Rekenkamer waarschuwt: Nederlandse overheid niet voorbereid op quantumcomputers

De Nederlandse overheid is niet goed voorbereid op een mogelijke toekomst met quantumcomputers, waarschuwt de Algemene Rekenkamer. Een groot deel van de organisaties bij het Rijk heeft nog geen goede strategie om zich te beschermen tegen de mogelijke risico's van zulke computers, bijvoorbeeld op het gebied van versleuteling.

De Algemene Rekenkamer schrijft dat in het rapport 'Focus op quantum bij de Rijksoverheid'. De toezichthouder keek daarin naar de manier waarop Rijksoverheidsinstellingen voorbereid zijn op de opkomst van quantumcomputing. "Quantumtechnologie is op dit moment nog grotendeels toekomstmuziek, maar er gaat toch al zowel een mooie belofte als een serieuze dreiging vanuit", schrijft de Rekenkamer. "Het grootste risico van quantumtechnologie voor het Rijk is dat buitenlandse overheden met quantumcomputers versleutelingstechnieken kunnen kraken. Daarmee zouden ze toegang krijgen tot gevoelige gegevens en belangrijke infrastructuur kunnen aanvallen."

Volgens de Rekenkamer is 71 procent van de organisaties nog niet eens gestart met een inventarisatie van de problemen. Van die 71 procent weet bijna de helft niet 'of en wanneer ze daarmee zullen beginnen'. Daarbij moet wel worden opgemerkt dat de Rekenkamer zich baseert op een steekproef bij 63 Rijksoverheidsorganisaties.

Vrijwel alle overheden zijn op enige manier wel bezig met informatiebeveiliging, zegt de Rekenkamer, maar de meeste organisaties zijn nog niet bezig met quantumveilige versleuteling. "Ministeries hebben bijvoorbeeld nog geen gesprekken gevoerd met leveranciers. Ook zijn er nog geen bestuurlijk verantwoordelijken aangewezen", concludeert de Rekenkamer.

Dat komt vooral door 'een gebrek aan capaciteit en expertise', maar ook doordat nog niet duidelijk is wanneer quantumcomputers risico's voor de maatschappij kunnen opleveren, schrijft de Rekenkamer. Volgens sommige onderzoeken kan dat al snel gaan: de AIVD waarschuwt bijvoorbeeld dat dat al tegen 2030 het geval kan zijn.

Reacties (49)

[oltk]

Dit is een veel complexer probleem dan het artikel (en de analyse van de AR) suggereert. We zitten als overheden al langer te kijken naar encryptie dat niet gekraakt kan worden door quantumcomputers. Maar als je dan een risicoanalyse doet weten we heel veel niet.
- store now decrypt later: het pricipe dat er al staatsgeheimen en te beschermen belangen in handen zijn van mogendheden en die ontsleuteld worden zodra de quantumcomputer voldoende krachtig is. Hoeveel is al in hun handen? En moeten we de systemen achter de staatsgeheime informatie niet nu al aanpassen? Kan dat wel?
- toegang en autorisatie tot systemen: dat kan ook geregeld worden zodra de eerste tekenen van QC zich aandienen. Alleen welke standaarden ga je hanteren? Als kleine organisatie binnen het Rijk is dat uiteraard ondoenlijk, de kennis is er niet. Dit zal echt centraal moeten worden opgepakt. Inclusief roadmap.
- kunnen we wel verwachten dat de eerste quantumcomputer meteen gebruikt gaat worden om alle overheidsorganisaties te rippen? Dat het vanaf dat moment kan is duidelijk, maar zelfs onder de huidige regering is dat een long shot dat zo ongeveer een oorlogsverklaring inhoudt. Maar enkele jaren daarna gaan ook andere partijen zich hiervan kunnen bedienen wellicht? is dat reeel voor zo een complexe techniek? het is ook niet zo dat criminele organisaties allemaal de beschikking hebben tot atoomwapens, een techniek die tenslotte ook al 70 jaar bestaat. Uiteraard is de dreiging voldoende reden om actie te ondernemen. Maar dat is geen reden voor paniek.
- Quantumcomputing bestaat (plat geslagen) uit 2 delen: de hardware en de software. De QC komen er vast binnen 5 tot 10 jaar. Maar de algoritmen zijn nog lang niet volwassen genoeg. Wij hebben een simpel optimalisatieprobleem proberen uit te werken in een (mock up) quantumcomputer, maar zijn daar niet in geslaagd. te complex. Dat zegt natuurlijk niet dat het niet kan en dat je niet met 100 miljard dollar slimme mensen kan aantrekken die het wel kunnen. Maar in dit nieuwe ecosysteem moet je beiden hebben. En tot dusverre is op beide vlakken de werkelijkheid weerbarstig. Voor zover je met quantum van een werkelijkheid kan spreken natuurlijk

[goarilla]

Kan je een voorbeeld geven van Quantum Safe encryptieprotocollen die we vandaag kunnen gebruiken of naar uit kunnen kijken ?
Want iedere keer als ik QC nu hoor, net zoals fusion, VR, flying cars, ... rol ik mijn ogen en klik ik ergens anders op. En zoals jij het nu schetst, zit het nog altijd in de labofase en ik betwijfel ten zeerste of het daar wel uitgeraakt in de tijd die me nog op onze ruimtebol rest.

