Post-kwantumcryptografie (PQC) is het vakgebied dat zich bezighoudt met cryptografische algoritmen die bestand zijn tegen aanvallen door kwantumcomputers. Voor Nederlandse organisaties in gereguleerde sectoren, van overheid en rechtspraak tot financiële dienstverlening en zorg, staat de PQC-transitie hoog op de agenda, maar de nationale beleidscontext is nog in ontwikkeling. De verwachte Nederlandse Quantum Strategy (tweede helft 2026) en het Quantum Delta NL-programma bepalen mede het tempo en de richting van die transitie.
Quantum Delta NL: van onderzoeksprogramma naar sectorverplichting
Quantum Delta NL vertaalt nationaal kwantumonderzoek naar concrete toepassingen, waaronder beveiligingsvereisten voor gereguleerde sectoren.
Quantum Delta NL is het nationale samenwerkingsprogramma dat Nederlandse kennisinstellingen, bedrijven en overheid verbindt op het gebied van kwantumtechnologie. Vanuit het Nationaal Groeifonds ontving het programma een toewijzing van 615 miljoen euro (Quantum Delta NL / Nationaal Groeifonds, 2022). Dit geld gaat onder meer naar kwantumhardware, kwantumnetwerken en kwantumveilige communicatie. Die laatste pijler is direct relevant voor compliance officers: naarmate kwantumcommunicatie-infrastructuur beschikbaar komt, worden de cryptografische eisen aan aansluitende systemen ook concreter.
Binnen het programma werken partners als CWI, QuTech (TU Delft en TNO) en diverse universiteiten aan de algoritmische grondslagen van PQC. De vertaalslag naar gereguleerde sectoren verloopt via publicaties, sectoroverleggen en beleidsadvisering richting ministeries. Organisaties die nu al samenwerken met Quantum Delta NL-partners, bijvoorbeeld via pilotprojecten voor kwantumveilige VPN’s of digitale handtekeningen, lopen voor op de verwachte wettelijke verplichtingen.
De Nederlandse Quantum Strategy: wat organisaties kunnen verwachten
De Nederlandse Quantum Strategy, verwacht in de tweede helft van 2026, zal kaders bieden voor overheidsinvesteringen én migratie-aanbevelingen voor gereguleerde organisaties.
Op basis van Europese beleidsontwikkelingen en de lopende consultaties is aannemelijk dat de strategie drie elementen zal bevatten die direct relevant zijn voor compliance officers. Ten eerste een tijdlijn voor PQC-migratie bij overheidsinstanties, die als referentie zal gelden voor gereguleerde sectoren. Ten tweede een verwijzing naar de NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) als te implementeren standaarden, aansluitend op de EU PQC-transitieroadmap. Ten derde aanbevelingen voor crypto-agility, de capaciteit om cryptografische algoritmen snel te vervangen zonder fundamentele herarchitectuur van systemen.
Wat de strategie waarschijnlijk niet zal bevatten, zijn directe boetebepalingen voor private organisaties. Die zullen via sectorale wetgeving worden geïmplementeerd, onder meer via de NIS-2-richtlijn (omgezet in de Nederlandse Cyberbeveiligingswet) en toekomstige aanpassingen van de eIDAS-verordening.
Actuele guidance van Nederlandse overheidsinstanties
Het NCSC, de RDI en het Rijkscyberteam bieden elk een eigen perspectief op PQC-migratie, maar de diepgang en sectorspecificiteit verschilt aanzienlijk.
NCSC: leidende rol in PQC-migratiebegeleiding
Het Nationaal Cyber Security Centrum (NCSC) heeft als vroegst van de drie instanties concrete PQC-guidance gepubliceerd. De NCSC-publicaties beschrijven het stappenplan voor een cryptografische inventarisatie: welke systemen gebruiken welke algoritmen, welke data heeft een langetermijnvertrouwelijkheidseis, en welke migratiepaden zijn beschikbaar. Het NCSC stelt expliciet: “Organisaties moeten nu al beginnen met het inventariseren van cryptografische afhankelijkheden. Wachten op nationale standaarden betekent dat je achter de feiten aanloopt” (NCSC, ncsc.nl).
De guidance van het NCSC is niet sectorspecifiek, maar vormt een generiek fundament. Sectoren als financiële dienstverlening en zorg kunnen daarop aanvullende sectorale guidance verwachten van hun eigen toezichthouders (DNB respectievelijk IGJ).
