PQC voor overheid en defensie: van inventarisatie tot CNSA 2.0-uitvoering

Kort antwoord: De federale PQC-migratie werkt nu volgens een specifiek, gedateerd programmamodel in plaats van algemene richtlijnen. Executive Order 14412 (22 juni 2026) en OMB Memorandum M-26-15 (24 juni 2026) schetsen een tijdlijn van vijf fasen van 2026 tot en met 2035, vereisen dat elk betrokken agentschap uiterlijk 22 oktober 2026 een PQC-migratieplan indient en specificeren precies wat dat plan moet bevatten: geautomatiseerde inventarisatiemethodologie, risicogebaseerde prioritering, een crypto-agility architectuur, coördinatie met derden, middelen en governance-rollen. Defensiesystemen volgen een parallel traject onder CNSA 2.0, met een acquisitiedatum van 1 januari 2027. Deze handleiding zet dat programmamodel om in een checklist voor de uitvoering: eigenaarschap, inventarisatie, inkoop, gevalideerde implementaties, migratiegolven en bewijsmateriaal.

De richtlijnen voor PQC op federaal en defensiegebied zijn in 2026 snel ontwikkeld, en de praktische uitdaging voor agentschappen en aannemers is minder "wat betekent quantum-resistent?" en meer "wat moet ons migratieplan precies bevatten, tegen welke datum, en wie moet elk onderdeel goedkeuren?". Deze handleiding is rechtstreeks gebaseerd op het huidige uitvoeringsbesluit, het memo van het Bureau voor Management en Budget (OMB) en de vereisten van CNSA 2.0, en niet op algemene best practices.

Key Takeaways

• EO 14412 en OMB M-26-15, beide uitgegeven in juni 2026, stellen een vijfstappenplan vast voor de migratie van civiele federale ambtenaren van 2026 tot 2035. De migratieplannen van de agentschappen moeten ongeveer 120 dagen na de publicatie van het memorandum worden ingediend, rond 22 oktober 2026.
• De vereiste inhoud van het migratieplan is specifiek: geautomatiseerde inventarisatiemethodologie, risicogebaseerde prioritering op basis van de impact op het systeem, een crypto-agility architectuurplan, coördinatie met derden, resource-inschattingen en governance-rollen.
• Defensiesystemen volgen een apart traject binnen CNSA 2.0, met een acquisitiedatum van 1 januari 2027 en een door de NSA geleide validatie voor systemen met hoge betrouwbaarheid, die losstaat van de validatie voor civiele CMVP-systemen.
• Validatie vormt het gemeenschappelijke knelpunt voor beide trajecten: de validatie van FIPS 140-3 (CMVP) duurt momenteel ongeveer 18 maanden, en geen van beide trajecten heeft die doorlooptijd verlengd, ondanks de opdracht om deze te versnellen.
• De vervaldatum van FIPS 140-2 op 21 september 2026 betekent dat alle resterende FIPS 140-2-certificaten worden toegevoegd aan de historische lijst van CMVP. Dit is een strikte nalevingsdatum die valt vóór de deadline voor de meeste migratieplannen van overheidsinstanties.

Het huidige mandaat: EO 14412 en OMB M-26-15

President Trump ondertekende op 22 juni 2026 Executive Order 14412, waarmee een versnelde federale overgang naar post-kwantumcryptografie werd bevolen. Het Office of Management and Budget (OMB) volgde twee dagen later, op 24 juni, met Memorandum M-26-15, "Execution of the Migration to Post-Quantum Cryptography", het operationele draaiboek voor civiele instanties. De snelheid waarmee dit werd opgevolgd, twee dagen in plaats van de toegestane negentig, wijst erop dat het memorandum tegelijk met de order werd opgesteld en niet als reactie daarop. M-26-15 schetst de eerste expliciete federale tijdlijn voor post-kwantumcryptografie (PQC) in vijf fasen: Fase 1 (2026-2027) omvat strategie, planning en inventarisatie van waardevolle activa en systemen met grote impact; Fase 2 (2027-2028) omvat pilots en vroege migratie; Fase 3 (2028-2030) omvat prioritaire migratie van sleuteluitwisseling; Fase 4 (2031) omvat migratie van digitale handtekeningen; Fase 5 (2035) omvat de volledige migratie van de resterende systemen.

Eigendom en inventaris: wat elk plan moet bevatten

M-26-15 is specifiek over de inhoud van het migratieplan, waardoor dit van een algemene richtlijn een uitvoeringschecklist wordt. Vereiste elementen zijn onder meer: ​​een geautomatiseerde methodologie voor cryptografische inventarisatie, geen handmatige spreadsheet; risicogebaseerde prioritering afgestemd op het impactniveau van FIPS 199 en de status van waardevolle activa; een crypto-agility architectuurplan dat beschrijft hoe de organisatie toekomstige algoritmewijzigingen zal opvangen; coördinatie met derden en leveranciers; schattingen van benodigde middelen en financiering; en duidelijk toegewezen governance-rollen. Verantwoordelijkheid moet worden toegewezen voordat de inventarisatie zinvol kan worden uitgevoerd, en de formulering van de memo maakt duidelijk dat dit de verantwoordelijkheid van het managementteam is, en niet een gedelegeerd CISO-project dat geïsoleerd wordt uitgevoerd.

