Executive Order 14412, ondertekend in juni 2026, verplicht Amerikaanse federale contractanten om post-quantum cryptografie (PQC) te implementeren conform de door het NIST gepubliceerde standaarden FIPS 203, FIPS 204 en FIPS 205. Dit heeft niet alleen gevolgen voor Amerikaanse bedrijven: via aanbestedingsregelgeving van de Federal Acquisition Regulatory Council (FAR) werkt de verplichting door in de internationale toeleveringsketen, inclusief Europese organisaties die producten of diensten leveren aan de Amerikaanse federale overheid of aan Amerikaanse federale contractanten.
Wat EO-14412 precies verplicht en welke deadlines gelden
EO-14412 schrijft voor dat federale agentschappen en hun directe contractanten uiterlijk bij de inwerkingtreding van de aangepaste FAR-clausules aantoonbaar moeten zijn overgestapt op door NIST goedgekeurde post-quantum algoritmen voor alle cryptografische systemen die gerubriceerde of gevoelige federale informatie verwerken of transporteren. De drie betrokken standaarden zijn: FIPS 203 (ML-KEM, voor sleutelinkapseling), FIPS 204 (ML-DSA, voor digitale handtekeningen) en FIPS 205 (SLH-DSA, als hashgebaseerd handtekeningalternatief). NIST publiceerde deze drie definitieve standaarden in augustus 2024.
De FAR-aanpassingen maken PQC-compliance tot een contractuele eis die niet alleen voor de primaire contractant geldt, maar ook voor subcontractanten en toeleveranciers die cryptografisch relevante componenten, software of diensten leveren. Contractanten moeten een cryptografisch inventarisatierapport kunnen overleggen dat aantoont welke algoritmen in gebruik zijn en wanneer verouderde algoritmen (zoals RSA-2048 of ECDSA) zijn vervangen.
Welke Europese organisaties worden indirect geraakt
De doorwerking treft een brede groep Europese organisaties, ook wanneer zij zelf geen directe relatie met de Amerikaanse federale overheid onderhouden. Bepalend is of de organisatie een functionele rol speelt in de cryptografische of IT-dienstverlening aan een Amerikaanse federale contractant.
Concreet gaat het om: Europese softwareleveranciers van beveiligingscomponenten (TLS-bibliotheken, PKI-oplossingen, authenticatiesoftware), Europese cloud- en hostingproviders die Amerikaanse overheidsklanten bedienen via Amerikaanse moederbedrijven, en Europese technologiebedrijven die onderdeel zijn van een Amerikaanse supply chain voor defensie of overheidsautomatisering. Ook juridische en financiële dienstverleners die gegevensuitwisseling faciliteren met Amerikaanse federale partijen kunnen worden aangesproken op de cryptografische integriteit van hun communicatiekanalen.
Hoe Europese organisaties PQC-compliance kunnen aantonen
Aantonen van PQC-compliance vergt meer dan het installeren van een nieuwe bibliotheek. Het vraagt om een gedocumenteerd en herhaalbaar proces op drie niveaus: inventarisatie, migratie en verificatie.
Cryptografische inventarisatie als fundament
Het AIVD/CWI/TNO PQC Migration Handbook, de Nederlandse leidraad voor organisaties die de overstap naar quantum-veilige cryptografie voorbereiden, benadrukt dat de eerste stap altijd een volledige inventarisatie is van alle cryptografische assets: algoritmen, sleutellengtes, certificaten, protocollen en de systemen waarop zij draaien. Zonder deze inventarisatie is het onmogelijk om aan een externe partij (of een auditor) te bewijzen dat de organisatie daadwerkelijk vrij is van kwetsbare klassieke cryptografie.
Voor compliance officers betekent dit dat er een levend register moet bestaan met per component: het gebruikte algoritme, de herkomst van de implementatie (bibliotheek, leverancier, land van oorsprong), de bijbehorende certificeringsgrondslag en de geplande of voltooide migratiestatus naar een NIST FIPS 203/204/205-conform alternatief.
