OWASP Top 10 uitgelegd: de tien grootste webrisico's voor MKB

De OWASP Top 10 is een standaard bewustwordingsdocument over de meest kritieke beveiligingsrisico's van webapplicaties, en de actuele editie is de OWASP Top 10:2025. De lijst uit 2021 was de vorige editie. Voor jou als opdrachtgever is het vooral een gesprekslijst: tien categorieën waarlangs je een bouwer kunt vragen hoe een applicatie is beschermd. Je hoeft niet te weten hoe een aanval technisch werkt. Je moet wel kunnen vragen welke maatregelen er per categorie zijn genomen en hoe dat is aangetoond. Dit artikel loopt de lijst langs in gewone taal.

Wat is de OWASP Top 10 en welke editie geldt nu?

Volgens OWASP is de Top 10 een standaard bewustwordingsdocument voor ontwikkelaars en webapplicatiebeveiliging, dat een brede consensus weergeeft over de meest kritieke beveiligingsrisico's voor webapplicaties. Per 11 oktober 2026 toont top10.owasp.org de editie 2025 als actuele lijst, en de lijst uit 2021 staat daar nog als vorige editie. Noem bij elke afspraak daarom de editie. Een offerte die alleen naar "de OWASP Top 10" verwijst, laat open welke lijst bedoeld is. OWASP noemt het een bewustwordingsdocument. Het is dus geen certificering, en een vinkje bij de Top 10 garandeert niet dat een applicatie veilig is.

Een lijst van tien categorieën toets je niet met een vinkje. OWASP biedt daarvoor een tweede document, de Application Security Verification Standard (ASVS). Volgens OWASP biedt het ASVS-project een basis voor het testen van technische beveiligingsmaatregelen van webapplicaties en geeft het ontwikkelaars een lijst met eisen voor veilige ontwikkeling. De OWASP-projectpagina noemt per 11 oktober 2026 versie 5.0.0 als nieuwste stabiele versie. Je kunt een leverancier dus vragen tegen welke ASVS-eisen is gebouwd en getest, in plaats van alleen te vragen of de Top 10 is gedekt.

Welke risico's staan op plek 1 tot en met 5?

Volgens OWASP staan per 11 oktober 2026 op plek 1 tot en met 5 van de editie 2025 Broken Access Control, Security Misconfiguration, Software Supply Chain Failures, Cryptographic Failures en Injection. De uitleg die volgt is onze eigen vertaling in gewone taal, geen tekst van OWASP. Broken Access Control betekent dat iemand iets kan zien of doen waarvoor hij geen recht heeft, zoals het openen van het dossier van een andere klant. Security Misconfiguration gaat over onveilige instellingen, bijvoorbeeld een standaardwachtwoord dat nooit is vervangen. Software Supply Chain Failures gaat over problemen in de onderdelen waarop jouw software is gebouwd. Vraag bij elke categorie hoe de leverancier het risico afdekt.

Cryptographic Failures gaat over gevoelige gegevens die niet of slecht zijn versleuteld, onderweg of in opslag. Injection betekent dat ingevoerde tekst door de applicatie als opdracht wordt uitgevoerd, bijvoorbeeld in een database. Wat kun je vragen? Hoe worden toegangsrechten per gebruiker op de server afgedwongen en niet alleen in het scherm? Wie beheert de instellingen en hoe worden die gecontroleerd? Welke onderdelen gebruikt de applicatie en wie volgt de updates? Welke gegevens zijn versleuteld? En hoe wordt invoer gecontroleerd? Een goed antwoord noemt een werkwijze, geen belofte als "we letten erop".

Welke risico's staan op plek 6 tot en met 10?

Op plek 6 tot en met 10 van de editie 2025 staan Insecure Design, Authentication Failures, Software or Data Integrity Failures, Security Logging and Alerting Failures en Mishandling of Exceptional Conditions. Ook hier volgt onze eigen uitleg. Insecure Design gaat over fouten in het ontwerp in plaats van in de code: een functie die nooit veilig is bedacht, kun je ook niet veilig programmeren. Authentication Failures gaat over inloggen en sessies, waar het artikel over wachtwoorden en inloggen veilig bouwen dieper op ingaat. Software or Data Integrity Failures gaat over code of gegevens die onopgemerkt kunnen worden gewijzigd.

Security Logging and Alerting Failures betekent dat een applicatie onvoldoende bijhoudt wat er gebeurt, of dat niemand een melding krijgt bij verdacht gedrag. Mishandling of Exceptional Conditions gaat over de manier waarop een applicatie omgaat met fouten en onverwachte situaties, bijvoorbeeld een foutmelding die interne informatie prijsgeeft. Wat kun je vragen? Is het ontwerp van gevoelige functies besproken voordat er werd gebouwd? Hoe worden inlogpogingen beschermd? Hoe worden releases gecontroleerd? Wat wordt gelogd en wie kijkt daarnaar? En wat ziet een gebruiker wanneer er iets misgaat in de applicatie?

