Het datalek dat nog niet voltooid is
Tegenstanders onderscheppen en bewaren nu al versleuteld verkeer en bestanden. Ze kunnen die nog niet lezen. Het plan vereist dat ook niet. Zodra er een cryptografisch relevante quantumcomputer bestaat, wordt het vandaag verzamelde archief met terugwerkende kracht ontsleuteld, en hoeft de data nooit een tweede keer te worden gestolen. Westerse inlichtingendiensten hebben een naam voor dit patroon: harvest now, decrypt later.
Voor de meeste operationele data is een lek dat over acht jaar boven water komt een beheersbaar probleem. Voor een principaal of een family office ligt de rekensom anders. Eigendomsstructuren, opvolgingsplannen, transactievoorwaarden en juridische posities blijven tientallen jaren vertrouwelijk. De houdbaarheid van het geheim is langer dan de levensduur van de versleuteling die het beschermt, en in dat gat huist nu het risico.
Twee overheden hebben zojuist de klok gezet
Op 22 juni 2026 ondertekenden de Verenigde Staten Executive Order 14409, Securing the Nation Against Advanced Cryptographic Attacks. Die verplicht federale systemen en hun contractanten om voor eind 2030 over te stappen op post-quantumversleuteling en voor eind 2031 op post-quantumauthenticatie. Daarmee werd het eerdere doel van 2035 vijf jaar naar voren gehaald, wat een opvallend directe uitspraak is over hoe kort de aanloop wordt ingeschat.
Duitsland wachtte niet op dat signaal. In februari 2026 verklaarde het BSI het einde van klassieke RSA- en elliptische-krommeversleuteling, met dezelfde horizon van eind 2030 voor gevoelige data. Het stelde onomwonden dat de aanbeveling geldt voor elke organisatie die beschermenswaardige data verwerkt, niet alleen voor overheidsinstanties en kritieke infrastructuur. Voor een eigenaarsgeleid bedrijf is dat geen toekomstige verplichting om in de gaten te houden. Het is actuele richtlijn van de nationale autoriteit.
Crypto-agility is het enige echte antwoord
De vervangende standaarden bestaan al. NIST rondde ze in 2024 af als FIPS 203, 204 en 205, en de hybride aanpak die het BSI aanbeveelt laat ze naast de huidige versleuteling draaien zodat er niets stukgaat tijdens de overgang. De wiskunde is opgelost. Dat is niet het deel dat een bestuur zorgen zou moeten baren.
Het moeilijke deel is de inventarisatie. De meeste organisaties kunnen niet zeggen waar hun versleuteling zich bevindt, welke leveranciers die beheren, of hoe lang een vervanging werkelijk zou duren. Gepubliceerde migratietermijnen lopen van enkele jaren voor een klein bedrijf tot ruim meer dan een decennium voor een grote organisatie. Een programma dat pas begint nadat de quantummachine er is, is al mislukt, want de data die het moest beschermen werd jaren eerder verzameld.
Lees hierna: Een vertrouwde stem is geen bewijs meer · Uw AI-agents zijn talrijker dan uw personeel