De cryptografische klif van 2026: vijf deadlines die tegelijk samenkomen

Kort antwoord: De cryptografische klif van 2026 is het gevolg van de samenloop van vier regelgevende krachten die binnen ongeveer achttien maanden na elkaar van kracht worden: de Amerikaanse Executive Order 14412 (federale deadlines voor 2030/2031), de gecoördineerde PQC-routekaart van de EU (cryptografische inventarissen tegen eind 2026), de EU Cyber ​​Resilience Act (machineleesbare componentinventarissen vanaf december 2027) en NIST IR 8547 (het uitfaseren van RSA en ECC na 2030). Het is belangrijk omdat al deze raamwerken beginnen met dezelfde eerste vereiste: een complete, machineleesbare cryptografische inventaris. De meeste organisaties beschikken echter alleen over een certificaatinventaris die geen rekening houdt met cryptografie die verborgen zit in de broncode, hardgecodeerde sleutels en slapende systemen. De aanbevolen werkwijze is om die inventaris eenmalig op te bouwen als een CBOM (cryptografische stuklijst) in een standaardformaat zoals CycloneDX, aangezien dit voldoet aan de openingsvereiste van alle vier de frameworks tegelijk en de basis vormt voor elke latere migratie- en auditstap.

Vier regelgevers, twee continenten, één eis. Binnen achttien maanden komen de Amerikaanse Executive Order 14412, ondertekend in juni 2026; de EU Cyber ​​Resilience Act, die vanaf december 2027 van kracht wordt; de door de EU gecoördineerde post-kwantumroutekaart, die tegen eind 2026 cryptografische inventarissen vereist; en NIST IR 8547, die na 2030 begint met het uitfaseren van RSA en elliptische-curve-cryptografie, allemaal uit op dezelfde beginvereiste.

Voordat ze je vragen een systeem te migreren of compliance aan te tonen, vragen ze allemaal eerst hetzelfde: een complete, machineleesbare inventaris van de cryptografie die je bedrijf daadwerkelijk gebruikt. De meeste organisaties kunnen dat niet leveren. Ze kunnen de TLS-certificaten op hun loadbalancers wel opsommen. Maar ze kunnen je niet vertellen welk algoritme is vastgelegd in een betaaldienst die in 2015 is gelanceerd, of welke sleutels gegevens beschermen die nog tien jaar vertrouwelijk moeten blijven.

Die kloof tussen de cryptografie die je kunt zien en de cryptografie waar je van afhankelijk bent, vormt de kern van de cryptografische afgrond van 2026.

Wat is de cryptografische klif van 2026?
De "cryptografische klif van 2026" is de periode waarin verschillende cryptografische uitdagingen – post-kwantumvereisten, regionale routekaarten, regelgeving inzake productbeveiliging en het uitfaseren van algoritmen – tegelijkertijd op organisaties inwerken, in plaats van na elkaar. Ze hebben één gemeenschappelijke eerste taak: een cryptografische inventarisatie, en ze concurreren om hetzelfde kleine team.

Kort samengevat komen de vijf krachten als volgt neer: de Amerikaanse Executive Order 14412 stelt federale deadlines voor de post-quantumfase vast op 2030 en 2031, plus een FIPS-regel voor contractanten. De door de EU gecoördineerde PQC-routekaart vraagt ​​om cryptografische inventarisaties tegen eind 2026, systemen met een hoog risico tegen 2030 en een volledige transitie tegen 2035.

De EU-verordening inzake cyberveiligheid vereist vanaf december 2027 inventarisaties van machineleesbare componenten, met het CBOM als mechanisme. NIST IR 8547 verbiedt kwantumkwetsbare algoritmen na 2030. De eerste stap in al deze procedures is een cryptografische inventarisatie.

