De meeste gesprekken over kwantumcomputing vinden plaats in de technische hoekjes van een organisatie. Cryptografen discussiëren over algoritmes, beveiligingsengineers bespreken sleutelgroottes en de raad van bestuur hoort hooguit een terloopse verwijzing naar kwantumcomputing tijdens een jaarlijkse risicobriefing. Dit is een vergissing. De komst van cryptografisch relevante kwantumcomputers is niet alleen een technische gebeurtenis. Het is een bedrijfsrisico, van dezelfde omvang als een belangrijke wetswijziging of een systemische cyberdreiging , en het vereist het soort gestructureerd toezicht dat interne audits bieden.
De uitdaging is dat kwantumrisico's zich niet gedragen zoals de bedreigingen die interne auditteams gewend zijn te beoordelen. Ze ontwikkelen zich traag, zijn gemakkelijk uit te stellen en onzichtbaar in de dagelijkse werkzaamheden, tot het moment dat ze catastrofaal en onomkeerbaar worden. Die combinatie maakt het precies het soort risico dat door de mazen van een organisatie glipt zonder een sterke governance. Deze blog beargumenteert waarom interne audits vandaag de dag actief betrokken moeten zijn bij de voorbereiding op kwantumrisico's en hoe die betrokkenheid er in de praktijk uit zou moeten zien.
De dreiging begrijpen: Q-day en de klok die al loopt
Kwantumcomputers lossen bepaalde problemen op fundamenteel andere manieren op dan klassieke computers. Waar een klassieke computer de mogelijkheden grotendeels sequentieel afwerkt, kan een kwantumcomputer veel mogelijkheden tegelijk evalueren, wat hem een ​​exponentieel voordeel geeft bij een specifieke klasse van wiskundige problemen. Twee van die problemen, de factorisatie van gehele getallen in factoren en de discrete logaritme, vormen precies de basis van de huidige publieke-sleutelcryptografie.
RSA , ECC en Diffie-Hellman, de algoritmen die webverkeer, digitale handtekeningen , VPN's en authenticatie in vrijwel elk bedrijf beveiligen, gaan ervan uit dat deze problemen te moeilijk zijn om binnen een praktisch tijdsbestek op te lossen. Een voldoende krachtige kwantumcomputer die het algoritme van Shor uitvoert, doorbreekt die aanname. Q-day is het moment waarop een kwantumcomputer het algoritme van Shor op een schaal kan uitvoeren die groot genoeg is om RSA, ECC en Diffie-Hellman te kraken.
De vervangingen bestaan ​​al. In augustus 2024 heeft NIST de eerste post-kwantumstandaarden afgerond: FIPS 203 (ML-KEM) voor sleuteluitwisseling, FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) voor digitale handtekeningen, waarbij HQC in 2025 is geselecteerd als een aanvullend codegebaseerd sleutelinkapselingsmechanisme. De standaarden zijn definitief, wat betekent dat de vraag niet langer is óf er gemigreerd moet worden, maar hoe snel een organisatie dat kan doen.
De ongemakkelijke waarheid is dat de tijdlijn niet begint op Q-day. Die begon jaren geleden al. Tegenstanders zijn nu al bezig met wat bekend staat als 'nu oogsten, later decoderen': het onderscheppen en opslaan van versleutelde data, met de bedoeling deze te decoderen zodra kwantumtechnologie beschikbaar is. Voor alle data met een lange vertrouwelijkheidsperiode, zoals financiële gegevens, gezondheidsinformatie, intellectueel eigendom, overheidsdata of bedrijfsgeheimen, vindt de blootstelling nu al plaats, ook al ligt de decodering nog jaren in de toekomst. De data die vandaag worden gestolen, worden niet automatisch veilig omdat ze later worden gemigreerd.
De bezorgdheid is wijdverbreid, maar de voorbereiding laat te wensen over. Volgens de ISACA Quantum Computing Pulse Poll van 2025, waaraan meer dan 2,600 professionals op het gebied van digitaal vertrouwen , cybersecurity, audit en risicobeheer deelnamen, maakt 62 procent zich zorgen dat kwantumcomputers de huidige encryptie zullen kraken. 56 procent noemt het principe van 'nu oogsten, later decoderen' als een probleem, maar slechts ongeveer 5 procent zegt dat hun organisatie een duidelijke kwantumstrategie heeft. Met andere woorden, zo'n 95 procent heeft geen routekaart. Die kloof tussen bewustwording en actie is precies het soort zwakke plek in de interne controle dat interne audits aan het licht moeten brengen.
