Post-kwantumcryptografie: de termijnen 2026, 2030 en 2035 en wat daarvan bindend is

Waarom de data nu vastliggen

Sinds augustus 2024 bestaan er gestandaardiseerde post-kwantumalgoritmen. Het Amerikaanse NIST publiceerde toen ML-KEM voor sleutelovereenkomst en ML-DSA en SLH-DSA voor handtekeningen als FIPS 203, 204 en 205. Sindsdien is "we wachten op standaarden" geen reden meer om met de overstap te wachten.

Inmiddels zijn er ook data. In juni 2025 publiceerden de EU-lidstaten met steun van de Europese Commissie een gezamenlijk stappenplan voor de overstap. EU-roadmap Het BSI, het Duitse federale bureau voor informatiebeveiliging, heeft in januari 2026 zijn technische richtlijn TR-02102-1 aangevuld met migratietermijnen. BSI TR-02102-1 En op 12 oktober 2026 publiceerden het BMI (Duits federaal ministerie van Binnenlandse Zaken), het BMDS (Duits federaal ministerie voor Digitalisering en Modernisering van de Staat) en het BSI een gezamenlijke richtlijn die de EU-data voor Duitsland overneemt. BSI

Dit artikel plaatst de data uit deze documenten in context. Het maakt daarbij onderscheid tussen wat wordt aanbevolen en waar dat een verplichting wordt. Dat onderscheid komt in veel samenvattingen te weinig aan bod.

De termijnen in één oogopslag

Eind 2026: inventaris, verantwoordelijkheid en plan

De eerste termijn betreft geen techniek, maar organisatie. De EU-roadmap noemt voor eind 2026 onder meer deze eerste stappen: betrokkenen erbij halen, een volwassen beheer van cryptografische assets opbouwen, afhankelijkheden in kaart brengen, het kwantumrisico analyseren, de toeleveringsketen betrekken en een tijd- en implementatieplan opstellen. Pilotprojecten voor use cases met een hoog en gemiddeld risico moeten tegen die tijd zijn gestart. EU-roadmap, pdf

De nationale richtlijn wordt voor Duitsland concreter. Tegen eind 2026 moet de voorbereidings- en planningsfase zijn afgerond; de richtlijn noemt dat "PQC-Readiness". Elke organisatie zou ten minste één verantwoordelijke functie moeten aanwijzen die het implementatieplan, de prioriteiten en de voortgang aanstuurt, en daarvoor voldoende personeel en budget moeten inplannen. Richtlijn, pdf

Voor de inventaris verwijst de richtlijn naar het Krypto-Kataster (het register van cryptografische middelen) uit IT-Grundschutz, de basisbeveiligingsmethodiek van het BSI: eis CON.1.A19 in de module CON.1 Kryptokonzept. Tools voor inventarisatie, scans van coderepositories en een Cryptographic Bill of Materials (CBOM), bijvoorbeeld volgens de CycloneDX-standaard, kunnen daarbij helpen. De eerste versie van de inventaris moet eind 2026 klaar zijn. Daar hoort ook een overzicht van de interne en externe afhankelijkheden bij. Het voorbeeld uit de richtlijn: kaartlezer en kaart moeten allebei kwantumveilige algoritmen ondersteunen, anders is de verbinding tussen beide niet kwantumveilig.

Eind 2030: wat een use case met een hoog risico is

De belangrijkste termijn is eind 2030. Tegen die tijd moeten use cases met een hoog kwantumrisico zijn omgezet. De EU-roadmap formuleert dat duidelijk: voor deze use cases mogen kwetsbare public-key-algoritmen na eind 2030 niet meer zelfstandig worden gebruikt. Voor use cases met een gemiddeld risico geldt hetzelfde na eind 2035.

Wat "hoog risico" betekent, bepaalt elke organisatie zelf. De roadmap geeft daarvoor een methode en globale vuistregels. Het kwantumrisico van een use case hangt af van drie factoren:

• hoe kwetsbaar de gebruikte cryptografie is,
• welke schade ontstaat als die wordt gebroken,
• hoe lang en ingrijpend de overstap naar post-kwantumcryptografie is.

Twee vuistregels uit de roadmap zijn bijzonder praktisch. Ten eerste: moeten gegevens ten minste tien jaar vertrouwelijk blijven en zou een aanval ook na tien jaar nog aanzienlijke gevolgen hebben, dan is het risico hoog. Zulke gegevens kunnen aanvallers vandaag al onderscheppen en opslaan om ze later te ontsleutelen ("Store now, decrypt later"). Ten tweede: duurt de overstap langer dan acht jaar en zouden de gevolgen van een aanval ernstig zijn, dan is het risico eveneens hoog. De roadmap noemt als voorbeeld de beveiliging van software-updates.

