Waarom organisaties niet moeten wachten op Q-Day

Quantumcomputing heeft twee gezichten. Enerzijds kan de technologie op termijn helpen bij onder meer simulaties in de quantumchemie en materiaalkunde, bepaalde optimalisatieproblemen en sommige toepassingen van kunstmatige intelligentie. Die voordelen zijn echter nog grotendeels toekomstmuziek en sterk afhankelijk van de concrete toepassing.

Anderzijds is de beveiligingskwestie nu al praktisch relevant. Een voldoende grote, fouttolerante quantumcomputer zou veelgebruikte publieke-sleutelcryptografie kunnen ondermijnen, al bestaat er op dit moment nog geen cryptografisch relevante quantumcomputer (CRQC). 52

De belangrijkste conclusie voor organisaties: wacht niet op de dag waarop zo’n machine daadwerkelijk encryptie kan breken. Het in kaart brengen en vervangen van kwetsbare cryptografische systemen moet nu beginnen. Sommige gegevens moeten immers langer geheim blijven dan de tijd die nodig is om een volledige migratie uit te voeren.

Waarom Shors algoritme RSA en elliptische cryptografie bedreigt

RSA ontleent zijn veiligheid aan de moeilijkheid om grote gehele getallen te ontbinden in factoren. Diffie-Hellman en elliptische-curvecryptografie (ECC) steunen op zogenoemde discrete-logaritmeproblemen. Op voldoende krachtige fouttolerante quantumhardware zou Shors algoritme deze problemen fundamenteel sneller kunnen aanpakken dan klassieke computers.

De dreiging beperkt zich niet tot versleutelde berichten. Kwetsbare publieke-sleutelsystemen worden ook gebruikt voor het uitwisselen van sleutels, authenticatie, certificaten, softwareondertekening, secure-bootketens en andere functies die digitaal vertrouwen ondersteunen. Een toekomstige aanvaller zou daardoor niet alleen de vertrouwelijkheid kunnen aantasten, maar ook de mogelijkheid om vast te stellen of software, documenten, transacties en archieven authentiek zijn.

Dat betekent niet dat alle cryptografie in één klap verdwijnt. Het directe risico concentreert zich vooral op publieke-sleutelalgoritmen zoals RSA en ECC. Symmetrische cryptografie wordt niet op dezelfde rechtstreekse manier door Shors algoritme bedreigd. Wel moeten organisaties de veiligheidssterkte en implementatie van elk cryptografisch onderdeel afzonderlijk beoordelen.

‘Nu verzamelen, later ontsleutelen’ maakt gegevens van vandaag kwetsbaar

Bij een zogenoemde harvest now, decrypt later-aanval hoeft een aanvaller onderschepte informatie niet meteen te ontsleutelen. Versleutelde communicatie of gestolen archieven kunnen vandaag worden opgeslagen en later worden ontsleuteld zodra een cryptografisch relevante quantumcomputer beschikbaar is. 51

De relevante deadline hangt daarom af van twee factoren:

• hoeveel tijd een organisatie nodig heeft om haar systemen te migreren;
• hoe lang de beschermde informatie geheim moet blijven.

Vooral gegevens met een lange vertrouwelijkheidsduur lopen risico. Denk aan overheids- en diplomatieke dossiers, defensie- en technische ontwerpen, gezondheids- en genomische gegevens, identiteitsinformatie, financiële en juridische bestanden, bedrijfsgeheimen, infrastructuurgegevens en eigen onderzoek. Ook archieven en ondertekende documenten kunnen problemen opleveren als hun authenticiteit nog jarenlang controleerbaar moet blijven.

Het bestaan van dit aanvalsscenario bewijst niet dat elk versleuteld archief al wordt verzameld of dat Q-Day — de hypothetische dag waarop quantumcomputers cryptografie op grote schaal kunnen breken — voor de deur staat. Het laat wel zien waarom wachten op definitief bewijs riskant kan zijn voor informatie die vandaag wordt onderschept.