Verificatie via derde partijen en open source
Amerikaanse partners die onder EO-14412 verantwoording moeten afleggen, zullen van hun Europese toeleveranciers verlangen dat de cryptografische implementaties onafhankelijk verifieerbaar zijn. Open-source cryptografiebibliotheken met publiek auditspoor (zoals liboqs van het Open Quantum Safe-project) geven een sterkere verantwoordingspositie dan gesloten commerciële oplossingen. Aanvullend kan een formele cryptografische audit door een erkende Europese testinstantie (zoals BSI in Duitsland of ANSSI in Frankrijk) worden overgelegd als bewijs van conformiteit.
Spanning tussen Amerikaanse exportcontrole en Europese cryptografische soevereiniteit
Hier ligt een fundamentele spanningslijn. De VS classificeren sterke cryptografische technologie onder de Export Administration Regulations (EAR), categorie ECCN 5E002. Hoewel voor veel PQC-algoritmen geen specifieke exportlicentie vereist is, kunnen toekomstige aanscherpingen of specifieke implementaties van NIST-algoritmen die zijn ontwikkeld met federale financiering, vallen onder intellectueel-eigendomsrestricties of exportbeperkingen die de autonomie van Europese gebruikers beperken.
De Europese soevereiniteitsdoelstelling is juist om cryptografische standaarden te hanteren waarvan de implementatie, het sleutelbeheer en de controle volledig in Europese handen liggen, buiten de jurisdictie van de CLOUD Act of de Patriot Act. De CNSA Suite 2.0 van de NSA, die post-quantum transitievereisten stelt voor nationale veiligheidssystemen met een deadline van uiterlijk 2030, gaat nog verder: die suite is uitsluitend bedoeld voor systemen die ook onderworpen zijn aan NSA-toezicht, wat voor Europese organisaties onaanvaardbaar is als referentiekader voor eigen soevereine systemen.
Vergelijking: EO-14412 versus de EU PQC-transitieroadmap 2026-2035
De NIS Cooperation Group publiceerde in 2025 de EU PQC-transitieroadmap, die kritieke infrastructuur in Europa een migratievenster geeft van 2026 tot 2035. Op algoritmekeuze lopen de VS en de EU grotendeels gelijk: beide refereren aan ML-KEM en ML-DSA (de NIST-namen voor wat de EU eerder benoemde als CRYSTALS-Kyber en CRYSTALS-Dilithium). Op tijdlijnen en urgentie zijn er echter wezenlijke verschillen.
| Aspect | EO-14412 (VS, 2026) | EU PQC-transitieroadmap (2026-2035) |
|---|---|---|
| Startdatum verplichting | Juni 2026 (FAR-clausules) | 2026 (aanbevelingsniveau, gefaseerd) |
| Einddatum volledige migratie | Niet als harde eindterm, maar via contractdeadlines | 2035 voor alle kritieke infrastructuur |
| Primaire algoritmen | FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA) | ML-KEM, ML-DSA, aangevuld met Europees auditeerbare implementaties |
| Handhavingsmechanisme | Contractueel via FAR, risico op uitsluiting aanbesteding | NIS-2-toezicht, sectorspecifieke regelgeving |
| Soevereiniteitsvereiste | Niet vereist, implementatie mag van elke herkomst zijn | Nadrukkelijk aanwezig: EU-controle over sleutelbeheer en implementatie |
Het grootste praktische verschil is de urgentie voor de toeleveringsketen. EO-14412 creëert onmiddellijke contractuele druk voor iedereen die zakendoet met de Amerikaanse overheid, terwijl de EU-roadmap meer ruimte laat voor gefaseerde sectorale migratie. Voor Europese compliance officers die aan beide kanten verantwoording moeten afleggen, is het raadzaam de Amerikaanse tijdlijn als minimumstandaard te hanteren en de Europese soevereiniteitseis als additionele kwalificatie.
Wat compliance officers moeten vastleggen
Het AIVD/CWI/TNO PQC Migration Handbook stelt het treffend: “Cryptografische migratie is geen technisch project, maar een bedrijfsbreed risicobeheerproces dat governance, inkoop en ketenverantwoordelijkheid omvat.” Voor compliance officers betekent dit een concrete documentatieset die onafhankelijk van Amerikaanse exportregelgeving is opgesteld en bij externe audit direct overlegbaar is.
