PQC-beveiligingsvolwassenheidsmodel: van beginner tot veerkrachtig

Kort antwoord: Het PQC Maturity Model van Encryption Consulting definieert vijf niveaus, van niveau 0 tot en met niveau 4: de PQC Beginner (geen inzicht, 100% risico), de PQC Latent (informeel bewustzijn zonder gecoördineerde actie, 80% risico), de PQC Starter (formele erkenning en actieve risicobeoordeling, 70% risico), de PQC Pilot (gecontroleerde pilots met echte systemen, 40% risico) en de PQC Resilient (volledige bedrijfsintegratie en continue crypto-flexibiliteit, 10% risico). Elk niveau wordt beoordeeld aan de hand van zes domeinen: governance en leiderschap, cryptografische ontdekking en inventarisatie, risico-impactanalyse, leveranciers- en toeleveringsketenbeheer, training en bewustwording, en pilotprojecten. Een rapport van Capgemini uit 2025 toonde aan dat hoewel 70% van de organisaties kwantumveilige maatregelen onderzoekt, slechts 15% voldoet aan de eisen voor volwassen governance en een sterke technische uitvoering, de kloof die dit model probeert te dichten.

Een onderzoek van het Ponemon Institute wees uit dat 74% van de organisaties niet voorbereid is op de beveiligingsimplicaties van kwantumcomputing, en de onderliggende oorzaak is meestal dezelfde: een gebrek aan fundamenteel inzicht in waar cryptografie zich daadwerkelijk binnen de organisatie bevindt. Dit model structureert die lacune, waardoor de vraag "hoe voorbereid zijn we?" een specifiek, op bewijs gebaseerd niveau krijgt in plaats van een gok.

Key Takeaways

• Het model loopt van niveau 0 (PQC-beginner, 100% risico) tot niveau 4 (PQC-veerkrachtig, 10% risico), waarbij elk niveau gekoppeld is aan een specifiek, dalend risicopercentage.
• Zes beoordelingsdomeinen – governance, cryptografische ontdekking, risico-impactanalyse, leveranciersmanagement, training en pilotprojecten – bepalen het werkelijke niveau van een organisatie, niet één enkele meetwaarde.
• Uit een rapport van Capgemini uit 2025 bleek dat 70% van de organisaties kwantumveilige maatregelen onderzocht, maar dat slechts 15% voldeed aan de eisen voor volwaardig bestuur en een sterke technische uitvoering.
• NIST heeft ML-KEM, ML-DSA en SLH-DSA in augustus 2024 als federale standaarden vastgesteld en HQC in 2025 als back-upalgoritme voor ML-KEM, waardoor elk niveau een concreet referentiepunt voor de standaarden heeft.
• Bedrijven die de technologie al in de praktijk toepassen, zoals HSBC en Banco Sabadell, voeren al PQC-pilots uit. Dit toont aan dat niveau 3 nu al haalbaar is en geen verre ambitie meer.

Waarom deze kloof een volwassenheidsmodel vereist

NIST is duidelijk geweest over de inzet: als kwantumcomputers gebouwd kunnen worden op een schaal van duizenden logische qubits, zal bijna alle publieke-sleutelcryptografie die we vandaag de dag gebruiken, achterhaald raken. Het lastigere probleem voor de meeste organisaties is niet om die bewering te betwisten, maar om te weten waar ze er daadwerkelijk voor staan. Veelvoorkomende tekortkomingen zijn onder andere het ontbreken van een gecentraliseerd overzicht van waar cryptografische algoritmen worden ingezet, geen duidelijk inzicht in welke systemen het meest kwetsbaar zijn, geen proactieve beoordeling van de kwantumimpact op kritieke systemen en een beveiligingsbasis die simpelweg nog nooit is getest tegen deze specifieke dreiging. Een volwassenheidsmodel vertaalt deze open vragen in een gestructureerde zelfevaluatie op het gebied van governance, technologie, mensen en processen.