Onzekere quantumtijdlijn, maar een migratie die al in beweging is

Schattingen over het verschijnen van een cryptografisch relevante quantumcomputer lopen sterk uiteen. Duitse autoriteiten benadrukken dat er momenteel geen CRQC beschikbaar is en dat voorspellingen over de komst ervan onzeker blijven. 52 Andere analyses zien een betekenisvol risico in de jaren 2030, maar ook dat zijn prognoses en geen vaststaande aankondiging. 5356

Een verstandig migratieplan moet daarom niet afhankelijk zijn van één voorspelde Q-Day. Organisaties kunnen hun informatie eerst rangschikken op gevoeligheid en bewaartermijn. Daarna moeten ze rekening houden met de jaren die nodig zijn om afhankelijkheden te ontdekken, vervangende technologie te testen, leveranciers aan te sturen en niet-upgradebare systemen uit te faseren.

In het voorgestelde overgangskader van NIST worden RSA-2048 en ECC-256 na 2030 aangemerkt voor uitfasering en na 2035 voor verbod. IR 8547 is echter een overgangsvoorstel. Organisaties moeten daarom de definitieve en voor hun sector geldende richtlijnen controleren en deze jaartallen niet automatisch beschouwen als universele wettelijke deadlines. 2035

De beleidsrichting in de Verenigde Staten is desondanks duidelijk. Civiele federale instanties kregen opdracht om uiterlijk op 4 mei 2023 en vervolgens jaarlijks tot en met 2035 een geprioriteerde inventaris aan te leveren van systemen en bedrijfsmiddelen met cryptografie die kwetsbaar is voor een CRQC. 33 National Security Memorandum 10 stelde bovendien als federaal doel om het quantumrisico uiterlijk in 2035 te beperken. 39

NIST-standaarden bieden een beginpunt voor post-quantumcryptografie

Op 13 augustus 2024 rondde het Amerikaanse National Institute of Standards and Technology (NIST) drie belangrijke standaarden voor post-quantumcryptografie af: 2425

• FIPS 203, ML-KEM: een op modulaire roosters gebaseerde sleutelinkapselingmethode voor het tot stand brengen van gedeelde geheimen. 23
• FIPS 204, ML-DSA: een op modulaire roosters gebaseerde standaard voor digitale handtekeningen. 22
• FIPS 205, SLH-DSA: een stateless, op hashfuncties gebaseerde standaard voor digitale handtekeningen, met een andere wiskundige basis. 17

Dit is geen eenvoudige knop die overal tegelijk kan worden omgezet. De standaarden moeten worden verwerkt in protocollen, softwarebibliotheken, certificaten, identiteitssystemen, hardware security modules, firmware, applicaties en producten van leveranciers. NIST beschouwt de drie standaarden als het begin van een omvangrijke transitie en werkt tegelijk aan aanvullende algoritmen als back-up of alternatief. 28

Welke cryptografie organisaties eerst moeten inventariseren

Cryptografie zit vaak verborgen in systemen die nooit zijn ontworpen om algoritmen snel te vervangen. Een bruikbare inventarisatie kijkt daarom verder dan zichtbare encryptie-instellingen en omvat onder meer:

• TLS, VPN’s, API’s en oudere netwerkprotocollen;
• public-key infrastructure (PKI), certificaatuitgifte en certificaatvernieuwing;
• identiteits-, authenticatie- en toegangsbeheersystemen;
• codeondertekening, firmware, secure boot en updatemechanismen;
• hardware security modules, databases, back-ups en archieven;
• IoT-apparaten, industriële en medische apparatuur en andere lang meegaande systemen;
• clouddiensten, SaaS-leveranciers, softwarebibliotheken en andere externe afhankelijkheden.

Daarna volgt de prioritering. Systemen die informatie beschermen die nog tientallen jaren geheim moet blijven, verdienen vroeg aandacht. Dat geldt ook voor systemen die de herkomst van software of het vertrouwen in infrastructuur bepalen. Kortstondige of eenvoudig vervangbare gegevens kunnen later aan de beurt komen.

