NIST IR 8547 is het centrale richtlijnendocument van het Amerikaanse National Institute of Standards and Technology voor de gefaseerde afschaffing van kwantumkwetsbare cryptografische algoritmen. Het document stelt concrete afschrijvingsdeadlines vast, aanvankelijk voor Amerikaanse federale systemen, maar de technische en organisatorische implicaties gelden onverminderd voor Europese overheidsinstanties, juridische dienstverleners en andere organisaties in gereguleerde sectoren die RSA, elliptische-curvecryptografie of klassieke Diffie-Hellman-sleuteluitwisseling gebruiken.
Wat NIST IR 8547 voorschrijft: de deadlines van 2030 en 2035
NIST IR 8547 maakt een onderscheid tussen twee fasen van afschrijving. Na 2030 worden de kwetsbare algoritmen officieel afgekeurd voor nieuwe implementaties; na 2035 zijn ze definitief verboden, ook in bestaande systemen.
De algoritmen die concreet op de afschrijvingslijst staan zijn RSA (alle sleutellengten), ECDSA, ECDH en klassieke Diffie-Hellman-varianten. Dit zijn precies de algoritmen die vandaag de dag het fundament vormen van vrijwel elke beveiligde digitale communicatie: HTTPS-verbindingen via TLS, PKI-certificaten voor authenticatie, VPN-tunnels en versleutelde e-mail via S/MIME of PGP.
In augustus 2024 publiceerde NIST de eerste drie definitieve post-kwantum standaarden: FIPS 203 (ML-KEM) voor sleutelencapsulatie, FIPS 204 (ML-DSA) voor digitale handtekeningen en FIPS 205 (SLH-DSA) als hash-gebaseerd alternatief. FIPS 203 (ML-KEM) geldt als de primaire vervanger voor RSA- en ECDH-gebaseerde sleuteluitwisseling in TLS en VPN-toepassingen.
De Amerikaanse verplichting: EO-14412 en OMB M-26-15
Voor Amerikaanse federale agentschappen en hun aannemers gaat het om harde juridische verplichtingen, niet om aanbevelingen.
Executive Order 14412, uitgevaardigd begin 2025, geeft federale agentschappen de expliciete opdracht post-kwantum cryptografie te prioriteren in alle nieuwe aanbestedingen en systeemupdates. OMB Memorandum M-26-15 operationaliseert die opdracht: uiterlijk eind 2030 moeten alle betrokken organisaties een volledige inventaris hebben van systemen die kwantumkwetsbare algoritmen gebruiken, en moet de migratie naar NIST PQC-standaarden aantoonbaar zijn begonnen.
Voor Europese organisaties die als toeleverancier of dienstverlener opereren voor Amerikaanse overheidsdiensten, zijn EO-14412 en OMB M-26-15 geen vrijblijvende referenties. Contractuele doorwerking maakt deze eisen direct bindend, vergelijkbaar met de manier waarop ITAR-verplichtingen al jaren gelden voor Europese defensieleveranciers.
De EU PQC-transitieroadmap 2026-2035: overlap en verschillen
De Europese aanpak loopt deels parallel aan de Amerikaanse tijdlijn, maar kent eigen accenten en sectorale nuances.
ENISA heeft in samenwerking met nationale cybersecurityautoriteiten een EU PQC-transitieroadmap opgesteld voor de periode 2026-2035. Die roadmap verdeelt de overgang in drie fasen: inventarisatie en bewustwording (2026-2027), hybride implementatie (2028-2031) en volledige migratie (2032-2035). De NIS-2-richtlijn versterkt deze tijdlijn door van organisaties in kritieke sectoren te eisen dat zij actuele risicoanalyses uitvoeren en passende cryptografische maatregelen nemen. Hoewel NIS-2 geen expliciete PQC-deadline noemt, maakt de combinatie met de ENISA-roadmap en sectorale guidance de verwachting van toezichthouders duidelijk.
| Kader | Juridische grondslag | Doelgroep | Sleuteldeadline |
|---|---|---|---|
| NIST IR 8547 / FIPS 203 | EO-14412, OMB M-26-15 | Amerikaanse federale systemen en aannemers | 2030 (afkeuring), 2035 (verbod) |
| EU PQC-transitieroadmap 2026-2035 | NIS-2, ENISA-aanbevelingen | Europese kritieke sectoren | 2031 (hybride), 2035 (volledig) |
| OMB M-26-15 | Executive Order 14412 | Federale aannemers wereldwijd | Inventaris klaar eind 2030 |
Mosca’s theorema: de urgentie anders berekenen
Mosca’s theorema biedt een wiskundig eenvoudig maar praktisch krachtig kader om te bepalen of een organisatie nu al moet handelen.
