OMB Memorandum M-26-15 is een Amerikaans federaal beleidsdocument van het Office of Management and Budget dat verplichte migratie naar post-kwantumcryptografie (PQC) oplegt aan federale agentschappen en hun contractanten. Voor Europese organisaties die diensten of technologie leveren aan de Amerikaanse overheid, vertaalt dit zich in concrete contractuele verplichtingen die los staan van Europese regelgeving.
Wat schrijft OMB M-26-15 precies voor?
Het memorandum verplicht Amerikaanse federale agentschappen om hun cryptografische infrastructuur te migreren naar kwantumveilige algoritmen die door NIST zijn vastgesteld. De twee centrale standaarden zijn NIST FIPS 203 (ML-KEM, voor sleuteluitwisseling) en NIST FIPS 204 (ML-DSA, voor digitale handtekeningen), gepubliceerd in augustus 2024. Het memorandum geeft prioriteit aan zogenoemde High Value Assets (HVA’s): systemen die gevoelige of kritieke overheidsdata verwerken.
De juridische grondslag voor M-26-15 ligt mede in Executive Order 14412, waarmee de Amerikaanse president de versnelde overgang naar kwantumveilige cryptografie als nationaal veiligheidsbelang heeft aangemerkt. De Federal Acquisition Regulatory Council (FARC) is verantwoordelijk voor het vertalen van deze vereisten naar inkoopcontracten, zodat ook private leveranciers eraan gebonden worden.
Voormalig CISA-directeur Jen Easterly verwoordde de urgentie als volgt: “Agencies must prioritize the transition to post-quantum cryptography now, because adversaries are already harvesting encrypted data today with the intent to decrypt it once quantum computers become available.”
Hoe werken de deadlines door op Europese leveranciers?
De doorwerking verloopt via twee kanalen: inkoopclausules en beveiligingscertificeringen. De Federal Acquisition Regulatory Council heeft de bevoegdheid om PQC-vereisten als standaardclausule in federale contracten op te nemen. Europese IT-leveranciers die als prime contractor of subcontractor optreden, worden daarmee contractueel gebonden aan dezelfde migratiedeadlines als Amerikaanse agentschappen zelf.
Concreet betekent dit dat systemen die communiceren met of data uitwisselen met federale netwerken, aantoonbaar FIPS 203 en FIPS 204 moeten ondersteunen voor de in het contract opgenomen datum. Voor High Value Assets geldt daarbij een strengere tijdlijn dan voor minder kritieke systemen. Organisaties die niet tijdig voldoen, riskeren contractbeëindiging, uitsluiting van toekomstige aanbestedingen en in sommige gevallen boetes.
| Aspect | OMB M-26-15 (VS) | EU PQC-transitieroadmap 2026-2035 |
|---|---|---|
| Juridische basis | Executive Order 14412 en federale inkoopwetgeving | ENISA-aanbevelingen, NIS-2, sectorale richtlijnen |
| Deadlines | Contractspecifiek, bindend via FARC-clausules | Indicatief, risicogebaseerd per sector |
| Sancties | Contractbeëindiging, aanbestedingsuitsluiting | Toezicht- en meldplicht, boetes via NIS-2 |
| Verplichte algoritmen | FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) | CRYSTALS-Kyber, CRYSTALS-Dilithium (aanbevolen) |
| Toepassingsbereik | Federale systemen en hun contractanten wereldwijd | EU-lidstaten, kritieke infrastructuur en overheid |
Technische en contractuele aanpassingen voor Europese IT-leveranciers
Europese leveranciers moeten op twee niveaus handelen: technisch en juridisch-contractueel. Technisch is de eerste stap een volledige cryptografische inventarisatie van alle producten en diensten. Dat houdt in: identificeer elk systeem dat RSA, Diffie-Hellman of elliptische-curvecryptografie (ECC) gebruikt voor sleuteluitwisseling of authenticatie, want juist deze algoritmen zijn kwetsbaar voor kwantumcomputers.
