Waarom hebben organisaties in 2025 een PQC-beoordeling nodig?

Inleiding: Een kwantumaftelling voor cyberbeveiliging

In 2025 staan ​​leiders en bedrijven in de cybersecuritysector voor een keerpunt. De ooit theoretische dreiging van kwantumcomputers is een urgent bedrijfsrisico geworden. Doorbraken van techreuzen (zoals Google's "Willow"-kwantumchip uit 2024) en overheidsinitiatieven wijzen erop dat een post-kwantumwereld veel sneller nadert dan eerder verwacht. Voor Chief Information Security Officers (CISO's) in sectoren zoals de financiële wereld en de gezondheidszorg betekent dit dat het nu tijd is om de mogelijkheden van post-kwantumcryptografie (PQC) te beoordelen en zich daarop voor te bereiden . Zonder voorbereiding kunnen kritieke systemen en gevoelige gegevens onbeschermd achterblijven wanneer kwantumcomputers uiteindelijk hun intrede doen.

Deze blogpost legt uit waarom PQC-beoordelingen in 2025 essentieel zijn. Er wordt ingegaan op de kwantumdreigingen voor de huidige cryptografie, het risico van 'nu oogsten, later decoderen' , evoluerende standaarden zoals de PQC-algoritmen van NIST en CNSA 2.0 van de NSA , regelgevende factoren in sectoren zoals financiën en gezondheidszorg, en een routekaart voor kwantumparaatheid. Het doel is om cybersecurityprofessionals een strategisch en technisch overzicht te bieden van PQC-paraatheid , waarmee de veerkracht en naleving van de regelgeving binnen de organisatie in het kwantumtijdperk gewaarborgd worden.

De urgentie van post-kwantumcryptografie in 2025

Tegen 2025 is post-kwantumcryptografie geen ver-van-mijn-bed-show meer, maar een strategische prioriteit van nu. Kwantumcomputers maken gebruik van kwantummechanica om berekeningen uit te voeren met snelheden die voor klassieke computers onhaalbaar zijn . Dit betekent dat taken die moderne supercomputers jaren zouden kosten, in minuten of dagen kunnen worden uitgevoerd op een voldoende krachtige kwantumcomputer. Hoewel dit grote voordelen belooft voor wetenschap en industrie, vormt het ook een enorme bedreiging voor de veiligheid.

Experts waarschuwen dat een cryptanalytisch relevante kwantumcomputer (CRQC) in staat zal zijn om vrijwel alle gangbare publieke-sleutelcryptografie van vandaag de dag te kraken. In een nationaal veiligheidsmemorandum van de VS uit 2022 waarschuwde het Witte Huis: "Een kwantumcomputer van voldoende omvang en geavanceerdheid zal in staat zijn om een ​​groot deel van de publieke-sleutelcryptografie die in de Verenigde Staten en de rest van de wereld wordt gebruikt te kraken" , waardoor alles in gevaar komt, van militaire communicatie tot financiële transacties en de controle van kritieke infrastructuur.

Cruciaal is dat de tijdlijn steeds korter wordt. Veel analisten dachten aanvankelijk dat praktische kwantumaanvallen nog tientallen jaren in de toekomst lagen, maar recente ontwikkelingen hebben die voorspellingen verkort . Sommige experts suggereren dat statelijke tegenstanders "al in 2028 over kwantumontsleutelingsmogelijkheden zouden kunnen beschikken" . Daarom hebben overheidsinstanties en normalisatieorganisaties strikte deadlines gesteld voor de overgang naar kwantumveilige cryptografie. In een baanbrekende stap kondigde NIST aan dat algoritmen zoals RSA, Diffie-Hellman (DH), elliptische-curve-cryptografie (ECC/ECDSA) en EdDSA tegen 2030 zullen worden uitgefaseerd en na 2035 niet meer toegestaan ​​zullen zijn.

Dit sluit aan bij het Amerikaanse National Security Memo-10, dat streeft naar een kwantumveilige status van federale systemen in 2035. Met andere woorden, de wereld heeft tien jaar (of minder) de tijd om kwetsbare encryptie te vervangen – een extreem korte periode gezien de complexiteit van het upgraden van cryptografische infrastructuur. De aftelling naar PQC is begonnen en organisaties moeten dringend handelen.

Quantum computing vormt een bedreiging voor de huidige cryptografie

Waarom is kwantumcomputing zo'n gamechanger voor de beveiliging? Het antwoord ligt in algoritmen zoals het algoritme van Shor , waarmee een kwantumcomputer grote getallen kan ontbinden in factoren en discrete logaritmen exponentieel sneller kan berekenen dan met welke klassieke methode dan ook. Dit vormt een directe bedreiging voor de veiligheid van RSA (dat gebaseerd is op de moeilijkheid van het ontbinden in factoren) en ECC (dat gebaseerd is op problemen met discrete logaritmen) – de fundamenten van digitale beveiliging voor alles, van bankwebsites tot firmware voor medische apparaten. Zodra er voldoende krachtige kwantumcomputers bestaan, "zullen traditionele asymmetrische cryptografische methoden voor sleuteluitwisseling en digitale handtekeningen worden gekraakt" , zoals een bron uit de industrie het onomwonden stelt.

Met het algoritme van Shor zou een kwantumcomputer bijvoorbeeld RSA-2048-encryptie binnen enkele uren kunnen kraken. Geen enkele haalbare vergroting van de sleutelgrootte zal helpen; geen enkele redelijke sleutelgrootte zou volstaan ​​om gegevens te beschermen tegen een kwantumaanvaller. Op dezelfde manier zouden op elliptische krommen gebaseerde schema's (ECDH, ECDSA ) worden omzeild, waardoor de authenticatie- en sleuteluitwisselingsmechanismen die internetverkeer, financiële transacties en communicatie in de gezondheidszorg beveiligen, zouden worden ondermijnd. NIST heeft zelf opgemerkt dat de huidige publieke-sleutelalgoritmen, gedefinieerd in standaarden zoals FIPS 186-4 (Digital Signature Standard) en SP 800-56A/B (sleuteluitwisseling), "kwetsbaar zijn voor aanvallen van grootschalige kwantumcomputers".

Het is belangrijk om te benadrukken dat symmetrische cryptografie (bijvoorbeeld AES) en hashfuncties minder kwetsbaar zijn; een kwantumalgoritme genaamd Grover's algoritme kan brute-force-aanvallen versnellen, maar alleen door de benodigde inspanning te kwadrateren (waardoor de beveiligingsbitsterkte effectief wordt gehalveerd). Een AES-256- sleutel biedt dus nog steeds ongeveer 128-bits beveiliging tegen kwantumaanvallen, wat als acceptabel wordt beschouwd. Ook huidige hashfuncties zoals SHA-256/SHA-3 worden als veilig beschouwd tegen bekende kwantumtechnieken.