Michele Mosca, medeoprichter van het Institute for Quantum Computing aan de Universiteit van Waterloo, formuleerde het als volgt: “If the time to migrate a system plus the time that system needs to remain secure exceeds the time before a quantum computer arrives, you are already too late.”
Vertaald naar de praktijk: een overheidsorganisatie die burgerdossiers met een wettelijke bewaarplicht van vijftien jaar versleutelt, en waarvan de IT-afdeling een migratieproject van vier jaar inschat, heeft een optelsom van negentien jaar nodig. Als een cryptografisch relevante kwantumcomputer, een zogenoemde CRQC die RSA-2048 kan breken, binnen tien tot vijftien jaar operationeel is, is de urgentie onmiskenbaar. IBM schat dat een dergelijke machine binnen ongeveer tien jaar haalbaar is.
Dustin Moody van het NIST PQC-project benadrukt dat de dreiging niet theoretisch is: “Harvest now, decrypt later is not a theoretical threat. Adversaries are already collecting encrypted data today with the expectation of decrypting it once a cryptographically relevant quantum computer exists.” Dit maakt de bescherming van data met een lange vertrouwelijkheidsperiode, zoals juridische dossiers, medische gegevens of staatsgeheimen, tot een onmiddellijke prioriteit, ongeacht welke juridische deadline geldt.
Prioritering van systemen: TLS, PKI, VPN en e-mail
Niet alle systemen hoeven tegelijk te worden gemigreerd, maar de volgorde is niet willekeurig.
De hoogste prioriteit krijgen systemen die nu al blootgesteld zijn aan het “harvest now, decrypt later”-risico. Dat zijn VPN-tunnels en TLS-sessies die vertrouwelijke gegevens transporteren naar externe partijen of over het publieke internet. Een aanvaller die vandaag versleuteld VPN-verkeer opslaat, kan dat over tien jaar ontsleutelen als hij beschikt over een CRQC.
Direct daarna volgt de PKI-infrastructuur. Certificaten zijn de vertrouwensankers van vrijwel alle andere beveiligde verbindingen. Een PKI die nog op RSA-2048 is gebaseerd, vergiftigt alle systemen die daarop steunen, ook als die systemen zelf al gedeeltelijk zijn vernieuwd. Certificaatlevenscycli en CA-hiërarchieën vereisen bovendien lange doorlooptijden voor vervanging.
E-mailversleuteling via S/MIME of PGP heeft een iets lagere urgentie, tenzij de organisatie structureel vertrouwelijke correspondentie voert met externe partijen over langlopende dossiers, zoals bij advocatenkantoren of financiële instellingen het geval is.
Cryptografische inventarisatie: de eerste stap volgens NIST IR 8547 en NCCoE
De meeste organisaties weten niet welke systemen welke cryptografische algoritmen gebruiken. NIST IR 8547 en het NCCoE Migration to PQC Project bieden daar concrete handvatten voor.
De eerste stap is het opstellen van een cryptografisch register, ook wel een cryptographic bill of materials (CBOM) genoemd. Dit register inventariseert per systeem welk algoritme wordt gebruikt, met welke sleutellengte, in welke rol (authenticatie, versleuteling of handtekening) en met welke externe afhankelijkheden. Het NCCoE Migration to PQC Project, een initiatief van het National Cybersecurity Center of Excellence verbonden aan NIST, heeft hiervoor open testomgevingen, referentiearchitecturen en praktische hulpmiddelen gepubliceerd die ook door niet-Amerikaanse organisaties vrij te gebruiken zijn.
De inventarisatie onthult vrijwel altijd verrassingen: legacy-applicaties die nog SHA-1 of 1024-bit RSA gebruiken, middleware van derde partijen met ingebouwde cryptografie die niet extern te configureren is, of hardwaretokens met een vaste sleutellengte die vervanging van fysieke apparaten vereisen in plaats van een softwareupdate.
Na de inventarisatie volgt risicoranking op basis van drie criteria: de gevoeligheid van de verwerkte data, de verwachte levensduur van het systeem en de feitelijke blootstelling aan externe netwerken. Systemen met hoge scores op alle drie de criteria gaan als eerste op de migratieagenda. NIST IR 8547 beveelt aan deze rangschikking te documenteren en te koppelen aan een meerjarig investeringsplan, zodat het voor toezichthouders en auditors inzichtelijk is hoe de organisatie de richtlijntermijnen vertaalt naar concrete acties.