De zes beoordelingsdomeinen

Volwassenheid wordt gemeten aan de hand van zes onderling verbonden domeinen, niet aan de hand van één enkele score:

• Bestuur en leiderschap: een executive sponsor, een multidisciplinair stuurcomité bestaande uit vertegenwoordigers van beveiliging, juridische zaken, infrastructuur en bedrijfsvoering, en een specifiek budget en verantwoordelijkheid voor PQC.
• Cryptografische ontdekking en inventarisatie: Een gecentraliseerde, regelmatig bijgewerkte inventaris van waar cryptografie zich bevindt, van TLS-certificaten en SSH-sleutels tot IoT-apparaten en API's, in zowel IT- als OT-omgevingen.
• Risico-impactanalyse: Welke systemen zouden de meeste schade veroorzaken als ze gehackt worden, rekening houdend met de financiële, juridische en reputatieschade, en expliciet met de risico's van het 'nu oogsten, later decoderen' van gevoelige gegevens met een lange levensduur.
• Leveranciers- en toeleveringsketenbeheer: Of belangrijke leveranciers betrokken zijn geweest bij hun PQC-plannen, en of PQC-vereisten zijn opgenomen in aanbestedingen, service level agreements (SLA's) en contracten.
• Training en bewustwording: Of ontwikkelaars en beveiligingsteams begrijpen wat PQC is en waarom het belangrijk is, met een continu leertraject naarmate de NIST-normen evolueren.
• Proefprojecten: of hybride benaderingen en door NIST goedgekeurde algoritmen daadwerkelijk in reële systemen zijn getest, en niet alleen besproken.

Niveau 0: De PQC-beginner (Risico: 100%)

Het laagste volwassenheidsniveau: cryptografie is hardcoded in applicaties en infrastructuur zonder duidelijke verantwoordelijkheid of documentatie, er is geen proces om cryptografische activa te volgen of bij te werken, en kwantumrisico wordt behandeld als een probleem voor de toekomst, of helemaal niet besproken. Systemen die RSA, ECC of DSA gebruiken, zijn volledig kwetsbaar voor 'harvest-now-decrypt-later'-aanvallen, zonder inzicht in waar die algoritmen zich daadwerkelijk bevinden. De weg vooruit begint met kwantumkennis voor IT-, beveiligings- en managementteams, een opfriscursus cryptografiebasis (RSA, ECC, DSA, AES, SHA-2/3), en het bespreken van 'harvest-now-decrypt-later'-risico's in bestuursvergaderingen, gebaseerd op de daadwerkelijke PQC-roadmap van NIST.

Niveau 1: De PQC-latente factor (risico: 80%)

Er ontstaat een, vaak informeel, bewustzijn: kwantumrisico's worden weliswaar besproken tijdens vergaderingen, maar er is geen PQC-werkgroep, geen budget en geen gecoördineerde actie. Cryptografische ontdekking is mogelijk al begonnen, maar blijft fragmentarisch en op hoog niveau, en compliance- en juridische teams blijven doorgaans buiten de boot vallen. Om van latent naar actief te gaan, is het nodig om formele steun van het management te verkrijgen voor een migratiebudget, een grondige risicobeoordeling na een kwantumaanval uit te voeren voor systemen met een hoog risico, juridische en compliance-afdelingen vroegtijdig te betrekken, de PQC-status van leveranciers te beoordelen en te beginnen met volledige cryptografische ontdekking met geautomatiseerde scans en audits in plaats van handmatige steekproeven.

Niveau 2: De PQC-starter (Risico: 70%)

Formele erkenning van de dreiging: een uitgebreide cryptografische inventarisatie is gaande, kwantumrisicobeoordelingen hebben de meest kwetsbare systemen geïdentificeerd en er zijn vroege evaluaties van hybride benaderingen en gesprekken met leveranciers over kwantumveilige roadmaps gaande. Kwantumgereedheid wordt erkend als een bedrijfsbrede kwestie die raakt aan regelgeving, privacy en vertrouwen, en niet alleen aan het beveiligingsteam. De overgang naar de pilotfase betekent het formeel goedkeuren van een gefaseerd PQC-transitieplan met duidelijke rollen en KPI's, het uitvoeren van een eerste daadwerkelijke PQC-implementatie in een echt kritiek systeem, het crossfunctioneel trainen van ontwikkelaars en operationele teams, en het integreren van kwantumveilig ontwerp in de standaard CI/CD-praktijk.