RDI: toezichthouder in wording voor PQC
De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op digitale infrastructuur en telecom. In het kader van de NIS-2-implementatie krijgt de RDI een uitgebreidere handhavingsrol voor vitale aanbieders. Op dit moment publiceert de RDI nog geen specifieke PQC-migratienormen, maar vitale aanbieders (energie, transport, digitale infrastructuur) doen er verstandig aan de RDI-publicaties actief te monitoren. De verwachting is dat de RDI na publicatie van de Nederlandse Quantum Strategy specifiekere sectorrichtlijnen zal uitvaardigen.
Rijkscyberteam: focus op rijksoverheid
Het Rijkscyberteam richt zich primair op de beveiligingsoperaties van rijksoverheidsorganisaties. Voor PQC-migratie binnen de rijksoverheid werkt het Rijkscyberteam samen met het NCSC en CIO Rijk. Voor private organisaties is dit team minder direct relevant, maar de door hen ontwikkelde methodieken voor crypto-inventarisatie zijn ook buiten de overheid toepasbaar.
De EU PQC-transitieroadmap 2026-2035 en Nederlandse migratieplanning
De Europese PQC-transitieroadmap stelt 2030 als kritieke mijlpaal voor overheidssystemen, wat voor Nederlandse organisaties een concrete planningshorizon biedt.
ENISA en de Europese Commissie publiceerden een roadmap die de transitie naar kwantumresistente cryptografie uitwerkt voor de periode 2026 tot 2035. De roadmap schrijft voor dat overheidssystemen uiterlijk in 2030 kwantumresistente algoritmen moeten implementeren voor de meest kritieke toepassingen (ENISA / Europese Commissie, 2024). Voor de periode daarna volgt een bredere uitrol naar minder kritieke systemen.
| Periode | EU PQC-roadmap mijlpaal | Implicatie voor Nederlandse organisaties |
|---|---|---|
| 2024-2026 | Inventarisatie en pilotimplementaties | Crypto-agility audit uitvoeren, NIST FIPS 203/204/205 evalueren |
| 2026-2028 | Nederlandse Quantum Strategy gepubliceerd, eerste nationale normen | Migratieplanning afronden, leveranciers contractueel verplichten |
| 2028-2030 | Kritieke systemen moeten kwantumresistent zijn | Volledige implementatie voor systemen met langetermijn datavertrouwelijkheid |
| 2030-2035 | Brede uitrol naar alle overheids- en gereguleerde systemen | Resterende systemen migreren, ook minder kritieke toepassingen |
ENISA waarschuwt expliciet: “De dreiging van ‘harvest now, decrypt later’ is reëel: kwaadwillenden verzamelen vandaag versleutelde data met de verwachting die in de toekomst te ontsleutelen met een kwantumcomputer” (ENISA, enisa.europa.eu). Dit betekent dat de urgentie voor data met een langetermijnvertrouwelijkheidseis, denk aan juridische dossiers, medische gegevens en overheidscorrespondentie, al nu aanwezig is.
Risico’s van uitgestelde PQC-migratie
Organisaties die PQC-migratie uitstellen tot na de publicatie van de nationale kwantumstrategie, lopen meerdere samenhangende risico’s.
Het eerste risico is technisch van aard: hoe langer klassieke RSA- en ECC-encryptie in gebruik blijft, hoe groter de hoeveelheid verzamelde versleutelde data die retroactief kwetsbaar wordt wanneer cryptografisch relevante kwantumcomputers beschikbaar komen. Het tweede risico is operationeel: PQC-migratie vereist diepgaande aanpassing van sleutelbeheersystemen, PKI-infrastructuren en protocollen zoals TLS. Een migratie die onder tijdsdruk wordt uitgevoerd, verhoogt de kans op configuratiefouten en uitvalrisico’s aanzienlijk.
Het derde risico is toezichtrechtelijk. Toezichthouders zoals de AFM, DNB en de Autoriteit Persoonsgegevens kijken bij audits en incidentonderzoeken naar de aantoonbaarheid van proactief risicomanagement. Organisaties die geen gedocumenteerd PQC-migratieplan kunnen tonen, kunnen bij een datalek of incident worden geconfronteerd met verwijten van onvoldoende voorzorg, ook als formele PQC-normen op dat moment nog niet zijn vastgesteld.
