De kern
De G7 Cybersecurity Working Group roept publieke en private organisaties op om de overgang naar post-quantumcryptografie nu te versnellen. De oproep draait niet om één nieuw algoritme, maar om beleid, samenwerking, inkoop en uitvoerbaarheid.
Van technisch dossier naar bestuursagenda
Post-quantumcryptografie was lang vooral het terrein van onderzoekers en securityteams. De G7 plaatst het onderwerp nu nadrukkelijk bij besluitvormers. Dat is logisch: de overstap raakt contracten, leveranciers, budgetten en systemen die soms tientallen jaren meegaan.
Vijf lijnen voor de overgang
De gezamenlijke oproep benoemt bewustwording, nationale strategieën, onderzoek, publiek-private samenwerking en verwerking in beveiligingseisen en inkoop. Daarmee verschuift de vraag van ‘welk algoritme kiezen we?’ naar ‘hoe zorgen we dat de hele keten kan overstappen?’
Urgent betekent niet ondoordacht
De oproep is geen advies om morgen overal klassieke cryptografie uit te zetten. Een beheerste migratie begint met prioriteren, testen en hybride oplossingen waar dat passend is. Snelheid zonder overzicht kan juist nieuwe kwetsbaarheden introduceren.
Wat betekent dit voor jou?
Voor jou verandert er morgen waarschijnlijk niets aan de manier waarop je bankiert, berichten verstuurt of inlogt. De oproep van de G7 gaat vooral over gegevens die lang waarde houden. Denk aan medische dossiers, identiteitsgegevens, financiële historie, contracten, onderzoeksdata en privécommunicatie die over tien of twintig jaar nog gevoelig kan zijn.
Het risico heet vaak ‘harvest now, decrypt later’: versleuteld verkeer kan vandaag worden onderschept en bewaard, in de hoop het later met een krachtige quantumcomputer te ontsleutelen. Dat is geen reden voor paniek, maar wel een reden voor organisaties om nu te weten welke gegevens lang geheim moeten blijven en welke cryptografie daarvoor wordt gebruikt.
Kort gezegd: De quantumdreiging is nog onzeker in tijd, maar de bestuurlijke verwachting wordt concreter. Organisaties die gevoelige gegevens lang bewaren, kunnen een cryptografie-inventaris en migratie-eisen steeds moeilijker als vrijblijvend toekomstwerk behandelen.
Wat betekent dit voor je digitale voetafdruk?
Je digitale voetafdruk bestaat niet alleen uit openbare berichten. Ook versleutelde back-ups, kopieën bij cloudleveranciers, oude e-mails, medische gegevens, gescande identiteitsdocumenten en logbestanden horen erbij. Juist gegevens die op meerdere plekken zijn opgeslagen en moeilijk verwijderd kunnen worden, hebben een lange levensduur.
De G7-oproep raakt daarom vooral de partijen die jouw gegevens bewaren. Als een zorgverlener, bank of overheidsorganisatie gegevens tientallen jaren moet beschermen, moet die partij kunnen uitleggen hoe zij kwetsbare RSA- en elliptische-curvencryptografie tijdig vervangt. Jij kunt dat niet zelf repareren, maar je kunt wel kritisch kiezen en vragen stellen.
Wat kun je nu doen?
- Beperk onnodige kopieën. Verwijder oude cloudback-ups, scans en exports die je niet meer nodig hebt. Minder kopieën betekent minder gegevens die langdurig beschermd moeten worden.
- Kies leveranciers met een migratieplan. Vraag vooral bij medische, financiële en identiteitsdiensten of post-quantumgereedheid en crypto-agility onderdeel zijn van hun beveiligingsbeleid.
- Blijf normale beveiliging toepassen. Gebruik updates, multifactorauthenticatie en unieke wachtwoorden. Post-quantumcryptografie vervangt de basismaatregelen tegen aanvallen van vandaag niet.
- Inventariseer als organisatie. Bepaal welke gegevens langer dan vijf, tien of twintig jaar vertrouwelijk moeten blijven en koppel die aan systemen, certificaten en leveranciers.
Voor de techneuten
De verwachte quantumdreiging richt zich vooral op asymmetrische cryptografie. Shor’s algoritme kan op een voldoende grote foutgecorrigeerde quantumcomputer de wiskundige problemen achter RSA en elliptische-curvencryptografie efficiënt oplossen. Symmetrische algoritmen zoals AES worden anders geraakt en kunnen doorgaans met ruimere sleutellengtes worden opgevangen.
De migratie draait daarom onder meer om sleuteluitwisseling, digitale handtekeningen, PKI, code signing, VPN’s, identiteiten en lange bewaarketen. NIST heeft ML-KEM voor sleutelinsluiting en ML-DSA en SLH-DSA voor handtekeningen gestandaardiseerd. Implementatie blijft een systeemvraagstuk: formaten, sleutelgroottes, HSM-ondersteuning, certificaatketens en protocollen moeten allemaal samenwerken.
Technisch uitgewerkte oplossing
- Maak een cryptografie-inventaris. Leg per toepassing algoritme, sleutelgrootte, bibliotheek, certificaat, eigenaar, leverancier en gegevenslevensduur vast. Gebruik waar mogelijk een cryptographic bill of materials.
- Prioriteer op bewaartermijn en blootstelling. Begin bij gegevens met een lange geheimhoudingsduur en verbindingen die eenvoudig kunnen worden onderschept. Geef systemen met korte levensduur een lagere migratieprioriteit.
- Test hybride sleuteluitwisseling. Combineer tijdens de overgang een klassieke methode met ML-KEM, zodat de sessie veilig blijft zolang ten minste één component standhoudt. Meet pakketgrootte, latency, foutgedrag en compatibiliteit.
- Ontkoppel algoritmen van bedrijfslogica. Gebruik centrale cryptografische diensten en configureerbare suites. Vermijd hard gecodeerde algoritmen en sleutelgroottes, zodat een volgende wissel geen volledige applicatievernieuwing vereist.
- Plan terugval zonder stille verzwakking. Een fallback mag niet ongemerkt naar een zwakkere verbinding leiden. Log onderhandelde algoritmen, stel minimumbeleid in en oefen herstel voordat je productie afdwingt.
De belangrijkste acties
- Zet cryptografische afhankelijkheden op de bestuurlijke risicokaart.
- Neem post-quantumgereedheid mee in nieuwe aanbestedingen en contractverlengingen.
- Vraag ketenpartners om een concreet, testbaar migratiepad.
Wat weten we nog niet?
- Wanneer een cryptografisch relevante quantumcomputer daadwerkelijk beschikbaar komt.
- Hoe snel nationale eisen en aanbestedingsregels per sector worden omgezet.
- Welke leveranciers tijdig interoperabele en aantoonbaar veilige implementaties leveren.
Bronnen
Dit artikel is een onafhankelijke Nederlandstalige duiding van de genoemde bronnen.