Daarna volgt de migratie naar hybride oplossingen, waarbij klassieke en kwantumveilige algoritmen parallel worden ondersteund. Dit is essentieel in de overgangsfase omdat niet alle eindpunten gelijktijdig kunnen migreren. ML-KEM (FIPS 203) vervangt daarbij de sleuteluitwisseling, terwijl ML-DSA (FIPS 204) de klassieke handtekeningschema’s vervangt in protocollen zoals TLS 1.3, SSH en S/MIME.
Op contractueel vlak moeten Europese leveranciers bestaande en toekomstige contracten met Amerikaanse federale klanten actief doorlichten op FARC-clausules. Vraag bij aanbestedingsdocumenten expliciet naar de toepasselijke PQC-vereisten en de bijbehorende deadline. Documenteer de migratievoortgang en leg deze vast in een cryptografisch transitieplan dat beschikbaar is voor audits, een vereiste die het OMB memorandum impliciet oplegt via de agentschappen die het toezicht uitvoeren.
De CISA PQC Initiative biedt daarvoor praktisch bruikbare leidraden, waaronder migratiegidsen voor specifieke technologiestapels zoals cloud-API’s, PKI-infrastructuren en netwerkapparatuur. Europese leveranciers die CISA-documentatie als referentiekader gebruiken, leggen een verdedigbare basis voor contractuele naleving.
Dubbele compliance beheren: VS en EU tegelijk
Het Office of Management and Budget stelt in M-26-15 dat “the cryptographic systems that protect our most sensitive data must be upgraded before a cryptographically relevant quantum computer emerges.” De EU PQC-transitieroadmap 2026-2035 deelt deze urgentie, maar werkt anders: risicogebaseerd, gefaseerd en zonder de harde contractuele sancties van het Amerikaanse systeem.
Organisaties die aan beide regimes moeten voldoen, kunnen dubbele compliance bereiken door de strengere Amerikaanse tijdlijn als ijkpunt te nemen. Wie tijdig voldoet aan de FARC-clausules en de FIPS 203/204-vereisten, voldoet in de meeste gevallen ook aan de EU-aanbevelingen, omdat de onderliggende algoritmen grotendeels overeenkomen. Het verschil zit in de documentatieplicht en het toezichtskader: de EU vraagt om een risicobeoordeling en melding bij de nationale toezichthouder, terwijl de VS contractuele bewijslast vraagt.
Een praktische aanpak is het opstellen van een gecombineerd cryptografisch beleidsdocument dat zowel de FARC-vereisten als de NIS-2-verplichtingen adresseert. Dat voorkomt dat compliance-teams hetzelfde werk dubbel doen en maakt het eenvoudiger om aan beide toezichthouders verantwoording af te leggen.
Welke sectoren lopen het grootste risico?
Drie sectoren zijn bij niet-tijdige PQC-migratie extra kwetsbaar voor contractuele problemen met Amerikaanse partners.
Defensie en veiligheidstechnologie
Europese defensiebedrijven die participeren in NAVO-programma’s of gezamenlijke ontwikkelingstrajecten met het Amerikaanse ministerie van Defensie, worden geconfronteerd met de strengste PQC-eisen. Systemen die gerubriceerde communicatie ondersteunen, vallen onder de zwaarste HVA-categorie. Niet-naleving leidt hier niet alleen tot contractverlies, maar kan ook toegang tot gezamenlijke oefeningen en inlichtingenplatforms ontzeggen.
Lucht- en ruimtevaart
Europese lucht- en ruimtevaartleveranciers die software, componenten of onderhoudsdiensten leveren aan NASA, de FAA of grote Amerikaanse prime contractors zoals Boeing of Lockheed Martin, worden via de toeleveringsketen indirect geraakt door FARC-clausules. Embedded systemen en grondstations voor satellietcommunicatie gebruiken vaak verouderde cryptografische protocollen die dure hardware-upgrades vereisen.