PQC-gereedheid aantonen vóórdat nationale normen bestaan
Compliance officers kunnen PQC-gereedheid aantonen door nu al te werken met internationaal erkende standaarden en gedocumenteerde risicoanalyses.
De meest effectieve aanpak combineert vier elementen. Ten eerste een cryptografische inventarisatie: een volledig register van alle systemen, protocollen en certificaten die gebruik maken van cryptografie, met classificatie naar vertrouwelijkheidsgevoeligheid en migratieprioriteit. Ten tweede een aansluiting op NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) als referentiestandaarden, die in augustus 2024 definitief zijn gepubliceerd. Ten derde een leveranciersaudit: zijn de gebruikte cloudproviders, PKI-dienstverleners en softwareleveranciers in staat tijdig PQC-compatibele producten te leveren? Ten vierde een gedocumenteerd migratieplan met fasering en risicobeheersmaatregelen, dat bij een toezichtsinspectie als bewijs van proactieve naleving kan worden overgelegd.
Dit raamwerk sluit aan bij de interpretatie die toezichthouders zoals DNB hanteren voor het begrip “passende technische maatregelen” onder de GDPR en de DORA-verordening. Een compliance officer die kan aantonen dat de organisatie de NCSC-guidance heeft gevolgd en de NIST-standaarden als referentiekader gebruikt, staat aanzienlijk sterker dan een organisatie die wacht op expliciete nationale normen.
Voor de langere termijn verdient het aanbeveling om PQC-gereedheid te verankeren in het Information Security Management System (ISMS) op basis van ISO/IEC 27001, zodat de cryptografische inventarisatie een cyclisch proces wordt in plaats van een eenmalige exercitie. Daarmee is de organisatie niet alleen voorbereid op de Nederlandse Quantum Strategy, maar ook op de bredere EU-harmonisatie die na 2026 te verwachten is.
FAQ: PQC-gereedheid en de Nederlandse kwantumstrategie
Wanneer verschijnt de Nederlandse Quantum Strategy en wat houdt die in?
De Nederlandse Quantum Strategy wordt verwacht in de tweede helft van 2026. De strategie zal naar verwachting kaders stellen voor overheidsinvesteringen in kwantumtechnologie, aanbevelingen bevatten voor PQC-migratie in gereguleerde sectoren, en aansluiten bij de EU PQC-transitieroadmap 2026-2035. Definitieve verplichtingen zijn op dit moment nog niet gepubliceerd.
Welke concrete PQC-algoritmen moeten organisaties implementeren?
NIST publiceerde in augustus 2024 drie definitieve standaarden: FIPS 203 (ML-KEM, voor sleuteluitwisseling), FIPS 204 (ML-DSA, voor digitale handtekeningen) en FIPS 205 (SLH-DSA, als alternatief handtekeningenschema). Het NCSC en ENISA bevelen aan deze standaarden als basis te nemen voor PQC-migratie.
Hoe kunnen compliance officers PQC-gereedheid aantonen vóórdat nationale normen zijn vastgesteld?
Compliance officers kunnen nu al een cryptografische inventarisatie uitvoeren, aansluiten bij de NIST FIPS 203/204/205-standaarden, en de NCSC-guidance als referentiekader gebruiken. Gedocumenteerde migratieplanning met risicoanalyse toont toezichthouders proactieve naleving aan, ook zonder formele nationale norm.
Wat is het ‘harvest now, decrypt later’-risico en wanneer wordt dat actueel?
Bij ‘harvest now, decrypt later’ onderscheppen aanvallers nu versleutelde data en bewaren die tot een voldoende krachtige kwantumcomputer beschikbaar is om de huidige encryptie te kraken. Voor data met een langetermijnvertrouwelijkheidseis, zoals juridische dossiers, medische gegevens of staatsgeheimen, is dit risico al vandaag relevant, ongeacht de verwachte tijdlijn voor cryptografisch relevante kwantumcomputers.
Wat is de rol van de Rijksinspectie Digitale Infrastructuur (RDI) bij PQC-toezicht?
De RDI houdt toezicht op digitale infrastructuur en kan in het verlengde van NIS-2-implementatie en toekomstige kwantumregelgeving een handhavende rol krijgen bij PQC-compliance. Op dit moment publiceert de RDI nog geen specifieke PQC-migratieguidance, maar organisaties in vitale sectoren doen er verstandig aan de RDI-publicaties actief te volgen via rdi.nl.
