Een dreiging die zich nu al laat voelen

Quantumcomputing klinkt als toekomstmuziek. Maar de impact ervan op de beveiliging van overheidsinformatie is een thema dat nu al op de bestuurstafel hoort. Niet omdat quantumcomputers morgen operationeel zijn, maar omdat aanvallers vandaag al data verzamelen die ze later willen ontsleutelen. Dit wordt de harvest now, decrypt later-strategie genoemd.

Concreet betekent dit: versleutelde gegevens die nu worden onderschept, kunnen over vijf of tien jaar worden ontcijferd zodra voldoende krachtige quantumcomputers beschikbaar zijn. Voor informatie met een lange vertrouwelijkheidsperiode — denk aan persoonsgegevens, uitvoeringsbesluiten of handhavingsdossiers — is dit een reëel risico dat u niet kunt negeren.

Wat maakt quantumcomputing zo ingrijpend?

De meeste encryptie die het internet en overheidssystemen vandaag beschermt, is gebaseerd op wiskundige problemen die klassieke computers niet op tijd kunnen oplossen. Een quantumcomputer werkt fundamenteel anders en kan bepaalde van deze problemen in principe razendsnel kraken.

De twee meest gebruikte versleutelingstechnieken die hierdoor kwetsbaar worden zijn:

• RSA — de basis van veel publiekesleutelinfrastructuur (PKI)
• Elliptic Curve Cryptography (ECC) — toegepast in certificaten, VPN’s en digitale handtekeningen

Symmetrische encryptie, zoals AES, is minder kwetsbaar, maar vereist wel langere sleutellengtes om voldoende bescherming te bieden in een post-quantumwereld.

Post-quantum encryptie: de oplossing is in ontwikkeling

Gelukkig staat de wereld niet stil. Het Amerikaanse NIST heeft de eerste standaarden voor post-quantum encryptie gepubliceerd. Deze algoritmen zijn ontworpen om bestand te zijn tegen aanvallen door quantumcomputers. Europa en Nederland volgen en vertalen deze standaarden naar beleid en richtlijnen.

Als bestuurder hoeft u de wiskunde niet te begrijpen. Wat u wél moet weten:

• Migratie naar post-quantum encryptie is een meerjarig traject, geen druk op een knop.
• Het vereist een inventarisatie van alle plekken waar cryptografie wordt toegepast: verbindingen, certificaten, opgeslagen data, applicaties en koppelingen met ketenpartners.
• Leveranciers en cloudproviders moeten mee. Dat maakt leveranciersonafhankelijkheid en heldere contractafspraken essentieel.

Wat betekent dit voor de uitvoeringspraktijk?

In mijn werk bij publieke organisaties zie ik dat cryptografie zelden expliciet in beeld is bij bestuurders. Het wordt gezien als een technisch detail dat IT regelt. Dat klopt — tot het moment dat het misgaat, of tot er nieuwe eisen komen waaraan bestaande systemen niet voldoen.

Een paar vragen die u zichzelf kunt stellen:

• Weet ik welke systemen in mijn organisatie gebruikmaken van versleuteling, en welke standaarden daarin zijn toegepast?
• Hoe lang moeten de gegevens die wij verwerken vertrouwelijk blijven?
• Zijn onze leverancierscontracten ingericht op cryptografische flexibiliteit, zodat we kunnen migreren zonder volledige herbouw?
• Is post-quantum encryptie al onderdeel van onze informatiebeveiligingsstrategie of meerjarenplanning?

Als het antwoord op deze vragen onbekend of ontwijkend is, is dat precies de reden om het gesprek nu te voeren.

Digitale soevereiniteit begint bij het fundament

Post-quantum encryptie is niet los te zien van bredere vraagstukken over digitale soevereiniteit. Als overheidsorganisatie wilt u niet afhankelijk zijn van één leverancier die bepaalt wanneer en hoe uw cryptografie wordt geüpdatet. Dat vraagt om open standaarden, transparante architectuurkeuzes en contracten die ruimte geven voor aanpassing.

Het gebruik van open source-cryptografiebibliotheken die post-quantum algoritmen implementeren, biedt hier perspectief. Niet als doel op zich, maar als middel om grip te houden op een cruciale laag van uw digitale infrastructuur.

ISO 27001 als kapstok

Voor organisaties die werken met ISO 27001 als ontwerpkader voor informatiebeveiliging: het beheer van cryptografische middelen is daarin expliciet opgenomen als beheersmaatregel. Een post-quantum migratieplan past naadloos in een risicogebaseerde aanpak. Het gaat om het identificeren van risico’s, het bepalen van uw risicobereidheid en het plannen van de mitigatie over een realistisch tijdpad.

Dat tijdpad is het punt. Organisaties die nu beginnen met de inventarisatie, staan over drie jaar heel anders voor dan organisaties die wachten tot het beleid hen dwingt.

Wat kunt u morgen doen?

U hoeft geen cryptograaf te zijn om leiding te geven aan dit vraagstuk. Wel helpt het om concrete stappen te zetten:

• Vraag uw CISO of CIO om een eerste inventarisatie van cryptografisch gebruik binnen de organisatie.
• Zet post-quantum encryptie op de agenda van het volgende overleg over informatiebeveiliging of architectuur.
• Bespreek met uw belangrijkste leveranciers welk tijdpad zij hanteren voor post-quantum migratie.
• Verken of uw meerjarenplan voor ICT ruimte biedt voor deze transitie.

Dit zijn geen technische vragen. Dit zijn bestuurlijke vragen over continuïteit, vertrouwelijkheid en verantwoordelijkheid.

De bestuurder die nu handelt, loopt voor

Quantumcomputing is geen sciencefiction meer. De dreiging is concreet, de standaarden zijn beschikbaar en de migratietijd is lang. Organisaties die nu beginnen met nadenken — en handelen — bouwen een voorsprong op die over vijf jaar het verschil maakt.

Welke informatie in uw organisatie moet over tien jaar nog vertrouwelijk zijn? Dat is misschien wel de meest waardevolle vraag om deze week te stellen.