Financiële sector
Europese banken en betalingsverwerkers die transacties afwikkelen met Amerikaanse federale instellingen of die als clearing partner optreden voor US Treasury-gerelateerde operaties, moeten rekening houden met toekomstige PQC-vereisten in financiële regelgeving. De Amerikaanse toezichthouders SEC en CFTC volgen de OMB-richtlijnen voor hun eigen systemen, wat indirect neerslaat in sectorspecifieke guidance voor financiële instellingen die met hen communiceren.
NIST publiceerde in augustus 2024 drie definitieve post-kwantumstandaarden als formele basis voor deze migratie. Tegelijkertijd schat de Amerikaanse overheid dat meer dan 90 procent van de federale netwerkcommunicatie kwetsbaar is voor een voldoende krachtige kwantumcomputer zonder tijdige cryptografische migratie. De CISA PQC Initiative waarschuwt bovendien dat sommige “harvest now, decrypt later”-aanvallen al in 2025 operationele dreigingen vormen voor overheidsdata met een lange geheimhoudingstermijn.
Praktische prioriteiten voor compliance officers en IT-beslissers
De combinatie van OMB M-26-15, Executive Order 14412 en de FARC-clausules schept een tijdgebonden verplichting die Europese organisaties niet kunnen negeren zolang zij Amerikaanse federale klanten bedienen. De sleutel ligt in vroeg beginnen: een cryptografische inventarisatie kost tijd en levert vaak verrassingen op in de vorm van verborgen afhankelijkheden in middleware, legacy-systemen en derde-partij software.
Compliance officers doen er verstandig aan om de eigen juridische afdeling te betrekken bij de analyse van bestaande contracten op FARC-clausules, en IT-teams te mandateren om een meerjarig migratieplan op te stellen dat aansluit op zowel de Amerikaanse contractdeadlines als de EU PQC-roadmap. Zo wordt dubbele compliance niet dubbel werk, maar één geïntegreerd traject.
Veelgestelde vragen
Geldt OMB M-26-15 direct voor Europese bedrijven zonder Amerikaans contract?
Nee. OMB M-26-15 heeft geen directe juridische werking buiten de VS. Maar zodra een Europese organisatie als contractor of subcontractor diensten levert aan een Amerikaans federaal agentschap, worden de PQC-vereisten via contractclausules juridisch bindend.
Wat is het verschil tussen ML-KEM (FIPS 203) en ML-DSA (FIPS 204)?
ML-KEM is een key encapsulation mechanism voor het veilig uitwisselen van sleutels, terwijl ML-DSA een digitale handtekeningstandaard is. Beide zijn door NIST vastgesteld als verplichte kwantumveilige algoritmen voor federale systemen en worden ook in de EU PQC-roadmap aanbevolen.
Wat houdt “harvest now, decrypt later” in en waarom is het nu al relevant?
Statelijke actoren onderscheppen nu versleuteld dataverkeer en slaan het op, met de verwachting dit te ontsleutelen zodra kwantumcomputers krachtig genoeg zijn. Data met een lange geheimhoudingstermijn, zoals staatsgeheimen of medische dossiers, is daardoor al vandaag kwetsbaar.
Hoe verhouden de Amerikaanse PQC-deadlines zich tot de EU PQC-transitieroadmap?
De EU-roadmap loopt van 2026 tot 2035 en is risicogebaseerd zonder harde sancties voor de meeste sectoren. OMB M-26-15 stelt juist concrete contractuele deadlines met financiële en juridische consequenties. Europese organisaties met Amerikaanse contracten moeten aan de strengere Amerikaanse termijnen voldoen, ook als de EU-roadmap meer ruimte biedt.
Welke stap moeten Europese IT-leveranciers als eerste zetten?
Start met een cryptografische inventarisatie: breng alle systemen, protocollen en sleuteluitwisselingsmechanismen in kaart die RSA of elliptische-curvecryptografie gebruiken. Prioriteer systemen die data verwerken voor Amerikaanse federale klanten, en toets contracten op bestaande of toekomstige FARC-clausules over kwantumveilige encryptie.
