Post-kwantumcryptografie (PQC) is het vakgebied dat cryptografische algoritmen ontwikkelt die bestand zijn tegen aanvallen door kwantumcomputers. Met de publicatie van drie definitieve standaarden door het Amerikaanse National Institute of Standards and Technology (NIST) in augustus 2024, namelijk FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA), is de technische basis gelegd voor een wereldwijde migratie. Voor Europese overheids- en gereguleerde organisaties is de centrale vraag niet meer of zij moeten migreren, maar in welke volgorde en op welke termijn.
Drie nieuwe standaarden en wat ze betekenen voor uw cryptografische stack
FIPS 203, 204 en 205 vervangen respectievelijk de functies voor sleuteluitwisseling en digitale handtekeningen die momenteel worden ingevuld door RSA, ECDSA en ECDH. Elk algoritme is gebaseerd op een andere wiskundige harde structuur en dient een specifiek doel binnen de cryptografische infrastructuur van een organisatie.
FIPS 203 (ML-KEM) is gebaseerd op module-latticeproblemen en wordt gebruikt voor veilige sleuteluitwisseling en asymmetrische encryptie. Dit algoritme vervangt bijvoorbeeld ECDH in TLS-verbindingen en VPN-tunnels. FIPS 204 (ML-DSA) is eveneens lattice-gebaseerd en is bedoeld voor digitale handtekeningen in certificaten, code-ondertekening en e-mailbeveiliging (S/MIME). FIPS 205 (SLH-DSA) gebruikt hash-gebaseerde cryptografie als wiskundig fundament en dient als conservatieve alternatief voor handtekeningen wanneer organisaties meer vertrouwen willen in de langetermijnbestendigheid van de wiskundige aannames.
Welke productcategorieën zijn al PQC-capabel
Volgens het CISA PQC Initiative en NIST zijn er concrete productcategorieën waarvoor al FIPS 203/204/205-capabele oplossingen beschikbaar zijn. De aanschafprioriteit hangt af van de blootstelling aan het zogenoemde “harvest now, decrypt later”-aanvalsprofiel: gevoelige data die vandaag versleuteld verstuurd wordt, kan nu worden onderschept en pas later worden ontcijferd zodra een cryptographically relevant quantum computer (CRQC) beschikbaar is.
| Productcategorie | Relevante FIPS-standaard | Prioriteit (risicogebaseerd) | Toelichting |
|---|---|---|---|
| VPN en netwerkbeveiliging | FIPS 203 (ML-KEM) | Hoog | Sleuteluitwisseling in IPsec en TLS is directe aanvalsvector voor harvest-now-decrypt-later |
| Hardware Security Modules (HSM) | FIPS 203, 204, 205 | Hoog | HSM’s vormen de root of trust; PQC-ondersteuning vereist CMVP-validatie onder FIPS 140-3 |
| PKI en certificaatautoriteiten | FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA) | Hoog | Certificaatlevenscyclus overschrijdt veelal de PQC-horizon; vroege migratie noodzakelijk |
| E-mailbeveiliging (S/MIME, PGP) | FIPS 204 (ML-DSA) | Middel | Langdurig gearchiveerde e-mail met gevoelige inhoud is kwetsbaar voor latere ontsleuteling |
| Authenticatie en identiteitsbeheer | FIPS 204 (ML-DSA) | Middel | Tokens, smart cards en FIDO2-implementaties zijn deels al in overgang |
| Code-ondertekening en software-integriteit | FIPS 204, FIPS 205 | Middel tot hoog | Ondertekende software met langlopende geldigheidsduur moet tijdig worden heruitgegeven |
Het CISA PQC Initiative benadrukt expliciet: “Organizations should not wait to begin their transition to post-quantum cryptography. Adversaries may be collecting encrypted data today to decrypt once a cryptographically relevant quantum computer becomes available.”
NIST IR 8547 en de transitiefasering naar kwantumbestendige algoritmen
NIST IR 8547 beschrijft het deprecatiepad voor klassieke algoritmen. De initiële publieke draft uit 2024 onderscheidt drie fasen: een lopende fase waarin hybride implementaties worden aangemoedigd, een transitiefase met expliciete deprecatiedatums, en een eindfase waarin kwantumkwetsbare algoritmen volledig verboden zijn voor federale toepassingen.
De kerndatum voor federale systemen in de VS is 2030, het jaar waarop RSA en elliptische-curve-algoritmen niet langer zijn toegestaan in nieuwe systemen. Tegelijk stelt de NSA’s Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) dat kwantumbestendige algoritmen verplicht zijn voor nationale veiligheidssystemen uiterlijk 2033.
