Post-kwantumcryptografie: de NIST-standaarden en hoe migratie werkt

Hoe de eerste post-kwantumstandaarden van NIST samenhangen, waarom migratie vóór Q-Day moet beginnen en met welke praktische stappen organisaties nu te maken krijgen.

Deze pagina is vertaald vanuit het Engels. Bedrijfs- en productnamen en bronlinks zijn ongewijzigd. Lees het origineel in het Engels

Post-kwantumcryptografie is de inspanning om de kwetsbare publieke-sleutelcryptografie van vandaag te vervangen door alternatieven die naar verwachting bestand zijn tegen aanvallen van toekomstige quantumcomputers. De eerste drie definitieve standaarden van NIST, uitgebracht in 2024, betekenen dat de overgang is verschoven van onderzoek naar uitrol: van organisaties wordt nu verwacht dat ze inventariseren waar kwetsbare algoritmen worden gebruikt, bepalen wat als eerste moet worden vervangen en beginnen aan migratiewerk dat meerdere jaren duurt.

Waarom post-kwantumcryptografie nodig is

Het probleem is niet dat quantumcomputers alles kunnen kraken. De belangrijkste zorg is beperkter en belangrijker: veelgebruikte publieke-sleutelsystemen zijn afhankelijk van wiskundige problemen zoals integerfactorisatie, discrete logaritmen en elliptische-curve-discrete logaritmen. Een voldoende capabele quantumcomputer die Shor’s algoritme uitvoert, zou die problemen efficiënt kunnen oplossen, waardoor systemen zoals RSA, finite-field Diffie–Hellman en elliptic-curve Diffie–Hellman zouden worden ondermijnd.

Die dreiging is nog toekomstig. Vanaf 2026 hebben quantumcomputers niet de rekenkracht om breed ingezette cryptografische systemen te kraken, en laboratoriumdemonstraties van Shor’s algoritme hebben alleen gewerkt op zeer kleine getallen. De praktische hindernis is niet de theoretische mogelijkheid, maar de schaal van de engineering: Wikipedia merkt op dat het overtreffen van klassieke methoden machines met miljoenen qubits kan vereisen vanwege de overhead van foutcorrectie.

Toch zou wachten op een volledig capabele quantumcomputer een vergissing zijn. Migratie duurt jaren en sommige data hebben een lange vertrouwelijkheidsduur. Daarom is “harvest now, decrypt later” een centraal planningsconcept geworden. Een aanvaller kan vandaag versleuteld verkeer of opgeslagen ciphertext verzamelen en die bewaren totdat toekomstige vooruitgang ontsleuteling mogelijk maakt. Bij e-mailarchieven, gezondheidsdata, intellectueel eigendom, overheidsarchieven of logbestanden van kritieke infrastructuur kan de schade pas lang optreden nadat de data voor het eerst zijn onderschept.

Wat quantum verandert — en wat niet

Een veelvoorkomend misverstand is dat quantumcomputing alle cryptografie overbodig maakt.

De meeste huidige symmetrische cryptografie en hashfuncties gelden als relatief veilig tegen quantumaanvallen. Grover’s algoritme kan brute-force-zoektochten tegen symmetrische ciphers versnellen, maar dat effect kan in de praktijk worden gecompenseerd door grotere sleutellengtes te gebruiken, bijvoorbeeld door de sleutellengte te verdubbelen. De grootste ontwrichting zit dus in publieke-sleutelcryptografie, vooral bij:

sleutelafleiding en sleuteluitwisseling
publieke-sleutelversleuteling en sleutelinkapseling
digitale handtekeningen

Daarom heeft het PQC-programma van NIST zich gericht op key encapsulation mechanisms, of KEM’s, en digitale-handtekeningalgoritmen, in plaats van alles in de stack in één keer te vervangen.

Wat NIST als eerste heeft gestandaardiseerd

NIST begon eind 2016 met zijn formele standaardisatie-inspanning na een oproep voor voorstellen. Volgens het standaardisatiedossier kwamen 69 volledige en geldige inzendingen in de eerste ronde, en bereikten zeven kandidaten de derde ronde die in juli 2020 werd aangekondigd. Na jaren van evaluatie stelde NIST zijn eerste drie standaarden definitief vast op 13 augustus 2024.

Die standaarden zijn:

FIPS 203: ML-KEM, het Module-Lattice-Based Key-Encapsulation Mechanism, gebaseerd op CRYSTALS-Kyber
FIPS 204: ML-DSA, het Module-Lattice-Based Digital Signature Algorithm, gebaseerd op CRYSTALS-Dilithium
FIPS 205: SLH-DSA, het Stateless Hash-Based Digital Signature Algorithm, gebaseerd op SPHINCS+

NIST beschrijft ML-KEM als de primaire standaard voor algemene versleuteling en benadrukt daarbij de relatief kleine versleutelingssleutels en de snelheid. ML-DSA is de primaire standaard voor digitale handtekeningen. SLH-DSA gebruikt een andere wiskundige basis en is bedoeld als back-up voor het geval ML-DSA later kwetsbaar blijkt.

