Op de Vietnam Security Summit 2026 waarschuwden overheidsexperts en beveiligingsbedrijven voor een nieuwe golf cyberaanvallen. De conferentie vond deze week plaats in Hanoi. De aanleiding is de overgang naar het post-kwantumtijdperk, waarin kwantumcomputers huidige versleuteling kunnen breken. Dit raakt ook Europa en Nederland door NIS2, de AVG en de Europese AI-verordening gevolgen overheid.
Kwantumcomputers veranderen dreigingsbeeld
Beveiligingsspecialisten zien dat aanvallers vandaag al data stelen die later met kwantumkracht kan worden ontsleuteld. Deze tactiek heet “harvest now, decrypt later”. Het risico is groot voor gegevens die lang geheim moeten blijven, zoals medische dossiers en staatsdocumenten. Organisaties moeten daarom nu maatregelen plannen, niet pas als grote kwantumcomputers er zijn.
AI-systemen versterken dit dreigingsbeeld. Aanvallers gebruiken generatieve algoritmen om geloofwaardige phishing te maken en om kwetsbaarheden sneller te vinden. Defenders zetten modellen in voor detectie en respons, maar die lopen achter als cryptografie faalt. Zonder sterke sleutels en handtekeningen verliest elke slimme verdediging zijn basis.
Ook ketens worden kwetsbaar. Leveranciers in Azië, Europa en Noord-Amerika delen dezelfde protocollen voor inloggen, updates en betalingen. Als één zwakke schakel valt, kan de rest volgen. Dat maakt internationale afspraken over post-kwantumcryptografie urgent.
Harvest now, decrypt later betekent: aanvallers kopiëren vandaag versleutelde data om die later met kwantumrekenkracht te ontsleutelen.
Start nu met post-kwantum
Post-kwantumcryptografie (PQC) is versleuteling die ook bestand is tegen kwantumaanvallen. Het Amerikaanse NIST standaardiseert algoritmen als CRYSTALS-Kyber (key exchange) en CRYSTALS-Dilithium (digitale handtekeningen). Ook SPHINCS+ en Falcon komen in beeld voor specifieke toepassingen. Deze keuzes worden wereldwijd, ook in de EU, als richtinggevend gezien.
Migratie gebeurt stapsgewijs met zogeheten hybride protocollen. Daarbij combineer je een klassiek en een post-kwantumalgoritme, zodat breuk in één component niet fataal is. Dit heet crypto-agility: systemen snel kunnen aanpassen aan nieuwe cryptografie. Het verkleint risico’s tijdens de overgang.
Begin met een cryptoinventaris: welke protocollen, libraries en sleutels zijn in gebruik, en waar staat langlevende data. Prioriteer systemen met lange vertrouwelijkheidseisen, zoals zorg, overheid en industrie. Test performance en sleutelgroottes, want PQC vraagt soms meer rekenkracht en bandbreedte. Betrek leveranciers vroeg, zeker bij IoT en embedded apparaten met beperkte middelen.
AI vergroot risico én weerbaarheid
AI-tools versnellen zowel aanval als verdediging. Phishing wordt persoonlijker, code-injecties worden geautomatiseerd, en deepfakes ondermijnen vertrouwen. Aan de verdedigingskant helpen modellen met anomaliedetectie, sandboxing en patch-prioritering. Toch blijft sterke, toekomstvaste cryptografie de basis om data en modellen te beschermen.
Modelketens hebben eigen kwetsbaarheden. Het ondertekenen van trainingsdata, modelgewichten en updates voorkomt dat kwaadwillenden gemanipuleerde artefacten insluizen. Post-kwantum-handtekeningen zijn belangrijk, omdat AI-modellen jarenlang in productie kunnen blijven. Zo blijft herkomstcontrole (signing en verificatie) ook later betrouwbaar.
De Europese AI-verordening verplicht voor hoogrisicosystemen robuustheid en beveiliging, op het moment van schrijven nader ingevuld in uitvoeringsregels. Dit raakt onder meer medische AI, mobiliteit en overheidsbesluiten. Organisaties die nu PQC meenemen in hun AI-leveringsketen lopen minder juridische en operationele risico’s. Het voorkomt dure herontwerpen later in de levenscyclus.
Europa scherpt regels aan
NIS2 legt strengere eisen op aan essentiële en belangrijke organisaties, van zorg tot cloud en logistiek. Bestuurders moeten aantoonbare maatregelen nemen, waaronder beheer van cryptografische risico’s. Boetes en persoonsaansprakelijkheid vergroten de druk om tijdig te migreren. Dit werkt door in contracten en auditkaders in de hele toeleveringsketen.
ENISA adviseert crypto-agility en inventarisatie als startpunt. ETSI werkt aan profielen en interoperabiliteit voor netwerkprotocollen met post-kwantumopties. eIDAS 2.0 en gekwalificeerde vertrouwensdiensten moeten plannen maken voor post-kwantumhandtekeningen en tijdstempels. Zo blijft digitale identiteit en ondertekening rechtsgeldig op de lange termijn.
In Nederland raadt het NCSC aan om nu een migratiestrategie te ontwikkelen. Denk aan TLS, VPN, e-mail, PKI en software-updates in Rijks- en gemeentelijke domeinen. De AVG verplicht passende beveiliging; bij langlevende data hoort daarbij post-kwantumweerbaarheid. Dit geldt ook voor zorginstellingen en onderwijs dat privacygevoelige data opslaat.
Signalen uit de praktijk
Techbedrijven testen al PQC in productieachtige omgevingen. Google en Cloudflare experimenteerden met hybride TLS op basis van Kyber in browsers en netwerken. OpenSSH ondersteunt hybride key exchange, en berichtenapps onderzoeken post-kwantum-varianten van sleuteluitwisseling. Zulke pilots tonen dat migratie haalbaar is, maar ook dat tuning nodig is per omgeving.
Consumentenmerken zetten stappen, maar bedrijfs- en overheidsnetwerken lopen vaak trager. Legacy-systemen, certificaatkaders en compliance vertragen upgrades. Daar helpt een routekaart met duidelijke mijlpalen en rollback-plannen. Leveranciersselectie op crypto-agility wordt een harde eis in aanbestedingen.
Industrie en OT-omgevingen hebben extra aandacht nodig. Lange levensduur van apparatuur vraagt snel beleid voor firmware en key management. Offline en beperkte verbindingen maken sleutelrotatie lastig. Post-kwantumhandtekeningen voor updates en auditbare sleutelkluisjes zijn hier cruciaal.
Vijf praktische stappen nu
Maak een cryptoinventaris en een dataclassificatie met aanduiding “langlevend”. Koppel daaraan een risicobeoordeling en prioriteitenlijst. Stel een PQC-routekaart op met hybride tussenstappen. Reserveer budget en capaciteit over meerdere jaren.
Start pilots op TLS, VPN en code-signing met door NIST geselecteerde algoritmen. Meet latency, bandbreedte en geheugenimpact. Werk met fallback en monitoring om stabiliteit te borgen. Documenteer bevindingen voor audits en toezichthouders.
Leg inkoopvoorwaarden vast: crypto-agility, support voor Kyber/Dilithium of gelijkwaardig, en tijdlijnen voor updates. Vraag leveranciers om een migratieplan en SBOM’s met cryptoversies. Neem key management en incidentrespons op in contracten. Toets naleving periodiek.
Train teams in post-kwantumprincipes en AI-veiligheid. Leg uit wat “harvest now, decrypt later” betekent voor jullie organisatie. Oefen met sleutelcompromis-scenario’s en herstel. Rapporteer voortgang periodiek aan bestuur en raad van toezicht.