De echte crisis zit hem in de asymmetrische cryptografie met publieke sleutels : RSA, ECC, Diffie-Hellman en DSA zijn allemaal kwetsbaar voor het algoritme van Shor. Deze algoritmen zijn alomtegenwoordig in onze beveiligingsarchitectuur, van TLS-certificaten, VPN's en blockchain-handtekeningen tot het beveiligde opstartproces van medische apparaten. Een aanval met een kwantumcomputer zou dus het digitale vertrouwen volledig ondermijnen , waardoor aanvallers zich zouden kunnen voordoen als servers, vertrouwelijke gegevens zouden kunnen decoderen, handtekeningen zouden kunnen vervalsen en in het algemeen de fundamenten van cyberbeveiliging in de financiële sector, de gezondheidszorg en daarbuiten zouden kunnen ondermijnen.

“Oogst nu, ontcijfer later”: de bedreiging van vandaag, niet die van morgen

Je zou kunnen denken: als grootschalige kwantumcomputers (de zogenaamde CRQC's) er in 2025 nog niet zijn, kunnen we dan niet nog even wachten? Het antwoord van beveiligingsexperts is "Nee" , voornamelijk vanwege het dreigingsmodel "nu verzamelen, later decoderen" . Dit model, ook wel "nu vangen, later kraken" genoemd, houdt in dat tegenstanders vandaag versleutelde gegevens stelen en opslaan, in de wetenschap dat ze in de toekomst over de kwantumtechnologie beschikken om deze te decoderen.

Met andere woorden, zelfs als een hacker of een natiestaat bepaalde gevoelige gegevens nu nog niet kan lezen, kunnen ze uw versleutelde bankgegevens, persoonlijke klantgegevens of medische informatie van patiënten opslaan met de bedoeling deze te ontsleutelen zodra kwantumontsleuteling mogelijk is. Inlichtingendiensten doen dit waarschijnlijk al tegen waardevolle doelwitten. Een recent brancherapport merkt zelfs op dat kwaadwillende actoren "naar verluidt al versleutelde gegevens verzamelen en opslaan voor het moment dat toekomstige kwantumcomputers in staat zullen zijn onze huidige versleutelingsmethoden te kraken".

Dit betekent dat het risico vandaag al aanwezig is ; alle gegevens die jaren of decennia vertrouwelijk moeten blijven (bijvoorbeeld financiële transactielogboeken, persoonsgegevens, medische dossiers, intellectueel eigendom, staatsgeheimen) lopen het risico in de toekomst openbaar te worden gemaakt als ze nu worden onderschept.

Cybersecurity-experts waarschuwen dat vroegtijdige planning cruciaal is vanwege deze dreiging met een vertraagde impact. De Amerikaanse CISA, NSA en NIST verklaarden in 2023 gezamenlijk dat "cybercriminelen zich vandaag de dag kunnen richten op data die in de toekomst nog steeds bescherming nodig hebben, door middel van een 'nu onderscheppen, later kraken' of 'nu verzamelen, later decoderen'-aanpak" . Voor sectoren zoals de gezondheidszorg, waar patiëntendossiers levenslang waardevol kunnen blijven, of de financiële dienstverlening, waar bepaalde transacties en communicatie jarenlang beveiligd moeten blijven, is kwantumrisico in feite een "tijdbom".

Bovendien hebben veel organisaties lange cycli voor technologische vernieuwing . Kritieke banksystemen of medische apparatuur kunnen bijvoorbeeld 10 tot 20 jaar in gebruik zijn. Als deze systemen alleen met klassieke encryptie zijn gebouwd, kunnen ze tijdens hun operationele levensduur een beveiligingsrisico vormen. Zoals de NSA het treffend stelde: gezien de buitenlandse inspanningen op het gebied van kwantumcomputing, is het nu tijd om te plannen, voor te bereiden en te budgetteren voor een overgang naar kwantumresistente algoritmen. Wachten tot een CRQC publiekelijk wordt aangekondigd, is veel te laat ; de gevoelige gegevens die u vandaag beveiligt, moeten beschermd zijn tegen de mogelijkheden van morgen.

Normen en kaders: de PQC-transitie begeleiden

Gelukkig hoeft de cybersecuritygemeenschap niet helemaal vanaf nul te beginnen; standaardisatieorganisaties en overheidsinstanties hebben zich al voorbereid op het kwantumtijdperk. Vanaf 2025 kunnen organisaties verschillende gezaghebbende raamwerken raadplegen voor richtlijnen over welke cryptografische algoritmen van na het kwantumtijdperk ze moeten gebruiken en hoe ze de overgang moeten maken.

Het post-kwantumcryptografieprogramma van NIST

Het Amerikaanse National Institute of Standards and Technology (NIST) heeft een meerjarig wereldwijd project geleid om PQC-algoritmen te standaardiseren. Na de evaluatie van tientallen kandidaten in een open competitie, kondigde NIST zijn eerste selecties aan: een sleuteluitwisselingsmechanisme , CRYSTALS-Kyber , en drie digitale handtekeningschema's: CRYSTALS-Dilithium , FALCON en SPHINCS+ . Deze algoritmen werden gekozen vanwege hun sterke beveiliging tegen zowel klassieke als kwantumaanvallen, en hun acceptabele prestaties. NIST ging direct aan de slag. In augustus 2023 publiceerde het al conceptstandaarden voor drie van de nieuwe algoritmen. In augustus 2024 publiceerde NIST FIPS 203, 204 en 205 , waarmee de volgende algoritmen formeel werden gestandaardiseerd:

• Module-Lattice-Gebaseerd Sleutel-Inkapselingsmechanisme (ML-KEM) – gebaseerd op CRYSTALS-Kyber.
• Module-Lattice-Based Digital Signature (ML-DSA) – gebaseerd op CRYSTALS-Dilithium.
• Stateless Hash-Based Digital Signature (SLH-DSA) – gebaseerd op SPHINCS+ (een stateless hash-gebaseerde handtekening).

