Cryptoflexibiliteit, ook wel crypto-agility, is het vermogen van een organisatie om een actief cryptografisch algoritme te vervangen zonder haar gehele digitale infrastructuur te herontwerpen. Die definitie klinkt technisch, maar het belang ervan werd pijnlijk concreet met berichten over het zogenaamde Anthropic Mythos PQC-incident van 2026: een scenario waarbij een geavanceerd AI-model structurele zwaktes zou hebben blootgelegd in een goedgekeurd post-quantum handtekeningschema. Of het incident in zijn volledigheid is bevestigd, staat nog ter discussie in de cryptografische gemeenschap. De implicaties voor compliance officers en IT-beslissers zijn echter onmiskenbaar.
Het Anthropic Mythos-incident: wat er werd gerapporteerd
Berichten over het Anthropic Mythos-incident beschrijven een situatie waarbij een groot taalmodel, getraind op omvangrijke wiskundige datasets, in staat zou zijn geweest om via geautomatiseerde cryptanalyse een zwakheid te identificeren in de wiskundige aannames achter een post-quantum handtekeningschema dat door NIST was gestandaardiseerd. De technische kern van het incident ligt in het gebruik van AI als zoekmachine voor algebraïsche kwetsbaarheden, een toepassing die traditioneel menselijke cryptografen en supercomputers vereiste, maar die AI aanzienlijk kan versnellen.
De directe technische gevolgen zijn drieledig. Ten eerste verkleint AI de tijdlijn waarop een algoritme kan worden aangevallen: wat voorheen decennia aan wiskundig speurwerk kostte, kan worden gecomprimeerd tot maanden of weken. Ten tweede toont het incident aan dat goedkeuring door een gezaghebbend instituut zoals NIST geen absolute garantie biedt voor langdurige veiligheid. Ten derde maakt het duidelijk dat organisaties die hun PKI en digitale handtekeninginfrastructuur op één algoritme bouwen, een enkelpuntsfaling creëren.
Wat de cryptografische gemeenschap hieruit leert
De kern van de les is dat gestandaardiseerde algoritmen niet immuun zijn voor onverwachte doorbraken, en dat diversificatie van wiskundige aannames de enige robuuste verdediging is.
NIST heeft dit principe al verankerd in zijn strategie. NIST IR 8547, de overgangsleidraad voor post-quantum cryptografische standaarden, beveelt uitdrukkelijk aan om meerdere algoritmen op basis van verschillende wiskundige problemen parallel te ondersteunen. De drie definitieve PQC-standaarden die NIST in augustus 2024 publiceerde, te weten FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA), illustreren deze aanpak. ML-DSA steunt op roosterproblematiek, terwijl FIPS 205 SLH-DSA uitsluitend berust op de veiligheid van hashfuncties. Een aanval die de roosteraannames compromitteert, raakt SLH-DSA in beginsel niet.
Dustin Moody, wiskundige bij het NIST PQC-standaardisatieproject, stelde het kernachtig: “Cryptographic agility is not a nice-to-have; it is the foundational requirement for any organisation that expects to operate securely over the next decade.”
Beschikbare back-upalgoritmen: HQC en SLH-DSA
Wanneer een primaire PQC-standaard kwetsbaar blijkt, zijn er concrete alternatieven die organisaties gereed kunnen houden.
| Algoritme | Type | Wiskundige basis | Status (2025) | Toepassing |
|---|---|---|---|---|
| ML-DSA (FIPS 204) | Handtekening | Roosters (Module-Lattice) | NIST-standaard | Primaire digitale handtekening |
| SLH-DSA (FIPS 205) | Handtekening | Hashfuncties (stateless) | NIST-standaard | Back-up handtekening, hoge zekerheidsomgeving |
| ML-KEM (FIPS 203) | Sleuteluitwisseling | Roosters (Module-Lattice) | NIST-standaard | Primaire KEM |
| HQC | Sleuteluitwisseling | Foutcorrigerende codes | NIST back-upstandaard 2025 | Reserve KEM bij ML-KEM-compromittering |
HQC, het Hamming Quasi-Cyclic algoritme, werd in 2025 door NIST aangewezen als aanvullend back-upalgoritme voor sleuteluitwisseling. Zijn relevantie zit in de fundamentele afwijking van de aannames onder ML-KEM: waar ML-KEM steunt op de hardheid van roosterproblemen, berust HQC op de computationele moeilijkheid van het decoderen van willekeurige lineaire codes. Een aanval die de roosterbasis van ML-KEM ondermijnt, heeft in principe geen effect op HQC.
