Het kabinet presenteerde op 5 oktober 2026 de Rijksbrede Quantumstrategie, met als doel dat Nederland in 2035 weerbaar is tegen de veiligheidsdreigingen van quantum. Op papier klinkt dat ruim op tijd. Wie de rekensom maakt met de jaren dat gevoelige gegevens geheim moeten blijven en de tijd die een overstap op nieuwe cryptografie kost, krijgt een minder geruststellend antwoord.
Het kabinet wil dat Nederland in 2035 weerbaar is tegen quantumcomputers. Dat jaartal volgt de Europese routekaart, maar houdt weinig rekening met gegevens die nu al kunnen worden onderschept om later te ontsleutelen. Europol noemt die dreiging in een nieuw rapport geloofwaardig, al is er nog geen bewijs dat het op grote schaal gebeurt. De geschatte rekenkracht om RSA te breken is sinds 2019 met een factor twintig gedaald en een migratie van cryptografie duurt jaren. Google mikt zelf op 2029. Waarom 2035 misschien wel te laat is leg ik je uit in dit artikel.
Hoezo te laat? Nou we hebben het eigenlijk niet over 2035. Neem een ziekenhuis dat vandaag een patiëntdossier via een VPN-tunnel naar een extern laboratorium stuurt. Volgens de WGBO moet dat dossier twintig jaar bewaard blijven, gerekend vanaf de laatste wijziging. Wie dat versleutelde verkeer nu onderschept en opslaat, heeft dus tot ergens na 2046 de tijd om er een quantumcomputer op los te laten.
En als die deadline van 2035 een paar jaar uitloopt, schuift alles nog verder op. Wie zegt niet dat we in 2050 een quantum computer in onze broekzak hebben.
Wat staat er in de Rijksbrede Quantumstrategie van het kabinet
De Quantumstrategie beschrijft hoe de overheid de komende jaren met de dreiging van quantumcomputers omgaat. De grootste zorg is het kraken van de versleuteling die nu vertrouwelijke overheidscommunicatie, financiële transacties en gevoelige persoonsgegevens beschermt, waaronder medische en strafrechtelijke informatie. Minister Herbert van Economische Zaken zei bij de presentatie dat kwaadwillenden met een quantumcomputer toegang kunnen krijgen tot gevoelige informatie en belangrijke infrastructuur kunnen aanvallen. De strategie benoemt ook expliciet dat er nu al versleutelde data wordt onderschept om die later te ontcijferen, het bekende harvest now, decrypt later. Systemen met een lange levensduur, zoals wapensystemen, infrastructuur en medische apparatuur, noemt het document extra kwetsbaar omdat ze niet snel naar quantumveilige standaarden over te zetten zijn.
Dan het tijdpad. Maatregelen tegen scenario’s met een hoog risico moeten uiterlijk eind 2030 zijn doorgevoerd. De migratie naar post-quantumcryptografie (PQC) voor gebruiksscenario’s met een gemiddeld risico moet eind 2035 klaar zijn. Voor laag risico geldt dat de migratie dan zo ver mogelijk moet zijn voltooid.
Helemaal nieuw is dat schema niet. De NIS Cooperation Group publiceerde in juni 2025 een gecoördineerde Europese routekaart met precies dezelfde mijlpalen: eind 2026 nationale plannen en eerste stappen, eind 2030 de hoog-risicotoepassingen over, eind 2035 de rest voor zover haalbaar. Nederland volgt dus de Europese lijn, en voor de samenwerking tussen lidstaten is dat verstandig. Let wel op de reikwijdte. Het tijdpad in de strategie gaat over de Rijksoverheid zelf. Voor bedrijven en instellingen bestaat geen eigen quantumdeadline, al vraagt de zorgplicht in de Cyberbeveiligingswet wel om beleid voor cryptografie en versleuteling. In ons overzicht van de Cyberbeveiligingswet voor Nederlandse organisaties lees je welke verplichtingen sinds 15 augustus gelden.
Is 2035 te laat voor data die lang geheim moeten blijven?