Dit was een historische mijlpaal: voor het eerst beschikken we over officiële standaarden voor kwantumresistente encryptie en digitale handtekeningen, wat een duidelijke route biedt voor leveranciers en organisaties om PQC te implementeren. NIST zet zijn werk voort en voert een vierde ronde uit om aanvullende algoritmen te standaardiseren (zo werd bijvoorbeeld een op code gebaseerd KEM-algoritme genaamd HQC geselecteerd voor 2025). De tijdlijn van NIST wordt mede bepaald door richtlijnen van het Witte Huis; een recent NIST-rapport merkte op dat de overgang het doel van NSM-10 moet ondersteunen om de systemen van de Amerikaanse overheid tegen 2035 over te zetten op PQC.

In de praktijk betekent de richtlijn van NIST dat bedrijven hun cryptografische strategie moeten afstemmen op deze gevalideerde algoritmen. De nieuwe PQC-standaarden zijn bedoeld om gevoelige overheidsinformatie tot ver in de toekomst te beschermen, ook na de komst van kwantumcomputers, en wat de overheid beschermt, beschermt ook het bedrijfsleven. Veel beveiligingsproducten zullen de komende jaren waarschijnlijk NIST-goedgekeurde PQC-standaarden integreren, als ze dat al niet doen.

De CNSA 2.0-suite van de NSA

Een ander belangrijk raamwerk is afkomstig van de Amerikaanse National Security Agency (NSA). In september 2022 kondigde de NSA de Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) aan – hun blauwdruk voor cryptografie ter bescherming van geclassificeerde en nationale veiligheidssystemen in het kwantumtijdperk. Opvallend is dat CNSA 2.0 voor het eerst post-kwantumalgoritmen bevat , wat de NSA's vertrouwen in de NIST-selectie weerspiegelt. De suite schrijft het gebruik van CRYSTALS-Kyber voor sleuteluitwisseling en CRYSTALS-Dilithium voor digitale handtekeningen voor , evenals bepaalde hash-gebaseerde handtekeningschema's (XMSS en LMS) voor specifieke toepassingen. De NSA koos deze algoritmen omdat ze zijn geanalyseerd en veilig bevonden tegen zowel klassieke als kwantumaanvallen.

CNSA 2.0 komt met een tijdlijn. Van beheerders van nationale veiligheidssystemen (NSS) wordt verwacht dat ze uiterlijk in 2033 volledig overstappen op deze kwantumresistente algoritmen , waarbij sommige prioritaire gevallen al in 2030 mogelijk zijn. Totdat de nieuwe standaarden volledig zijn geïmplementeerd, adviseert de NSA om CNSA 1.0 (de huidige suite) te blijven gebruiken, maar wel aandacht te besteden aan de selecties van NIST en de toekomstige vereisten die in CNSA 2.0 worden beschreven. De boodschap van de NSA is duidelijk: als u gevoelige overheidsgegevens verwerkt, begin dan zo snel mogelijk met het testen en integreren van PQC.

Ze moedigen expliciet aan om zo snel mogelijk te testen in operationele systemen , zelfs terwijl NIST de standaarden afrondt. De NSA waarschuwt echter ook om geen niet-getoetste algoritmen in productie te nemen totdat NIST en het National Information Assurance Partnership (NIAP) ze hebben gevalideerd, waarmee ze de noodzaak benadrukt om een ​​balans te vinden tussen urgentie en voorzichtigheid. Voor CISO's in het bedrijfsleven is het standpunt van de NSA baanbrekend. Als het agentschap dat verantwoordelijk is voor de beveiliging van de meest gevoelige communicatie van het land nu een cryptografische transitie verplicht stelt, zouden bedrijven in de private sector (vooral in kritieke sectoren) hier nota van moeten nemen.

Internationale en industriële normen

Naast NIST en NSA is er wereldwijd een groeiende belangstelling voor PQC-standaarden. ISO/IEC , de internationale standaardisatie-instantie, is begonnen met het opnemen van kwantumveilige cryptografie in haar standaardportfolio. Zo worden door ISO goedgekeurde stateful hash-gebaseerde handtekeningen (zoals XMSS en LMS) erkend in de standaard ISO/IEC 14888-4:2024 als bruikbare kwantumresistente ondertekeningsmethoden. We kunnen verwachten dat ISO/IEC het voorbeeld van NIST zal volgen door ook roostergebaseerde schema's te standaardiseren en internationaal erkende specificaties te leveren die aansluiten bij de algoritmen van NIST.

Ook de Europese Unie heeft stappen ondernomen: in april 2024 publiceerde de Europese Commissie een aanbeveling (EU 2024/1101) met een gecoördineerd stappenplan voor lidstaten om over te stappen op PQC voor de bescherming van kritieke digitale infrastructuren. In juni 2025 presenteerde de EU een plan met als doel 2030 een brede invoering van PQC in de publieke en private sector in Europa. Dit komt overeen met de tijdlijn van de VS en geeft aan dat regelgevers wereldwijd verwachten dat kwantumveilige encryptie begin jaren 2030 beschikbaar zal zijn.

Brancheorganisaties nemen eveneens proactieve maatregelen. De G7 Cyber ​​Expert Group heeft bijvoorbeeld in 2023 een oproep tot actie gedaan aan de financiële sector wereldwijd om de risico's van kwantumcomputing te monitoren en te beginnen met de planning voor PQC . Binnen de techwereld wordt gewerkt aan standaarden voor de implementatie van PQC in internetprotocollen (de IETF werkt bijvoorbeeld aan hybride TLS- en VPN-standaarden die klassieke en PQC-algoritmen combineren voor een overgangsperiode). Het ETSI (European Telecommunications Standards Institute) heeft een werkgroep die richtlijnen publiceert over kwantumveilige cryptografie voor netwerken.

Al deze inspanningen leiden tot consensus: cryptografische flexibiliteit en kwantumresistente algoritmen moeten de norm worden . De belangrijkste conclusie voor organisaties is dat er nu gezaghebbende richtlijnen en standaarden beschikbaar zijn ; u moet deze gebruiken bij uw cryptografische beoordelingen in plaats van het wiel opnieuw uit te vinden. Door u te richten op de door NIST gekozen algoritmen en frameworks zoals NIST, CNSA 2.0 of de aanbevelingen van ISO te volgen, bewandelt u een beproefd, op consensus gebaseerd pad naar beveiliging.

Officiële deadlines voor het geleidelijk uitfaseren van kwantum-kwetsbare encryptie: NIST is van plan om RSA, ECC en gerelateerde algoritmes uiterlijk in 2030 af te schaffen en ze vanaf 2035 niet meer toe te staan. Financiële en overheidsleiders wereldwijd hebben vergelijkbare doelen gesteld, waardoor 2030 een cruciale deadline is voor kwantumveiligheid.

