Wat het nieuwe Amerikaanse presidentiële decreet betekent voor post-quantumbeveiliging

De wereldwijde inspanningen om zich voor te bereiden op post-quantumcryptografie zijn een nieuwe fase ingegaan.

Overheden en toezichthouders moedigen organisaties al jaren aan om hun cryptografische toepassingen in kaart te brengen, de blootstellingsrisico's te begrijpen en zich voor te bereiden op de migratie naar PQC. Het meest recente Amerikaanse presidentiële decreet tilt deze oproep tot actie naar een hoger niveau.

Het decreet erkent de snelle ontwikkelingen op het gebied van quantumcomputing en de noodzaak om de voorbereiding op het post-quantumtijdperk te verplaatsen van conceptuele planning naar concrete programma's – met een duidelijke scope, verantwoordelijkheden en deadlines.

Het leidt ook tot één duidelijke conclusie: quantumgereedheid, crypto-agiliteit en Zero Trust zijn geen oplossingen voor problemen op de lange termijn. Door de vooruitgang in AI en quantumcomputing zijn dit urgente prioriteiten geworden die organisaties nu moeten aanpakken.

Wat er is veranderd

Eerder beleid van de VS (zoals NSM-10 en OMB M-23-02) bood richtlijnen en sturing gericht op paraatheid, afkomstig van instanties als CISA, NSA en NIST.

Presidentieel decreet nr. 14412, gericht op de bescherming van het land tegen geavanceerde cryptografische aanvallen, wijzigt de aanpak voor het bereiken van quantumgereedheid:

• Overheidsinstanties moeten verantwoordelijken aanwijzen voor de PQC-migratie
• De uitvoering wordt gekoppeld aan kortere, vastgestelde mijlpalen
• Systemen van groot belang moeten uiterlijk in 2030 zijn gemigreerd wat betreft sleuteluitwisseling
• Systemen van groot belang moeten uiterlijk in 2031 zijn gemigreerd wat betreft digitale handtekeningen
• Er moet uiterlijk in 2027 een federaal pilotproject zijn uitgevoerd
• De reikwijdte is uitgebreid van federale instanties naar hun contractpartners en de 16 sectoren van kritieke infrastructuur

Deze verschuiving markeert een beslissende federale stap en maakt duidelijk dat organisaties daadwerkelijk tot uitvoering moeten overgaan – en niet alleen bij voorbereiding of planning moeten blijven – om de post-quantummigratie in gang te zetten.

Waarom dit moment cruciaal is

Dit is van belang omdat cryptografie complex is en het gebruik ervan voortdurend verandert. Applicaties en configuraties worden voortdurend bijgewerkt, sleutels en certificaten moeten worden geroteerd en leveranciers voeren vaker dan ooit beveiligingsupdates (patches) uit. De realiteit is dat traditionele methoden voor het beheer van cryptografische infrastructuur dit tempo niet kunnen bijhouden.

Dit nieuwe overheidsdecreet vereist een verschuiving van planning en inventarisatie naar het aansturen van uitvoering en migratie. Het gaat niet langer om voorbereiding; het gaat om uitvoering binnen een tijdlijn die sneller nadert dan verwacht.

En dit gebeurt niet in een vacuüm. Organisaties worden geconfronteerd met meerdere, samenvallende uitdagingen. De versnelling van AI brengt in ongekend tempo nieuwe bedreigingen met zich mee, regelgeving en sectorvereisten dwingen tot modernisering, autonome AI (agentic AI) zorgt voor een eigen vraag naar sterke identiteitsbeveiliging, en de tijdlijnen voor de overgang naar post-quantumcryptografie worden korter.

Nu AI en cryptografie samenkomen, zijn de principes van Zero Trust belangrijker dan ooit:

• We moeten alle data versleutelen, ongeacht of deze in rust (at rest), in transport (in motion) of in gebruik (in use) is.
• We hebben de sterkste, op identiteit gebaseerde beveiligingssystemen nodig voor mensen, machines en agents.
• De basis van dit alles – cryptografische oplossingen – vormt de gouden standaard.

Waarom dit van belang is voor besturen en directieteams

De migratie naar post-quantumcryptografie wordt vaak gezien als een kwestie van algoritmen. Maar dat perspectief is te beperkt. De migratie raakt aan uiteenlopende gebieden: bedrijfsrisico's, digitale veerkracht, leveranciersbeheer en naleving van regelgeving. Het bestempelen als een eenvoudige vervanging van algoritmen onderschat zowel de omvang als het cruciale belang ervan.

Organisaties die vooruitgang boeken, creëren inzicht in hun cryptografische landschap, stellen duidelijke governance en verantwoordelijkheden vast en moderniseren gefragmenteerde, verouderde PKI-omgevingen. Zij beseffen dat een weloverwogen cryptografische basis essentieel is om het hoofd te bieden aan de huidige uitdagingen op het gebied van cybersecurity: bescherming tegen een snel veranderend en intensiever wordend dreigingslandschap, het beheersen van de enorm toenemende operationele complexiteit en de overgang naar post-quantumcryptografie. De kernvraag die leiders zich moeten stellen is: kunnen we op dit moment nauwkeurig en continu in kaart brengen aan welke cryptografische risico's we zijn blootgesteld?

Wat organisaties nu moeten doen

De prioriteit ligt bij de overgang van planning naar uitvoering.

• Zet een organisatiebrede governance voor cryptografie op. Voorbereiding op het post-quantumtijdperk vereist een gecoördineerd bedrijfsmodel dat de teams voor beveiliging, PKI, engineering, inkoop en risicobeheer op één lijn brengt rond een gezamenlijke migratiestrategie.
• Zorg voor continu inzicht in uw cryptografische infrastructuur. Effectief risicobeheer begint met het voortdurend in kaart brengen van cryptografische assets, afhankelijkheden, algoritmen, sleutels, certificaten en externe leveranciers binnen de gehele organisatie.
• Moderniseer met een schaalbaar platform voor cryptografische beveiliging. Centraliseer