De minimale documentatieset omvat: een cryptografisch asset-register met herkomstverklaring per implementatie, een risicoanalyse van leveranciersafhankelijkheden (inclusief beoordeling of Amerikaanse exportwetgeving van toepassing is op de gebruikte bibliotheken of patenten), een migratieplanning met tussentijdse mijlpalen die aansluiten op zowel de FAR-deadlines als de EU-roadmap, en een bewijs van onafhankelijke verificatie (audit, penetratietest of certificering door een erkende Europese instantie). Aanvullend moeten contracten met cryptografisch relevante leveranciers een clausule bevatten die de leverancier verplicht tijdig te melden als exportregelgeving de levering of het gebruik van de cryptografische component zou kunnen beperken.
ENISA waarschuwt nadrukkelijk: “Organisaties die nu wachten met de inventarisatie van hun cryptografisch landschap, lopen het risico dat zij bij een plotselinge versnelling van quantumcomputing niet meer in staat zijn tijdig te migreren.” Deze waarschuwing geldt dubbel voor organisaties die zowel aan Europese NIS-2-eisen als aan Amerikaanse contractuele PQC-vereisten onder EO-14412 moeten voldoen.
Veelgestelde vragen
Geldt EO-14412 direct voor Europese bedrijven zonder Amerikaans vestigingsadres?
Niet direct als regelgeving, maar wel indirect via contractuele doorwerking. Europese toeleveranciers die producten of diensten leveren aan Amerikaanse federale contractanten kunnen via FAR-clausules verplicht worden te voldoen aan de PQC-eisen die de Amerikaanse opdrachtgever moet aantonen.
Welke algoritmen zijn verplicht onder EO-14412 en de bijbehorende NIST-standaarden?
EO-14412 verwijst naar FIPS 203 (ML-KEM voor sleuteluitwisseling), FIPS 204 (ML-DSA voor digitale handtekeningen) en FIPS 205 (SLH-DSA als alternatief handtekeningschema). Dit zijn dezelfde algoritmen die de EU-roadmap als primaire keuzes benoemt, al hanteert Europa ook de naam CRYSTALS-Kyber en CRYSTALS-Dilithium, die inhoudelijk samenvallen met ML-KEM en ML-DSA.
Hoe toont een compliance officer aan dat de eigen PQC-implementatie niet onder Amerikaanse exportregelgeving valt?
Door te documenteren dat de gebruikte cryptografische bibliotheken en sleutelbeheeroplossingen van Europese of andere niet-Amerikaanse herkomst zijn, dat de broncode auditeerbaar is (bij voorkeur open source), en dat geen licenties of patenten van Amerikaanse federale entiteiten van toepassing zijn. Een cryptografisch inventarisatierapport met herkomstverklaring per component is daarvoor het meest geëigende instrument.
Loopt de EU-roadmap voor PQC-migratie gelijk met de Amerikaanse EO-14412-deadline van 2026?
Op hoofdlijnen wel: beide hanteren 2026 als startpunt voor verplichte stappen. Maar de EU-roadmap loopt door tot 2035 en laat meer ruimte voor gefaseerde migratie per sector, terwijl EO-14412 scherpe contractuele deadlines stelt die via FAR-aanbestedingsvereisten al per 2026 doorwerken in de toeleveringsketen.
Wat is het verschil tussen CNSA Suite 2.0 en de NIST FIPS-standaarden die EO-14412 vereist?
CNSA Suite 2.0 is een NSA-publicatie specifiek voor nationale veiligheidssystemen en legt strengere eisen op qua migratietijdlijn en toegestane algoritmen, met een deadline van uiterlijk 2030. NIST FIPS 203/204/205 zijn de breed geldende civiele standaarden die EO-14412 voorschrijft voor alle federale contractanten. Voor Europese organisaties zijn de FIPS-standaarden doorgaans het relevante referentiekader, tenzij zij direct werken met classificeerde Amerikaanse overheidssystemen.