Wat is er veranderd ten opzichte van de lijst uit 2021?

Volgens OWASP blijft Broken Access Control in 2025 op nummer 1 staan als het ernstigste applicatiebeveiligingsrisico. In de lijst van 2021 waren plek 1 tot en met 5 Broken Access Control, Cryptographic Failures, Injection, Insecure Design en Security Misconfiguration. Plek 6 tot en met 10 waren toen Vulnerable and Outdated Components, Identification and Authentication Failures, Software and Data Integrity Failures, Security Logging and Monitoring Failures en Server Side Request Forgery (SSRF). Je ziet dat dezelfde onderwerpen terugkomen: toegang, instellingen, ontwerp, inloggen en logging. Zet een lijst naast elkaar voordat je een offerte beoordeelt.

Software Supply Chain Failures is volgens OWASP een uitbreiding van A06:2021, Vulnerable and Outdated Components, naar een breder bereik van aantastingen binnen of over het hele ecosysteem van afhankelijkheden, build-systemen en distributie-infrastructuur. Praktisch betekent dat: het gaat niet alleen om een verouderde plugin, maar ook om de gereedschappen en pakketten waarmee software wordt gebouwd en uitgeleverd. Vraag je leverancier hoe afhankelijkheden worden bijgehouden, hoe updates worden uitgerold en wat er gebeurt als een onderdeel een kwetsbaarheid blijkt te hebben. Voor een website op WordPress speelt dit via plugins en thema's, daarom hoort WordPress-onderhoud bij de afspraken.

Wat kun je als opdrachtgever vragen aan je leverancier?

Begin met drie vragen die in elke offerte thuishoren. Tegen welke lijst en editie wordt gebouwd, bijvoorbeeld de OWASP Top 10:2025 en een bepaald ASVS-niveau? Wie is na oplevering verantwoordelijk voor beveiligingsupdates, en staat dat in het contract of de onderhoudsafspraak? En hoe krijg je inzicht: een testrapport, een overzicht van de genomen maatregelen of een demonstratie? Een leverancier die hier niet op kan antwoorden, heeft het onderwerp waarschijnlijk niet systematisch opgepakt. Een goed antwoord is specifiek, noemt maatregelen bij naam en geeft aan wanneer ze voor het laatst zijn gecontroleerd.

Beveiliging is ook een wettelijke zaak. Het NCSC wijst erop dat veel webapplicaties persoonsgegevens of andere gevoelige informatie verwerken. Artikel 32 van de AVG schrijft voor dat de verwerkingsverantwoordelijke en de verwerker passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau te waarborgen. Wat passend is, hangt af van het risico. Dit is algemene informatie en geen juridisch advies. Voor jouw situatie vraag je een jurist of functionaris gegevensbescherming. Je kunt wel vragen hoe de leverancier de gekozen maatregelen koppelt aan de OWASP-categorieën.

Zet de afspraken op papier. Noem in de opdracht de editie van de lijst, de verantwoordelijkheid voor updates, de manier waarop je de resultaten krijgt en wat er gebeurt als er een kwetsbaarheid wordt gevonden. Digitaalnu bouwt webapplicaties en maatwerk software tegen een vaste prijs, voor webapplicaties vanaf €2.000 per project. De code en de data zijn voor 100% van jou. Dat maakt een latere beveiligingscontrole door een andere partij mogelijk, omdat je niet afhankelijk bent van één leverancier voor toegang tot je eigen systeem.

Hoe past de NCSC-richtlijn bij de OWASP Top 10?

Het NCSC publiceert sinds 2012 ICT-beveiligingsrichtlijnen voor webapplicaties. Volgens het NCSC kunnen zowel afnemers als leveranciers die richtlijnen inzetten bij het bepalen van aan- en uitbestedingen, toezicht en onderlinge afspraken. De Top 10 helpt je dus bij het gesprek over risico's, en de NCSC-richtlijnen kun je gebruiken om afspraken met je leverancier mee in te richten. De richtlijn staat als PDF op de NCSC-site. De versie die het NCSC op 11 oktober 2026 toont heet 07-24_0 en draagt de datum 17-4-2026.

Volgens het NCSC op 11 oktober 2026 zijn de maatregelen aangepast om meer te sturen op phishingbestendige, wachtwoordloze authenticatie. Naar onze lezing raakt dat de categorie Authentication Failures in de OWASP-lijst; de inhoud van de PDF zelf hebben we niet uitgewerkt. Gebruik de Top 10 daarom als startpunt en niet als eindpunt. De lijst geeft taal voor het gesprek, de ASVS geeft eisen die je kunt toetsen en de NCSC-richtlijnen geven een Nederlandse basis voor de afspraken. Laat in elk geval vastleggen welke bron als maatstaf geldt, zodat een latere beoordeling niet over smaak gaat. Over koppelingen tussen systemen lees je meer in het artikel over API-beveiliging.

Laatst bijgewerkt op 11 oktober 2026