ENISA stelt in haar PQC-aanbevelingen dat organisaties gemiddeld 3 tot 5 jaar nodig hebben voor een volledige cryptografiemigratie. Dit maakt vroege voorbereiding op back-upscenario’s geen luxe maar een operationele noodzaak.
Cryptoflexibiliteitsstrategie: hoe organisaties zich aanpassen
Een cryptoflexibiliteitsstrategie vereist meer dan het kennen van alternatieve algoritmen. Ze vraagt om architecturale keuzes die algoritmewisseling operationeel haalbaar maken.
Abstractielagen in software en PKI
Systemen die cryptografische primitieven direct en hardgecodeerd integreren, maken een gedwongen algoritmewisseling kostbaar en tijdrovend. De oplossing is het introduceren van een cryptografische abstractielaag, een module of bibliotheek die algoritmen als verwisselbare componenten behandelt. Standaarden zoals de PKCS#11-interface en moderne TLS-implementaties ondersteunen dit principe, maar de implementatie vereist bewuste architectuurkeuzes bij aanschaf en ontwikkeling van systemen.
Hybride handtekeningen als overgangsoplossing
Een hybride handtekeningschema combineert een klassiek algoritme (zoals ECDSA) met een PQC-algoritme in één certificaat of transactie. Dit biedt bescherming in twee richtingen: als het PQC-algoritme kwetsbaar blijkt, biedt het klassieke deel nog zekerheid voor niet-kwantumgegeven aanvallers. Omgekeerd geldt dat als een kwantumcomputer het klassieke deel breekt, het PQC-component stand houdt. ENISA beveelt hybride schema’s uitdrukkelijk aan voor de transitieperiode.
Continue inventarisatie van cryptografisch gebruik
Organisaties weten vaak niet precies waar en welke algoritmen actief worden ingezet in hun infrastructuur. Een cryptografische inventaris, ook wel “crypto-bill of materials” (CBOM) genoemd, is de basis voor iedere reactiestrategie. Zonder dit overzicht is een gedwongen algoritmewisseling een blinde operatie.
Continuïteit van PKI en certificaatinfrastructuur bij gedwongen wisseling
Voor organisaties in gereguleerde sectoren, waaronder overheid, juridische dienstverlening en financiële instellingen, zijn digitale handtekeningen juridisch bindend. Een gedwongen algoritmewisseling raakt daarmee niet alleen de beveiliging, maar ook de rechtsgeldigheid van documenten en transacties.
De continuïteitsborging vraagt om drie concrete maatregelen. Ten eerste moeten Certificate Authorities (CA’s) waarmee wordt gewerkt aantoonbaar in staat zijn om snel nieuwe rootcertificaten en intermediaire certificaten te genereren op basis van alternatieve algoritmen. Ten tweede moeten al uitgegeven certificaten, inclusief tijdstempels op reeds ondertekende documenten, retroactief aantoonbaar geldig blijven via archiverings- en verificatieprotocollen zoals PAdES-LTA voor PDF-handtekeningen. Ten derde moeten interne PKI-systemen die op private CA’s draaien vóór een crisis worden getest op hun vermogen tot snelle migratie.
NIST IR 8547 geeft concrete overgangsaanbevelingen per algoritme en per toepassingsdomein, inclusief tijdlijnen voor het afschalen van klassieke algoritmen zoals RSA en ECDSA in overheidstoepassingen.
Meldplicht- en responsvereisten onder NIS-2 en de Cyber Resilience Act
Als een actief ingezet cryptografisch algoritme als kwetsbaar wordt aangemerkt, is de vraag niet alleen technisch maar ook juridisch: wat moet wanneer worden gemeld en aan wie?
Onder Richtlijn EU 2022/2555 (NIS-2) geldt een vroegtijdige waarschuwingsplicht binnen 24 uur na ontdekking van een significant incident, gevolgd door een volledig incidentrapport binnen 72 uur bij de bevoegde nationale autoriteit (in Nederland: het NCSC of de relevante sectorale toezichthouder). Een gecompromitteerd cryptografisch algoritme dat actief wordt misbruikt, kwalificeert als een significant incident zodra het de vertrouwelijkheid, integriteit of beschikbaarheid van systemen in de zin van NIS-2 bedreigt.
De Cyber Resilience Act voegt daar een productgerichte meldplicht aan toe. Fabrikanten van producten met digitale elementen zijn verplicht om actief misbruikte kwetsbaarheden binnen 24 uur te melden bij ENISA. Voor organisaties die eigen software ontwikkelen of leveren, betekent dit dat een kwetsbaar cryptografisch algoritme in een product direct onder deze CRA-meldplicht valt.