De Canadese cryptograaf Michele Mosca bracht het probleem jaren geleden terug tot een simpele optelsom. Neem het aantal jaren dat je gegevens geheim moeten blijven en tel daar de tijd bij op die je nodig hebt om je cryptografie te vervangen. Is die som groter dan de tijd tot er een cryptografisch relevante quantumcomputer bestaat, dan ben je te laat. Je merkt het alleen niet, want er wordt niets gestolen op het moment dat het misgaat. Dat gebeurde jaren eerder, toen iemand het verkeer opsloeg.
Pas dat toe op het ziekenhuis van hierboven. Een dossier dat in 2035 nog over een klassiek versleutelde verbinding gaat, het laatste moment waarop dat volgens het tijdpad voor gemiddeld risico mag, moet tot 2055 vertrouwelijk blijven. Of dat verkeer vandaag ook echt ergens word opgeslagen, weet niemand met zekerheid. Het lastige van deze aanval is dat je hem pas ziet op het moment van ontsleutelen, jaren nadat het verkeer is afgetapt.
Wat experts verwachten over de komst van een quantumcomputer die RSA breekt
Het Global Risk Institute en evolutionQ peilen sinds 2019 jaarlijks onder specialisten wanneer zo’n machine er komt. In het rapport over 2025, gepubliceerd in maart 2026, schatten 26 experts de kans op een cryptografisch relevante quantumcomputer binnen tien jaar op 28 tot 49 procent, en binnen vijftien jaar op 51 tot 70 procent. Dat zijn geen voorspellingen met een datum erop, maar wel kansen die geen enkele risicomanager voor zijn eigen bedrijfsdata zou accepteren. Een meerderheid van de ondervraagden denkt ook dat onderzoek buiten het zicht van wetenschappelijke publicaties, bij staatslabs of stille startups, de tijdlijn met twee jaar of meer kan verschuiven. De auteurs adviseren daarom uit te gaan van een dreiging die dichterbij ligt dan de openbare literatuur suggereert.
Wat Europol schrijft over harvest now, decrypt later
Twee dagen na de presentatie van de quantumstrategie publiceerde Europol een rapport dat volledig over deze aanvalsmethode gaat. Europol noemt harvest now, decrypt later een geloofwaardige dreiging op de lange termijn voor veelgebruikte protocollen als TLS en SSH, en voor bestanden die met OpenPGP zijn versleuteld. Het rapport is ook eerlijk over wat niemand weet. Er is geen duidelijk bewijs dat de techniek nu systematisch en op grote schaal wordt ingezet, en openbaar gedocumenteerde zaken ontbreken. De voorwaarden om later te ontsleutelen kunnen volgens Europol wel al aanwezig zijn.
Als mogelijke daders noemt het rapport statelijke actoren die intellectueel eigendom en communicatie verzamelen om er later gebruik van te maken. Criminelen kunnen dezelfde tactiek kiezen, en Europol verwijst naar ransomwaregroepen als REvil en Clop die data buitmaken om er later mee af te persen. Het risico voor overheden schat Europol hoog in, voor bedrijven middel tot hoog en voor burgers laag tot middel. Als voorbeelden van gegevens die langer dan tien jaar gevoelig kunnen blijven, noemt het rapport gezondheidsdossiers, geclassificeerde overheidscommunicatie, intellectueel eigendom en opsporingsdossiers.
Een jaartal voor de komst van een quantumcomputer die versleuteling breekt, geeft Europol niet. Volgens het rapport is een vaste tijdlijn minder belangrijk dan het lijkt, en het verwijst naar dezelfde rekensom van Mosca.
Hoeveel qubits zijn nodig om RSA-2048 te kraken
Een beetje technisch verhaal volgt nu maar het is nodig om de problematiek beter te kunnen snappen…
In 2019 schatten Craig Gidney en Martin Ekerå dat een quantumcomputer met zo’n 20 miljoen ruisgevoelige qubits een RSA-sleutel van 2048 bits in ongeveer acht uur kon factoriseren. In mei 2025 publiceerde Gidney, onderzoeker bij Google Quantum AI, een nieuwe schatting: minder dan een miljoen qubits, met een rekentijd van minder dan een week. De hardware-aannames bleven gelijk, een foutkans van 0,1 procent per poort en een cyclustijd van een microseconde. De winst kwam volledig uit slimmere algoritmen en foutcorrectie.