Daaruit volgt een tweede eis voor 2030: kwantumveilige software- en firmware-updates moeten standaard zijn ingeschakeld. Producten die met een verwachte levensduur tot na 2030 op de markt komen, moeten kunnen worden bijgewerkt naar post-kwantumalgoritmen. Het updatemechanisme zelf moet daarvoor post-kwantumhandtekeningen gebruiken.

Het BSI hanteert in de TR-02102-1 dezelfde datum voor toepassingen met een zeer hoge beschermingsbehoefte: hun overstap naar kwantumveilige algoritmen zou uiterlijk eind 2030 moeten plaatsvinden.

Eind 2031 en 2035: wat de BSI TR-02102-1 aanbeveelt

De TR-02102-1 in versie 2026-01 van 23 januari 2026 is de centrale aanbeveling van het BSI over cryptografische algoritmen en sleutellengtes. Ze maakt onderscheid tussen sleutelovereenkomst en handtekeningen. BSI TR-02102-1, pdf

Sleutelovereenkomst. Klassieke algoritmen zoals RSA of Diffie-Hellman op elliptische krommen beveelt het BSI als enige maatregel nog maar tot eind 2031 aan. Daarna mogen ze alleen nog samen met een kwantumveilig KEM-algoritme worden gebruikt. De reden is "Store now, decrypt later": onderschepte gegevens lopen gevaar zodra er een voldoende krachtige kwantumcomputer bestaat, ook als de onderschepping jaren geleden plaatsvond.

Handtekeningen. Hier ligt het anders. Een klassieke handtekening blijft betrouwbaar zolang er geen cryptografisch relevante kwantumcomputer bestaat. Het BSI volgt daarom de EU-roadmap en beveelt klassieke handtekeningalgoritmen volgens de huidige stand naar verwachting tot eind 2035 aan. Tegelijk wijst de richtlijn erop dat juist bij handtekeningen binnen een PKI rekening moet worden gehouden met lange migratietijden.

Hybride in plaats van vervangen. Het BSI beveelt aan post-kwantumalgoritmen hybride in te zetten, dus in combinatie met een klassiek algoritme. Valt een van beide algoritmen, dan blijft het andere beschermen. De nationale richtlijn neemt deze aanbeveling over.

2035: NIST IR 8547 en het internationale kader

In de Verenigde Staten heeft NIST in november 2024 met het concept NIST IR 8547 een tijdschema voorgesteld voor het uitfaseren van klassieke public-key-algoritmen. NIST IR 8547 Algoritmen met een beveiligingsniveau van 112 bit, waaronder RSA-2048, moeten na 2030 als "deprecated" gelden. Na 2035 moeten RSA, ECDSA, EdDSA en klassieke Diffie-Hellman op alle beveiligingsniveaus "disallowed" zijn.

Twee kanttekeningen zijn belangrijk. Het document is tot op heden een concept (Initial Public Draft). En "deprecated" betekent bij NIST niet verboden: een algoritme mag verder worden gebruikt als de organisatie het risico bewust draagt. Definitief uitgesloten is het pas als "disallowed".

De EU-roadmap heeft 2035 bewust op dit tijdschema afgestemd. Ze verwijst naar NIST IR 8547, naar het Amerikaanse doel uit National Security Memorandum 10 om tegen 2035 zoveel mogelijk kwantumrisico weg te nemen, en naar het tijdschema van het Britse NCSC, dat eveneens 2035 als doel noemt. Voor internationaal actieve bedrijven is dat goed nieuws: de grote tijdschema's spreken elkaar niet tegen.

Wat daarvan verplicht is en wat aanbeveling

De meeste samenvattingen spreken van "deadlines". Juridisch zijn de data uit de EU-roadmap en de nationale richtlijn echter aanbevelingen. De richtlijn zegt dat zelf: de termijnen zijn "dringende aanbevelingen vanwege de acute noodzaak om te handelen". Om ze bindend te maken, moeten de IT-Planungsrat (het Duitse coördinatieorgaan van federale overheid en deelstaten voor IT) en UP KRITIS (het Duitse publiek-private samenwerkingsverband voor de bescherming van vitale infrastructuur) ze tegen eind 2026 zo bindend mogelijk vaststellen.

Bindend is vandaag vooral het volgende:

• Verschlusssachen (gerubriceerde informatie). Voor toegelaten VS-IT-beveiligingsproducten heeft het BSI bindende termijnen vastgesteld om het domein van gerubriceerde informatie tegen 2030 om te zetten.
• NIS2 in Duitsland. Belangrijke en bijzonder belangrijke entiteiten zijn op grond van § 30 BSI-Gesetz (BSIG, de Duitse wet waarmee NIS2 is omgezet) verplicht voor cryptografie de stand van de techniek te volgen. De richtlijn noemt daarvoor uitdrukkelijk de TR-02102 als maatstaf. Wie de aanbevelingen van de TR-02102 zonder onderbouwd risicobesluit negeert, zal het bij twijfel moeilijk hebben om de stand van de techniek aan te tonen.
• Sectorregels. De gedelegeerde handeling over ICT-risicobeheer onder DORA (Gedelegeerde Verordening (EU) 2024/1774, artikel 6) verlangt van financiële entiteiten dat hun beleid voor versleuteling en cryptografische maatregelen erin voorziet dat de cryptografische techniek bij vorderingen in de cryptoanalyse wordt bijgewerkt of vervangen. PCI DSS 4.0.1 verlangt met eis 12.3.3 sinds 31 maart 2025 een gedocumenteerd overzicht van de gebruikte cipher suites en protocollen, dat ten minste jaarlijks wordt beoordeeld, en een strategie voor voorzienbare kwetsbaarheden. Een vaste post-kwantumdatum noemen ze geen van beide. Een kwantumcomputer is echter precies het soort ontwikkeling waarop ze moeten reageren.

Beide documenten, EU-roadmap en richtlijn, bevatten bovendien dezelfde zin voor het geval een datum niet haalbaar is: dan moet het individuele risico worden beoordeeld. Dat is geen uitweg, maar een documentatieplicht. Wie 2030 niet haalt, moet kunnen onderbouwen waarom en met welke compenserende maatregelen.

Wat de tijdlijn betekent voor de planning

De EU-roadmap onderbouwt haar data ook met de duur van de overstap. Het kan gemakkelijk vijf tot tien jaar duren om alle relevante systemen volledig om te zetten. De richtlijn verwijst naar eerdere cryptografische overstappen die eveneens jaren hebben geduurd.

Hoe goed bedrijven zijn voorbereid, laat een marktonderzoek zien dat KPMG in 2023 in opdracht van het BSI heeft uitgevoerd: bijna 90 procent van de deelnemers schatte in dat ze de bedreigingen van kwantumcomputers voor cryptografie niet tijdig het hoofd konden bieden. BSI-marktonderzoek

De rekensom is eenvoudig. Wie use cases met een hoog risico tegen eind 2030 moet hebben omgezet en daar vijf jaar voor nodig heeft, had in 2025 moeten beginnen. Voor alle anderen geldt: de termijn van eind 2026 voor inventaris, verantwoordelijkheid en plan is de eerste die realistisch gezien nog haalbaar is. En die kost vooral werk, nauwelijks investeringen.

Tegelijk waarschuwen EU-roadmap en richtlijn voor het andere uiterste. Het tijdschema moet een chaotische overgang voorkomen die door onvoldoende geteste oplossingen nieuwe kwetsbaarheden creëert. Een snelle volledige vervanging is dus geen doel. Gevraagd is een geprioriteerde, geteste en gedocumenteerde overstap.

Wat wij bij Secani hieruit meenemen

De richtlijn verlangt dat het kwantumrisico wordt geïntegreerd in het reguliere risicobeheer en dat de termijnen voor de behandeling daar worden verankerd. Voor een ISMS betekent dat: het kwantumrisico wordt geen apart project naast het register, maar een risico zoals andere, gekoppeld aan de betrokken assets, applicaties en leveranciers, met een verantwoordelijke persoon en een datum. Zo blijft navolgbaar welke use cases als hoog zijn ingeschaald, waarom, en wanneer ze moeten zijn omgezet.

Hoe u risico's zo beheert dat ze tot beslissingen leiden, beschrijven we in Bouw een risicoregister dat beslissingen verandert. Hoe versleuteling en sleutelbeheer als geheel moeten worden gecontroleerd, leest u in Versleuteling en sleutelbeheer: controleer de beschermingsketen. Wat het onderzoek zegt over het moment waarop een kwantumcomputer RSA zou kunnen breken, vatten we samen in Wanneer komt Q-Day? Wat het onderzoek in 2025 en 2026 laat zien.

Conclusie

De data voor de post-kwantummigratie liggen vast, en de grote tijdschema's van de EU, Duitsland, de VS en het Verenigd Koninkrijk sluiten op elkaar aan: eind 2026 inventaris en plan, eind 2030 de use cases met een hoog risico, 2035 de rest. Bindend zijn ze tot nu toe vooral voor gerubriceerde informatie. Voor NIS2-entiteiten in Duitsland worden ze via de stand van de techniek volgens § 30 BSIG feitelijk de maatstaf. Wie vandaag begint, moet daarom niet met de techniek starten, maar met een verantwoordelijke functie, een inventaris en een onderbouwde inschaling van de eigen use cases.

Bronnen

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream van de NIS Cooperation Group, Part 1, versie 1.1, 11 juni 2025, gepubliceerd 23 juni 2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (gezamenlijke richtlijn van BMDS, BMI en BSI, gepubliceerd 12 oktober 2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, persbericht, 12 oktober 2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (versie 2026-01, 23 januari 2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 november 2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG in opdracht van het BSI, april 2023)