NIST zelf formuleert het zo: “The transition away from vulnerable algorithms requires updates not only to cryptographic libraries, but also to protocols, certificates, and key management infrastructure throughout the entire technology stack.” Dit maakt duidelijk dat technische compliance niet beperkt blijft tot het vervangen van een bibliotheek.
De rol van FIPS 140-3 en het Cryptographic Algorithm Validation Program
Het Cryptographic Module Validation Program (CMVP) valideert cryptografische modules op basis van de FIPS 140-3 standaard, die in 2019 ISO/IEC 19790 incorporeerde. Voor PQC-implementaties heeft dit directe gevolgen: een HSM of softwarematige cryptografische module die ML-KEM of ML-DSA implementeert, moet door het CMVP zijn gevalideerd voordat deze in een gereguleerde omgeving mag worden ingezet.
Het Cryptographic Algorithm Validation Program (CAVP), een zusterprogramma van het CMVP, test afzonderlijke algoritme-implementaties op correctheid. Dit is relevant voor organisaties die PQC integreren in eigen softwareontwikkeling of bestaande middleware. Zonder CAVP-validatie bestaat het risico dat een implementatie technisch functioneert maar subtiele cryptografische fouten bevat die de beveiliging ondermijnen.
De EU PQC-transitieroadmap 2026-2035 en ENISA-aanbevelingen
Terwijl de NIST-standaarden technisch van aard zijn, plaatst de Europese context aanvullende beleidslaag erover. ENISA heeft aanbevelingen uitgebracht voor PQC-migratie en benadrukt hybride cryptografie als overgangsmechanisme: klassieke algoritmen en PQC-algoritmen worden parallel ingezet, zodat de beveiliging niet afhankelijk is van één enkele wiskundige aanname die later mogelijk toch kwetsbaar blijkt.
De EU PQC-transitieroadmap loopt formeel van 2026 tot 2035 en is gericht op Europese overheden, kritieke infrastructuur en gereguleerde sectoren. Organisaties die onder NIS-2 vallen, worden geacht risicomaatregelen te implementeren die expliciet technologische toekomstbestendigheid includeren. GDPR-verwerkingsverantwoordelijken die bijzondere categorieën persoonsgegevens verwerken, dienen te kunnen aantonen dat hun encryptieprotocollen bestand zijn tegen voorzienbare technologische ontwikkelingen, en een CRQC valt inmiddels onder dat criterium in overheidsbeleidsanalyses.
Eén coherente interne migratiekalender opstellen
Het samenvoegen van de NIST IR 8547-deadlines, de EU-roadmap en sectorale ENISA-aanbevelingen tot één interne kalender vereist vier stappen. Eerst: een cryptografische inventaris van alle systemen, protocollen en certificaten. Hierbij wordt bepaald welke systemen gegevens verwerken met een geheimhoudingsvereiste die de PQC-horizon overschrijdt. Vervolgens: risicoclassificatie op basis van datalevensduur en blootstelling aan harvest-now-decrypt-later. Dan: prioritering van productcategorieën zoals hierboven beschreven, gekoppeld aan aanbestedingsplanning en CMVP-validatievereisten. Ten slotte: tijdlijnbepaling met interne mijlpalen die vooruitlopen op de externe deadlines, met een buffer van minimaal twee jaar voor certificaatmigraties en PKI-herstructurering.
Het sleutelbeheerrisico dat organisaties onderschatten
Het grootste operationele risico bij PQC-migratie is niet de aanschaf van het verkeerde product, maar het aanschaffen van het juiste product terwijl de bijbehorende sleutelbeheerprocedures en PKI-infrastructuur onveranderd blijven. Een VPN-gateway die ML-KEM ondersteunt maar sleutels uitwisselt via een CA die nog RSA-certificaten uitgeeft, creëert een hybride kwetsbaarheid die de winst van de PQC-upgrade gedeeltelijk tenietdoet.
Dit speelt op drie niveaus. Op algoritmisch niveau: ML-KEM beschermt de sessiesleutel, maar als de identiteitsverificatie via een RSA-certificaat verloopt, kan de authenticatielaag worden gecompromitteerd door een kwantumcomputer. Op procedureel niveau: sleutelroulatieschema’s, escrowprocedures en herstelprotocollen zijn vaak ontworpen voor de levensduur van RSA-sleutels en sluiten niet aan op de andere parameters van PQC-algoritmen. Op organisatorisch niveau: beheerders die onvoldoende zijn getraind in de werking van lattice-gebaseerde cryptografie, kunnen fouten maken bij het configureren van hybride modes of het interpreteren van validatiefouten.
