Pieter Schneider (Ministerie BZK): “Je data wordt nu al gestolen om straks te ontsleutelen”
Cryptografie regelt vrijwel onopgemerkt de vertrouwensbasis van onze digitale infrastructuur, van je eigen financiële gegevens tot staatsgeheimen binnen de overheid. Pieter Schneider, programmamanager quantumveilige cryptografie bij het ministerie van Binnenlandse Zaken en Koninkrijksrelaties, vertelt in deze aflevering van Security Innovation Stories, opgenomen op Cybersec Netherlands, waarom een kwantumcomputer die cryptografie op termijn kan kraken, waarom het "store now, decrypt later"-scenario nu al realiteit is en wat organisaties concreet kunnen doen om zich voor te bereiden.
Store now, decrypt later: een dreiging die nú al speelt
Kwantumveilige cryptografie gaat volgens Pieter niet over natuurkunde of ingewikkelde wiskunde, maar over een simpel gegeven: een kwantumcomputer zal op termijn in staat zijn om veelgebruikte cryptografie te kraken, de techniek die authenticatie, vertrouwelijkheid en integriteit van data regelt.
Al voordat kwantumcomputers krachtig genoeg zijn, kan versleutelde data nu al worden onderschept en opgeslagen, om later alsnog ontsleuteld te worden zodra de technologie zover is. Voor een verlopen banktransactie is dat onschuldig, maar voor persoonsgegevens, staatsgeheimen of bedrijfsgeheimen die over tien jaar nog vertrouwelijk moeten zijn, ligt dat anders. Statelijke actoren hebben hier volgens Pieter al interesse in, met name in kritieke infrastructuur, de financiële sector en overheidsgeheimen.
"De actoren die als eerst toegang krijgen tot dit soort, eigenlijk een cyberwapen, die zullen dit niet zo publiek maken. Maar dat er landen zijn met een offensief cyberprogramma die dit zullen inzetten, daar ben ik echt van overtuigd."
Wetgeving trekt inmiddels bij. De Europese Commissie kondigde in januari aan de NIS2 te willen updaten met PQC-migratie, en ook de BIO (baseline informatiebeveiliging overheid) krijgt dit najaar gesprekken over het onderwerp.
Nederland werkt daarnaast aan een Rijksbrede Quantum Strategie die naar verwachting in oktober naar de ministerraad en de Tweede Kamer gaat. Zo'n migratie duurt voor een gemiddelde organisatie al snel zes tot acht jaar, dus organisaties die nu nog afwachten, lopen straks achter de feiten aan.
Wat een CISO nu al kan doen
Pieter raadt aan te beginnen met het PQC-migratiehandboek van TNO, CWI en de AIVD, dat stap voor stap uitlegt hoe een migratiestrategie eruitziet. In de praktijk komt daar het nodige bij kijken: assetmanagement, risicomanagement en lifecyclemanagement moeten allemaal worden herzien, te beginnen met inzicht in welke cryptografische assets een organisatie eigenlijk heeft en wie daar eigenaar van is.
Belangrijk is ook dat de migratie niet alleen een IT-vraagstuk is. Pieter ziet vaak dat het onderwerp vanuit de techniek omhoog wordt geduwd, terwijl het uiteindelijk de hele bedrijfsvoering raakt en dus organisatiebreed moet worden opgepakt.
"Zorg dat je kan organiseren dat je het met elkaar kan doen. Want het raakt uiteindelijk de hele bedrijfsvoering."
Kansen voor leveranciers
Ook voor leveranciers ziet Pieter volop kansen, bijvoorbeeld in automatisering van certificaatvernieuwing binnen PKI-stelsels en in zogeheten CADI-tooling (Cryptographic Asset Discovery Inventory), waarmee organisaties inzicht krijgen in hun cryptografische assets. Een onderzoek dat het programma samen met TNO deed naar het nut van dit type tooling is te vinden op Digitale Overheid.nl, en laat zien dat veel tools nog onvoldoende kunnen onderbouwen hoe accuraat hun resultaten zijn. Juist daarin ziet Pieter ruimte voor leveranciers om zich te onderscheiden.
Dit is een speciale editie van Security Innovation Stories, opgenomen op locatie tijdens Cybersec Netherlands 2026.