Regelgevende factoren in de financiële sector en de gezondheidszorg

Voor CISO's in de financiële en gezondheidszorgsector komt de drang naar PQC-gereedheid niet alleen voort uit risicobeoordelingen op het gebied van technologie; deze wordt steeds meer gedreven door wettelijke verwachtingen en compliance-trends. Financiële toezichthouders en brancheorganisaties luiden de alarmbel over kwantumdreigingen, terwijl gezondheidsautoriteiten crypto-flexibiliteit integreren in de cybersecurity-eisen. Laten we elke sector eens nader bekijken:

Financiële diensten: de integriteit van financiën beschermen

Financiële instellingen zijn al lange tijd de hoeders van gegevensvertrouwelijkheid en transactie-integriteit. Met de opkomst van kwantumcomputing dringen toezichthouders en brancheorganisaties er bij de financiële sector op aan om het voortouw te nemen bij de implementatie van PQC (Process Quality Computing) . Een opvallend voorbeeld is het Financial Services Information Sharing and Analysis Center (FS-ISAC) , dat eind 2024 een whitepaper publiceerde over het vergroten van cryptografische flexibiliteit in de financiële sector. In dit document wordt onomwonden gesteld dat de overstap naar cryptografische flexibiliteit onmiddellijk moet beginnen, omdat kwantumcomputing een veelgebruikte klasse van cryptografische algoritmen binnen enkele jaren waarschijnlijk onveilig zal maken.

Met andere woorden, FS-ISAC waarschuwt haar leden dat RSA/ECC binnen dit decennium gekraakt zou kunnen worden , waardoor gevoelige financiële gegevens mogelijk openbaar worden en het vertrouwen dat aan de basis van het bankwezen ligt, wordt ondermijnd. Het whitepaper, geschreven door experts van grote internationale banken, beschouwt crypto-flexibiliteit (de mogelijkheid om snel cryptografische algoritmen te vervangen) als een kwestie van bedrijfscontinuïteit en vertrouwen.

Het rapport stelt dat de financiële sector de PQC-migratie niet moet beschouwen als een eenmalige technologische upgrade, maar als onderdeel van een langetermijnstrategie om de veiligheid van bedrijfsactiviteiten te waarborgen in de complexe, steeds veranderende computeromgeving van vandaag. Wereldwijde financiële toezichthouders delen deze zorgen. Begin 2023 lanceerde de G7 (Groep van Zeven) een openbare oproep aan financiële bedrijven om zich voor te bereiden op kwantumrisico's en samen te werken met overheden aan een soepele overgang. In Europa zijn wetshandhavers en banktoezichthouders proactief te werk gegaan.

In februari 2025 lanceerde het Quantum Safe Financial Forum (QSFF) van Europol , een coalitie van financiële misdaadautoriteiten en banken, een "dringende oproep tot actie" aan de financiële sector om gezamenlijk over te stappen op PQC . Het QSFF benadrukte dat banken mogelijk geneigd zouden zijn de PQC-migratie uit te stellen vanwege meer directe problemen (zoals ransomware, AI-dreigingen of nieuwe regelgeving zoals de Europese DORA en NIS2), maar benadrukte dat "het risico van kwantumcomputing op de lange termijn niet genegeerd kan worden".

Het rapport van het forum waarschuwde dat het uitstellen van de overgang nu zou kunnen leiden tot een overhaaste en kostbare transitie later, met hogere operationele risico's. Onder de genoemde uitdagingen waren de onderlinge afhankelijkheid van financiële netwerken (geen enkele bank kan het alleen zonder partners) en de noodzaak van een gemeenschappelijke, gecoördineerde aanpak om fragmentatie of inconsistente standaarden te voorkomen. Een van de belangrijkste aanbevelingen van het QSFF is het gebruik van hybride cryptografie , een combinatie van klassieke en kwantumveilige algoritmen, als tussenstap, waardoor een geleidelijke migratie mogelijk is met behoud van interoperabiliteit.

Ook Amerikaanse toezichthouders zijn stilletjes begonnen met het integreren van de voorbereiding op kwantumcomputing in hun toezicht. Een rapport van het Amerikaanse Office of the Comptroller of the Currency (OCC) uit juli 2025 adviseerde banken dat, hoewel een brede implementatie van kwantumcomputing "waarschijnlijk niet op korte termijn beschikbaar zal zijn", ze zich bewust moeten zijn van de risico's en moeten overwegen hoe ze de ontwikkelingen in kwantumcomputing effectief kunnen monitoren bij het beheren van toekomstige investeringen in infrastructuur. In de praktijk betekent dit dat bankinspecteurs verwachten dat instellingen kwantumrisico's meenemen in hun strategische technologieplanning , bijvoorbeeld door ervoor te zorgen dat nieuwe systemen crypto-flexibel zijn en door budget vrij te maken voor PQC-upgrades.

Zelfs het Amerikaanse ministerie van Financiën heeft deze zorg geuit; de Cyber ​​Expert Group van het ministerie (binnen de G7-context) benadrukte het belang van het monitoren van kwantumontwikkelingen en het nu al starten met planningsinspanningen. Kortom, de financiële sector staat onder toenemende druk om kwantumparaatheid te beschouwen als onderdeel van operationele veerkracht. Vooruitstrevende banken inventariseren hun cryptografie al en voeren proof-of-concepts uit met PQC. Wachten tot regelgeving een overstap verplicht stelt, kan riskant zijn, gezien de lange tijd die gemoeid is met het vervangen van cryptografische systemen in wereldwijde financiële netwerken.

Gezondheidszorg: bescherming van patiëntgegevens en apparaten

De gezondheidszorgsector, van ziekenhuizen tot fabrikanten van medische apparatuur, staat voor een unieke dubbele uitdaging: het beschermen van zeer gevoelige persoonsgegevens en het waarborgen van de veiligheid en effectiviteit van levensreddende apparaten. Beide aspecten staan ​​op het spel in de context van kwantumdreigingen, en toezichthouders beginnen hierop te reageren. Een treffend voorbeeld hiervan was de update van de richtlijnen voor cyberbeveiliging van medische apparaten door de Amerikaanse Food and Drug Administration (FDA) in 2023. De FDA-richtlijnen voor cyberbeveiliging vóór marktintroductie uit 2023 vereisen expliciet dat fabrikanten zorgen voor cryptografische flexibiliteit gedurende de gehele gebruiksduur van het product en bieden een redelijke garantie dat apparaten gedurende hun levenscyclus veilig kunnen worden gehouden.