Key Takeaways

• De deadlines overlappen elkaar, waardoor je de ene niet kunt afronden voordat de volgende aanbreekt. Het probleem zit hem in de samenloop van deadlines, niet in één specifieke datum.
• Voor lang bewaarde geheimen ligt de deadline voor migratie feitelijk al achter ons, omdat alles wat je vandaag versleutelt, nu al kan worden onderschept en later weer kan worden ontsleuteld.
• Elk framework begint met hetzelfde verzoek: een cryptografische inventaris. Bouw het één keer en je beantwoordt de eerste vraag in alle frameworks.
• De meeste organisaties hebben al een inventaris. Dat is een certificateninventaris, en die laat de cryptografie die verborgen zit in broncode, sleutels en slapende systemen buiten beschouwing.
• De tijdlijnen van de VS en de EU verschillen. Executive Order 14412 wijst op 2030 en 2031; de EU wijst op eind 2026, december 2027, 2030 en 2035.
• Dit is nu een risico op bestuursniveau, geen curiositeit meer voor in het laboratorium. Apple, Google, Cloudflare en Signal implementeren al post-kwantumcryptografie, en enquêtes onder experts plaatsen een cryptografisch relevante kwantumcomputer ergens tussen 2033 en 2037.

Waarom "klif" en niet "helling"?

Een hellingbaan is iets wat je in je eigen tempo beklimt. Je rondt de ene verplichting af, komt even op adem en begint aan de volgende. Regulatoren hebben jarenlang op die manier, één voor één, eisen op het gebied van cryptografie opgelegd, en beveiligingsteams hebben geleerd om die eisen in een gestaag tempo te verwerken.

2026 doorbreekt de gebruikelijke gang van zaken. Vier sets verplichtingen volgen elkaar nu zo snel op dat je ze niet meer soepel kunt sequentiëren, en ze doen een beroep op dezelfde middelen. De persoon die je post-quantummigratieplan voor Executive Order 14412 opstelt, is dezelfde persoon die de machineleesbare inventaris voor de Cyber ​​Resilience Act moet produceren , en diezelfde persoon zal door je auditors worden ondervraagd over NIST IR 8547. Een multinational die zowel in de VS als in de EU actief is, heeft niet te maken met vier projecten. Het bedrijf heeft te maken met vier deadlines die op één team gericht zijn.

De klif is niet één specifieke datum op de kalender. Het zijn er vier die arriveren, terwijl je maar genoeg personeel hebt om er één te beklimmen.

De deadline die al verstreken is

Dit is het onderdeel dat in de meeste berichtgeving over deze regelgeving wordt overgeslagen, omdat het niet in een compliancekalender past.

Onder al deze deadlines loopt een klok die zonder aankondiging is gaan tikken. Aanvallers kunnen uw versleutelde verkeer vandaag nog kopiëren en opslaan totdat er een cryptografisch geschikte kwantumcomputer bestaat om het te ontcijferen. De industrie noemt dit " nu oogsten, later decoderen ", en het verandert de betekenis van een deadline volledig.

Voer de berekening uit met uw eigen gegevens. Kies iets dat tien jaar lang vertrouwelijk moet blijven: een patiëntendossier, een geheim contract, een sleutel voor langdurig gebruik. Ga er nu vanuit dat er ergens begin jaren 2030 een krachtige kwantumcomputer op de markt komt, wat ongeveer overeenkomt met de meeste publieke schattingen.

Alles wat dat tien jaar oude geheim vandaag de dag beschermt met RSA- of elliptische-curve-cryptografie, is al blootgesteld, omdat de versleutelde tekst nu al kan worden onderschept en gedecodeerd zodra de machine weer werkt. Voor data met een lange levensduur is de eerlijke migratiedeadline niet 2030, maar de dag waarop je de data voor het eerst versleutelde.

Die herinterpretatie is de reden waarom toezichthouders hun klokken op die manier hebben ingesteld, en het is ook de reden waarom het beschouwen van 2030 als een comfortabel ver weg gelegen jaar de meest kostbare inschatting van de situatie is. De systemen die uw meest gevoelige en langst bewaarde gegevens beschermen, moesten als eerste worden aangepast, en dat doen ze meestal het langzaamst.

De migratie is al begonnen, met of zonder jou.

Als de overgang naar het post-kwantumtijdperk nog steeds abstract aanvoelt, kijk dan eens naar wat de infrastructuur waarop uw bedrijf draait al doet. De post-kwantumtransitie hield in augustus 2024 op een onderzoeksonderwerp te zijn, toen NIST zijn eerste standaarden afrondde: FIPS 203 (ML-KEM) voor sleuteluitwisseling, en FIPS 204 ( ML-DSA ) en FIPS 205 ( SLH-DSA ) voor digitale handtekeningen. Met concrete standaarden in handen, gingen de grootste spelers over op deze aanpak.