De eigen richtlijn van NIST is expliciet: deze drie standaarden zijn klaar voor onmiddellijk gebruik en organisaties moeten ze nu gaan toepassen.

Waarom er meerdere standaarden zijn, niet één winnaar

Het post-kwantumveld heeft niet één dominante wiskundige basis. Verschillende families hebben verschillende sterke punten, implementatiekenmerken en risicoprofielen. De keuzes van NIST weerspiegelen een portfoliobenadering.

Roostergebaseerde cryptografie draagt momenteel een groot deel van de uitrollast. De eerste door NIST gestandaardiseerde roostergebaseerde algoritmen zijn ML-KEM en ML-DSA. Ze zijn deels aantrekkelijk vanwege hun prestaties en beheersbare sleutelmaten.

Maar diversificatie is belangrijk. NIST selecteerde SLH-DSA, een op hashes gebaseerd handtekeningschema, als back-up voor de primaire roostergebaseerde handtekening. Vervolgens selecteerde NIST op 11 maart 2025 HQC als back-up-KEM voor algemene versleuteling. HQC is codegebaseerd, niet roostergebaseerd, en NIST zei dat juist dat verschil in wiskundige aanpak de reden is om het als terugvaloptie achter de hand te houden.

De boodschap is strategisch: zet de toekomst van digitaal vertrouwen niet op slechts één aanname.

De volgende standaarden in de pijplijn

Het PQC-werk van NIST stopte niet met de release van 2024.

De CSRC-projectpagina zegt dat NIST standaardisatiewerk voortzet voor:

Falcon, een digitaal-handtekeningalgoritme
HQC, een key encapsulation mechanism

Het standaardisatiedossier zegt dat de op Falcon gebaseerde standaard FN-DSA zal heten in FIPS 206. Medio 2026 had die nog de status van concept. De aangehaalde reden voor de tragere tijdlijn is implementatiecomplexiteit: FN-DSA is afhankelijk van floating-point Gaussian sampling in het ondertekeningsproces, waarvan NIST zegt dat het moeilijker is om dat veilig en in constante tijd te implementeren dan de drie al definitief vastgestelde standaarden.

Voor HQC zei NIST in maart 2025 dat een conceptstandaard over ongeveer een jaar werd verwacht, met een definitieve standaard in 2027 na publieke consultatie.

Dat gefaseerde schema is operationeel van belang. Organisaties hoeven niet te wachten op elke toekomstige optie voordat ze handelen. NIST verwacht dat ML-KEM, ML-DSA en SLH-DSA de basis zullen vormen voor de meeste uitrol, en zegt dat ze nu al moeten worden gebruikt.

Een beknopt overzicht van de eerste standaarden

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	Sleutelafleiding / ondersteuning voor algemene versleuteling	Roostergebaseerd	Primaire standaard voor algemene versleuteling
FIPS 204	ML-DSA	Digitale handtekeningen	Roostergebaseerd	Primaire standaard voor handtekeningen
FIPS 205	SLH-DSA	Digitale handtekeningen	Hashgebaseerd	Back-upmethode voor handtekeningen
Forthcoming	FN-DSA	Digitale handtekeningen	Op NTRU-roosters gebaseerd	Aanvullende handtekeningstandaard in ontwikkeling
Forthcoming	HQC	Sleutelafleiding / ondersteuning voor algemene versleuteling	Codegebaseerd	Back-up-KEM voor ML-KEM

Hoe migratie in de praktijk werkt

Migratie gaat minder over het vervangen van een library en meer over het opnieuw ontwerpen van cryptografische afhankelijkheden in systemen.

De migratierichtlijn van NIST zegt dat organisaties moeten vaststellen waar kwetsbare algoritmen worden gebruikt en updates of vervangingen moeten plannen voor producten, diensten en protocollen. Dat betekent cryptografie opsporen op plekken waar die vaak slecht is gedocumenteerd:

TLS-terminatie en interne service-to-service-koppelingen
VPN’s en systemen voor externe toegang
PKI- en certificaatworkflows
code signing en documentondertekening
hardware security modules en systemen voor firmware-updates
tools voor identiteit, toegang en sleutelbeheer
embedded apparaten en operationele technologie
lang bewaarde opgeslagen data die worden beschermd onder oude sleutelafleidingsschema’s

De eerste stap is meestal cryptografische inventarisatie: waar worden RSA, Diffie–Hellman of elliptische-curvemechanismen gebruikt, direct of via producten van derden? De tweede is prioritering: welke systemen hebben een hoog risico omdat ze langdurige geheimen verwerken of moeilijk te upgraden zijn? De derde is uitvoering: testen, interoperabiliteitswerk, gefaseerde uitrol en beleidswijzigingen.

De tijdlijn van NIST verhoogt de urgentie. Volgens de overgangstijdlijn waarnaar op de CSRC-pagina wordt verwezen, is NIST van plan om quantumkwetsbare algoritmen uiterlijk in 2035 uit zijn standaarden te deprecëren en uiteindelijk te verwijderen, waarbij systemen met een hoger risico veel eerder aan de beurt zijn.