Op grond van artikel 524B van de FD&C Act (zoals gewijzigd door recente wetgeving) kan de FDA zelfs goedkeuringen weigeren voor nieuwe medische hulpmiddelen die niet voldoen aan de cybersecurity-eisen. Specifiek kan de FDA het gebruik van verouderde cryptografische algoritmen of het ontbreken van een toekomstgericht upgradeplan als reden voor afwijzing aanvoeren. In de praktijk betekent dit dat als een medisch hulpmiddel momenteel uitsluitend is gebouwd op RSA of ECC zonder een toekomstgerichte upgrade naar PQC, de FDA het mogelijk niet op de markt zal toelaten.

Branche-insiders melden inderdaad dat sommige apparaatinzendingen al zijn afgekeurd of vertraagd vanwege cryptografische tekortkomingen , zoals het gebruik van verouderde algoritmen of het niet documenteren van sleutelbeheer- en updateprocessen. CISO's en leiders op het gebied van productbeveiliging in de gezondheidszorg moeten hier rekening mee houden: cryptografische flexibiliteit en PQC-planning zijn vanuit compliance-oogpunt niet langer optioneel , maar worden een verwacht onderdeel van due diligence.

Wetgeving inzake privacy van zorggegevens speelt ook een impliciete rol bij de overwegingen rondom patiëntkwaliteitscontrole (PQC). HIPAA schrijft bijvoorbeeld de bescherming van elektronische gezondheidsinformatie voor; hoewel er geen specifieke encryptiealgoritmen worden genoemd, vereist de wet in feite dat alle versleutelde ePHI vertrouwelijk blijft. Als kwantumcomputers de encryptie van jarenlang opgeslagen patiëntendossiers bedreigen, kunnen zorginstellingen te maken krijgen met nalevings- en aansprakelijkheidsproblemen bij datalekken als ze niet tijdig overstappen op sterkere cryptografie.

De lange bewaartermijnen van medische dossiers (vaak tientallen jaren of een leven lang) betekenen dat gestolen zorggegevens nog steeds gevoelig kunnen zijn wanneer kwantumaanvallen zich voordoen . Dit roept het spookbeeld op van toekomstige schendingen van de privacy via tactieken waarbij gegevens nu worden verzameld en later worden gedecodeerd. Het Amerikaanse ministerie van Volksgezondheid en Sociale Zaken (HHS) erkent deze risico's en heeft het advies van CISA/NSA voor kritieke infrastructuur overgenomen. In een gezamenlijk factsheet uit 2023 (gericht op alle kritieke sectoren, waaronder de gezondheidszorg en de volksgezondheid) werden organisaties aangespoord om zich nu al voor te bereiden door middel van het opstellen van routekaarten voor kwantumparaatheid, het uitvoeren van cryptografische inventarisaties en het betrekken van leveranciers bij PQC-ondersteuning.

Daarnaast vergroten organisaties in de gezondheidszorg de bewustwording. Het Health-ISAC (Health Information Sharing & Analysis Center) publiceerde inzichten die quantum computing omschrijven als een "komende crisis in de gezondheidszorg op het gebied van cyberaanvallen". Ze merkten op dat de technologie "de potentie heeft om de traditionele encryptietechnologieën die worden gebruikt om cyberaanvallen in de gezondheidszorg te voorkomen, te doorbreken." Hun richtlijnen suggereren stappen voor zorgprofessionals om cyberaanvallen door quantum computing te voorkomen, zoals het updaten van cryptografische systemen en investeren in nieuwe vaardigheden en technologieën. Vooral fabrikanten van medische apparatuur wordt geadviseerd om tijdig actie te ondernemen.

Zoals een cybersecuritybedrijf in de medische sector het verwoordde: "Nu NIST zich ertoe heeft verbonden om niet-kwantumresistente cryptografie tegen 2030 uit te faseren, moeten [fabrikanten van medische apparaten] nu actie ondernemen om productvertragingen, kostbare herontwerpen of risico's op de lange termijn te voorkomen." Toonaangevende fabrikanten implementeren cryptografische materiaallijsten (CBOM's) , in feite een inventaris van alle cryptografische componenten in een apparaat, inclusief de gereedheid voor PQC (Product Quality Control), om de goedkeuring door regelgevende instanties en interne upgrades te stroomlijnen. Kortom, regelgevende instanties en belanghebbenden in de gezondheidszorg beschouwen kwantumbestendigheid steeds meer als onderdeel van patiëntveiligheid en gegevensbescherming . Net zoals men een kritieke softwarekwetsbaarheid verhelpt, moet men de "kwantumkwetsbaarheid" in encryptie verhelpen voordat deze kan worden misbruikt.

Routekaart voor PQC-gereedheid: een strategische aanpak

De dreiging van kwantumcomputing kan ontmoedigend lijken, maar CISO's kunnen deze aanpakken met een gestructureerde, strategische aanpak. Een PQC-gereedheidsbeoordeling in 2025 moet leiden tot een meerjarenplan voor migratie. Hieronder vindt u een raamwerk dat cybersecurityleiders in de financiële sector, de gezondheidszorg en andere sectoren kunnen volgen:

1. Creëer bewustzijn en draagvlak bij het management

   Begin met het informeren van stakeholders en het senior management over het kwantumrisico en waarom actie nu nodig is, en niet later. Presenteer de geloofwaardige tijdlijnen (bijv. de deadlines van NIST voor 2030/2035, het mandaat van de NSA voor 2033, analisten die een mogelijke Q-day binnen ~5-10 jaar voorspellen) en het concept "nu oogsten, later ontcijferen" om de huidige blootstelling te illustreren. Kwantumrisico moet worden gepresenteerd als een operationele veerkrachtkwestie die vergelijkbaar is met andere bedrijfsrisico's. Door draagvlak te creëren binnen het management, zorgt u ervoor dat u over de nodige middelen en urgentie binnen de hele organisatie beschikt.

2. Cryptografische inventaris (‘Weet wat je hebt’)

   Je kunt niet repareren wat je niet ziet. Vorm een ​​projectteam om alle systemen, applicaties en apparaten te identificeren die afhankelijk zijn van kwantum-kwetsbare cryptografie. Dit omvat elk gebruik van RSA, Diffie-Hellman, ECC (ECDH/ECDSA), DSA of andere asymmetrische algoritmen in je omgeving. Vergeet ook minder voor de hand liggende zaken niet, zoals VPN-apparaten, partnernetwerkverbindingen, codeondertekeningscertificaten, client-side applicaties, IoT-apparaten, medische apparatuur, enzovoort.