Google levert nu gestandaardiseerde ML-KEM mee in Chrome en heeft publiekelijk als doel gesteld om zijn eigen systemen tegen 2029 te beveiligen voor het kwantumtijdperk. Cloudflare verwerkt een groeiend deel van zijn TLS-verkeer via hybride post-kwantum sleuteluitwisseling en breidt dit uit over zijn netwerk. Apple heeft de sleutelovereenkomst van iMessage opnieuw opgebouwd rond een post-kwantumprotocol dat het PQ3 noemt, en Signal heeft ML-KEM toegevoegd aan zijn handshake met PQXDH.

Het patroon is consistent en verdient het om op managementniveau begrepen te worden: hybride sleuteluitwisseling, een klassiek algoritme zoals X25519 in combinatie met ML-KEM-768, waardoor een zwakte in een van beide op zich de sessie niet verbreekt. De infrastructuur van het internet verschuift onder ieders voeten, en dat gebeurt jaren vóór de wettelijke deadlines.

De dreigingskant is parallel daaraan versterkt. De meest recente enquête van experts van het Global Risk Institute plaatst de waarschijnlijke komst van een cryptografisch relevante kwantumcomputer, gedefinieerd als een computer die RSA in ongeveer een dag zou kunnen kraken, in de periode 2033 tot 2037, en schat de kans daarop binnen tien jaar op het hoogste niveau in de geschiedenis van de enquête.

Financiële instellingen en het World Economic Forum beschouwen de gereedheid voor een kwantummigratie nu als een risico op bestuursniveau. Geen van deze data is zeker, en dat is precies het probleem waar u mee worstelt: een meerjarige migratie met een budget en een deadline die niemand kan vaststellen, waarbij te laat beginnen de enige fout is die u niet meer kunt herstellen.

Het lastige zit hem niet in de algoritmes. Die heeft NIST al geleverd. Het lastige is om binnen je eigen organisatie alle plekken te vinden waar de oude algoritmes nog steeds draaien.

De vijf convergerende krachten (de kaart)

Lees de frameworks naast elkaar, en de convergentie verliest zijn abstractievermogen. Vier ervan beginnen met een vrijwel identieke vraag, en de vijfde bepaalt de technische tijdsspanne waarop de andere frameworks draaien.

Dwingen	Het eerste wat het van je vraagt ​​is...	Dichtstbijzijnde datum
Amerikaans uitvoeringsbesluit 14412	Inventarisatie uitvoeren en vervolgens federale systemen migreren; aannemers voldoen aan de FIPS-normen met PQC.	2030 / 2031
EU PQC-routekaart	Nationale strategie plus een cryptografische inventaris als eerste stap	Einde van 2026
EU-wet inzake cyberweerbaarheid	Een machineleesbare componentenlijst; de CBOM is de cryptografische laag.	Vanaf 2027 dec.
NIS2-uitvoeringsverordening 2024/2690	Documenteer de hardware- en softwarecomponenten voor de entiteiten die binnen het toepassingsgebied vallen.	Van kracht
NIST-IR 8547	Weet welke verouderde algoritmen je gebruikt en schakel ze uit.	Na 2030, niet toestaan ​​dat het in 2035 gebeurt.

Executive Order 14412, "Securing the Nation Against Advanced Cryptographic Attacks", werd op 22 juni 2026 ondertekend. Deze order verdeelt de federale transitie in twee fasen: post-quantum sleutelgeneratie vóór 31 december 2030 en post-quantum authenticatie vóór 31 december 2031. De order draagt ​​de Federal Acquisition Regulatory Council (FARC) tevens op een regelgeving op te stellen die contractanten verplicht om vóór eind 2030 te voldoen aan de NIST FIPS-normen, inclusief de PQC-standaarden. Als u aan de federale overheid levert, is deze regelgeving op u van toepassing.

De EU-routekaart, gepubliceerd in 2025, beschouwt een cryptografische inventaris als eerste actiepunt en beveelt een gestandaardiseerd formaat zoals de CBOM aan voor het opbouwen en actueel houden ervan. De Cyber ​​Resilience Act is in december 2024 in werking getreden, met de belangrijkste verplichtingen die van kracht zijn vanaf 11 december 2027. Deze wet vereist een machineleesbare stuklijst voor producten met digitale elementen, en de CBOM is de cryptografische laag die aan die eis voldoet.