Voor Europese organisaties is het koppelen van de CBOM aan de NIS-2-risicoregistratieplicht een logische stap. Toezichthouders zoals het Agentschap Telecom in Nederland of het BSI in Duitsland verwachten dat organisaties in essentiële sectoren aantoonbaar inzicht hebben in hun cryptografische kwetsbaarheden. Een goed gedocumenteerde CBOM vormt daarvoor het startpunt en verlaagt tegelijk de drempel voor externe audits en certificeringstrajecten.
Van richtlijn naar nalevingsplan: concrete vervolgstappen
De vertaling van NIST IR 8547 en de EU PQC-transitieroadmap naar een werkbaar nalevingsplan vereist een gestructureerde aanpak op drie niveaus: technisch, organisatorisch en juridisch.
Op technisch niveau betekent dit: start nu met de cryptografische inventarisatie via de NCCoE-tools, implementeer hybride TLS met FIPS 203 (ML-KEM) op perimetersystemen als pilot, en stel vervangingsschema’s op voor PKI-certificaten. Op organisatorisch niveau is het essentieel dat de CISO of compliance officer eigenaar wordt van het migratiedossier, met rapportagelijnen naar de raad van bestuur. Op juridisch niveau moeten leverancierscontracten worden doorgelicht op cryptografische verplichtingen, met name voor organisaties die als toeleverancier aan Amerikaanse federale partijen of aan Europese kritieke-infrastructuurbeheerders werken.
De combinatie van de Amerikaanse tijdlijn (EO-14412, OMB M-26-15) en de Europese roadmap (EU PQC-transitieroadmap 2026-2035) geeft Europese compliance officers feitelijk een dubbele referentie. Wie beide kaders als benchmark neemt, hanteert de strengste gemeenschappelijke deler: een volledige inventaris voor 2027, hybride implementatie voor 2030 en volledige migratie voor 2035.
FAQ: NIST IR 8547 PQC migratie tijdlijn voor Europese organisaties
Wat is NIST IR 8547 precies en voor wie is het bedoeld?
NIST IR 8547 is een richtlijnendocument van het Amerikaanse National Institute of Standards and Technology dat beschrijft hoe organisaties moeten overstappen van kwantumkwetsbare cryptografische algoritmen naar post-kwantum alternatieven. Hoewel het primair op Amerikaanse federale systemen is gericht, geldt het als de internationale referentie voor elke organisatie die RSA, ECDSA of Diffie-Hellman gebruikt.
Geldt de deadline van 2030 ook voor Europese organisaties zonder Amerikaanse contracten?
De juridische verplichting van OMB M-26-15 geldt alleen voor Amerikaanse federale aannemers. Europese organisaties zonder dergelijke contracten vallen onder de EU PQC-transitieroadmap (2026-2035) en sectorale NIS-2-verplichtingen. De technische urgentie, berekend via Mosca’s theorema, is echter identiek: de deadline is niet juridisch maar cryptografisch bepaald.
Welk systeem moet als eerste worden gemigreerd: TLS, PKI of VPN?
De prioriteit ligt bij systemen die lange vertrouwelijkheidsperioden kennen en die nu al vatbaar zijn voor “harvest now, decrypt later”-aanvallen. Dat zijn doorgaans VPN-verbindingen en TLS-sessies voor vertrouwelijke communicatie. PKI-infrastructuur volgt snel daarna, omdat certificaten de basis vormen voor alle andere beveiligde verbindingen. E-mailencryptie krijgt een iets lagere prioriteit, tenzij de organisatie structureel vertrouwelijke berichten verstuurt.
Wat is Mosca’s theorema en hoe gebruik ik het in de praktijk?
Mosca’s theorema stelt dat als de som van de migratietijd en de gewenste beveiligingsduur van de data groter is dan de verwachte tijd tot een cryptografisch relevante kwantumcomputer, de organisatie nu moet handelen. Concreet: als migreren drie jaar duurt, de data tien jaar vertrouwelijk moet blijven, en een kwantumcomputer mogelijk over acht jaar beschikbaar is, dan is 3 + 10 groter dan 8 en is onmiddellijke actie vereist.
Zijn ML-KEM (FIPS 203) en de andere NIST PQC-standaarden al inzetbaar in productiesystemen?
Ja, FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) zijn in augustus 2024 definitief gepubliceerd en worden al ondersteund door recente versies van OpenSSL, Linux-kernelbibliotheken en diverse hardwareleveranciers. Hybride implementaties, waarbij klassieke en kwantumveilige algoritmen parallel worden gebruikt, worden door zowel NIST als ENISA aanbevolen als tussenstap.