   Inventariseer ook dataopslag: welke versleutelde gegevens bewaart u en hoe lang moeten deze veilig blijven? NIST, CISA en NSA benadrukken het opstellen van deze inventarisatie als eerste stap, omdat organisaties zich vaak niet bewust zijn van de omvang van hun cryptografische afhankelijkheden. Overweeg een Cryptografische Bill of Materials (CBOM) te ontwikkelen voor kritieke systemen, waarin elke cryptografische component, sleutellengte en de PQC-gereedheidsstatus wordt gedocumenteerd. Deze inventarisatie vormt de basis voor risicobeoordeling en migratieplanning.

3. Beoordeel risico's en stel prioriteiten

   Niet alle crypto-exposure is gelijk. Analyseer de inventaris om te bepalen welke systemen en data het meest kritisch zijn om als eerste aan te pakken. Belangrijke factoren zijn onder andere de gevoeligheid en de vereiste levensduur van de data (bijv. vertrouwelijke patiëntgegevens die tientallen jaren nodig zijn, of financiële transactiegegevens die onderworpen zijn aan wetgeving inzake langdurige geheimhouding), het kritische karakter van de systeemfunctie (bijv. een systeem dat realtime betalingen of levensondersteunende apparaten ondersteunt, heeft een bijna nultolerantie voor beveiligingsfouten) en de haalbaarheid en impact van een upgrade van dat systeem. Deze risicogebaseerde visie helpt bij het prioriteren van wat als eerste naar PQC moet worden overgezet.

   Een financiële instelling kan bijvoorbeeld prioriteit geven aan het beveiligen van interbancaire communicatieverbindingen en vertrouwelijke archieven van cliëntgegevens, terwijl een ziekenhuis zich kan richten op elektronische patiëntendossierdatabases en communicatieprotocollen voor pacemakers. Houd ook rekening met risico's van derden: neem contact op met leveranciers en partners om inzicht te krijgen in hun crypto-roadmaps (bieden ze PQC-compatibele versies of upgrades aan?). Toezichthouders bevelen dergelijke samenwerking aan; organisaties zouden "contacten met leveranciers in de toeleveringsketen" moeten opnemen als onderdeel van de planning voor quantum readiness.

4. Ontwikkel een routekaart voor kwantumgereedheid

   Stel, zodra de prioriteiten zijn vastgesteld, een formele migratieroadmap op. Deze moet tijdlijnen, mijlpalen en resourceplannen bevatten voor de implementatie van PQC-oplossingen. Veel instanties stellen voor om een ​​cross-functioneel projectteam (crypto-experts, IT-architecten, risicomanagers, compliance officers) op te richten om deze inspanning te begeleiden. De roadmap kan verschillende fasen omvatten, waaronder testen (bijv. een pilot met PQC-geschikte VPN of e-mailversleuteling in 2025-26), dual-use en interoperabiliteit (het parallel of in hybride modus uitvoeren van kwantumveilige algoritmen met klassieke algoritmen) en volledige transitie op de streefdata (bijv. ruim vóór 2030 voor waardevolle activa).

   Wacht niet op een perfecte oplossing, maar plan iteraties. U kunt bijvoorbeeld in de tussentijd hybride cryptografie (klassiek + PQC) implementeren als pure PQC-ondersteuning nog niet in alle producten beschikbaar is. Zorg voor een noodvoorziening voor updates naarmate de standaarden evolueren (bijvoorbeeld als NIST nieuwe algoritmen toevoegt of de prestaties van PQC verbeteren). Het plan moet aansluiten op eventuele externe mandaten. Als u bijvoorbeeld actief bent in de Amerikaanse publieke sector, richt u zich dan op de deadline van 2035; in de EU moet u rekening houden met de doelstelling voor kritieke infrastructuur voor 2030.

5. Investeer in cryptografische flexibiliteit

   Een belangrijk principe in uw roadmap moet crypto-flexibiliteit door ontwerp zijn. Dit betekent dat systemen en applicaties zo gebouwd moeten worden dat algoritmen met minimale verstoring kunnen worden gewijzigd. Gebruik modulaire cryptografische bibliotheken en API's die het algoritme abstraheren (zodat u bijvoorbeeld RSA kunt vervangen door Kyber zonder het hele systeem te hoeven aanpassen). Als u intern ontwikkelde software hebt, werk deze dan bij om moderne crypto-frameworks te gebruiken die PQC-algoritmen ondersteunen of die hiervoor uitgebreid kunnen worden. Zorg ervoor dat sleutelbeheersystemen en hardwarebeveiligingsmodules (HSM's) compatibel zijn met grotere sleutels en verschillende algoritmetypen. Sommige oudere HSM's vereisen mogelijk upgrades of vervangingen om PQC te ondersteunen.

   Crypto-flexibiliteit omvat ook operationele processen. Zorg ervoor dat u nieuwe sleutels en certificaten op grote schaal kunt distribueren wanneer de tijd rijp is (certificaatbeheer is cruciaal naarmate algoritmen veranderen). Volgens FS-ISAC is het behandelen van crypto-flexibiliteit als een doorlopende mogelijkheid de enige manier om bedrijfscontinuïteit te garanderen wanneer bestaande cryptografie wordt gecompromitteerd of verzwakt. Dit maakt uw infrastructuur toekomstbestendig, niet alleen tegen kwantumfouten, maar tegen elke cryptofout.

6. Implementeren en testen van PQC-oplossingen

   Begin met de gefaseerde uitrol van kwantumveilige oplossingen. Begin met niet-productieomgevingen of omgevingen met een laag risico om integratie, prestaties en interoperabiliteit te testen. Een bank kan bijvoorbeeld een PQC-compatibele TLS-coderingssuite implementeren in een testomgeving tussen twee interne applicaties, waarbij de impact op latentie en doorvoer wordt gemeten. Een IT-team van een ziekenhuis zou een prototype kunnen testen van een PQC-beveiligde telemetrieverbinding voor medische IoT-apparaten. Testen moet rekening houden met bekende uitdagingen van PQC, zoals grotere sleutelgroottes en een zwaardere rekenkracht. (Veel PQC-algoritmen, met name lattice-gebaseerde algoritmen, gebruiken grotere sleutels en signaturen dan RSA/ECC, wat van invloed kan zijn op de netwerkbandbreedte en de opslagcapaciteit van apparaten.) Identificeer eventuele knelpunten vroegtijdig.