Daarna ging het snel. Het Australische Iceberg Quantum presenteerde in februari 2026 een architectuur op basis van QLDPC-codes die RSA-2048 met minder dan 100.000 fysieke qubits zou kunnen breken. In maart 2026 volgde een whitepaper van Google Quantum AI waarin de elliptische-curvecryptografie die veel digitale handtekeningen beschermt met minder dan 500.000 qubits in enkele minuten zou sneuvelen. Google publiceerde de aanvalscircuits bewust niet en leverde alleen een wiskundig bewijs dat de schatting klopt.
Ik ben niet snel onder de indruk van quantumnieuws, en hier past ook wat nuchterheid. Dit zijn schattingen, geen demonstraties. Het ontwerp van Iceberg is alleen in simulatie getoetst en vraagt verbindingen tussen qubits die nog niemand op schaal heeft gebouwd. Geen enkele bestaande machine komt in de buurt van deze aantallen. Cloudflare beschreef eind 2025 een hardwareprojectie waarin het moment dat een machine van de benodigde omvang bestaat door het werk van Gidney van 2052 naar 2045 schoof. Ook in dat behoudende scenario valt 2045 ruim binnen de bewaartermijn van een medisch dossier dat vandaag wordt verstuurd.
Een migratie van cryptografie duurt langer dan een kabinetsperiode
Het Amerikaanse NIST schreef al in 2016 dat het bijna twintig jaar heeft geduurd om de huidige infrastructuur voor publieke-sleutelcryptografie uit te rollen. Wie ooit een oude IPsec-tunnel met een zwakke Diffie-Hellman-groep heeft zien blijven hangen omdat de andere kant van de verbinding niet mee kon, of een verouderd certificaat jarenlang in een interne applicatie terugvond, herkent dat tempo. Cryptografie zit overal: in VPN’s, webservers, mailgateways, smartcards, firmware-updates, betaalterminals en koppelingen met leveranciers waar je zelf niets over te zeggen hebt.
De AIVD, het CWI en TNO brachten in december 2024 de tweede editie uit van het PQC-migratiehandboek. Dat deelt de overstap op in inventarisatie, planning en uitvoering, en noemt het geheel een tijdrovend en kostbaar proces. Begin je de inventarisatie in 2027 en ben je in 2028 klaar met plannen, dan blijven er zeven jaar over voor aanbestedingen, vervangingscycli en het wachten op leveranciers. Dat gebeurd niet in een paar onderhoudsvensters.
Systemen die langer meegaan dan de deadline
De strategie noemt het zelf al, en in de OT-wereld is het dagelijkse praktijk. Een PLC, een besturingssysteem in een waterzuivering of een medisch apparaat draait vaak tien tot twintig jaar. Wat in 2028 wordt aangeschaft zonder een quantumveilig updatepad, staat in de jaren veertig nog te draaien. De Europese routekaart stelt daarom dat quantumkwetsbare publieke-sleutelmechanismen voor hoog-risicotoepassingen na 2030 niet meer zelfstandig gebruikt mogen worden, en dat producten met een levensduur voorbij 2030 een quantumveilige manier van updaten nodig hebben. Daar zit een tweede probleem, naast vertrouwelijkheid. Wie na de komst van een quantumcomputer handtekeningen kan vervalsen, kan ook gemanipuleerde firmware als echt laten doorgaan.
Google mikt op 2029, de Rijksoverheid op 2035
Op 25 maart 2026 maakte Google bekend dat het de eigen migratie naar post-quantumcryptografie in 2029 wil afronden. Heather Adkins en Sophie Schmieg van Google onderbouwden dat met de vooruitgang in quantumhardware, foutcorrectie en de dalende schattingen voor het kraken van sleutels. Google zegt er nadrukkelijk niet bij dat er in 2029 een aanvalsmachine bestaat. Het bedrijf geeft wel voorrang aan authenticatie en digitale handtekeningen, omdat die vóór de komst van zo’n machine vervangen moeten zijn. Ter vergelijking: NIST wil quantumkwetsbare algoritmen na 2030 afraden en na 2035 helemaal niet meer toestaan.
