Wanneer komt Q-Day? Wat het onderzoek in 2025 en 2026 laat zien

Wat met Q-Day wordt bedoeld

"Q-Day" is de dag waarop een kwantumcomputer de huidige gangbare public-key-cryptografie kan breken. Het gaat vooral om RSA en algoritmen op elliptische krommen, waarop TLS, VPN's, codesignering, PKI's en digitale identiteiten berusten. Vakmensen spreken van een cryptografisch relevante kwantumcomputer, kortweg CRQC.

Dat zo'n machine deze algoritmen zou kunnen breken, is bekend sinds 1994, toen Peter Shor de betreffende kwantumalgoritmen publiceerde. Open is wanneer een machine kan worden gebouwd die groot genoeg is en weinig genoeg fouten maakt. Op die vraag is het onderzoek in 2025 en 2026 duidelijk in beweging gekomen. Dit artikel vat het belangrijkste werk samen en plaatst in context wat het aantoont en wat niet.

Eerst een begrip: huidige kwantumcomputers werken met fysieke qubits, die foutgevoelig zijn. Met kwantumfoutcorrectie worden veel fysieke qubits samengevoegd tot één stabieler logisch qubit. Resourceschattingen noemen daarom meestal beide aantallen. Voor de vraag hoe ver de hardware nog verwijderd is, telt het aantal fysieke qubits.

Wat experts verwachten: het Quantum Threat Timeline Report

De bekendste langlopende enquête is het Quantum Threat Timeline Report van het Global Risk Institute. Michele Mosca en Marco Piani van evolutionQ ondervragen daarvoor elk jaar experts uit onderzoek en industrie. De zevende editie, gedateerd 9 maart 2026, berust op de antwoorden van 26 experts. Global Risk Institute

Het resultaat: een cryptografisch relevante kwantumcomputer binnen de komende tien jaar achten de respondenten "heel goed mogelijk", met een waarschijnlijkheid van 28 tot 49 procent. Binnen 15 jaar achten ze hem "waarschijnlijk", met 51 tot 70 procent. De rapportreeks definieert zo'n machine als een computer die RSA-2048 binnen 24 uur kan breken.

Een enquête onder 26 personen is geen meting. De waarde ligt in de tijdreeks: dezelfde vraag wordt al jaren gesteld, en de inschattingen zijn over de edities heen naar voren geschoven.

Wat het BSI verwacht

Het BSI, het Duitse federale bureau voor informatiebeveiliging, laat de stand van de ontwikkeling van kwantumcomputers sinds 2017 in een eigen studie beoordelen, voor het laatst bijgewerkt in 2025. De Duitse nationale richtlijn voor de post-kwantummigratie vat het resultaat zo samen: het is waarschijnlijk dat zo'n kwantumcomputer binnen maximaal 15 jaar realiseerbaar is, dus tegen 2040 of eerder. De basisaannames van kwantumfoutcorrectie zijn in 2024 volledig geverifieerd; verdere vooruitgang kan de termijn aanzienlijk verkorten. Richtlijn, pdf

Voor het hoogbeveiligde domein is de Duitse federale regering voorzichtiger. Daar werkt ze met de hypothese dat cryptografisch relevante kwantumcomputers begin jaren 2030 beschikbaar zijn. De richtlijn citeert daarvoor een Bundestagsdrucksache (een officieel parlementair document van de Duitse Bondsdag) van februari 2025.

De inschattingen van het BSI en van experts liggen daarmee dicht bij elkaar: geen doorbraak morgen, maar een reële mogelijkheid binnen de levensduur van systemen die vandaag worden gepland.

De hardwareschattingen dalen

Vooral de schattingen van hoe groot een kwantumcomputer voor een aanval zou moeten zijn, zijn in beweging gekomen. Drie publicaties uit 2025 en 2026 staan daarbij centraal.

RSA-2048 met minder dan een miljoen qubits. In mei 2025 schatte Craig Gidney van Google Quantum AI dat een kwantumcomputer met minder dan een miljoen ruisgevoelige qubits een 2048-bit RSA-getal in minder dan een week zou kunnen factoriseren. arXiv:2505.15917 In 2019 lag zijn schatting samen met Martin Ekerå nog op 20 miljoen qubits. arXiv:1905.09749 De hardwareaannames zijn daarbij gelijk gebleven: een vierkant rooster met verbindingen alleen naar buren, een foutpercentage van 0,1 procent per gate en een foutcorrectiecyclus van één microseconde. De besparing komt voort uit betere algoritmen en efficiëntere foutcorrectie, niet uit betere hardware. De prijs is een langere looptijd.

RSA-2048 met circa 100.000 qubits. In februari 2026 presenteerde het Australische bedrijf Iceberg Quantum de "Pinnacle"-architectuur. Die vervangt de tot dusver gangbare foutcorrectie door zogeheten qLDPC-codes. Onder dezelfde aannames voor foutpercentage en kloksnelheid schat Iceberg circa 98.000 fysieke qubits bij ongeveer een maand looptijd, of circa 471.000 qubits voor ongeveer een dag. arXiv:2602.11457 De architectuur is tot nu toe alleen in simulaties getoetst. Ze vereist verbindingen tussen ver van elkaar verwijderde qubits en een zeer snelle foutdecodering; beide zijn op deze schaal nog niet aangetoond.

