Q-day is het moment waarop een quantumcomputer hedendaagse cryptografie kan breken. Dat klinkt als een toekomstscenario, maar voor organisaties die afhankelijk zijn van betrouwbare digitale processen begint de voorbereiding nu al. Niet omdat morgen alle beveiliging omvalt, maar omdat de overgang naar een quantumveilige omgeving tijd kost.

De urgentie is concreet. De Algemene Rekenkamer concludeert in 2026 dat 71% van de Rijksoverheidsorganisaties nog niet is begonnen met voorbereidingen op de dreiging van quantumcomputers. De AIVD houdt er rekening mee dat Q-day al in 2030 kan plaatsvinden [1]. Dat is geen harde voorspelling, maar wel een duidelijk signaal. Vier jaar lijkt lang, totdat je ziet hoe diep cryptografie verweven is met vrijwel ieder digitaal proces.

Van ‘store now, decrypt later’ naar ‘trust now, forge later’

In veel gesprekken over quantumdreiging gaat het al snel over store now, decrypt later. Daarbij onderschept een aanvaller vandaag versleutelde informatie, bewaart die en ontsleutelt die later zodra er een quantumcomputer beschikbaar is die sterk genoeg is. Dat risico is vooral relevant voor informatie die lang gevoelig blijft, zoals medische dossiers, persoonsgegevens, onderzoeksdata, strategische plannen, financiële gegevens en vertrouwelijke overheidsinformatie. CWI, AIVD en TNO hebben al gewaarschuwd dat data die nu versleuteld wordt verstuurd of opgeslagen, later alsnog kan worden ontcijferd met behulp van quantumcomputers [3].

Luuk wijst daarnaast op een risico dat volgens hem minstens zo belangrijk is, maar minder vaak wordt besproken: trust now, forge later. Dan gaat het niet alleen om het geheimhouden van informatie, maar om het kunnen blijven vertrouwen op digitale echtheid. Denk aan ondertekende bestanden, software-updates, certificaten, authenticatie en digitale contracten. Als de onderliggende cryptografie later te breken is, kan ook de herkomst of integriteit van zulke digitale bewijzen ter discussie komen te staan.

Juist dat risico raakt de kern van digitale samenwerking. Een digitaal contract is niet alleen een bestand, maar ook juridisch bewijs. Een software-update is niet alleen code, maar ook een vertrouwensrelatie tussen leverancier en gebruiker. Wanneer digitale handtekeningen en authenticatiemiddelen niet op tijd quantumveilig zijn, komt dus niet alleen vertrouwelijkheid onder druk te staan, maar ook integriteit en bewijskracht.

De publicatie van de eerste drie definitieve NIST-standaarden (NIST staat voor National Institute of Standards and Technology) voor post-quantumcryptografie in 2024 maakt dat gesprek concreter. NIST moedigt systeembeheerders aan om zo snel mogelijk met de overgang te beginnen, omdat volledige integratie tijd kost [3]. Ook de tweede editie van het PQC Migration Handbook van AIVD, CWI en TNO helpt organisaties om cryptografische assets te vinden, quantumrisico’s te beoordelen en te werken aan crypto-agility: het vermogen om cryptografie gecontroleerd te vervangen wanneer dat nodig is [2].

Klein beginnen: een praktische checklist

De eerste stap hoeft niet groot te zijn. Volgens Luuk begint het met kennis en inzicht: in algemene zin, maar vooral in de eigen situatie. Niet om iedereen cryptograaf te maken, wel om samen te begrijpen waar de afhankelijkheden en risico’s zitten.

Gebruik de volgende punten als start voor een eerste gesprek tussen IT, security, inkoop, juridische zaken, beleid en bestuur:

Met die inventarisatie ontstaat een eerste beeld van prioriteiten. Dat is belangrijk, omdat quantumveiligheid geen losstaand securityproject is. Het raakt informatiebeveiliging, architectuur, inkoop, juridische afspraken, continuïteitsplanning en leveranciersmanagement. Juist door klein te beginnen, wordt een abstract toekomstscenario concreet en bespreekbaar.

De rol van bestuur: niet de algoritmes, wel de richting

Voor bestuurders ligt de verantwoordelijkheid niet in het kiezen van het juiste algoritme. Hun rol is om quantumveiligheid onderdeel te maken van risicomanagement, digitale weerbaarheid en leverancierssturing. De belangrijkste vraag is of de organisatie voldoende voorbereid is als de overgang langer duurt dan gehoopt.

Luuk benadrukt dat kennisontwikkeling hierbij de basis vormt. In zijn werk ziet hij dat een gezamenlijke cursusdag of workshop met technische mensen, inkoop en beleid vaak al veel duidelijk maakt. Niet om direct alles te vervangen, maar om een gedeeld beeld te krijgen van de risico’s, afhankelijkheden en eerste stappen. Dat past bij de fase waarin veel organisaties nu zitten: niet wachten op perfecte zekerheid, maar zorgen dat je voldoende begrijpt om verstandig te handelen.

Aanvullende referenties 

[1] Algemene Rekenkamer, ‘Rijk vaak nog niet bezig met dreiging quantum’, 4 februari 2026. https://www.rekenkamer.nl/actueel/nieuws/2026/02/04/rijk-vaak-nog-niet-bezig-met-dreiging-quantum

[2] AIVD, CWI en TNO, ‘AIVD, CWI, and TNO publish renewed handbook for quantum-safe cryptography’, 3 december 2024. https://english.aivd.nl/latest/news/2024/12/03/aivd-cwi-and-tno-publish-renewed-handbook-for-quantum-safe-cryptography

[3] CWI, AIVD en TNO, ‘AIVD, TNO and CWI publish handbook on migration to quantum-secure communications’, 4 april 2023. https://www.cwi.nl/en/news/aivd-tno-and-cwi-publish-handbook-on-migration-to-quantum-secure-communication/

[4] NIST, ‘NIST Releases First 3 Finalized Post-Quantum Encryption Standards’, 13 augustus 2024. https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards