Kwantumveilige e-mailversleuteling voor organisaties is de praktijk van het beveiligen van zakelijke e-mailcommunicatie met cryptografische algoritmen die bestand zijn tegen aanvallen door kwantumcomputers, in tegenstelling tot de huidige standaarden op basis van RSA en elliptische krommen die door voldoende krachtige kwantumhardware gebroken kunnen worden. Voor compliance officers en IT-beslissers in de overheid, de juridische sector en andere gereguleerde omgevingen is dit geen verre toekomstmuziek, maar een planningsvraagstuk van nu.
Waarom huidige e-mailversleuteling onhoudbaar wordt
S/MIME met RSA-2048 en klassieke OpenPGP-sleutels zijn gebaseerd op wiskundige problemen, zoals factorisatie van grote getallen en het discrete logaritmeprobleem, die een kwantumcomputer met Shor-algoritme exponentieel sneller kan oplossen dan klassieke hardware. Zodra een cryptografisch relevante kwantumcomputer beschikbaar is, is versleutelde e-mailarchitectuur die vandaag als veilig wordt beschouwd, retrospectief te ontcijferen.
NIST schat dat een cryptografisch relevante kwantumcomputer binnen 10 tot 15 jaar RSA-2048 kan breken (NIST IR 8413, 2022).
Voor organisaties in sectoren met lange vertrouwelijkheidsplichten, zoals advocatenkantoren, notarissen, zorgverzekeraars en overheidsinstanties, is dit bijzonder urgent. Een bericht dat vandaag versleuteld naar een toezichthouder of rechtbank gaat, kan een geheimhoudingsperiode van tien jaar of meer hebben. Precies die periode overlapt met de verwachte beschikbaarheid van kwantumhardware.
PQC-standaarden voor e-mail: wat beschikbaar is
NIST publiceerde in augustus 2024 drie definitieve post-kwantumcryptografie-standaarden: FIPS 203 (ML-KEM, voor sleuteluitwisseling), FIPS 204 (ML-DSA, voor digitale handtekeningen) en FIPS 205 (SLH-DSA, een alternatief op basis van hashfuncties). Deze algoritmen vormen de kern van alle verdere integratie in e-mailprotocollen.
PQC in S/MIME: draft-ietf-lamps-pq-smime
De IETF LAMPS Working Group ontwikkelt draft-ietf-lamps-pq-smime, dat beschrijft hoe ML-KEM en ML-DSA worden opgenomen in S/MIME-berichten en bijbehorende X.509-certificaten. De draft voorziet zowel in pure PQC-certificaten als in hybride varianten die een klassiek en een PQC-algoritme combineren. Hybride certificaten zijn tijdens de transitiefase praktisch onmisbaar, omdat niet alle ontvangers al PQC-capabele mailclients draaien.
PQC in OpenPGP: draft-ietf-openpgp-pqc
Parallel werkt de IETF OpenPGP Working Group aan draft-ietf-openpgp-pqc, dat ML-KEM en ML-DSA integreert in het OpenPGP-sleutelformaat. Hierbij worden samengestelde sleutelparen gedefinieerd: een ML-KEM-sleutel gecombineerd met een klassieke Curve25519-sleutel voor encryptie, en een ML-DSA-sleutel gecombineerd met Ed25519 voor handtekeningen. Dit hybride ontwerp garandeert beveiliging zolang minstens één van de twee componenten ongebroken is.
BSI TR-03116 als referentiekader
Het Bundesamt für Sicherheit in der Informationstechnik (BSI) legt in TR-03116 kryptografische vereisten vast voor overheidsprojecten, inclusief e-mailbeveiliging. Het BSI beveelt aan om uiterlijk in 2025 te beginnen met de migratie naar post-kwantumcryptografie (BSI TR-03116, 2023). Voor Nederlandse organisaties die Duits beleid als benchmark gebruiken of Europese aanbestedingen bedienen, is dit document een directe leidraad.
| Standaard | Protocol | Algoritmen | Status (2024) |
|---|---|---|---|
| draft-ietf-lamps-pq-smime | S/MIME / X.509 | ML-KEM, ML-DSA (hybride) | IETF draft, actieve ontwikkeling |
| draft-ietf-openpgp-pqc | OpenPGP | ML-KEM + X25519, ML-DSA + Ed25519 | IETF draft, actieve ontwikkeling |
| BSI TR-03116 | E-mailbeveiliging overheid | PQC-migratie aanbevolen | Gepubliceerd, bindend voor DE overheid |
| FIPS 203/204/205 | Algoritmeniveau | ML-KEM, ML-DSA, SLH-DSA | Definitief gepubliceerd augustus 2024 |
Migratie van Microsoft 365 naar een soevereine Nextcloud-werkplek
Organisaties die Microsoft 365 verlaten om jurisdictierisico’s te vermijden, zoals blootstelling aan de Amerikaanse CLOUD Act en de Patriot Act, kunnen tegelijkertijd de stap naar kwantumveilige e-mail zetten zonder vendor lock-in te introduceren.