Niveau 3: De PQC-pilot (Risico: 40%)

Organisaties gaan van strategie naar praktijktesten: pilotprojecten met door NIST goedgekeurde algoritmen, vaak hybride schema's zoals ML-KEM in combinatie met klassieke ECC in TLS-handshakes, worden uitgevoerd in niet-productieomgevingen of zorgvuldig afgebakende productieomgevingen om latentie, integratie met legacy-systemen en compatibiliteit met HSM- en TLS-stacks te evalueren. Echte gebruikers zoals HSBC en Banco Sabadell voeren dit soort pilots al uit, wat bewijst dat dit niveau nu al haalbaar is in plaats van theoretisch. Evolueren naar veerkracht betekent het centraliseren van sleutelrotatie en algoritme-overgangen via een enterprise crypto-agility platform, het vereisen van kwantumveilige functionaliteit in elke RFP, het driemaandelijks beoordelen van PQC KPI's door een speciaal stuurcomité en het ontwerpen van elk nieuw systeem vanaf het begin met door NIST goedgekeurde PQC of hybride cryptografie.

Niveau 4: De PQC-veerkrachtige (Risico: 10%)

Het hoogste niveau van volwassenheid: post-kwantumcryptografie is ingebed in de infrastructuur, het beleid en de workflow. Alle kritieke systemen draaien op PQC of hybride encryptie, algoritme- en sleutelupdates worden via softwarepipelines verwerkt zonder de dienstverlening te verstoren, live cryptografische inventarissen en continue sleutelrotatie zijn standaardpraktijk, en de juridische afdeling, compliance-afdeling en het management blijven actief betrokken in plaats van PQC als een afgerond project te beschouwen. Dit is echte crypto-flexibiliteit: de organisatie kan een toekomstige algoritmewijziging als een operationele update verwerken, in plaats van een meerjarige herstructurering, terwijl ze tegelijkertijd de opkomende standaarden van NIST, ETSI en de NSA blijft volgen.

Het migratiepad: acht stappen van beginner tot veerkrachtig

De transitie doorloopt op alle vijf niveaus acht consistente fasen: het vaststellen van governance en eigenaarschap met steun van het management en een multidisciplinair stuurcomité; het opzetten van een gecentraliseerd systeem voor het ontdekken en inventariseren van cryptografische activa, inclusief een cryptografische stuklijst; het uitvoeren van risicobeoordeling en prioritering om activa te rangschikken op basis van gevoeligheid, blootstelling en levensduur in een kwantumrisicomatrix; het ontwerpen van de PQC-migratiestrategie zelf, waarbij gekozen wordt tussen een hybride uitrol en een volledige overstap, met inbouw van crypto-flexibiliteit; pilottesten in sandbox-omgevingen vóór de productie-uitrol; het coördineren van de betrokkenheid van de toeleveringsketen en leveranciers, inclusief CBOM-beoordeling en bijgewerkte SLA's; het implementeren van een echt crypto-flexibele architectuur die cryptografische functies loskoppelt van de bedrijfslogica; en ten slotte training en monitoring, waarbij updates van standaarden van NIST, IETF en regelgevende instanties continu worden bijgehouden in plaats van de migratie als een eenmalig project te beschouwen.

Wat we daadwerkelijk zouden aanbevelen

Beoordeel uw organisatie eerlijk aan de hand van alle zes domeinen, niet alleen het domein waar u zich het meest zeker over voelt. Governance, ontdekking, risicoanalyse, leveranciersmanagement, training en pilots moeten immers samen vooruitgang boeken om een ​​niveau geloofwaardig te maken. Beschouw de overgangen van Beginner naar Latent en van Latent naar Starter als de hoogste prioriteit op korte termijn als u deze nog niet hebt voltooid, aangezien cryptografische ontdekking de basis vormt waarop elk volgend domein rust. Gebruik praktijkervaringen met pilots, zoals de gebruikers die al hybride systemen in productieomgevingen implementeren, als bewijs dat niveau 3 een realistisch doel op korte termijn is, en geen doel op de lange termijn.

