Drie autoriteiten, drie kalenders
Op 12 oktober publiceerden het Duitse federale ministerie van Binnenlandse Zaken (BMI), het federale ministerie voor Digitale Zaken en Staatsmodernisering (BMDS) en het Federaal Bureau voor Informatiebeveiliging (BSI) een richtlijn om de Europese roadmap voor post-kwantumcryptografie in Duitsland uit te voeren. Die bevestigt de Europese tijdlijnen en voegt een datum toe voor de hele overgang.
| Autoriteit | Start | Hoogrisicosystemen | Al het andere |
|---|---|---|---|
| EU-roadmap (juni 2025) | elke lidstaat begint uiterlijk eind 2026 | zo snel mogelijk, uiterlijk eind 2030 | niet vermeld op de pagina van de Commissie |
| Duitse richtlijn (12 oktober 2026) | bij hoog risico zo vroeg mogelijk | migratie uiterlijk eind 2030 voltooid | grotendeels voltooid in 2035 |
| NCSC, Verenigd Koninkrijk | tegen 2028: doelen, volledige inventarisatie, eerste plan | tegen 2031: vroege migratie met hoogste prioriteit | voltooid tegen 2035 |
De Duitse tekst is een richtlijn, geen wet. De mededeling van het BSI presenteert hem als kader voor een gecoördineerde overgang en noemt geen sancties.
Wat Duitsland van organisaties vraagt
De richtlijn richt zich op federale, deelstaat- en gemeentelijke overheden en op organisaties en bedrijven, waaronder exploitanten van kritieke infrastructuur. Het BSI noemt vijf maatregelen: duidelijke verantwoordelijkheden en bindende deadlines binnen de organisatie, post-kwantumcryptografie als stand van de techniek, een systematische beoordeling van het kwantumrisico binnen het risicobeheer, vroege betrokkenheid van fabrikanten en toeleveringsketens en cryptoflexibiliteit.
Cryptoflexibiliteit betekent systemen, inkoop en risicobeheer zo ontwerpen dat cryptografische methoden, of instellingen zoals sleutellengtes, snel en gecontroleerd vervangen kunnen worden. Het BSI zegt dat dit belangrijker wordt omdat AI het beveiligingsonderzoek en steeds vaker ook methoden om cryptografie aan te vallen versnelt.
Inventariseren is de eerste stap met een datum
Het Verenigd Koninkrijk is het concreetst over de eerste taak. Tegen 2028 wil de NCSC doelen, een volledige inventarisatie en een eerste plan dat prioritaire activiteiten, afhankelijkheden van leveranciers en infrastructuur, de benodigde investering en langlevende hardware-vertrouwensankers benoemt. Het vraagt organisaties de cryptografie, protocollen en hardware waarvan ze afhankelijk zijn in kaart te brengen en zegt dat dit geen formeel activaregister hoeft te zijn.
De inventarisatie moet ook vastleggen hoe lang gegevens geheim moeten blijven en wat ze voor een tegenstander waard zijn. Dat doet ertoe, want de Commissie zegt dat 'store now, decrypt later'-aanvallen waarschijnlijk al plaatsvinden en dat gegevens die lang vertrouwelijk moeten blijven mogelijk nu al gevaar lopen.
De NCSC richt zich vooral op grote organisaties, exploitanten van kritieke nationale infrastructuur en bedrijven met maatwerk-IT. Het verwacht dat kleinere bedrijven met vooral standaard-IT een eenvoudiger migratie hebben, grotendeels via updates van leveranciers, terwijl maatwerksoftware dezelfde planning volgt als die van alle anderen.
Een korte lijst voor dit kwartaal
Begin met een lijst van waar uw organisatie publieke-sleutelcryptografie gebruikt, bijvoorbeeld in certificaten, vpn-tunnels en ondertekende firmware, en wijs één persoon aan die ervoor verantwoordelijk is. Zet er een datum op, want de Duitse richtlijn vraagt bindende deadlines en het Verenigd Koninkrijk een inventarisatie tegen 2028.
Vraag daarna uw leveranciers om hun post-kwantumroadmaps, aangezien het BSI fabrikanten en toeleveringsketens vroeg wil betrekken, en controleer of uw systemen algoritmen of sleutellengtes kunnen wisselen zonder herbouw. Zet de gegevens die het langst geheim moeten blijven bovenaan.
Lees hierna: Bugs uit 2014 openen nog deuren voor Chinese aannemer | Iraanse spyware deed zich voor als Norton Antivirus