De grootste technische afwegingen

Post-kwantummigratie is niet alleen een compliance-oefening. Er komen echte technische compromissen bij kijken.

Een brede afweging is grootte versus efficiëntie. In het PQC-materiaal van NIST staat dat veel PQC-algoritmen grotere sleutels gebruiken dan pre-quantum publieke-sleutelsystemen. Ook worden afwegingen beschreven tussen sleutelmateriaal, rekenkundige efficiëntie en de grootte van ciphertexts of handtekeningen. Voor internetgerichte protocollen en apparaten met beperkte middelen kunnen deze verschillen invloed hebben op bandbreedte, latency, geheugen en implementatiecomplexiteit.

Een andere afweging is volwassenheid versus diversiteit. Roostergebaseerde systemen domineren momenteel de eerste standaarden omdat ze in de evaluaties van NIST goed genoeg presteerden om de primaire keuzes te worden. Maar concentratierisico is reëel, en daarom worden back-upstandaarden ontwikkeld die op andere wiskunde zijn gebaseerd.

Implementatiebeveiliging is een derde punt. Het standaardisatiedossier noemt side-channelzorgen rond Falcon en merkt op dat mogelijke mitigaties de prestaties kunnen beïnvloeden. Meer in het algemeen kan een cryptografisch ontwerp er op papier sterk uitzien en toch in de praktijk moeilijk veilig te implementeren zijn.

Wat de standaarden niet beslechten

Het bestaan van een standaard bewijst geen eeuwigdurende veiligheid. Van post-kwantumalgoritmen wordt aangenomen, maar niet bewezen, dat ze bestand zijn tegen quantumaanvallen. Dat voorbehoud zit ingebakken in het vakgebied zelf.

Er zijn ook lessen uit het NIST-proces. Sommige kandidaten zijn tijdens de evaluatie gekraakt. Wikipedia noemt twee bijzonder zichtbare voorbeelden: Rainbow werd in de derde ronde op een klassieke computer gekraakt, en SIKE werd in de vierde ronde gekraakt. Die mislukkingen maken PQC als geheel niet ongeldig; ze laten zien waarom publieke cryptanalyse en conservatieve standaardisatie tijd kosten.

Open vragen blijven bestaan rond:

vertrouwen op lange termijn in de gekozen wiskundige problemen
implementatiekwaliteit bij leveranciers en in open-source-stacks
side-channelbestendigheid in echte hardware en software
interoperabiliteit in protocollen en certificaatecosystemen
hoe sterk organisaties moeten diversifiëren over algoritmefamilies heen

Een praktische manier om na te denken over “wanneer te migreren”

Voor de meeste organisaties is de juiste vraag niet “Is Q-Day volgend jaar?” maar “Hoe lang gaat onze migratie duren, en hoe lang moeten onze data veilig blijven?”

Als uw systemen diep ingebed zijn, gereguleerd, wereldwijd verspreid of afhankelijk van leveranciers, kan de overgang traag verlopen. Als uw data over enkele jaren nog steeds gevoelig zouden zijn, maakt harvest-now-risico uitstel duurder. Die logica verklaart waarom NIST aandringt op onmiddellijke adoptie van de standaarden van 2024, ook al hebben quantumcomputers nog niet de benodigde schaal bereikt.

Kort gezegd is PQC-migratie een klassieke infrastructuurovergang: begin vóór de noodsituatie, want zodra de noodsituatie duidelijk is, is het te laat om nog soepel over te stappen.

Belangrijkste punten

Post-kwantumcryptografie draait vooral om het vervangen van kwetsbare publieke-sleutelsystemen, niet om het afschaffen van alle bestaande cryptografie.
Een voldoende capabele quantumcomputer die Shor’s algoritme uitvoert, zou RSA, Diffie–Hellman en elliptic-curve Diffie–Hellman kunnen kraken.
NIST stelde zijn eerste drie PQC-standaarden definitief vast op 13 augustus 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA).
NIST zegt dat deze standaarden nu klaar zijn en dat organisaties onmiddellijk met migratie moeten beginnen.
ML-KEM is de primaire standaard voor sleutelafleiding rond algemene versleuteling; ML-DSA is de primaire handtekeningstandaard; SLH-DSA is een back-upmethode voor handtekeningen.
In maart 2025 selecteerde NIST HQC als back-up-KEM op basis van andere wiskunde dan ML-KEM.
Migratie begint met het in kaart brengen waar kwetsbare algoritmen worden gebruikt, gevolgd door prioritering van systemen met hoog risico en planning van gefaseerde vervanging.
Belangrijke afwegingen zijn onder meer groter sleutelmateriaal, kosten voor prestaties en bandbreedte, implementatiecomplexiteit en de waarde van wiskundige diversiteit.
PQC-standaarden verlagen toekomstig risico, maar nemen onzekerheid niet weg; voortdurende cryptanalyse, implementatiereview en operationeel testen blijven essentieel.
De kern van de urgentie komt voort uit lange overgangstijden en de mogelijkheid van harvest now, decrypt later-aanvallen op data die jarenlang vertrouwelijk moeten blijven.