NIST IR 8547 is de klok waarop de rest is gebaseerd. Na 2030 worden algoritmen zoals RSA, ECDH, ECDSA, DSA en eindige-veld Diffie-Hellman als verouderd beschouwd, wat betekent dat voortgezet gebruik ervan schriftelijk moet worden gerechtvaardigd en gedocumenteerd. Na 2035 zijn ze volledig verboden, zonder de mogelijkheid om het risico te accepteren, ook niet in verouderde systemen die u liever niet opnieuw wilt openen.

Wie is er nu eigenlijk verantwoordelijk?

De krantenkoppen noemen federale instanties en EU-lidstaten als schuldigen, waardoor veel bedrijven er stilzwijgend van uitgaan dat het probleem bij iemand anders ligt. Dat is niet zo, en de oorzaak ligt in de toeleveringsketen.

Als u software, hardware of een dienst verkoopt op de Amerikaanse federale markt of in de EU, worden de verplichtingen van uw klanten uw verplichtingen zodra zij u een vragenlijst sturen. Een koper die nu een cryptografische inventaris moet rapporteren, kan geen leverancier accepteren die er geen kan overleggen. Veel bedrijven zullen de afgrond voor het eerst voelen als een brief van een toezichthouder, maar als een inkoopformulier dat ze niet kunnen invullen, waardoor een verlenging van hun contract in de weg staat.

De praktische reikwijdte is dus groter dan de juridische reikwijdte. Federale instanties en aannemers in de VS, lidstaten en fabrikanten die onder de Cyber ​​Resilience Act vallen in de EU, en daarachter elke leverancier die in een van beide markten wil blijven verkopen.

Waarom uw 'crypto-inventaris' waarschijnlijk een certificatenlijst is.

De meeste organisaties die denken dat ze al een cryptografische inventaris hebben, beschikken over een certificaatinventaris. Ze kunnen je vertellen welke TLS-certificaten op hun loadbalancers staan ​​en welke sleutels in hun cloud-sleutelopslag zijn opgeslagen, omdat dit de activa zijn die op een gegeven moment verlopen en problemen veroorzaken als ze genegeerd worden.

Die visie stopt bij de rand van het netwerk, en de cryptografie die een applicatie daadwerkelijk definieert, blijft daarbuiten bestaan: een RSA-2048-aanroep die jaren geleden in een authenticatiebibliotheek is vastgelegd en nooit meer is herzien, een initialisatievector die in verschillende implementaties wordt hergebruikt, een sleutel gegenereerd door een zwakke willekeurige-getallengenerator, een kwantumkwetsbaar algoritme dat sluimert in een service die nog steeds echte data verwerkt.

Niets daarvan is terug te vinden in een certificaatbeheerder of een configuratiedatabase. Het is precies wat NIST IR 8547 u verplicht te vinden en wat de Cyber ​​Resilience Act u verplicht te declareren.

Het dichten van die kloof is precies waarvoor CBOM Secure is ontwikkeld. Het gaat verder dan de certificaatlaag en doorloopt broncode, binaire bestanden, containers, sleutelarchieven, databases en de hardwarebeveiligingsmodules waar sleutels zich daadwerkelijk bevinden, en normaliseert vervolgens alles in één inventaris. Elk onderdeel wordt beoordeeld op risico, cryptografie die kwetsbaar is voor kwantumaanvallen wordt gemarkeerd voor migratie, en de inventaris wordt geëxporteerd als een CBOM in CycloneDX, hetzelfde machineleesbare formaat, nu gestandaardiseerd als ECMA-424, waarop al deze regelgevingen steeds meer convergeren.

Het probleem ligt zelden bij uw certificaten. Meestal is de RSA-sleutel, die hardcoded in een bibliotheek staat waarvan u vergeten bent dat u die hebt meegeleverd, de boosdoener.

