Elke TLS-sessie, ondertekende release en VPN-tunnel in je platform leunt op RSA of elliptische-curvecryptografie, en een voldoende grote quantumcomputer breekt ze allebei. Niemand weet wanneer die machine er is, maar de standaarden en deadlines zijn er al: NIST publiceerde in augustus 2024 de eerste definitieve post-quantumalgoritmes, en de EU heeft eind 2030 vastgesteld als de datum waarop systemen met een hoog risico gemigreerd moeten zijn. Voor engineeringleiders in gereguleerde Benelux-organisaties is post-quantumcryptografie nu een opleverprogramma met een einddatum. Hieronder staan de vragen die teams het vaakst stellen als het op hun bord belandt.
Belangrijkste punten
- De post-quantumstandaarden bestaan: ML-KEM voor sleuteluitwisseling en ML-DSA en SLH-DSA voor handtekeningen.
- Door harvest now, decrypt later loopt data die tien jaar of langer vertrouwelijk moet blijven nu al risico.
- De EU-roadmap verwacht dat use cases met een hoog risico eind 2030 gemigreerd zijn en die met een middelhoog risico eind 2035, in lijn met de conceptdata van NIST.
- De eerste stap is een cryptografische inventaris, bij voorkeur in een machineleesbaar formaat zoals CBOM, gevolgd door een risicobeoordeling.
- Crypto-agility in je pipelines en platform is belangrijker dan welke afzonderlijke algoritmekeuze ook.
Wat is post-quantumcryptografie?
Post-quantumcryptografie (PQC) is public-keycryptografie gebaseerd op wiskundige problemen waarvan niet bekend is dat quantumcomputers ze efficiënt kunnen oplossen. Het draait op de hardware van vandaag en vervangt RSA, Diffie-Hellman en elliptische-curveschema's zoals ECDSA en EdDSA. Symmetrische algoritmes zoals AES worden veel minder geraakt. In augustus 2024 publiceerde NIST de eerste drie definitieve standaarden (NIST, augustus 2024):
- ML-KEM (FIPS 203)
- De hoofdstandaard voor algemene versleuteling, gebruikt om gedeelde sleutels af te spreken, bijvoorbeeld in een TLS-handshake. Voorheen CRYSTALS-Kyber.
- ML-DSA (FIPS 204)
- De hoofdstandaard voor digitale handtekeningen op certificaten, code en documenten. Voorheen CRYSTALS-Dilithium.
- SLH-DSA (FIPS 205)
- Een reservestandaard voor handtekeningen die op een andere wiskundige aanpak rust dan ML-DSA, zodat een zwakte in de ene niet ook de andere breekt. Voorheen SPHINCS+.
NIST riep beheerders in dezelfde aankondiging op zo snel mogelijk met de overstap te beginnen.
Wat is "harvest now, decrypt later" en moet je je zorgen maken?
Versleuteld verkeer dat vandaag wordt opgenomen, kan worden bewaard en ontsleuteld zodra er een geschikte quantumcomputer is, en onderschepping laat geen sporen na. De EU-roadmap noemt een use case daarom hoog risico als het compromitteren van de vertrouwelijkheid na tien jaar of langer nog steeds aanzienlijke schade veroorzaakt, en stelt dat zulke data uiterlijk eind 2030 tegen quantumaanvallen beschermd moet zijn (EU PQC Workstream, juni 2025).
Het Nederlandse PQC-migratiehandboek van AIVD, CWI en TNO vat de timing samen als de ongelijkheid van Mosca: met X de tijd dat data veilig moet blijven, Y de migratietijd en Z de tijd tot quantumcomputers public-keycryptografie breken, moet je zo migreren dat X + Y kleiner blijft dan Z (AIVD, CWI en TNO, december 2024). Klant-, betaal- en zorgdata met een lange bewaartermijn vallen meestal als eerste door die toets.
Wanneer moet je migreren naar post-quantumcryptografie?
Voor Europese teams tellen twee tijdlijnen. De gecoördineerde EU-roadmap is gericht aan de lidstaten, die hem doorzetten naar gereguleerde organisaties en hun leveranciers. Het transitierapport van NIST, nog een eerste publieke conceptversie, bepaalt de data die producten voor de Amerikaanse markt en veel leveranciers zullen volgen (NIST IR 8547 ipd, november 2024). Ze sluiten goed op elkaar aan:
| Datum | Gecoördineerde EU-roadmap | NIST IR 8547 (concept) |
|---|---|---|
| Eind 2026 | Eerste stappen gezet, nationale roadmaps vastgesteld, planning en pilots gestart voor use cases met een hoog en middelhoog risico | Geen mijlpaal |
| Eind 2030 | Use cases met een hoog risico gemigreerd; quantumveilige software- en firmware-updates standaard ingeschakeld | RSA en ECC met 112-bits beveiliging, zoals RSA-2048, deprecated |
| Eind 2035 | Use cases met een middelhoog risico gemigreerd; die met een laag risico zo ver als haalbaar | Quantumkwetsbare RSA, ECDSA, EdDSA en Diffie-Hellman niet meer toegestaan |
De roadmap schat ook dat het volledig migreren van alle relevante systemen makkelijk vijf tot tien jaar kan duren. Afgezet tegen een deadline in 2030 betekent dat: de planning voor alles met een hoog risico zou nu al moeten lopen.
