Migratiestrategie voor post-quantumcryptografie
De migratie naar post-quantumcryptografie begint bij een radicaal eerlijke inventarisatie. Iedere sleutel, elk certificaat en elke protocolstack binnen Microsoft 365, Azure, OT-omgevingen en on-premises toepassingen moet in kaart worden gebracht, inclusief de context waarin het cryptografische materiaal wordt gebruikt en hoe lang de onderliggende gegevens vertrouwelijk moeten blijven. Deze inventaris combineert technische scans (bijvoorbeeld via Defender for Cloud, Sentinel en Certificate Transparency-logs) met interviews bij applicatie-eigenaren, archivarissen en informatiebeveiligingsadviseurs om ook maatwerk en schaduw-IT zichtbaar te maken. Het resultaat is een levend register dat aansluit bij de BIO-paragraaf over sleutelbeheer, de eisen van de Archiefwet en de governanceprincipes van de Nederlandse Baseline voor Veilige Cloud.
Op basis van deze inventaris volgt een crypto-agility-beoordeling. Teams analyseren waar algoritmen hard gecodeerd zijn, welke leveranciers al Kyber- of Dilithium-roadmaps hebben, en welke CI/CD-pijplijnen, HSM’s of PKI-componenten nog niet scriptbaar zijn. Legacy-systemen zoals SCADA-gateways, paspoortverwerkende applicaties of oude IPsec-appliances krijgen een technische risicoscore waarin prestatie-impact, afhankelijkheid van buitenlandse leveranciers en patchbaarheid worden meegenomen. De uitkomst voedt een risicogestuurde prioritering waarin gegevens met een levensduur van decennia (bijvoorbeeld staatsgeheimen, tucht- of strafdossiers, bevolkingsadministraties) voorrang krijgen, gevolgd door processen die de continuïteit van vitale infrastructuur of verkiezingssystemen raken.
Vervolgens wordt een hybride architectuur ontworpen. Voor TLS 1.3, IPsec en S/MIME betekent dit dat klassieke suites worden gecombineerd met Kyber-key exchanges en Dilithium-handtekeningen, zodat sessies quantumveilig zijn zonder directe compatibiliteitsbreuken. Voor firmware-ondertekening en identiteitsbewijzen kunnen Falcon en SPHINCS+ worden ingezet om compacte handtekeningen te behouden, terwijl logging en audit-trails worden uitgebreid om cryptografische keuzes aantoonbaar te maken richting toezichthouders. Proefopstellingen draaien gecontroleerd binnen een laboratoriumtenant of een gescheiden OT-segment, zodat prestaties, sleutelgroottes en beheerprocessen kunnen worden getest voordat ze in productie gaan. Hierbij horen geautomatiseerde regressietesten, scenario’s voor gecontroleerde verstoringen en fallback-procedures om incidenten te voorkomen.
De organisatorische component is even belangrijk. Het programma wordt ondergebracht bij een interdepartementaal cryptografieboard waarin CISO’s, CTO’s, juristen, inkoop en vertegenwoordigers van het NCSC en relevante Rijksdiensten zijn vertegenwoordigd. Dit board bepaalt standaarden, bewaakt aansluiting op NIS2-, AVG- en Woo-vereisten en legt keuzes vast in architectuurlogs zodat audits kunnen aantonen dat beslissingen risicogestuurd zijn genomen. Leverancierscontracten krijgen clausules over PQC-roadmaps, broncode-escrow en prestatiegaranties, terwijl raamovereenkomsten voor hardwareversnellers en PQC-compatibele HSM’s centraal worden ingekocht om schaalvoordelen te behalen.
Tot slot verankert de organisatie de verandering in processen en budgetten. Financiële scenario’s modelleren investeringen voor nieuwe PKI’s, netwerkcomponenten en licenties, plus structurele kosten voor training en beheer. Opleidingsprogramma’s voor ontwikkelaars, SOC-analisten en sleutelbeheerders behandelen nieuwe algoritmen, sleutelrotatie en post-quantum incidentrespons. Communicatie naar bestuurders benadrukt dat “harvest now, decrypt later” nu al plaatsvindt en dat tijdige actie reputatieschade en juridische claims voorkomt. Door elke stap te koppelen aan meetbare KPI’s, zoals het percentage gemigreerde certificaten, het aantal crypto-agile applicaties en het aantal leveranciers met een geverifieerde PQC-roadmap, kan de organisatie aantonen dat zij de Nederlandse Baseline voor Veilige Cloud en de BIO-cyclus van continue verbetering daadwerkelijk operationaliseert.
Een volwassen migratieprogramma controleert tenslotte continu de effectiviteit van maatregelen. Dat betekent dat informatie van NCSC en AIVD over quantumontwikkelingen wordt vertaald naar aangepaste dreigingsscenario’s, dat tabletop-oefeningen en gezamenlijke testtrajecten toetsen of incidentprocessen en communicatieprotocollen ook met nieuwe algoritmen blijven werken, en dat forensische tools worden geüpdatet om grotere sleutelmaterialen en certificaatketens te analyseren. Ervaringen uit pilots worden vastgelegd in architectuur-beslisdocumenten, gedeeld via Rijksbrede communities en gevoed aan kennisbanken zoals het CIO-beraad, zodat andere departementen niet telkens het wiel opnieuw hoeven uit te vinden. Door deze feedbacklus vast onderdeel te maken van kwartaalrapportages ontstaat een cultuur van continu verbeteren en blijft de overheid aantoonbaar in control, zelfs wanneer de technologie zich sneller ontwikkelt dan de regelgeving.