Elliptische krommen in minuten. Eind maart 2026 publiceerde Google Quantum AI samen met onderzoekers van de Ethereum Foundation en Stanford University resourceschattingen voor 256-bit-krommen, die onder meer Bitcoin en Ethereum beveiligen. Twee geoptimaliseerde circuits volstaan met minder dan 1.200 logische qubits en minder dan 90 miljoen Toffoli-gates, of minder dan 1.450 logische qubits en minder dan 70 miljoen Toffoli-gates. Op supergeleidende hardware met een foutpercentage van 0,1 procent komt dat overeen met minder dan 500.000 fysieke qubits en een looptijd van enkele minuten. Google becijfert dat als een ongeveer twintigvoudige reductie ten opzichte van de tot dan toe beste schatting. Google Research, arXiv:2603.28846

Opmerkelijk is ook hoe Google heeft gepubliceerd. De circuits zelf zijn niet gepubliceerd, om aanvallers geen handleiding te geven. In plaats daarvan toont een zero-knowledge-bewijs aan dat de schattingen kloppen. Voor bedrijven is dat een signaal: het onderzoek behandelt het onderwerp inmiddels zelf als beveiligingsrelevant.

Wat de cijfers niet zeggen

Hoe indrukwekkend de curve ook is, de publicaties hebben duidelijke grenzen.

• De machine bestaat niet. De Willow-chip van Google had bij zijn presentatie in december 2024 105 qubits en toonde foutcorrectie onder de kritieke drempel. Google Van honderdduizenden qubits die dagen of weken foutgecorrigeerd rekenen, is de hardware nog ver verwijderd.
• De aannames zijn optimistisch, maar niet exotisch. Alle genoemde schattingen gaan uit van een foutpercentage van 0,1 procent en kloktijden in het microsecondebereik. Afzonderlijke platforms halen zulke waarden vandaag, maar niet op deze schaal en niet duurzaam.
• De meeste publicaties zijn preprints. Ze zijn nog niet peer-reviewed. Bij Iceberg komt daarbij dat de resultaten alleen uit simulaties stammen.
• De vooruitgang komt uit algoritmen. Dat is tegelijk de verontrustende kant. Elke reductie van de afgelopen jaren kwam voort uit betere wiskunde en betere foutcorrectie. Zulke vooruitgang is moeilijk te voorspellen en kan plotseling komen.

Wie daar een precieze datum uit afleidt, leest er meer in dan de publicaties opleveren. De betrouwbare uitspraak is een andere: de drempel is in zeven jaar met meer dan een orde van grootte gedaald, zonder dat de hardwareaannames zijn veranderd.

Waarom de onzekerheid geen reden is om te wachten

Voor de planning helpt een eenvoudige redenering die teruggaat op Michele Mosca. Drie periodes moeten worden vergeleken:

• hoe lang gegevens vertrouwelijk moeten blijven,
• hoe lang de overstap naar post-kwantumcryptografie duurt,
• hoe lang het duurt tot er een cryptografisch relevante kwantumcomputer is.

Is de som van de eerste twee groter dan de derde periode, dan komt de overstap te laat. Gegevens die vandaag worden onderschept en opgeslagen, kunnen dan later worden ontsleuteld ("Store now, decrypt later").

De EU-roadmap voor de post-kwantummigratie bouwt precies hierop voort. Ze schaalt use cases in als hoog risico wanneer gegevens ten minste tien jaar vertrouwelijk moeten blijven, en schat de duur van een volledige overstap op vijf tot tien jaar. EU-roadmap, pdf Zelfs wie Q-Day pas in 2040 verwacht, komt met tien jaar vertrouwelijkheid en vijf jaar overstap uit op een start uiterlijk in 2025.

Bij handtekeningen is de druk kleiner, want een handtekening hoeft alleen stand te houden tot de kwantumcomputer er is. Daar zijn de overstaptijden echter het langst: PKI's, firmware-updates en apparaten met een lange levensduur laten zich niet in één jaar ombouwen. Daarom verlangt de EU-roadmap dat software- en firmware-updates tegen 2030 standaard kwantumveilig worden ondertekend.

Conclusie

Het onderzoek levert geen datum voor Q-Day, maar wel een duidelijke richting. Experts achten een cryptografisch relevante kwantumcomputer binnen tien jaar heel goed mogelijk, het BSI acht hem tegen 2040 waarschijnlijk, en de geschatte hardware-eisen zijn in 2025 en 2026 sterk gedaald. Voor bedrijven is het precieze jaartal sowieso niet de beslissende vraag. Beslissend is of de eigen gegevens langer vertrouwelijk moeten blijven dan de overstap tijd laat. Welke data overheden daaruit afleiden en wat daarvan bindend is, leest u in Post-kwantumcryptografie: de termijnen 2026, 2030 en 2035 en wat daarvan bindend is.

Bronnen

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9 maart 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (gezamenlijke richtlijn van BMDS, BMI en BSI, 12 oktober 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21 mei 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, verschenen in Quantum 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, februari 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney e.a., arXiv, 30 maart 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31 maart 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9 december 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream van de NIS Cooperation Group, juni 2025)