Je kunt Big Tech veel verwijten, en ik ben de laatste die een roadmap uit Mountain View als maatstaf voor Europa wil gebruiken. Toch vind ik dit een signaal dat zwaarder hoort te wegen dan het nu doet. Het bedrijf dat zelf quantumprocessors bouwt en de aanvalsschattingen publiceert, kiest een deadline die zes jaar eerder ligt dan die van de Nederlandse overheid voor gemiddeld risico.
Een strategie met twee petten op
Europol waarschuwt ook voor iets waar helemaal geen quantumcomputer voor nodig is. Verbindingen die nog TLS 1.0 of 1.1 gebruiken, zijn met klassieke technieken te breken, en het rapport spreekt dan van harvest now, decrypt now. Wie weleens een security scan over een bedrijfsnetwerk heeft laten lopen, kent de oude beheerinterfaces, printers en appliances die die versies nog ondersteunen omdat niemand ze durft aan te raken.
Ik zie daarin een spanning die ik liever niet in één document had gezien. Dezelfde overheid die de samenleving moet aansporen om haast te maken, schrijft op dat ze baat heeft bij elke maand dat anderen dat niet doen. Ik ga niet uit van kwade wil, maar het is een ongemakkelijke combinatie. De technieken die onze eigen diensten willen inzetten tegen criminelen zijn dezelfde die buitenlandse staten tegen Nederlandse bedrijven, ziekenhuizen en gemeenten kunnen gebruiken. Voor wie zich druk maakt om Europese digitale soevereiniteit is dat geen detail.
Er staat nog iets in de strategie dat aandacht verdient. Volgens het document heeft quantum ook voordelen voor politie, forensische instituten en inlichtingendiensten, bijvoorbeeld bij het analyseren van end-to-end versleutelde communicatie. Het kabinet verwijst naar het kraken van Enigma en het ontmantelen van EncroChat. De strategie stelt daarbij dat de opbrengst van ontsleutelen afhangt van hoe snel de rest van de wereld naar PQC migreert, en dat diensten daarom relatief snel toegang tot een quantumcomputer moeten krijgen.
Wat je als organisatie nu al kunt regelen met post-quantumcryptografie
Mijn advies is om 2035 te zien als de uiterste grens voor de overheid, en 2030 als je eigen deadline voor alles wat langer dan een jaar of vijf vertrouwelijk moet blijven. Wie vind dat dit voor zijn organisatie nog niet speelt, kan dat beter eerst onderbouwen met een overzicht van welke gegevens hoe lang geheim moeten blijven.
Dat overzicht is ook het begin van het werk. Breng in kaart waar cryptografie zit, welke algoritmen gebruikt worden en wie de eigenaar is, inclusief de verbindingen met ketenpartners. Certificaten horen daar nadrukkelijk bij, en de kortere looptijden die eraan komen helpen juist bij een latere wissel van algoritme, zoals we beschreven in het artikel over SSL/TLS-certificaten die van 398 naar 47 dagen gaan.
Europol, toch ook een opsporingsorganisatie, kiest in zijn rapport een andere toon. Het stuk gaat bijna volledig over bescherming en raadt overheden aan een nationale PQC-strategie op te stellen, met financiering, standaarden en opleiding.
Een deel van de techniek ligt al klaar. FortiOS ondersteunt sinds de 7.6-reeks ML-KEM-512, ML-KEM-768 en ML-KEM-1024 als extra sleuteluitwisseling in IKEv2. Cloudflare bevestigde dit voorjaar dat FortiGates vanaf FortiOS 7.6.6 hybride post-quantum IPsec-tunnels met zijn netwerk kunnen opzetten. Daarmee bescherm je tunnelverkeer tegen harvest now, decrypt later. Authenticatie van IPsec met post-quantum handtekeningen is nog niet gestandaardiseerd, dus dit is een eerste stap en geen eindstation.
