Regelgeving & richtlijnen

Belangrijke data

De transitie heeft een tijdlijn

2024

NIST publiceert de eerste drie definitieve post-quantumstandaarden: FIPS 203, 204 en 205.

Eind 2026

Gecoördineerde EU-roadmap: lidstaten starten de transitie naar post-quantumcryptografie.

2030

EU: toepassingen met een hoog risico beschermd. Conceptrichtlijn van NIST: quantumkwetsbare algoritmen zoals RSA en ECC afgekeurd (deprecated).

2035

EU: zoveel mogelijk systemen gemigreerd. Conceptrichtlijn van NIST: quantumkwetsbare algoritmen niet meer toegestaan.

Bronnen: NIST, NIST IR 8547 (initial public draft), gecoördineerde EU-implementatieroadmap voor de transitie naar PQC (juni 2025).

Belangrijke publicaties

Van standaarden naar nationale richtlijnen

De afgelopen twee jaar is de focus verschoven van "welke algoritmen?" naar "hoe migreren we, en wanneer moet het klaar zijn?".

Data verwijzen naar de publicatiedatum. Verschillende documenten zijn richtlijnen of aanbevelingen en geen bindende wetgeving; wij helpen u onderscheiden wat verplicht is en wat goede praktijk is.

April 2024 · EU
Aanbeveling van de Europese Commissie over een PQC-roadmap

De Europese Commissie beveelt een gecoördineerde implementatieroadmap aan voor de transitie naar post-quantumcryptografie in alle lidstaten.
Augustus 2024 · VS
NIST stelt FIPS 203, 204 en 205 definitief vast

ML-KEM voor sleutelencapsulatie, ML-DSA voor digitale handtekeningen en SLH-DSA voor hash-gebaseerde handtekeningen worden de eerste definitieve PQC-standaarden.
Juni 2025 · EU
Gecoördineerde implementatieroadmap

Concrete mijlpalen voor lidstaten: starten uiterlijk eind 2026, toepassingen met een hoog risico beschermen uiterlijk eind 2030, en zoveel mogelijk systemen migreren uiterlijk 2035.
G7
Preparing for the Post-Quantum Era: A Call to Action

De G7 Cybersecurity Working Group roept op om quantum in alle sectoren als een dreiging op korte termijn te behandelen, niet alleen in de vitale infrastructuur.
2026 · Nederland
Wet weerbaarheid kritieke entiteiten

De Nederlandse implementatie van de Europese CER-richtlijn wordt gepubliceerd in het Staatsblad (2026, 188).
Juli 2026 · Singapore
CSA Quantum-Safe Handbook en Quantum Readiness Index

De Cyber Security Agency van Singapore publiceert praktische richtlijnen en een readiness-index, een internationale benchmark voor migratieplanning.

Per rechtsgebied

Wie zegt wat

Europese Unie

De Aanbeveling van de Europese Commissie van 11 april 2024 legde een gecoördineerde aanpak voor de PQC-transitie vast. De gecoördineerde roadmap van juni 2025 vertaalde die in mijlpalen: starten uiterlijk eind 2026, toepassingen met een hoog risico uiterlijk eind 2030, en zoveel mogelijk systemen uiterlijk 2035.

NIS2 vereist beveiliging en risicobeheer volgens de stand van de techniek, en daar hoort steeds vaker ook quantumrisico bij. De CER-richtlijn voegt weerbaarheidsverplichtingen toe voor kritieke entiteiten.

Europese Commissie: Aanbeveling (EU) 2024/1101 · EU PQC-roadmap (juni 2025)

Nederland

AIVD, NCSC, TNO en CWI publiceerden het PQC-migratiehandboek. De handreiking Maak je organisatie quantumveilig van AIVD en NCSC helpt CIO's, CTO's en CISO's met een risicoanalyse, een inventarisatie van crypto-assets, een risicobeoordeling, een migratieplan en "no-regret"-maatregelen. Volgens die handreiking verwachten experts dat quantumcomputers die veelgebruikte cryptografie kunnen kraken er waarschijnlijk tussen 2030 en 2040 komen.

De Wwke, de Nederlandse implementatie van de CER-richtlijn, geldt voor organisaties die door de NCTV zijn aangewezen.

Staatsblad 2026, 188 · NCTV: organisaties aangewezen onder de Wwke

Verenigde Staten

FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) van NIST zijn wereldwijd de referentiestandaarden. De transitierichtlijn van NIST, IR 8547 (concept), stelt voor quantumkwetsbare algoritmen zoals RSA en ECC in 2030 af te keuren (deprecated) en ze vanaf 2035 niet meer toe te staan.

NIST: eerste 3 definitieve post-quantumversleutelingsstandaarden

Internationaal

De G7 Cybersecurity Working Group noemt de quantumdreiging een risico op korte termijn voor elke sector, niet alleen voor vitale infrastructuur. Zij ziet de transitie als een gezamenlijke inspanning die vroege, gecoördineerde planning vraagt in de publieke en private sector.

Europol en UC3M onderzochten "Harvest Now, Decrypt Later": versleutelde data die vandaag wordt onderschept, kan worden ontsleuteld zodra er een quantumcomputer beschikbaar is. Daardoor lopen gevoelige gegevens die lang geheim moeten blijven nu al risico.

G7: Call to Action · Europol: Harvest now, decrypt later

Wat dit voor u betekent

Wie moet nu in actie komen

Migratie duurt jaren. Organisaties die vandaag met een inventarisatie beginnen, houden hun opties open; wie wacht, krijgt de deadline van een ander opgelegd.

Readiness Assessment Governance & Supplier Management

Kritieke entiteiten onder de Wwke / CER-richtlijn: weerbaarheidsverplichtingen voor essentiële diensten, die steunen op cryptografie die betrouwbaar moet blijven.
NIS2-entiteiten: beveiliging en risicobeheer volgens de stand van de techniek, en daar hoort steeds vaker ook quantumrisico bij.
Financiële instellingen: sectororganisaties stellen tijdlijnen voor migratie op, en langlevende transactie- en klantgegevens zijn een doelwit voor "Harvest Now, Decrypt Later".
Overheid en publieke sector: nationale richtlijnen en de EU-roadmap scheppen de verwachting dat uiterlijk eind 2026 wordt gestart.
Iedereen met langlevende gevoelige data: medische gegevens, intellectueel eigendom en andere informatie die na 2030 vertrouwelijk moet blijven.

De transitie heeft een tijdlijn

Van standaarden naar nationale richtlijnen

Aanbeveling van de Europese Commissie over een PQC-roadmap

NIST stelt FIPS 203, 204 en 205 definitief vast

Gecoördineerde implementatieroadmap

Preparing for the Post-Quantum Era: A Call to Action

Wet weerbaarheid kritieke entiteiten