Inkoop: Wat leveranciers nu moeten aantonen

Voor leveranciers die aan de federale markt verkopen, is de praktische verschuiving dat gevalideerde cryptografie, en niet alleen de in een datasheet beweerde algoritmeondersteuning, een fundamentele voorwaarde is geworden voor het verkrijgen van een contract. Een product dat technisch gezien ML-KEM en ML-DSA ondersteunt, maar nog niet is gevalideerd volgens FIPS 140-3, is vanuit aanbestedingsoogpunt niet hetzelfde als een product met een actief certificaat of een geloofwaardig, gedateerd traject naar een certificaat. Overheidsinstanties moeten verwachten dat zij de actuele validatiestatus met certificaatnummers (indien beschikbaar) of een specifieke, gedateerde projectie (indien validatie nog in behandeling is) kunnen aantonen. Deze bewijsstandaard is hetzelfde als beschreven in onze CNSA 2.0-nalevingshandleiding voor defensieaannemers.

Gevalideerde implementaties: het gedeelde knelpunt

Zowel de civiele als de defensiesector zijn afhankelijk van validatieprocessen die niet zijn opgeschaald om aan de vraag van 2026 te voldoen. Aan de civiele kant vormt CMVP de toegangspoort voor elk product dat FIPS 140-3-validatie vereist, wat momenteel ongeveer 18 maanden of langer duurt per indiening. Aan de defensiezijde, waar hoge betrouwbaarheid vereist is, vormt NSA-certificering de toegangspoort voor elke cryptografische eenheid die bestemd is voor geheim gebruik. Executive Order 14412 draagt ​​NIST op om CMVP te versnellen, en de eigen PQC-strategie van het Ministerie van Oorlog pleit voor een gestroomlijnde NSA-certificering, maar geen van beide richtlijnen heeft de daadwerkelijke doorlooptijd nog vergroot. Programmaplannen die ervan uitgaan dat de validatietermijnen simpelweg zullen verbeteren, zijn gebaseerd op een onbewezen aanname; plannen die de huidige CMVP-termijn van meer dan 18 maanden als uitgangspunt nemen en de indieningen daarop afstemmen, zullen daadwerkelijk de toegangspoort van 2027 of 2030 halen.

Een aparte, kortere deadline maakt dit nog complexer: op 21 september 2026 plaatst CMVP alle resterende gevalideerde FIPS 140-2-certificaten op de historische lijst. Elk systeem dat nog steeds afhankelijk is van een actief FIPS 140-2-certificaat, moet ruim voor de deadline voor de PQC-migratieplannen van de meeste instanties bij het OMB een plan voor die overgang hebben.

Migratiegolven en belangrijke data

Datum	Milestone
21 september 2026	FIPS 140-2-certificaten worden verplaatst naar de historische lijst van CMVP.
~22 oktober 2026	Migratieplannen van civiele instanties voor PQC in verband met OMB en ONCD (120 dagen vanaf 26-08-2015)
1 januari 2027	CNSA 2.0-acquisitiepoort voor nationale veiligheidssystemen
December 31, 2027	Deadline voor voltooiing van het NIST PQC-pilotproject
2 januari 2030	Federale deadline voor ondersteuning van TLS 1.3
December 31, 2030	Migratie van belangrijke instellingen voor civiele HVA's en systemen met grote impact; DoW-ondersteuning-PQC- of uitfaseringspoort; exclusief gebruik van CNSA 2.0 voor ondertekening en netwerken.
December 31, 2031	Migratie van digitale handtekeningen voor civiele HVA's en systemen met grote impact; DoW-gebruiks-PQC-poort
2033	CNSA 2.0 deadline voor exclusief gebruik van web/cloud, besturingssystemen, grote PKI's en NSS-apparaten met beperkte mogelijkheden
2035	Volledige migratie van de resterende federale civiele systemen

Bewijs: Migratie omzetten in een meetbaar resultaat

NIST's CSWP 48 koppelt PQC-migratiemogelijkheden rechtstreeks aan NIST Cybersecurity Framework 2.0 en SP 800-53 Rev. 5-controles, waardoor governance-teams een gestructureerde manier krijgen om de voortgang van de migratie uit te drukken als een controleerbaar risicoresultaat in plaats van een geïsoleerde technische inspanning. CISA en NIST zijn ook verplicht om ongeveer 270 dagen na EO 14412, naar verwachting rond maart 2027, richtlijnen voor de minimale elementen van CBOM te publiceren. Deze richtlijnen zullen standaardiseren wat een conforme cryptografische stuklijst moet bevatten voor federale bewijsdoeleinden. Door uw inventaris en bewijspraktijken nu al op te bouwen volgens deze verwachte standaard, in plaats van te wachten op de definitieve richtlijnen, voorkomt u een herwerkcyclus zodra deze gepubliceerd is.