Nextcloud Mail ondersteunt end-to-end encryptie via OpenPGP. Door de sleutelinfrastructuur te bouwen op basis van draft-ietf-openpgp-pqc, zodra implementaties in gangbare libraries zoals OpenPGP.js of GnuPG beschikbaar zijn, krijgt een organisatie een open, controleerbaar alternatief. De sleutels blijven in eigen beheer, op eigen servers of bij een Europese hoster in Zwitserland of Duitsland met contractuele garanties buiten het bereik van de CLOUD Act.
Concreet verloopt de migratie in fasen. Eerst worden bestaande S/MIME-certificaten of PGP-sleutels geïnventariseerd en wordt de PKI-infrastructuur gedocumenteerd. Vervolgens worden hybride sleutelparen gegenereerd die klassieke en PQC-componenten bevatten. Daarna worden Nextcloud Mail en bijbehorende mailclients geconfigureerd voor hybride encryptie, zodat zowel interne als externe ontvangers bediend worden. Ten slotte wordt een afbouwschema vastgesteld voor de pure RSA- of ECC-sleutels.
Interoperabiliteitsproblemen bij hybride PQC-certificaten
De grootste praktische uitdaging bij hybride PQC-e-mailcertificaten is dat bestaande mailclients, zoals Outlook, Thunderbird en Apple Mail, hybride certificaten nog niet native herkennen. Een hybride X.509-certificaat dat zowel een RSA-sleutel als een ML-KEM-sleutel bevat, wordt door niet-bijgewerkte clients ofwel afgewezen ofwel slechts gedeeltelijk verwerkt.
De oplossing die in de standaardisatietrajecten wordt gehanteerd, is het gebruik van composite certificates: één certificaat met twee algorithm identifiers en twee publieke sleutels, waarbij de versleuteling automatisch terugvalt op de klassieke component als de ontvanger geen PQC ondersteunt. Voor OpenPGP worden samengestelde sleutelpakketten gedefinieerd die achterwaartse compatibiliteit borgen via het versie-4 en versie-6 sleutelformaat.
In een PKI-omgeving betekent dit dat de Certificate Authority (CA) uitgebreid moet worden met PQC-ondertekeningscapaciteit. Interne CA’s op basis van open software zoals EJBCA of OpenSSL 3.x (dat ML-KEM en ML-DSA ondersteunt via de OQS-provider) bieden hier de meeste flexibiliteit zonder afhankelijkheid van commerciële CA-leveranciers.
Sleutelbeheer on-premise en de rol van HSM
Kwantumveilige e-mailinfrastructuur vereist een herbeoordeling van het sleutelbeheer. PQC-sleutels, met name ML-KEM-publieke sleutels van 1.184 bytes en private sleutels van 2.400 bytes, zijn aanzienlijk groter dan klassieke RSA-2048-sleutels. Dit heeft gevolgen voor HSM-capaciteit, PKI-databaseontwerp en certificaatdistributie via LDAP of Active Directory.
Een Hardware Security Module (HSM) is de aangewezen plek voor opslag van private CA-sleutels en, afhankelijk van de risicoafweging, ook voor individuele gebruikerssleutels in hoog-risico-omgevingen. Leveranciers zoals Thales (Luna), Utimaco en nCipher werken aan PKCS#11-interface-updates voor ML-KEM en ML-DSA. Organisaties moeten bij aanschaf of verlenging van HSM-contracten expliciet vragen naar PQC-ondersteuning op de roadmap en bij voorkeur kiezen voor firmware-updatebare hardware.
Dustin Moody, wiskundige en projectleider van de NIST PQC-standaardisatie, stelde: “Organizations need to start their migration to post-quantum cryptography now, not when quantum computers become available, because the harvest now, decrypt later threat is real and ongoing.”
Voor sleuteldistributie in een organisatie met meerdere vestigingen of ketenpartners is een intern key management systeem (KMS) gekoppeld aan de HSM noodzakelijk. Werknemers ontvangen sleutelmateriaal via een beveiligd provisioningproces, bij voorkeur zonder dat private sleutels het HSM ooit als platte tekst verlaten.
NIS-2 en ENISA: wat de regelgeving concreet vereist
NIS-2, formeel Richtlijn (EU) 2022/2555, verplicht in artikel 21 lid 1(h) alle essentiele en belangrijke entiteiten tot het toepassen van “encryptie en, waar van toepassing, end-to-end encryptie” als onderdeel van hun cyberbeveiligingsmaatregelen. De richtlijn noemt post-kwantumcryptografie niet bij naam, maar de risicogebaseerde aanpak in artikel 21 lid 1 vereist dat organisaties toekomstige dreigingen meewegen bij hun beveiligingsmaatregelen.
Het BSI stelt hierover: “Die Migration zu Post-Quanten-Kryptographie ist keine Option mehr, sondern eine Notwendigkeit für alle Behörden und kritischen Infrastrukturen.” Dit maakt de beleidsrichting in ieder geval voor overheidsinstanties en kritieke infrastructuurbeheerders duidelijk.
ENISA heeft in zijn PQC-aanbevelingen aangegeven dat de “harvest now, decrypt later”-dreiging direct relevant is voor alle organisaties die onder NIS-2 vallen. ENISA adviseert een gefaseerde migratie te starten met een cryptografische inventarisatie (crypto-agility assessment), waarbij alle gebruik van RSA en ECC in e-mailverkeer, TLS-verbindingen en PKI wordt gekartografeerd.
Voor de praktische implementatie betekent NIS-2 artikel 21 lid 1(h) dat organisaties hun e-mailversleuteling moeten kunnen aantonen als effectieve maatregel. Een S/MIME-beleid op basis van RSA-2048 dat niet bijgehouden wordt in de richting van PQC, zal bij een toezichtaudit steeds moeilijker verdedigbaar zijn naarmate de NIST-standaarden breder geadopteerd worden en BSI TR-03116 als Europese referentie dient.
Praktische stappen voor compliance officers en IT-beslissers
Een realistische migratieroute voor een organisatie van gemiddelde omvang begint met een cryptografische inventarisatie: welke mailclients, welke certificaten, welke PKI, en welke ketenpartners ontvangen versleutelde berichten? Vervolgens wordt bepaald welk hybride schema haalbaar is, op basis van de drafts van IETF en de BSI TR-03116-richtlijnen.
Daarna volgt een pilotfase met interne communicatie via hybride OpenPGP of S/MIME-sleutelparen, bij voorkeur met een open-source implementatie op basis van OpenSSL 3.x met OQS-provider of GnuPG met PQC-extensies. De volledige uitrol, inclusief ketenpartners en externe CA-integratie, is een project van meerdere kwartalen en vereist afstemming met de functionaris voor gegevensbescherming, de CISO en eventueel de toezichthouder.
Organisaties die nu al soevereine infrastructuur inrichten, on-premise of bij een Europese hoster buiten het bereik van de CLOUD Act, hebben een strategisch voordeel: zij kunnen hun sleutelinfrastructuur meteen PQC-gereed inrichten in plaats van later bestaande vendor-lock-in te doorbreken.
Veelgestelde vragen
Wanneer is mijn huidige S/MIME- of PGP-e-mailversleuteling niet meer veilig?
RSA en elliptische krommen worden gebroken zodra cryptografisch relevante kwantumcomputers beschikbaar zijn. NIST schat dat risico binnen 10 tot 15 jaar reëel. Gezien “harvest now, decrypt later”-aanvallen is gevoelige communicatie van nu af al risicovol als ze niet kwantumveilig is versleuteld.
Kan ik kwantumveilige e-mail combineren met Nextcloud als alternatief voor Microsoft 365?
Ja. Nextcloud Mail ondersteunt end-to-end encryptie via OpenPGP. Door een PQC-compatibele sleutelinfrastructuur te koppelen aan Nextcloud, op basis van draft-ietf-openpgp-pqc, kan een organisatie soevereine e-mail zonder vendor lock-in realiseren op on-premise of Zwitserse servers buiten het bereik van de CLOUD Act.
Verplicht NIS-2 organisaties al tot kwantumveilige encryptie?
NIS-2 artikel 21 lid 1(h) verplicht tot “effectief gebruik van encryptie”, maar noemt kwantumveiligheid niet letterlijk. ENISA en BSI adviseren echter uitdrukkelijk PQC te integreren in de NIS-2-compliance roadmap, omdat de standaard risicogericht is en toekomstige dreigingen meewegen.
Wat is een hybride PQC-certificaat en waarom is dat nu nodig?
Een hybride certificaat combineert een klassiek algoritme (RSA of ECDSA) met een PQC-algoritme (ML-KEM of ML-DSA) in één certificaat. Dit garandeert beveiliging zolang één van de twee algoritmen niet gebroken is, en houdt compatibiliteit met bestaande mailclients in stand tijdens de migratieperiode.
Welke rol speelt een Hardware Security Module bij kwantumveilige e-mailinfrastructuur?
Een HSM slaat private sleutels op in tamper-proof hardware zodat ze nooit als platte tekst het apparaat verlaten. Voor PQC-sleutels, die groter zijn dan klassieke sleutels, moeten organisaties controleren of hun HSM-model (zoals Thales Luna of Utimaco) ML-KEM en ML-DSA ondersteunt via PKCS#11-interface-updates.