Hoe de klif er vanuit de directiekamer uitziet

Voor het hoger management is de convergentie niet zozeer een cryptografieprobleem. Het is eerder een probleem op het gebied van governance, aansprakelijkheid en budget, waarbij cryptografie toevallig een rol speelt, en het is een vraag die de raad van bestuur steeds vaker openlijk stelt.

Drie factoren zorgen ervoor dat dit vanuit de technische afdeling op de agenda van het management komt te staan. De eerste is verantwoording. Openbaarmakingsplicht en toezichthouders verwachten nu dat leidinggevenden met naam en toenaam verantwoordelijk zijn voor de status van hun beveiligingsmaatregelen, en geen enkele CISO kan instaan ​​voor een cryptografische status die de organisatie niet kan inzien. De tweede factor is de toeleveringsketen.

Klanten beginnen kwantumgereedheid en machineleesbare inventarissen als voorwaarde voor verlenging te stellen, wat betekent dat de tekortkomingen van uw leveranciers stilletjes uw eigen tekortkomingen worden. Ten derde is er de migratiehorizon. Grote cryptografische transities hebben historisch gezien vele jaren geduurd, en handtekeningen en authenticatie zijn moeilijker te migreren dan encryptie. Dat is precies de reden waarom Executive Order 14412 de deadline voor encryptie (2030) scheidt van de deadline voor authenticatie (2031). Niets hiervan kan worden samengeperst in het kwartaal vóór een audit.

De herformulering die voor leiderschap van belang is, is deze. De vraag die in de directiekamer gesteld moet worden, is niet "zijn we al kwantumveilig?", een vraag die niemand in 2026 eenduidig ​​kan beantwoorden. De vraag is: "Hebben we een complete, actuele en exporteerbare inventaris van onze cryptografie, en een prioriteitsplan om die te implementeren?" Dat ene document transformeert een open angst in een beheersbaar programma, stelt de auditor tevreden, beantwoordt de klantvragenlijst en biedt het migratieteam een ​​startpunt. Het is tevens het enige dat de meeste organisaties nog steeds niet op tafel kunnen leggen.

De ene zet die het verschil maakt

Als je de vier frameworks op elkaar stapelt, zie je dat er steeds dezelfde actie onder alle vier terugkomt. Voordat een van deze frameworks je vraagt ​​een algoritme te migreren of de naleving van de regels te bewijzen, stelt elk framework dezelfde openingsvraag: welke cryptografie gebruik je en waar is deze opgeslagen?

Een actuele cryptografische inventaris, uitgedrukt als een CBOM, beantwoordt die vraag in één keer voor alle systemen. De EU-routekaart benoemt het expliciet. De Cyber ​​Resilience Act vereist dat het machineleesbaar is. NIST IR 8547 kan niet worden uitgevoerd totdat bekend is welke verouderde algoritmen nog in gebruik zijn. De migratieplanning voor Executive Order 14412 begint vanuit hetzelfde uitgangspunt. Eén artefact, vier verplichtingen die worden nagestreefd.

Alles wat de moeite waard is om daarna te doen, is erop gebouwd. Crypto-flexibiliteit , de mogelijkheid om een ​​algoritme te vervangen zonder het systeem eromheen opnieuw te hoeven ontwerpen, werkt alleen als je weet waar het oude algoritme zich bevindt. Bij de migratieplanning moet je weten wat een hoog risico vormt en wat inactief is. Auditbewijs moet op aanvraag exporteerbaar zijn in plaats van elke keer opnieuw te moeten worden opgebouwd vanuit spreadsheets. De inventarisatie is niet het eindpunt, maar wel de eerste stap die elke volgende stap goedkoper maakt.

Een praktische reeks voor 2026

Je hoeft niet vier frameworks tegelijk op te lossen. Je werkt aan de basis die ze allemaal ondersteunt, in de juiste volgorde, en laat elke stap de volgende mogelijk maken.