Dit maakt kwantumrisico tot een directe kwestie voor goed bestuur, in plaats van een toekomstig technisch project. De beslissingen die bepalen of uw meest gevoelige, langdurig bewaarde gegevens de dag van de kwantumcrash overleven, worden vandaag genomen, of juist verwaarloosd.
Waarom dit een probleem is voor de interne audit, en niet zomaar een IT-probleem.
Beveiligingsteams kunnen cryptografie implementeren , maar ze kunnen niet op eigen kracht garanderen dat kwantumrisico's worden beheerd op het niveau dat de organisatie vereist. Precies op dat vlak biedt interne audit toegevoegde waarde. Interne audit biedt drie dingen die een puur technische aanpak mist: onafhankelijkheid, een overzicht vanuit de hele organisatie en de bevoegdheid om de organisatie te wijzen op haar eigen verplichtingen.
Dit is ook waar de rol van interne audit verschilt van die van alle anderen aan tafel. De onderscheidende bijdrage van audit is onafhankelijke zekerheid: het verifiëren dat controles bestaan ​​en naar behoren functioneren, in plaats van ze te implementeren. Dat onderscheidt interne audit van de adviesbureaus en integrators die migratieprogramma's opzetten en van de leveranciers van tools die de technologie leveren. Audit is niet de eigenaar van de roadmap; het test of de roadmap realistisch, gefinancierd en effectief is. Het duidelijk onderscheiden van deze twee aspecten maakt de zekerheid geloofwaardig voor de raad van bestuur.
Denk eens na over de vragen die een raad van bestuur moet kunnen beantwoorden met betrekking tot kwantumparaatheid. Weet de organisatie welke systemen en gegevens afhankelijk zijn van cryptografie die kwetsbaar is voor kwantumaanvallen? Is er een eigen, gefinancierd en tijdgebonden migratieplan? Worden derde partijen en leveranciers die gevoelige gegevens bewaren en verwerken, beoordeeld op hun eigen gereedheid? Is er een duidelijk traject naar naleving van de wettelijke verplichtingen rond cryptografische standaarden? In de meeste organisaties kan geen enkel technisch team al deze vragen beantwoorden, omdat de antwoorden verspreid liggen over IT, beveiliging, juridische zaken, inkoop, risicobeheer en het management.
Interne audit is de functie die is ontworpen om al deze domeinen te overzien, te testen of de controles daadwerkelijk bestaan ​​en naar behoren functioneren, en de feiten te rapporteren aan het management en de raad van bestuur. Quantum readiness vereist precies dat soort onafhankelijke, multidisciplinaire zekerheid. Zonder die zekerheid blijft werken aan quantum readiness een comfortabele aanname die nooit wordt geverifieerd.
Wat interne audit daadwerkelijk zou moeten doen
Omgaan met kwantumrisico's vereist niet dat auditors cryptografen worden. Het vereist wel dat de discipline van auditing wordt toegepast op een nieuw en risicovol domein. Zes aandachtsgebieden springen eruit.
Controleer of er een cryptografische inventaris bestaat en of deze compleet is. De basis van alle kwantumparaatheid is weten waar kwetsbare cryptografie zich bevindt. De interne audit moet beoordelen of de organisatie een authentieke, continu bijgewerkte inventaris heeft van haar cryptografische activa, waaronder certificaten, sleutels, algoritmen en de systemen en gegevens die daarvan afhankelijk zijn. Een inventaris die onvolledig, verouderd of in een spreadsheet wordt bijgehouden, is op zich al een probleem.
Beoordeel het bestaan ​​en de kwaliteit van een migratieplan. Gereedheid is geen slogan, maar een plan met verantwoordelijken, budgetten, mijlpalen en prioriteiten op basis van de gevoeligheid van de gegevens en de levensduur van het systeem. De interne audit moet evalueren of een dergelijk plan bestaat, of het realistisch is en of het daadwerkelijk wordt uitgevoerd, in plaats van dat het stof ligt te verzamelen.