   Het is ook verstandig om fallbackmechanismen te testen: als een partnersysteem bijvoorbeeld niet PQC-gereed is, kan uw communicatie dan veilig terugvallen op klassieke encryptie, of een hybride modus gebruiken? Blijf itereren op implementaties – begin bijvoorbeeld met het standaard beveiligen van nieuwe systemen of applicaties met PQC (de zogenaamde "cryptodiversiteit"), terwijl u bestaande systemen geleidelijk in prioriteitsvolgorde aanpast.

7. Monitor normen en actualiseer nalevingsgedrag

   Het PQC-landschap zal zich in de jaren 2020 verder ontwikkelen. Stel iemand (of een team) aan om de ontwikkelingen in standaarden, regelgeving en bedreigingen te volgen. Dit betekent dat u de updates van NIST (bijv. nieuwe FIPS-standaarden, speciale publicaties van NIST over PQC-migratie) moet volgen, moet letten op ISO/IEC- of ETSI-standaarden waaraan u mogelijk moet voldoen (vooral als u internationaal actief bent) en moet luisteren naar sectorspecifieke toezichthouders. Voor de financiële sector kunnen dit instanties zoals de SEC, FFIEC of centrale banken zijn als zij richtlijnen uitvaardigen over quantum readiness. Voor de gezondheidszorg moet u FDA-updates, HHS/OCR-richtlijnen of zelfs wijzigingen in HIPAA/HITRUST-vereisten met betrekking tot encryptie in de gaten houden.

   Houd ook de dreigingsinformatie in de gaten: zijn er tekenen dat tegenstanders hun quantumonderzoek opvoeren of dat een kleinere quantumcomputer een RSA-1024-sleutel in een laboratorium heeft kunnen kraken? Door u hiervan bewust te zijn, kunt u uw planning aanpassen, bijvoorbeeld door bepaalde migraties te versnellen als de quantumcomputer dichterbij lijkt dan verwacht. Toezichthouders zullen de eisen waarschijnlijk aanscherpen naarmate we 2030 naderen; vooroplopen zorgt niet alleen voor naleving, maar kan ook een onderscheidend vermogen zijn (door aan cliënten/patiënten te laten zien dat u vooroploopt op het gebied van beveiliging).

8. Samenwerken en kennis delen

   Erken ten slotte dat de PQC-transitie een ecosysteemprobleem is. Neem deel aan branchefora (zoals FS-ISAC voor de financiële sector of Health-ISAC voor de gezondheidszorg) om ervaringen en oplossingen te delen. Samenwerking helpt een gefragmenteerde aanpak te voorkomen, waarbij iedereen dezelfde problemen in silo's oplost. Publiek-private partnerschappen ontstaan ​​om de kwantumtransitie aan te pakken; zo hebben het Amerikaanse ministerie van Binnenlandse Veiligheid en het NIST initiatieven via het National Cybersecurity Center of Excellence (NCCoE) om migratiehandboeken en -tools te ontwikkelen.

   De Europol QSFF adviseerde een vrijwillig kader tussen toezichthouders en de private sector om de inspanningen te coördineren in plaats van te wachten op strikte mandaten. Maak gebruik van deze middelen. Door samen te werken, kunnen financiële instellingen er bijvoorbeeld voor zorgen dat betalingsnetwerken en banken synchroon migreren, en kunnen zorginstellingen leveranciers (EPD-systemen, fabrikanten van apparatuur) ertoe aanzetten om kwantumveilige oplossingen binnen een redelijk tijdschema te leveren. Iedereen profiteert van een veiliger cryptografisch ecosysteem.

Hoe kan EC de PQC-transitie ondersteunen?

Als u zich afvraagt ​​waar en hoe u uw reis na het kwantumtijdperk kunt beginnen, staat Encryption Consulting voor u klaar. U kunt op ons rekenen als uw betrouwbare partner en wij begeleiden u bij elke stap met duidelijkheid, vertrouwen en praktijkervaring.

Cryptografische ontdekking en inventarisatie

Dit is de fundamentele fase waarin we inzicht creëren in uw bestaande cryptografische infrastructuur. We identificeren welke systemen risico lopen door kwantumdreigingen en beoordelen hoe gereed uw huidige configuratie is, inclusief uw PKI, HSM's en applicaties. Het doel is om te identificeren welke cryptografische assets er zijn, waar ze worden gebruikt en hoe kritisch ze zijn. Uitgebreide scan van certificaten, cryptografische sleutels, algoritmen, bibliotheken en protocollen in uw IT-omgeving, inclusief endpoints, applicaties, API's, netwerkapparaten, databases en embedded systemen.

Identificatie van alle systemen (on-premises, cloud, hybride) die gebruikmaken van cryptografie, zoals authenticatieservers, HSM's, load balancers, VPN's en meer. Verzamelen van belangrijke metadata, zoals algoritmetypen, sleutelgroottes, vervaldata, uitgiftebronnen en certificaatketens. Het opzetten van een gedetailleerde inventarisatiedatabase van alle cryptografische componenten als basis voor risicobeoordeling en -planning.

PQC-beoordeling

Zodra er inzicht is verkregen, voeren we interviews met belangrijke stakeholders om het cryptografische landschap te beoordelen op kwantumkwetsbaarheden en te evalueren hoe goed uw omgeving is voorbereid op de PQC-transitie. We analyseren cryptografische elementen op blootstelling aan kwantumdreigingen, met name die welke afhankelijk zijn van RSA, ECC en andere algoritmen die binnenkort mogelijk gekraakt zullen worden. We beoordelen hoe Public Key Infrastructure (PKI) en Hardware Security Modules ( HSM's) zijn geconfigureerd en of ze integratie met post-kwantumalgoritmen ondersteunen. We analyseren applicaties op hardgecodeerde cryptografische afhankelijkheden en identificeren die welke refactoring vereisen. We leveren een gedetailleerd rapport met een inventaris van kwetsbare cryptografische assets, risico-ernstclassificaties en een prioritering voor migratie.

PQC-strategie en routekaart

Nadat de risico's zijn geïdentificeerd, werken we samen met u aan de ontwikkeling van een gefaseerde migratiestrategie op maat die aansluit bij uw zakelijke, technische en wettelijke vereisten. We creëren een PQC-implementatiestrategie op maat die aansluit bij uw risicobereidheid, best practices in de branche en toekomstbestendige behoeften. We ontwerpen systemen en workflows die een eenvoudige overstap van cryptografische algoritmen ondersteunen naarmate standaarden evolueren. We actualiseren beveiligingsbeleid, procedures voor sleutelbeheer en interne complianceregels om te voldoen aan de aanbevelingen van NIST en NSA (CNSA 2.0). We stellen een stapsgewijze migratieroadmap op met korte-, middellange- en langetermijndoelen, onderverdeeld in beheersbare fasen zoals pilot, hybride implementatie en volledige implementatie.