1. Inventaris: Ontdek elke sleutel, elk certificaat, elk algoritme en elk protocol in de cloud. HSM'sDatabases, broncode en trust stores. Leg dit vast als een CBOM in een standaardformaat, niet als een spreadsheet.
2. Classificeren: Markeer wat kwetsbaar is voor kwantumcomputing, wat door NIST IR 8547 wordt afgekeurd en wat al aan het beleid voldoet. Maak onderscheid tussen cryptografie die daadwerkelijk in gebruik is en cryptografie die slechts aanwezig is.
3. Prioriteer op houdbaarheid: Rangschik op basis van hoe lang de gegevens geheim moeten blijven, niet op basis van hoe snel het certificaat verloopt. Langdurig geheimgehouden gegevens krijgen voorrang, omdat de termijn daarvoor al jaren geleden is ingegaan.
4. Plan een hybride migratie: Ga stapsgewijs over op post-kwantumalgoritmen, waarbij je vaak klassieke en PQC-algoritmen combineert, zodat je niet alles inzet op één enkele omschakeling.
5. Ontwikkel wendbaarheid: Zorg voor controlemechanismen om algoritmes opnieuw aan te passen zonder helemaal opnieuw te hoeven beginnen, want de standaarden die hieraan ten grondslag liggen, zullen voortdurend veranderen.
6. Houd het bewijsmateriaal levend: Zorg ervoor dat de inventaris zo wordt bijgehouden dat auditbewijs en een indiening in het kader van de Cyber ​​Resilience Act een kwestie zijn van een vraag stellen, in plaats van een kwart van het handwerk te vergen.

Vanuit dit perspectief bezien, verandert de klif weer in een helling, op jouw voorwaarden. Je beklimt hem één keer, bij de basis, en dezelfde oefening is voor elke toezichthouder die bovenaan staat een antwoord.

Hoe encryptieconsultancy kan helpen

Alles hierboven wijst op één enkele taak, en dat is precies waarvoor we CBOM Secure hebben ontwikkeld. Encryption Consulting werkt als één programma aan de oplossing van de beveiligingscrisis, in plaats van als vier afzonderlijke noodoplossingen, en CBOM Secure is de motor erachter.

Maak de inventaris één keer aan met CBOM Secure, en je hebt de eerste vraag die bij elke deadline gesteld wordt al beantwoord.

CBOM Secure is een platform voor cryptografisch beveiligingsbeheer dat alle cryptografische activa in uw omgeving detecteert, correleert en beheert, en dit overzicht vervolgens actueel houdt. Het model is: Ontdekken, Correleren, Beheren.

• Ontdek: Een uitgebreide set detectiesensoren inventariseert sleutels, certificaten, algoritmen en protocollen in cloud-sleutelarchieven, hardwarebeveiligingsmodules, databases, vertrouwensarchieven van besturingssystemen en de broncode van applicaties zelf. Het bereikt de cryptografie die certificaattools nooit zien en markeert hardgecodeerd en zwak materiaal waar het ook voorkomt, ongeacht hoe sterk het omringende algoritme lijkt.
• Correlaat: Het koppelt certificaten aan sleutels, traceert afhankelijkheden tussen services, detecteert hergebruik van sleutels en scheidt cryptografie die daadwerkelijk in productie is van cryptografie die slechts aanwezig is, zodat u eerst de belangrijke zaken aanpakt in plaats van ruis te verdoezelen.
• Regeren: Aan elk systeem wordt een risicoscore toegekend van 0 tot 100, kwantumgevoelige algoritmen worden gemarkeerd voor migratie en het beleid wordt continu gehandhaafd aan de hand van standaarden zoals NIST en FIPS 140-3. CNSA 2.0en CMMC, met auditrapporten op aanvraag en de volledige inventaris die als CBOM in CycloneDX-formaat kan worden geëxporteerd.

De gegevens worden gekoppeld aan de deadlines op deze pagina, waarbij het platform de taken voor elk van deze deadlines op zich neemt:

Deadline	Wat CBOM Secure hieraan doet
EU PQC-routekaart (eind 2026)	Stelt de cryptografische inventaris samen die in de roadmap wordt vereist, in het aanbevolen CBOM-formaat.
Wet inzake cyberweerbaarheid (vanaf december 2027)	Exporteert een machineleesbare CBOM in CycloneDX-formaat, de structuur die de CRA verwacht voor cryptografische componenten.
EO 14412 (2030/2031)	Identificeert activa die kwetsbaar zijn voor kwantumaanvallen en stelt prioriteiten vast voor het migratieplan van de federale overheid en aannemers.
NIST IR 8547 (na 2030)	Markeer verouderde algoritmen die in productie draaien, zodat u ze volgens schema kunt uitfaseren.
NIS2-verordening 2024/2690 (van kracht)	Documenteert de cryptografische componenten van de systemen die binnen het toepassingsgebied vallen en houdt een fraudebestendig auditspoor bij.

