De dreiging die u nog niet ziet, maar die er al is

Quantumcomputers die onze huidige encryptie breken: het klinkt als sciencefiction. Toch is het een reëel risico waar u als bestuurder of CIO vandaag al rekening mee moet houden. Niet over vijf jaar. Nu.

De reden is simpel en wordt in vakjargon harvest now, decrypt later genoemd. Staten en andere kwaadwillende partijen onderscheppen versleuteld dataverkeer en slaan dat op. Zodra een krachtige quantumcomputer beschikbaar komt, wordt die data alsnog ontsleuteld. Wat vandaag veilig lijkt, is morgen een open boek.

Voor overheidsorganisaties, ZBO’s en uitvoeringsinstanties die werken met persoonsgegevens, vertrouwelijke beleidsinformatie of strafrechtketen-data is dit geen theoretisch vraagstuk. Het is een bestuursverantwoordelijkheid.

Wat is post-quantum cryptografie?

Huidige encryptiestandaarden, zoals RSA en elliptische-curve-cryptografie, zijn gebaseerd op wiskundige problemen die klassieke computers niet binnen redelijke tijd kunnen oplossen. Een voldoende krachtige quantumcomputer wel.

Post-quantum cryptografie (PQC) is een verzameling nieuwe algoritmen die ook bestand zijn tegen aanvallen met quantumcomputers. Ze draaien gewoon op klassieke hardware, maar zijn wiskundig anders opgebouwd. Het Amerikaanse National Institute of Standards and Technology (NIST) heeft in 2024 de eerste definitieve PQC-standaarden gepubliceerd. De koers is bepaald. De migratie kan beginnen.

Belangrijk om te begrijpen: het gaat niet alleen om de encryptie van opgeslagen data. Het gaat ook om digitale handtekeningen, authenticatie en sleuteluitwisseling. Het hele cryptografische fundament van uw digitale infrastructuur komt in beeld.

Waarom nu, als quantumcomputers er nog niet zijn?

Dit is de vraag die ik bij bestuurstafels het vaakst hoor. Het antwoord kent drie lagen.

• Harvest now, decrypt later. Zoals hierboven beschreven: uw huidige versleuteld verkeer wordt mogelijk al onderschept en bewaard. De aanval vindt nu al plaats, alleen de ontsleuteling wacht op betere hardware.
• Migratietijd is lang. Grote overheidsorganisaties werken met legacy-systemen, complexe ketenafhankelijkheden en lange inkooptrajecten. Een realistische migratie naar PQC duurt jaren. Als u wacht tot de nood aan de man is, bent u te laat.
• Cryptografische wendbaarheid. Organisaties die nu beginnen, bouwen crypto-agility in: het vermogen om algoritmen te wisselen zonder de hele infrastructuur te herzien. Dat is een strategisch voordeel, ongeacht het quantumtijdpad.

Waar te beginnen: een pragmatische aanpak

Een PQC-migratie is geen big bang. Het is een gestructureerd traject dat u gefaseerd aanpakt. Vanuit mijn ervaring als interim CIO bij publieke organisaties raad ik de volgende volgorde aan.

1. Breng uw cryptografisch landschap in kaart

U kunt niet migreren wat u niet kent. Begin met een inventarisatie: welke systemen gebruiken welke cryptografische algoritmen? Denk aan VPN’s, e-mailversleuteling, digitale handtekeningen, authenticatieprotocollen en API-koppelingen met ketenpartners. Dit is eerder een architectuur- en procestelling dan een technische klus alleen.

2. Classificeer op risico en levensduur

Niet alles hoeft tegelijk. Prioriteer systemen die lang meegaan, werken met gevoelige of langdurig vertrouwelijke data, of onderdeel zijn van kritieke processen. Een systeem dat volgend jaar vervangen wordt, behandelt u anders dan een platform met een levensduur van tien jaar.

3. Eis PQC-gereedheid in nieuwe aanbestedingen

Dit is misschien wel de laagdrempeligste maatregel met het grootste effect op termijn. Neem in uw programma’s van eisen op dat leveranciers een roadmap voor PQC-ondersteuning moeten kunnen tonen. Digitale soevereiniteit en leveranciersonafhankelijkheid beginnen bij de inkooptafel.

4. Werk samen in de keten

Encryptie stopt niet bij uw organisatiegrens. Als uw ketenpartner nog op verouderde algoritmen werkt, bent u samen kwetsbaar. Agendasetting richting sectorgenoten en toezichthouders is daarom onderdeel van de aanpak, niet een bijzaak.

5. Betrek het bestuur, niet alleen de CISO

PQC is een bestuurlijk risico, geen IT-projectje. De afweging tussen investeringsruimte, risicoacceptatie en strategische afhankelijkheden hoort in de bestuurskamer. Als interim CIO zie ik dit nog te vaak als een verantwoordelijkheid die men naar beneden delegeert, terwijl de beslissingen juist bovenstrooms gemaakt moeten worden.

ISO 27001 als kapstok

Organisaties die werken met ISO 27001 als ontwerpkader hebben een voordeel: het raamwerk dwingt u na te denken over cryptografiebeleid, sleutelbeheer en de levenscyclus van beveiligingsmaatregelen. PQC past daar logisch in. Het is geen nieuw beleidsdocument; het is een update van bestaand beleid met een langere tijdshorizon.

De kern: dit is een strategische keuze, geen technische detail

Post-quantum encryptie is geen onderwerp voor de IT-afdeling alleen. Het raakt aan digitale soevereiniteit, aan de langetermijnbetrouwbaarheid van uw organisatie, en aan de vertrouwensrelatie met burgers en partners. Wie nu begint, bouwt aan een fundament. Wie wacht, lost straks een crisis op.

De vraag is niet óf u moet migreren. De vraag is of u dat geordend doet, of onder druk.

Bent u als bestuurder of CIO al begonnen met het in kaart brengen van uw cryptografisch landschap? Of is dit nog een blinde vlek in uw risicoanalyse? Ik ga graag het gesprek aan.