Hoe ver is de adoptie van post-quantumcryptografie?
Verder dan de meeste teams denken, in elk geval op het publieke web. De Cloudflare Radar-terugblik op 2025 mat welk deel van het door mensen gegenereerde webverkeer op het Cloudflare-netwerk in TLS 1.3 post-quantumversleuteld is (Cloudflare, december 2025):
29%
van dat verkeer was begin 2025 post-quantumversleuteld
52%
was begin december 2025 post-quantumversleuteld
25%+
van de iOS-verzoeken gebruikte post-quantumversleuteling na de release van iOS 26
Browsers en besturingssystemen bewegen zonder jou. Het gat zit aan jouw kant: loadbalancers, service meshes, interne PKI, HSM's, VPN's en libraries die in oudere services vastgepind staan.
Kies je voor hybride of pure post-quantumalgoritmes?
Voorlopig hybride. Een hybride schema combineert een klassiek en een post-quantumalgoritme, zodat het veilig blijft zolang een van beide standhoudt. Dat dekt ook een nog onontdekte zwakte in de jonge PQC-algoritmes af. De EU-roadmap is er duidelijk over:
"When migrating to post-quantum cryptographic solutions, it is recommended to use standardised and tested hybrid solutions, whenever feasible and suitable."
Voor TLS is dat de hybride sleuteluitwisseling die Apple met de besturingssysteemupdates van 2025 automatisch is gaan aanbieden. De roadmap stelt ook dat quantumkwetsbare public-keymechanismen voor use cases met een hoog risico na eind 2030 niet meer zelfstandig gebruikt mogen worden.
Hoe bouw je een cryptografische inventaris op?
Zowel de EU-roadmap als het Nederlandse handboek noemt de inventaris de eerste "no-regret"-maatregel: hij loont ook zonder quantumdreiging, omdat hij incidentrespons en certificaatbeheer versnelt. Een werkbare volgorde:
Begin bij je kritieke services
Systemen die langlevende vertrouwelijke data bevatten of ondertekenen waar anderen op vertrouwen: klantdata, betalingen, PKI, het signeren van releases.
Ontdek cryptografie automatisch
Scan TLS-endpoints, certificaten, keystores, code en dependencies. Cryptografie zit diep in libraries verstopt, waar handmatige inventarisaties haar missen.
Leg het vast in een standaardformaat
De EU-roadmap raadt CBOM aan, de cryptographic bill of materials die de CycloneDX-SBOM-standaard uitbreidt. Maak je al SBOM's voor supply-chain-security, breid dan die pipeline uit.
Breng afhankelijkheden in kaart, ook van leveranciers
Noteer welke componenten je zelf beheert en welke een leverancier beheert. Heeft een leverancier geen PQC-plan, dan is het advies van het handboek helder: zoek een andere leverancier of ga de cryptografie zelf beheren.
Beoordeel het quantumrisico
Combineer de levensduur van data, de migratie-inspanning en de blootstelling, en neem de uitkomst op in je bestaande risicobeheer.
Wat betekent crypto-agility voor je platform?
Het handboek omschrijft een crypto-agile organisatie als een organisatie die cryptografische primitieven snel kan wijzigen of vervangen zonder haar processen te verstoren. Deze migratie is niet de laatste. Voor een platformteam komt dat neer op vier eigenschappen:
Vereisen DORA en NIS2 post-quantumcryptografie?
Geen van beide noemt PQC. Maar de EU-roadmap legt de verbinding expliciet, en toezichthouders zullen ze samen lezen.
State-of-the-art cryptografie is al een wettelijke plicht
De EU-roadmap wijst erop dat NIS2 en DORA organisaties binnen hun reikwijdte verplichten tot risicobeheersmaatregelen die het gebruik van state-of-the-art cryptografie omvatten, en dat bestuurders aansprakelijk kunnen worden gesteld als dat niet gebeurt. Zodra de mijlpalen van de roadmap verstreken zijn, is een quantumkwetsbaar systeem met een hoog risico moeilijk nog als state of the art te verdedigen.
Waar begin je?
Mik voor eind 2026 op een inventaris van je kritieke services, een risicoscore per use case en één pilot: hybride TLS op een echt endpoint, gemeten op latency en compatibiliteit. Voeg een CBOM-stap toe aan één pipeline en vraag je belangrijkste leveranciers schriftelijk om hun PQC-roadmap. Niets hiervan vereist een gok over wanneer quantumcomputers komen, alleen de erkenning dat de deadlines er al zijn.
Bronnen
- A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography - NIS-samenwerkingsgroep, EU PQC Workstream, Europese Commissie, 23 juni 2025
- NIST Releases First 3 Finalized Post-Quantum Encryption Standards - NIST, 13 augustus 2024
- NIST IR 8547 (Initial Public Draft): Transition to Post-Quantum Cryptography Standards - NIST, 12 november 2024
- Het PQC-migratie handboek: Richtlijnen voor het migreren naar post-quantumcryptografie (tweede editie) - AIVD, CWI en TNO, december 2024
- The 2025 Cloudflare Radar Year in Review: The rise of AI, post-quantum, and record-breaking DDoS attacks - Cloudflare, 15 december 2025