CBOM Secure kan on-premises, in de cloud, hybride of als SaaS worden geïmplementeerd, met of zonder agent, zodat het past in uw bestaande omgeving. De CycloneDX-export zorgt bovendien voor vendor lock-in. Naast het platform brengt Compliance Advisory uw verplichtingen in kaart aan de hand van frameworks zoals DORA, NIS2 en het NIST Cybersecurity Framework. PQC Advisory zet deze inventaris om in een gefaseerd, hybride migratieplan met de nodige cryptografische flexibiliteit om gelijke tred te houden met veranderende standaarden.

Het uitgangspunt is voor vrijwel iedereen hetzelfde: zet de inventaris op met CBOM Secure en laat het de rest van de kaart invullen.

Conclusie

De cryptografische crisis van 2026 is niet één deadline, maar vier deadlines die zo dicht bij elkaar liggen dat ze allemaal een beroep doen op hetzelfde kleine team. De Amerikaanse Executive Order 14412, de gecoördineerde PQC-routekaart van de EU, de Cyber ​​Resilience Act en NIST IR 8547 beginnen elk met een identieke eerste eis: een complete, machinaal leesbare cryptografische inventaris. Voor gegevens die jarenlang vertrouwelijk moeten blijven, is die inventarisatie al lang nodig, aangezien alles wat vandaag de dag met RSA of ECC is versleuteld, nu al kan worden verzameld en ontsleuteld zodra een krachtige kwantumcomputer beschikbaar is.

De organisaties die dit als één fundamenteel programma beschouwen, in plaats van vier afzonderlijke compliance-oefeningen, zullen elke deadline ruimschoots halen. Stel de cryptografische inventaris één keer samen, formuleer deze als een CBOM (Cryptographic-Based Object Model), en elke volgende stap – classificatie, prioritering, migratie en auditbewijs – wordt vanaf dat moment goedkoper en sneller.

Veelgestelde Vragen / FAQ

Wat is de cryptografische klif van 2026?

Het is de periode waarin verschillende cryptografische uitdagingen tegelijkertijd op organisaties inwerken: verplichte migratie na de kwantumcomputertijdperk, regionale routekaarten, regelgeving inzake productbeveiliging en het uitfaseren van algoritmes. Omdat de deadlines elkaar overlappen in plaats van in een vaste volgorde te vallen, kunnen teams de ene taak niet afronden voordat de volgende begint, en ze doen allemaal een beroep op dezelfde mensen.

Wat zijn de eisen van de EU PQC-routekaart voor 2026?

Het verzoek aan de EU-lidstaten is om de transitie te starten door nationale strategieën vast te stellen en eerste stappen te zetten, waaronder het opbouwen van cryptografische inventarissen, tegen eind 2026. Systemen met een hoog risico moeten in 2030 worden aangepakt en een brede transitie moet in 2035 plaatsvinden.

Vereist de Cyber ​​Resilience Act een CBOM?

De Cyber ​​Resilience Act vereist een machineleesbare componenteninventaris voor producten met digitale elementen, die ingaat in december 2027. De CBOM wordt niet expliciet genoemd in de wet, maar de CBOM, meestal uitgedrukt in CycloneDX, is het praktische mechanisme dat voldoet aan de eis voor cryptografische componenten.

Is de deadline in de VS gelijk aan de deadline in de EU?

Nee. In de VS stelt Executive Order 14412 federale deadlines van 2030 voor post-kwantumversleuteling en 2031 voor authenticatie, met een FIPS-regel voor contractanten met een vergelijkbare termijn. In de EU worden cryptografische inventarissen naar verwachting eind 2026 gereed, treedt de Cyber ​​Resilience Act in werking vanaf december 2027, worden systemen met een hoog risico in 2030 aangepakt en loopt de volledige transitie door tot 2035.

Wat moeten we als eerste doen?

Stel een cryptografische inventaris op. Dit is de eerste vereiste in vrijwel elk raamwerk en de basis waarop classificatie, migratieplanning en auditbewijs berusten.