Visie & aanpak · Quantum-proof
Quantum-proof: vandaag beginnen, niet pas als het te laat is
Een quantumcomputer die de encryptie van nu breekt is er nog niet. De dreiging wel. Alles wat vandaag versleuteld wordt onderschept, kan straks ontcijferd worden. Ik help bestuurders en uitvoeringsorganisaties quantumveilig worden: met praktische stappen én met de kennis om de juiste keuzes te maken.
Harvest now, decrypt later
Aanvallers en statelijke actoren verzamelen vandaag al versleutelde data, in de wetenschap dat ze die later met een quantumcomputer kunnen openen. Gegevens met een lange gevoeligheidsduur, denk aan medische dossiers, persoonsgegevens, staatsgeheimen en langlopende contracten, zijn nu al in gevaar. Niet in de toekomst, maar vandaag. De vraag is niet of je migreert naar post-quantum cryptografie, maar of je er op tijd bij bent.
- NIST-standaarden zijn er al. ML-KEM, ML-DSA en SLH-DSA zijn sinds 2024 vastgesteld. Er is geen reden meer om te wachten op de techniek.
- Overheden zetten deadlines. De Amerikaanse NSA (CNSA 2.0) en Europese toezichthouders sturen op migratie richting 2030-2035. Wie nu begint, loopt niet achteraan.
- Migratie duurt jaren. Cryptografie zit diep in systemen, leveranciers en processen. Een inventarisatie en migratieplan kosten tijd. Dat is precies waarom je vandaag begint.
Praktische middelen
Wat we concreet doen
Quantum-proof worden is geen knop die je omzet. Het is een traject met vier bouwstenen die ik als CIO of adviseur samen met jouw organisatie opzet en bestuur.
Cryptografie-inventarisatie
Je kunt niet beschermen wat je niet kent. We brengen in kaart waar en hoe cryptografie in de organisatie wordt gebruikt: in applicaties, certificaten, VPN’s, opslag, koppelingen en bij leveranciers. Dit cryptografisch grootboek is de basis van elk migratieplan.
Crypto-agility
Het echte doel is niet één keer migreren, maar wendbaar worden. Crypto-agility betekent dat je algoritmes kunt vervangen zonder je hele systeemlandschap te herbouwen. We richten architectuur en processen zo in dat de volgende wissel een beheerste ingreep is, geen crisis.
Hybride en post-quantum encryptie
De veilige route is hybride: klassieke en post-quantum algoritmes naast elkaar, zodat je beschermd bent tegen zowel de dreiging van nu als die van straks. We selecteren de NIST-standaarden die bij jouw risicoprofiel passen en zetten een gefaseerde uitrol op, te beginnen bij de data met de langste gevoeligheidsduur.
Migratieplan en governance
Techniek alleen is niet genoeg. We vertalen de migratie naar een meerjarenplan met prioriteiten, eigenaarschap, leveranciersafspraken en verantwoording richting toezicht en bestuur. Zo wordt quantum-proof worden een bestuurbaar programma in plaats van een IT-project dat blijft liggen.
Kennis en uitleg
Begrijpen waar het over gaat
Goede besluiten beginnen bij begrip. Een bestuurder hoeft geen cryptograaf te zijn, maar moet de vraag wel kunnen stellen en het antwoord kunnen wegen. Deze begrippen leg ik uit in de taal van de boardroom.
Post-quantum cryptografie (PQC)
Versleuteling die gebouwd is op wiskundige problemen waar ook een quantumcomputer geen snelle oplossing voor heeft. Het draait op gewone computers van vandaag. Je hebt dus geen quantumcomputer nodig om quantumveilig te worden.
Het verschil met quantumcryptografie (QKD)
Quantum key distribution gebruikt natuurkunde, niet wiskunde, en vraagt speciale hardware en glasvezel. Voor de meeste organisaties is dat niet de route. Post-quantum cryptografie in software is dat wel.
Waarom de huidige encryptie breekt
RSA en elliptic-curve cryptographie (ECC) steunen op problemen die een klassieke computer niet aankan, maar een voldoende grote quantumcomputer met het algoritme van Shor wel. Dat is geen aanname, het is bewezen wiskunde. Alleen de machine ontbreekt nog.
Soevereiniteit en open source
Quantum-proof worden en digitale soevereiniteit horen bij elkaar. Open, controleerbare implementaties van PQC voorkomen dat je blind vertrouwt op een leverancier die zelf misschien niet weet hoe lang zijn sleutels nog veilig zijn. Eigen regie op je cryptografie is eigen regie op je toekomst.
Veelgestelde vragen
Moeten we nu al iets doen, of kan dit wachten?
Nu. Door «harvest now, decrypt later» is data met een lange gevoeligheidsduur vandaag al in gevaar, en een zorgvuldige migratie duurt jaren. Beginnen met de inventarisatie kost weinig en levert direct overzicht en rust op.
Hebben we een quantumcomputer nodig om quantumveilig te worden?
Nee. Post-quantum cryptografie draait op gewone computers. Het zijn nieuwe algoritmes, geen nieuwe hardware. De NIST-standaarden ML-KEM en ML-DSA zijn nu al te implementeren.
Wat is crypto-agility en waarom is het belangrijker dan de migratie zelf?
Crypto-agility is het vermogen om cryptografische algoritmes te vervangen zonder je systemen te herbouwen. Het is belangrijker dan de eerste migratie, omdat er na deze wissel nog meer wissels zullen komen. Wie agile is, maakt van elke volgende stap routine.
Is dit alleen iets voor grote organisaties of de overheid?
Iedereen die gegevens beheert met een lange gevoeligheidsduur heeft ermee te maken: zorg, overheid, uitvoeringsorganisaties, financiële dienstverlening. De omvang bepaalt het tempo en de aanpak, niet of je begint.
Wat is jouw rol hierin?
Ik ben geen programmeur maar bestuurder en CIO met encryptie als specialisme. Ik voer de regie: ik zorg dat de inventarisatie er komt, dat de juiste keuzes uitlegbaar worden gemaakt, dat leveranciers meebewegen en dat het bestuur weet waar het staat.