Wat we daadwerkelijk zouden aanbevelen

Wijs de verantwoordelijkheid voor de migratie onmiddellijk toe op managementniveau, indien dit nog niet is gebeurd, aangezien M-26-15 dit expliciet omschrijft als een taak die buiten de verantwoordelijkheid van de CISO valt. Stel de geautomatiseerde inventarisatie die in de memo wordt vereist nu op, vóór de deadline voor het plan in oktober, in plaats van de inventarisatie te beschouwen als een afvinklijstje dat pas na het opstellen van het plan kan worden afgevinkt. Dien FIPS 140-3-validatieverzoeken in op basis van de huidige termijn van meer dan 18 maanden, en niet op basis van een veronderstelde versnelde termijn, en houd de FIPS 140-2-afschaffing in september 2026 in de gaten als een aparte deadline op kortere termijn, los van het bredere PQC-migratieplan.

Hoe encryptieconsultancy kan helpen

De geautomatiseerde inventarisatie die M-26-15 vereist, en de bewijsbasis die CSWP 48 en de aanstaande CBOM-richtlijnen voor minimumelementen verwachten, zijn precies wat CBOM Secure beoogt te produceren. Het brengt elk algoritme, elke sleutel en elk certificaat binnen uw organisatie of aannemersomgeving in kaart in een gestructureerde, auditklare inventarisatie, in plaats van een eenmalige spreadsheetbewerking.

Onze PQC Advisory Services bouwen het volledige programmamodel dat in deze handleiding wordt beschreven, inclusief eigendomsstructuur, risicogebaseerde prioritering, crypto-agility architectuur en het gefaseerde migratieplan dat is afgestemd op M-26-15 en CNSA 2.0, tot een federaal migratieplan dat kan worden ingediend. Wanneer certificaatuitgifte onderdeel is van de uitvoering, implementeert CertSecure Manager het plan in productie met klassieke, hybride en CNSA 2.0-parametercertificaten. Wanneer hardwarevalidatie de beperkende factor is, beoordelen onze HSM Services de huidige HSM-firmware aan de hand van CMVP- en NIAP-vereisten.

Een programma met data, geen richtlijn om te interpreteren.

De federale PQC-migratie is in juni 2026 geen algemene planningsoefening meer. Executive Order 14412 en Office of Management and Budget (OMB) M-26-15 specificeren precies wat een migratieplan moet bevatten en wanneer het moet worden ingediend; CNSA 2.0 specificeert precies welke algoritmen en parameterreeksen defensiesystemen nodig hebben en tegen wanneer. De organisaties die elke stap probleemloos doorlopen, zijn degenen die de doorlooptijd van de validatie als de werkelijke beperking beschouwen, de vereiste geautomatiseerde inventaris nu opbouwen in plaats van na de deadline van het plan, en de beëindiging van FIPS 140-2 in september 2026 als een eigen deadline op korte termijn beschouwen, los van het langere traject van de PQC-migratie.

Veelgestelde Vragen / FAQ

Wanneer moeten de PQC-migratieplannen van federale instanties worden ingediend?

Naar schatting rond 22 oktober 2026, 120 dagen na de publicatie van OMB-memorandum M-26-15 op 24 juni 2026. De plannen worden zowel aan het OMB als aan het Bureau van de Nationale Cyberdirecteur voorgelegd.

Wat moet er in een federaal PQC-migratieplan staan?

Een geautomatiseerde methodologie voor cryptografische inventarisatie, risicogebaseerde prioritering op basis van de impact op het systeem, een architectuurplan voor cryptografische flexibiliteit, coördinatie met derden, schattingen van benodigde middelen en financiering, en toegewezen bestuursrollen, conform de specifieke vereisten van OMB M-26-15.

Is de federale PQC-tijdlijn hetzelfde voor civiele instanties en defensiesystemen?

Nee. Civiele instanties volgen het vijfstappenplan 2026-2035 van OMB M-26-15. Defensiesystemen volgen een apart traject van CNSA 2.0, met een acquisitiedatum van 1 januari 2027 en eigen mijlpalen voor 2030, 2031 en 2033, die worden beheerd door de NSA in plaats van het OMB.

Hoe lang duurt de FIPS 140-3-validatie momenteel?

Ongeveer 18 maanden of langer vanaf 2026. Executive Order 14412 draagt ​​NIST op om CMVP te versnellen, maar die planning is nog niet aantoonbaar verlengd, waardoor de huidige tijdlijnen een veiligere aanname vormen voor de planning.

Wat gebeurt er met FIPS 140-2-certificaten op 21 september 2026?

Alle resterende FIPS 140-2 gevalideerde certificaten worden overgeplaatst naar de historische lijst van CMVP. Systemen die afhankelijk zijn van actieve FIPS 140-2 validatie hebben een transitieplan nodig voor deze datum, die valt vóór de deadline voor de bredere PQC-migratieplannen van de meeste instanties.