Post-quantum cryptografie: waarom je er nú al over nadenkt
Quantumcomputers zijn er nog niet in bruikbare vorm, maar de afspraken over hoe we ons erop voorbereiden liggen er al wel. Geen paniekverhaal, maar een nuchtere blik op wat eraan komt en wat je er als organisatie rustig op tijd aan kunt doen.
Waar gaat dit eigenlijk over?
Bijna alles wat je online doet, is beveiligd met cryptografie: je internetbankieren, je e-mail, de VPN naar kantoor, de certificaten op je website. Die beveiliging leunt op rekensommen die voor een gewone computer praktisch onmogelijk zijn om terug te rekenen.
Een voldoende krachtige quantumcomputer kan een deel van die sommen wél efficiënt oplossen. Daarmee komt de huidige publieke-sleutelcryptografie (denk aan RSA en ECC, de techniek achter het slotje in je browser) op termijn onder druk te staan. Zo’n machine bestaat nog niet op bruikbare schaal, maar serieuze partijen, van de Europese Commissie tot nationale cyberdiensten, gaan ervan uit dat we ons er nu op moeten voorbereiden.
“Harvest now, decrypt later”
De reden dat dit nu al speelt, zit in een simpel maar ongemakkelijk idee: data die vandaag wordt onderschept, kan later worden ontsleuteld. Een aanvaller hoeft de encryptie nu niet te kraken; hij kan versleutelde gegevens gewoon bewaren en wachten tot de techniek zover is.
Voor veel MKB’ers is dat geen acuut probleem, als je data over een paar jaar niets meer waard is, maak je je er niet druk over. Maar heb je te maken met informatie die lang vertrouwelijk moet blijven (medische gegevens, contracten, intellectueel eigendom, persoonsgegevens), dan is het goed om dit op je radar te hebben.
Je hoeft niet morgen alles te vervangen. Je moet wél weten wát je hebt en hoe snel je kunt schakelen.
De techniek is er klaar voor
Het goede nieuws: er zijn al nieuwe, quantumbestendige algoritmes. In augustus 2024 publiceerde het Amerikaanse normeringsinstituut NIST de eerste officiële standaarden voor post-quantum cryptografie: FIPS 203, 204 en 205. Die vormen de basis waarop leveranciers hun producten geleidelijk gaan ombouwen.
Je hoeft dus niet zelf iets te ontwikkelen. De overstap gebeurt grotendeels via updates van de software, besturingssystemen en diensten die je al gebruikt. Jouw taak is vooral: zorgen dat je klaar bent om die updates te kunnen volgen.
Wat Europa afspreekt
De Europese Commissie deed in 2024 een aanbeveling aan de lidstaten om samen naar post-quantum cryptografie toe te werken. In 2025 volgde een gezamenlijke routekaart met richttijden: rond eind 2026 de voorbereiding en nationale plannen op orde, rond 2030 de meest kritieke systemen overgezet, en richting 2035 de rest waar het kan.
Belangrijk om te weten: dit zijn richtdata voor overheden en kritieke infrastructuur, geen algemene wettelijke deadline voor elke onderneming. Voor de meeste MKB’ers is het vooral een signaal: de beweging is ingezet, leveranciers gaan mee, en het is verstandig om niet achterop te raken.
Wat kun je nu al doen?
Geen grote verbouwing, maar een paar nuchtere stappen die sowieso goed zijn voor je digitale hygiëne:
- Weet wat je hebt. Een eenvoudig overzicht van waar je gevoelige data staat en welke systemen en leveranciers die beveiligen (een “crypto-inventaris”).
- Houd software up-to-date. De meeste overgang komt via updates; wie structureel bijblijft, krijgt post-quantum er grotendeels vanzelf bij.
- Vraag het je leveranciers. Hebben je belangrijkste software- en clouddiensten een plan voor post-quantum cryptografie? Het antwoord zegt veel over hun volwassenheid.
- Werk aan crypto-agility. Zorg dat je kunt schakelen zonder alles te hoeven vervangen, dat maakt deze én elke volgende beveiligingswissel eenvoudiger.
Dit sluit naadloos aan op het werk dat we onder consultancy & architectuur doen: overzicht scheppen, risico’s wegen en een plan maken dat past bij de omvang van je organisatie.
Benieuwd of dit voor jou speelt?
In één gesprek kijken we of post-quantum cryptografie voor jouw organisatie relevant is, en zo ja, welke eerste stap logisch is. Nuchter, zonder bangmakerij.