Hoe encryptieconsultancy kan helpen

Onze PQC-adviesdiensten bieden gestructureerde begeleiding in elke fase van dit volwassenheidsmodel, van cryptografische ontdekking en risicobeoordelingen tot hybride pilotimplementaties, het ontwerp van crypto-agilityplatforms en de planning van grootschalige migraties. Zo helpen we organisaties om doelgericht van hun huidige niveau naar niveau 4 te evolueren.

CBOM Secure is wat de meeste organisaties nodig hebben om de beginners- en latente niveaus te ontgroeien en een gecentraliseerde, continu bijgewerkte cryptografische inventaris te creëren waarop governance en risicoanalyse op elk hoger niveau gebaseerd zijn.

Een lens voor veerkracht, niet zomaar een scorekaart.

Hoewel de exacte tijdlijn voor een cryptografisch relevante kwantumcomputer nog onzeker is, is het risico van aanvallen waarbij gegevens nu worden verzameld en later worden gedecodeerd, vandaag de dag al reëel. Dit model met vijf niveaus is een strategisch instrument om cryptografische veerkracht, blootstelling aan bedreigingen en aanpassingsvermogen op de lange termijn te beoordelen, en niet slechts een technische checklist. De overgang van beginner naar veerkracht vereist cryptografische flexibiliteit, cross-functioneel bestuur en een cultuur waarin de cryptografische gezondheid actief wordt gemonitord en verbeterd, en niet slechts één migratieproject met een vastgestelde einddatum.

Veelgestelde Vragen / FAQ

Wat zijn de vijf niveaus van het PQC-volwassenheidsmodel van Encryption Consulting?

Niveau 0, de PQC-beginner (100% risico); Niveau 1, de PQC-latent (80% risico); Niveau 2, de PQC-starter (70% risico); Niveau 3, de PQC-piloot (40% risico); en Niveau 4, de PQC-veerkrachtige (10% risico), elk gedefinieerd door specifieke governance-, ontdekkings- en technische criteria.

Welk percentage van de organisaties is vandaag de dag daadwerkelijk voorbereid op de migratie naar een tijdperk na de kwantumcrisis?

Uit een rapport van Capgemini uit 2025 bleek dat, hoewel 70% van de organisaties kwantumveilige maatregelen onderzoekt, slechts 15% voldoet aan de eisen voor volwaardig governancebeleid en een sterke technische uitvoering. Dit weerspiegelt hoe weinig organisaties verder zijn gekomen dan de allereerste volwassenheidsniveaus.

Welke domeinen bepalen het PQC-volwassenheidsniveau van een organisatie?

Zes domeinen: bestuur en leiderschap, cryptografische ontdekking en inventarisatie, risico-impactanalyse, leveranciers- en toeleveringsketenbeheer, training en bewustmaking, en pilotprojecten. Een geloofwaardig niveau vereist vooruitgang op alle zes gebieden, niet alleen op één gebied.

Zijn er momenteel organisaties die PQC-pilots uitvoeren?

Ja. In de praktijk voeren bedrijven zoals HSBC en Banco Sabadell al pilots uit met hybride benaderingen die zowel klassieke als PQC-methoden combineren. Dit toont aan dat niveau 3 (de PQC-pilot) een haalbaar doel op korte termijn is, in plaats van een theoretisch stadium.

Wat onderscheidt niveau 4 (Veerkrachtig) van het simpelweg voltooien van een PQC-migratie?

Niveau 4 wordt gekenmerkt door continue cryptografische flexibiliteit, actuele cryptografische inventarissen, voortdurende sleutelrotatie en een constante betrokkenheid bij evoluerende standaarden, en niet door een eenmalige migratie. Een organisatie op dit niveau kan een toekomstige algoritmewijziging als een routine-update in de bedrijfsvoering opnemen, in plaats van als een nieuw project dat meerdere jaren in beslag neemt.