677\/revisions"}],"predecessor-version":[{"id":48686,"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/posts\/48677\/revisions\/48686"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/media\/48650"}],"wp:attachment":[{"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/media?parent=48677"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/categories?post=48677"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sunbytes.io\/nl\/wp-json\/wp\/v2\/tags?post=48677"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}