Test de gegevensbescherming tegen de dreiging van 'nu oogsten, later decoderen '. Auditors moeten onderzoeken of gevoelige gegevens met een lange bewaartermijn worden beschermd door iets anders dan alleen klassieke encryptie. Wanneer gegevens met een meerjarige geheimhoudingsplicht alleen worden beschermd door RSA of ECC, is er sprake van een actief risico dat onmiddellijke aandacht en escalatie vereist.
Onderzoek de risico's van derden en de toeleveringsketen . De kwantumrisico's van een organisatie strekken zich uit tot elke leverancier, partner en dienstverlener die haar gegevens bewaart of verzendt. De interne auditafdeling is bij uitstek geschikt om ervoor te zorgen dat de risicobereidheid met betrekking tot kwantumrisico's onderdeel wordt van risicobeoordelingen van derden en contractuele due diligence.
Koppel specifieke kaders en deadlines aan acties binnen de organisatie. Overheden en toezichthouders verschuiven de noodzaak tot kwantumparaatheid van een aanbeveling naar een vereiste. In plaats van algemene, toepasbare standaarden te volgen, moet de interne audit de roadmap van de organisatie toetsen aan de concrete referenties die auditors en toezichthouders daadwerkelijk gebruiken: de CISA-richtlijnen voor de migratie naar post-kwantumcryptografie, de NIST NCCoE-praktijkhandleiding SP 1800-38 ( Migratie naar post-kwantumcryptografie ), de NSA CNSA 2.0-transitiemijlpalen en, voor federale instanties en hun leveranciers, OMB-memorandum M-23-02. Controleer de actuele versies en data op het moment van de beoordeling, aangezien deze voortdurend in ontwikkeling zijn.
Bevorder crypto-flexibiliteit , gerealiseerd door middel van cryptografisch beveiligingsbeheer. De meest strategische bijdrage die interne audit kan leveren, is wellicht het onder de loep nemen van systemen die ontworpen zijn voor crypto-flexibiliteit, oftewel de mogelijkheid om cryptografische algoritmen te vervangen zonder ingrijpende aanpassingen. Crypto-flexibiliteit is het leidende principe; de ​​continue operationele discipline die dit mogelijk maakt, wordt steeds vaker cryptografisch beveiligingsbeheer (CPM) genoemd, een herhalende cyclus van ontdekken, beoordelen, prioriteren, corrigeren en monitoren. Organisaties die cryptografie hardcoderen, zullen de volgende transitie, en die daarna, telkens als een crisis ervaren. Organisaties die flexibiliteit inbouwen en deze als een doorlopende strategie hanteren in plaats van als een eenmalig project, zullen dat niet ervaren.
Kwantumtechnologie beschouwen als een bedrijfsrisico
De belangrijkste verandering die interne audit kan bewerkstelligen, betreft de manier waarop het onderwerp wordt gepresenteerd. Zolang quantum computing als een niche-technisch onderwerp wordt beschouwd, zal het weinig aandacht en budget krijgen ten opzichte van meer urgente problemen. Wanneer het echter wordt gezien als wat het werkelijk is – een voorzienbaar, ingrijpend en onomkeerbaar risico voor de vertrouwelijkheid en integriteit van bedrijfsgegevens – verdient het een plaats in het bedrijfsrisicoregister en in discussies op bestuursniveau.
Deze invalshoek verduidelijkt ook de kosten van nietsdoen. Cryptografische migratie is geen snelle oplossing. Betrouwbare schattingen van NIST en grote adviesbureaus beschrijven een volledige migratie als een meerjarig programma, vaak met jarenlange planning voordat het werk is voltooid, en uit een enquête van ISACA blijkt dat ongeveer 95 procent van de organisaties nog steeds geen routekaart heeft.
De aanlooptijd wordt korter nog voordat de voorbereidingen goed en wel zijn begonnen. Een dwingende factor op korte termijn maakt dit concreet: volgens het door het CA/Browser Forum goedgekeurde schema daalt de maximale geldigheidsduur van openbare TLS-certificaten van 398 dagen naar 200 dagen in maart 2026, naar 100 dagen in maart 2027 en naar 47 dagen in maart 2029. Ruim vóór Q-day maakt dit tempo handmatige cryptografische wijzigingen onhoudbaar en beloont het organisaties die al automatisering en flexibiliteit hebben ingebouwd.