Het CMVP biedt hier gedeeltelijk uitkomst: modules die FIPS 140-3 gevalideerd zijn voor PQC-gebruik omvatten ook sleutelgeneratie en -opslag. Maar de procedures rondom die modules, waaronder toegangsbeheer, auditlogging en certificaatlevenscyclusbeheer, blijven de verantwoordelijkheid van de organisatie zelf.
Praktische aanschafprioriteit voor compliance officers en IT-beslissers
Op basis van de gecombineerde NIST-, CISA- en ENISA-kaders geldt de volgende prioriteitslogica. HSM-vervanging of -upgrade heeft de hoogste urgentie, omdat HSM’s de root of trust vormen voor alle andere cryptografische processen. Daarna volgt PKI-herstructurering: certificaatautoriteiten moeten tijdig worden uitgebreid met ML-DSA- of SLH-DSA-ondersteuning, want certificaatmigraties zijn tijdrovend en vereisen coördinatie met alle vertrouwende partijen. VPN-gateways en TLS-terminators die externe communicatie beschermen, vormen de derde prioriteit. E-mail en authenticatiesystemen kunnen in een volgende fase worden aangepakt, maar mogen niet worden uitgesteld tot na 2028 voor organisaties met hoge geheimhoudingsvereisten.
Organisaties in de overheidssector, de juridische sector en andere gereguleerde sectoren doen er verstandig aan hun cryptografische inventaris nu te starten, ook al zijn de eerste vervangingen pas voor 2026 voorzien. De inventarisatiefase alleen al kost bij grotere organisaties zes tot twaalf maanden wanneer zij alle systemen, leverancierscontracten en certificaatketens in kaart brengen.
Veelgestelde vragen
Wat is het verschil tussen FIPS 203, FIPS 204 en FIPS 205?
FIPS 203 standaardiseert ML-KEM voor sleuteluitwisseling en encryptie. FIPS 204 standaardiseert ML-DSA voor digitale handtekeningen. FIPS 205 standaardiseert SLH-DSA, een hash-gebaseerd alternatief voor handtekeningen met een andere wiskundige basis. Samen dekken ze de twee voornaamste cryptografische functies die organisaties moeten vervangen.
Wanneer moeten Europese overheidsorganisaties zijn overgestapt op PQC?
NIST IR 8547 adviseert kwantumkwetsbare algoritmen uiterlijk 2030 te deprecaten voor federale systemen in de VS. De EU PQC-transitieroadmap loopt van 2026 tot 2035. ENISA adviseert gefaseerde migratie met prioriteit voor systemen met lange geheimhoudingsvereisten, zoals overheidsinfrastructuur en kritieke sectoren onder NIS-2.
Wat is het Cryptographic Module Validation Program en waarom is het relevant voor PQC?
Het CMVP valideert cryptografische modules op basis van FIPS 140-3. Voor PQC-implementaties moeten hardwaremodules zoals HSM’s niet alleen PQC-algoritmen ondersteunen, maar ook door het CMVP zijn gevalideerd om ingezet te mogen worden in gereguleerde omgevingen. Zonder deze validatie ontbreekt de formele zekerheid dat de implementatie correct en veilig is.
Wat gaat er mis als een organisatie PQC-capabele producten aanschaft zonder de PKI aan te passen?
Een PQC-capabel product dat werkt met een traditionele PKI-infrastructuur creëert een hybride kwetsbaarheid: de encryptie zelf is kwantumbestendig, maar certificaten, certificaatketens en sleutelbeheerprocedures blijven kwetsbaar. Een aanvaller met een kwantumcomputer kan zo alsnog de identiteitsverificatie of sleuteldistributie ondermijnen, ook al is de transportlaag beschermd.
Hoe verschilt de NIST PQC-aanpak van de ENISA-aanbevelingen voor Europese organisaties?
NIST richt zich op federale Amerikaanse systemen met specifieke wettelijke deadlines. ENISA vertaalt de technische standaarden naar Europese context en houdt rekening met sectorspecifieke vereisten onder GDPR en NIS-2. ENISA beveelt hybride cryptografie aan als overgangsmaatregel, waarbij klassieke en PQC-algoritmen parallel worden ingezet totdat het PQC-ecosysteem volledig is gevalideerd en bewezen.