Organisaties hebben daarnaast crypto-agility nodig: de mogelijkheid om algoritmen, sleutellengtes, certificaten en cryptografische bibliotheken te wijzigen zonder een volledig product of netwerk opnieuw te ontwerpen. Hybride implementaties, waarin klassieke en post-quantummechanismen tijdelijk naast elkaar worden gebruikt, kunnen de overgang vergemakkelijken. Ze zorgen echter ook voor extra integratie-, test- en beheerscomplexiteit.

De HAWK-affaire is een waarschuwing over evaluatie — niet over een breuk in NIST-standaarden

In juli 2026 meldde Anthropic dat het model Claude Mythos Preview een eerder onbekende structurele zwakte had gevonden in HAWK, een op roosters gebaseerd kandidaat-algoritme voor post-quantumhandtekeningen. Volgens Anthropic had HAWK twee jaar en twee rondes van deskundige beoordeling doorstaan, terwijl het model de best bekende aanval in ongeveer 60 uur verbeterde. Het HAWK-team trok de kandidaat vervolgens terug uit het aanvullende handtekeningenproces van NIST. 5

De belangrijke nuance: HAWK was een kandidaat, geen definitieve NIST-FIPS-standaard en geen algoritme dat in productiesystemen was uitgerold. De gebeurtenis betekende dus niet dat FIPS 203, FIPS 204 of FIPS 205 was gekraakt. Volgens berichtgeving werden bestaande productiesystemen niet geraakt. 56

De bredere les is wel belangrijk. ‘Post-quantum’ is geen blijvend kwaliteitslabel. Kandidaat-algoritmen hebben voortdurende wiskundige controle nodig, naast onafhankelijke tests van implementaties, verschillende onderliggende aannames en de mogelijkheid om een algoritme te vervangen zodra nieuwe aanvallen opduiken. AI-ondersteunde cryptanalyse kan daarbij een rol krijgen, maar vervangt menselijke beoordeling en transparant standaardiseringswerk niet.

De kosten zitten in de systeemovergang, niet alleen in een nieuw algoritme

Een migratie naar post-quantumcryptografie kan wijzigingen vereisen in software en protocollen, nieuwe bibliotheken, certificaten en PKI-processen, upgrades van hardware security modules en firmware, interoperabiliteitstests, leveranciersafspraken en complianceprocedures. Grotere sleutels of handtekeningen kunnen bovendien gevolgen hebben voor bandbreedte, opslag, latency en de prestaties van apparaten.

De kosten zijn niet samen te vatten in één universeel bedrag. Ze hangen af van het applicatielandschap, bewaarplichten, contracten met leveranciers en de relevante regelgeving. De stevigste conclusie is dat de overgang omvangrijk kan zijn omdat publieke-sleutelcryptografie verweven zit met veel langdurige vertrouwensrelaties — niet omdat elk systeem op hetzelfde moment moet worden vervangen.

De kern

Quantumcomputing kan uiteindelijk belangrijke wetenschappelijke voordelen opleveren, maar die mogelijkheden zijn nog onzeker, gespecialiseerd en volop in ontwikkeling. De beveiligingsopgave is concreter: RSA en ECC kunnen in de toekomst kwetsbaar worden voor Shors algoritme, terwijl vandaag verzamelde versleutelde gegevens later kunnen worden blootgelegd.

Er bestaat vandaag geen CRQC. Dat is een reden om zorgvuldig te plannen, niet om de start uit te stellen. De praktische volgorde is helder: inventariseer cryptografie, classificeer gegevens op basis van hun vertrouwelijkheidsduur, geef waardevolle afhankelijkheden prioriteit, test de definitieve NIST-standaarden, bouw crypto-agility in en gebruik migratietijdlijnen als planningsdoel — in plaats van te wachten op een definitieve Q-Day-aankondiging.