Een organisatie die pas begint met de migratie wanneer kwantumcomputers aantoonbaar geschikt zijn, zal veel te laat zijn, zowel voor de verzamelde historische data als voor de operationele chaos die een overhaaste overgang met zich meebrengt. De rol van de interne auditafdeling is om die tijdlijn nu al inzichtelijk te maken, zodat er nog tijd is om er weloverwogen op te reageren.
Hoe Encryption Consulting u kan helpen
Interne audits kunnen kwantumrisico's identificeren en in kaart brengen, maar om er daadwerkelijk iets aan te doen, is diepgaande cryptografische expertise en de juiste tools nodig. Encryption Consulting werkt in dit opzicht samen met organisaties om auditbevindingen en bestuursmandaten om te zetten in een uitvoerbaar programma voor kwantumparaatheid.
CBOM Secure detecteert cryptografie bij elke certificeringsinstantie en in elke omgeving, precies wat een auditgericht, op onafhankelijkheid gericht programma nodig heeft. Het is onze oplossing voor cryptografische detectie en inventarisatie, ontwikkeld om uw audit- en beveiligingsteams het inzicht te geven dat dit soort toezicht vereist. Het detecteert en inventariseert continu cryptografische activa, waaronder certificaten, sleutels, algoritmen en protocollen, en markeert welke kwetsbaar zijn voor kwantumaanvallen. Dit transformeert de cryptografische inventaris van een auditdoel naar een levende, datagedreven bron en biedt de bewijsbasis die interne audits nodig hebben om de paraatheid objectief te beoordelen.
Onze adviesdiensten op het gebied van post-kwantumcryptografie begeleiden organisaties door de volledige gereedheidscyclus, van kwantumrisicobeoordeling en data-gevoeligheidsanalyse tot het opstellen van een prioriteits- en eigen migratieplan en de implementatie van hybride en post-kwantumalgoritmen. Dit is het gestructureerde, tijdgebonden plan dat interne audits mogen verwachten, geleverd door specialisten die dit werk dagelijks doen.
Op het gebied van governance helpen onze Compliance Advisory Services uw programma voor kwantumparaatheid af te stemmen op NIST, CISA, CMMC en andere zich ontwikkelende regelgevingskaders. Zo zorgen we ervoor dat de aanbevelingen van interne audits naadloos aansluiten op de eisen van toezichthouders. Onze Encryption Advisory Services bieden de bredere strategische basis voor het beheren van cryptografische risico's binnen de gehele organisatie.
Of uw interne auditteam nu begint met de beoordeling van kwantumrisico's of uw organisatie klaar is voor een volledige migratie, Encryption Consulting biedt de expertise en tools om u verder te helpen. Neem contact met ons op om te beginnen met het opbouwen van een verdedigbare en controleerbare kwantumparaatheid.
Conclusie
Kwantumrisico's zijn ongebruikelijk onder bedrijfsbedreigingen, omdat de meest schadelijke gevolgen ervan zich vandaag de dag, in stilte, in gang zetten, terwijl de zichtbare impact pas over jaren zichtbaar wordt. Juist die vertraging maakt een sterke governance essentieel. Als kwantumparaatheid moet concurreren met de dringende problemen van het moment, zal het altijd het onderspit delven, totdat het niet langer kan worden uitgesteld en de mogelijkheid om te reageren is verdwenen.
Interne audit bestaat juist om dit soort risico's aan het licht te brengen: voorzienbare risico's met grote impact die gemakkelijk over het hoofd gezien kunnen worden. Door cryptografische inventarissen te valideren, gegevensbescherming te testen, migratieplannen te onderzoeken en quantumcryptografie te herdefiniëren als het bedrijfsrisico dat het werkelijk is, kan interne audit ervoor zorgen dat de organisatie actie onderneemt zolang die actie nog een verschil maakt.
De tijd tikt door tot Q-day, en daarmee ook het verzamelen van data die bij aankomst gedecodeerd moet worden. De organisaties die kwantumparaatheid als een kwestie van bestuur beschouwen, en niet alleen van engineering, zullen die dag voorbereid bereiken.