Leveranciersevaluatie en proof of concept

In deze fase helpen we u bij het identificeren en testen van de juiste tools, technologieën en partners die uw post-quantumdoelen kunnen ondersteunen. We helpen u bij het definiëren van technische en zakelijke vereisten voor RFI's/RFP's, inclusief algoritmeondersteuning, integratiecompatibiliteit, prestaties en leveranciersvolwassenheid. We identificeren topleveranciers die PQC-compatibele PKI, sleutelbeheer en cryptografische oplossingen aanbieden. We voeren PoC-tests uit in geïsoleerde omgevingen om de prestaties, het integratiegemak en de algehele geschiktheid voor uw use cases te evalueren. We leveren een matrix met leveranciersvergelijkingen en een aanbevelingsrapport op basis van praktijkgerichte PoC-bevindingen.

Pilottesten en opschaling

Vóór de volledige implementatie valideren we alles via gecontroleerde pilots om de haalbaarheid in de praktijk te garanderen en de verstoring van de bedrijfsvoering te minimaliseren. We testen de nieuwe cryptografische modellen in een sandbox- of niet-productieomgeving, meestal voor één of twee applicaties. We valideren de interoperabiliteit met bestaande systemen, afhankelijkheden van derden en legacy-componenten. We verzamelen feedback van IT-teams, beveiligingsarchitecten en business units om het plan te verfijnen. Zodra alles succesvol is getest, ondersteunen we een soepele, schaalbare uitrol, waarbij we legacy-cryptografische algoritmen stapsgewijs vervangen, verstoringen minimaliseren en ervoor zorgen dat systemen veilig en compliant blijven. We blijven de prestaties monitoren en bieden continue optimalisatie om uw quantumverdediging sterk, efficiënt en toekomstbestendig te houden.

PQC-implementatie

Zodra het plan klaar is, is het tijd om het in de praktijk te brengen. Dit is de laatste fase waarin we de volledige migratie uitvoeren en PQC integreren in uw live-omgeving, terwijl we compliance en continuïteit garanderen. We implementeren hybride modellen die klassieke en kwantumveilige algoritmen combineren om achterwaartse compatibiliteit tijdens de transitie te behouden. We implementeren PQC-ondersteuning voor uw PKI, applicaties, infrastructuur, cloudservices en API's. We bieden praktische training voor uw teams en gedetailleerde technische documentatie voor doorlopend onderhoud. We zetten monitoringsystemen en levenscyclusbeheerprocessen op om de cryptografische status te volgen, afwijkingen te detecteren en toekomstige upgrades te ondersteunen.

De overstap naar kwantumveilige cryptografie is een grote stap, maar u hoeft deze niet alleen te zetten. Met Encryption Consulting aan uw zijde beschikt u over de juiste begeleiding en expertise om een ​​robuuste, toekomstbestendige beveiligingsstrategie te ontwikkelen. Neem contact met ons op via [email protected] en laat ons een routekaart op maat maken die aansluit op de specifieke behoeften van uw organisatie.

Conclusie: nu al zorgen voor toekomstbestendige beveiliging

In de cybersecuritywereld wegen professionals vaak directe bedreigingen (malware, ransomware, zero-day exploits) af tegen strategische risico's op de lange termijn. Kwantumcomputing is mogelijk het ultieme strategische risico ; het is een dreigende paradigmaverschuiving die de betekenis van "veilig" zal herdefiniëren. Het jaar 2025 markeert een cruciaal moment: we beschikken over voldoende informatie en instrumenten om actie te ondernemen (met NIST-normen, bewezen PQC-algoritmen en duidelijke overheidsplannen), maar we hebben ook een beperkte tijd voordat het risico zich daadwerkelijk voordoet.

Voor CISO's en beveiligingsleiders, met name in de financiële sector en de gezondheidszorg, moet paraatheid na een kwantumcrisis een prioriteit worden, naast de huidige dreigingen. Zoals een leidinggevende in de sector opmerkte: "kwantumrisico is een kwestie van operationele veerkracht, geen probleem voor de verre toekomst. Net zoals ransomware en AI-gestuurde dreigingen onmiddellijke actie vereisen, geldt dat ook voor paraatheid na een kwantumcrisis."

Organisaties die nu beginnen met hun PQC-beoordeling en -migratie, zijn veel beter gepositioneerd om chaos en hoge kosten in de toekomst te voorkomen. Tegen 2030 zullen toezichthouders waarschijnlijk naleving van kwantumveilige standaarden verwachten. De koplopers zullen soepel aan die verwachtingen voldoen, terwijl achterblijvers in de problemen komen. Bovendien beginnen klanten en partners te vragen naar crypto-flexibiliteit en kwantumplannen als onderdeel van due diligence. Aantonen dat uw bank of zorginstelling een geloofwaardige, kwantumveilige crypto-roadmap heeft, kan het vertrouwen en de reputatie versterken. Aan de andere kant kan het negeren van dit probleem betekenen dat gegevens die u veilig achtte (de financiële gegevens van uw klanten, de gezondheidsinformatie van uw patiënten) over tien jaar door tegenstanders kunnen worden gedecodeerd, met rampzalige gevolgen voor privacy en vertrouwen.

Samenvattend hebben organisaties in 2025 een PQC-beoordeling nodig, omdat de kwantumdreiging niet langer hypothetisch is en de verdedigingsoplossingen voorhanden zijn. Het risico voor de huidige cryptografie is existentieel, maar met een zorgvuldige planning – geleid door standaarden, gestimuleerd door regelgeving en uitgevoerd met een strategische focus – kunnen we crypto-flexibiliteit en kwantumbestendige beveiliging bereiken voordat het te laat is.

De overgang naar post-kwantumcryptografie is een complexe reis, maar het is ook een kans: een kans om onze cryptografische fundamenten te versterken, systemen te moderniseren en ervoor te zorgen dat de cruciale gegevens van onze financiële en gezondheidszorgsystemen niet alleen vandaag, maar ook in de komende decennia veilig blijven. Zoals het gezegde luidt: "De beste tijd om een ​​boom te planten was 20 jaar geleden; de op één na beste tijd is nu." Hetzelfde geldt voor het zaaien van de zaden van kwantumveilige beveiliging; het is nu, in 2025, tijd om actie te ondernemen en onze organisaties te beschermen tegen de kwantumtoekomst.