Samenvatting
Op 22 juni tekende het Witte Huis Executive Order 14412, “Securing the Nation Against Advanced Cryptographic Attacks”. De kern: federale systemen moeten versneld over op post-quantum cryptografie (PQC). Key establishment voor de meest gevoelige systemen moet eind 2030 om, digital signatures eind 2031, er komt een pilot die eind 2027 af moet zijn, en ook federale leveranciers worden eraan gehouden. Daarbovenop een regel die het waard is om te onthouden: er komt richtlijn voor een cryptographic bill of materials.
Een Amerikaanse order, dus je eerste reflex is misschien: leuk voor over de oceaan, niet mijn probleem. Dat is precies de verkeerde reflex.
Waarom dit ook in Nederland telt
Het patroon is voorspelbaar. Wat de Amerikaanse overheid via inkoop afdwingt, sijpelt door naar de hele leveranciersketen. Dat zagen we eerder bij andere beveiligingsstandaarden: zodra de grootste inkoper ter wereld iets verplicht stelt, gaan leveranciers het wereldwijd ondersteunen, omdat ze hun grootste klant niet kwijt willen. Voeg daar de Europese beweging rond digitale weerbaarheid aan toe en je ziet dezelfde richting: post-quantum gaat van “ooit” naar “op de roadmap”.
En er is een reden waarom je niet kunt wachten tot de deadline dichterbij komt. Die reden heet harvest now, decrypt later. Een aanvaller hoeft vandaag geen quantumcomputer te hebben om schade aan te richten. Hij onderschept versleuteld verkeer nu, bewaart het, en ontsleutelt het zodra de techniek zover is. Alles wat je vandaag versleutelt en wat over vijf of tien jaar nog waarde heeft, contracten, medische data, intellectueel eigendom, staatsgeheimen, is dus nu al kwetsbaar. Niet straks. Nu.
“Support” is niet “ready”
Hier zit de denkfout die veel organisaties gaan maken. Ze horen “post-quantum”, bellen hun leverancier, krijgen te horen dat het product de nieuwe algoritmes “ondersteunt”, en vinken het af.
Ondersteunen betekent dat een systeem de nieuwe algoritmes kán gebruiken. Klaar zijn betekent iets heel anders: dat je weet waar cryptografie in je omgeving zit, welke systemen blootstaan, welke afhankelijkheden ertoe doen, en hoe je de overstap maakt zonder dat er iets omvalt. Dat is geen wiskundeprobleem. Het is een inventarisatieprobleem.
En precies daar komt die cryptographic bill of materials vandaan. Het klinkt als nieuwe compliance-overhead, maar het is in de kern iets wat je al lang nodig had: weten welke crypto waar draait. Je kunt niet migreren wat je niet ziet.
Nog een reden om niet blind te rennen: koppel jezelf niet vast aan één nieuw algoritme. Standaarden evolueren en algoritmes kunnen worden verzwakt of teruggetrokken. Het doel is crypto-agility, het kunnen wisselen van algoritme naarmate de richtlijnen rijpen, niet een eenmalige vervanging waar je alles op inzet. Dat is meteen het soevereine antwoord: je bouwt je eigen wendbaarheid op in plaats van te wachten op een kant-en-klare oplossing van over de oceaan.
En er zit een diepere laag onder dit punt. Migreren naar post-quantum algoritmes terwijl je datahuishouding rommelig blijft, is het slot oppoetsen van een deur die je open laat staan. Als je te veel verzamelt, te lang bewaart en data uitsmeert over systemen die je niet ziet, beschermt sterkere cryptografie minder dan je denkt. Quantum-veilig is één laag. Weten welke data je hebt, waarom en waar, en er minder van bewaren, is de laag daaronder.
Hoe Zero Trust dit makkelijker maakt
Als je al volgens Zero Trust werkt, heb je een voorsprong. Want de eerste vraag van een quantum-migratie, “waar zit mijn cryptografie en wat beschermt die”, is dezelfde vraag die je bij het bepalen van een Protect Surface al beantwoordt. Je hebt je omgeving al opgedeeld in afgebakende stukken met bekende data, applicaties, assets en services, en je weet per Protect Surface wat er beschermd wordt en hoe.
Daarmee verandert de quantum-vraag van een overweldigend “we moeten al onze encryptie vervangen” naar een hanteerbaar “welke Protect Surfaces bevatten data met een lange houdbaarheid, en welke crypto draait daar”. Je prioriteert op datawaarde en systeemkritikaliteit, niet op paniek. Je begint bij de Protect Surfaces waar harvest-now-decrypt-later het meeste pijn doet, en je werkt naar buiten.
Geen Big Bang. Geen jaar lang inventariseren voor je iets doet. Gewoon de structuur die je al hebt, gebruiken om gericht te beginnen.
Wat je deze maand kunt doen
Je hoeft niet te wachten op een Europese variant van deze order om in beweging te komen. Drie concrete stappen:
Breng in kaart welke van je Protect Surfaces data bevatten die over vijf tot tien jaar nog gevoelig is. Dat is je harvest-now-decrypt-later risico, en daar begint je prioriteitenlijst.
Vraag je leveranciers niet of ze PQC “ondersteunen”, maar wanneer en hoe ze daadwerkelijk migreren, en wat dat voor jouw omgeving betekent. Het verschil tussen die twee vragen is het verschil tussen een vinkje en een plan.
Begin met je cryptografische inventaris, ook al is die nog niet compleet. Zichtbaarheid is de voorwaarde voor alles wat daarna komt. Wie nu weet waar zijn crypto zit, hoeft straks niet onder tijdsdruk te zoeken.
Quantum-veilig worden is geen wiskundeproject dat je aan de cryptografen overlaat. Het is risicomanagement, en het begint met weten wat je beschermt.
Wil je weten welke van jouw Protect Surfaces als eerste aandacht verdienen in een post-quantum migratie? Plan een gesprek met ons team.