ENISA stelt in haar PQC-aanbevelingen dat organisaties een vooraf vastgesteld responsplan moeten hebben voor algoritmeveroudering, inclusief communicatielijnen naar toezichthouders, klanten en contractpartijen. “Organisations should not wait for a crisis to test their ability to replace cryptographic primitives. The time to build that muscle is before an algorithm is broken,” aldus ENISA in haar aanbevelingen voor de PQC-transitie.
NIS-2 vereist dat significante incidenten binnen 24 uur na ontdekking als vroegtijdige waarschuwing worden gemeld. Dat tijdvenster is krap voor organisaties die hun cryptografische inventaris niet op orde hebben, omdat zij dan nog bezig zijn te achterhalen óf en waar een kwetsbaar algoritme is ingezet voordat zij kunnen melden wat er precies aan de hand is.
Praktische prioriteiten voor compliance officers en IT-beslissers
De combinatie van het Anthropic Mythos-incident, de publicatie van NIST IR 8547 en de inwerkingtreding van NIS-2 en de CRA vraagt om concrete prioriteiten, niet om afwachtende houding.
De eerste prioriteit is het opstellen van een cryptografische inventaris die alle algoritmen, sleutellengtes, certificaten en afhankelijke systemen in kaart brengt. De tweede is het testen of systemen daadwerkelijk cryptoflexibel zijn, dat wil zeggen: hoe snel kan een algoritme worden gewisseld en welke processen blokkeren dat? De derde prioriteit is het vastleggen van een responsplan dat beschrijft welke autoriteiten binnen welke termijnen worden geïnformeerd bij een gedwongen algoritmewisseling, in lijn met de 24-uurs meldplicht van NIS-2 en de CRA. De vierde is het in gesprek gaan met CA-leveranciers over hun vermogen tot snelle certificaatmigratie naar alternatieve PQC-schema’s, met specifieke aandacht voor de beschikbaarheid van SLH-DSA (FIPS 205) en HQC als fallback.
Veelgestelde vragen
Wat is het Anthropic Mythos PQC-incident van 2026 precies?
Het Anthropic Mythos-incident verwijst naar een gerapporteerd scenario waarbij een geavanceerd AI-model in staat zou zijn geweest structurele zwaktes te identificeren in een goedgekeurd PQC-handtekeningschema. De exacte technische details en officiële bevestiging zijn op het moment van schrijven nog onderwerp van discussie in de cryptografische gemeenschap. Het incident benadrukt dat AI-gestuurde cryptanalyse de tijdlijn voor het compromitteren van algoritmen aanzienlijk kan verkorten.
Wat is cryptoflexibiliteit en waarom is het belangrijk?
Cryptoflexibiliteit is het vermogen van een systeem of organisatie om snel van cryptografisch algoritme te wisselen zonder grootschalige herarchitectuur. Het is belangrijk omdat geen enkel algoritme permanent veilig is: wiskundige doorbraken, kwantumcomputers of AI-gestuurde aanvallen kunnen bestaande standaarden onverwacht compromitteren.
Wat is HQC en waarom is het een relevant back-upalgoritme?
HQC (Hamming Quasi-Cyclic) is een code-gebaseerd sleuteluitwisselingsalgoritme dat in 2025 door NIST werd geselecteerd als aanvullende reservestandaard. Het steunt op andere wiskundige aannames dan het primaire ML-KEM, waardoor het bescherming biedt als de aannames onder ML-KEM worden aangetast.
Wanneer moet een organisatie een cryptografisch incident melden onder NIS-2 en de CRA?
Onder NIS-2 geldt een vroegtijdige waarschuwingsplicht binnen 24 uur na ontdekking van een significant incident, gevolgd door een volledig incidentrapport binnen 72 uur. De Cyber Resilience Act verplicht fabrikanten van producten met digitale elementen om actief misbruikte kwetsbaarheden binnen 24 uur te melden bij ENISA. Als een ingezet cryptografisch algoritme als gecompromitteerd wordt aangemerkt, valt dit doorgaans onder beide regimes.
Biedt SLH-DSA (FIPS 205) betere bescherming dan ML-DSA als een handtekeningalgoritme wordt aangevallen?
SLH-DSA steunt uitsluitend op de veiligheid van hashfuncties, terwijl ML-DSA gebaseerd is op roosterproblematiek. De twee algoritmen hanteren fundamenteel verschillende wiskundige aannames, waardoor een aanval die ML-DSA breekt niet automatisch SLH-DSA bedreigt. Organisaties die beide implementeren, vergroten hun cryptografische diversiteit aanzienlijk.