Edit: ik ben aan het vijzelen of ik mijn oren ga moeten openen voor bepaalde QC technieken.

[Reactie gewijzigd door goarilla op 6 februari 2026 11:40]

[oltk]

Daar ben ik niet in gespecialiseerd. Ik heb wel verhalen gehoord van o.a. TNO en ook van Amerikaanse partijen als IBM. Maar het kaf van koren scheiden en de verstandige, effectieve keuze maken ligt echt bij mensen die hier meer verstand van hebben. Daarmee zeg ik niet dat dit in de labofase zit overigens Ik zeg dat de stap naar implementatie nog serieuze horden te gaan heeft. Een Quantum Safe techniek moet toepasbaar zijn in huidige systemen (of systemen moeten realistisch aangepast kunnen worden), het moet betaalbaar zijn, er moet een lange termijn perspectief op onderhoud en ontwikkeling op zitten. Dit vergt echt nadenken over de gehele keten, en niet alleen: het algoritme is er en dus aan de slag...

edit: in deze wereld van juridische afspraken is een van de hobbels de contracten die we nu met leveranciers hebben. Overgaan naar andere encryptiesleutels, algoritmen en soms hardware betekent het opzeggen van bestaande contracten. Moet dat worden afgekocht? kan dat juridisch?

Als je wil weten welke algoritmen er zijn zou je o.a. kunnen kijken naar een rapport van TNO (laat ik het bij een NL bedrijf houden), al levert een zoektocht op de Europese zoekengine Ecosia (tip!) je veel meer dan dat op.

[Reactie gewijzigd door oltk op 6 februari 2026 11:45]

[jessel0l]

Ik zit er zelf niet zo goed in, maar ik weet wel dat er in 2024 door de NIST gestandaardiseerd is op het gebied van het post-quantum encryptie.

Zie dit artikel van het Centrum Wiskunde & Informatica over de Nederlandse bijdrage en wat linkjes naar meer info als je geïnteresseerd bent: https://www.cwi.nl/nl/nieuws/nist-standaardiseert-kwantumveilige-cryptografiemethoden/

[gixslayer]

Kan je een voorbeeld geven van Quantum Safe encryptieprotocollen die we vandaag kunnen gebruiken of naar uit kunnen kijken ?

Zie NIST PQC. Het standardization process is nog bezig, maar begint nu toch steeds concreter te worden.

Dit zijn echter wel vaak de meer 'low level' bouwstenen waarmee een (applicatie) protocol wordt opgebouwd, en met name aan de asymmetrische kant vormen quantum computers een gevaar, dus het is niet zo dat alles naar een ander protocol/primitive moet.

[fuzzyIon]

Met mullvad wireguard kun je quantum proof encryptie aanzetten met hun vpn app. Met een pure wg cli config gaat het ook maar dan moet je de post up regel aanpassen en laten wijzen naar het tooltje dat je van hun download. werkt voor linux en macosx.

[estej]

De huidige consensus is dat AES kwantum resistent is

Het is vooral public key cryptografie die er kwetsbaar voor is. Denk hierbij aan digitale handtekening, en key agreement.

Er zijn inmiddels twee algoritmes gestandaardiseerd door de NIST:

• ML-DSA om digitale handtekeningen te zetten, en te bewijzen dat je bent wie je zegt dat je bent
• ML-KEM, om een gezamenlijk geheim te maken. Dit kan bijvoorbeeld gebruikt worden als alternatief voor Diffie-Hellman, om tussen jouw browser en een server, die samen een geheim maken, en dat geheim gebruik je als sleutel voor AES encryptie van jullie verkeer.

[dylan111111]

Wat je op dit moment kan doen is zorgen dat TLS 1.3 alvast wordt ondersteund, de verwachting is dat alleen TLS 1.3 PQC algoritmes zal ondersteunen.

Daarnaast kan je het algoritme X25519MLKEM768 (NIST FIPS 203) implementeren om weerstand te bieden tegen een cryptographically-relevant quantum computer (CRQC).

[gixslayer]

- Quantumcomputing bestaat (plat geslagen) uit 2 delen: de hardware en de software. De QC komen er vast binnen 5 tot 10 jaar.

Waar baseer je dit op? Ik hoor al vrij lang dat binnen X jaar die QC er zou zijn, maar vooralsnog heeft het voor mij een beetje hetzelfde gehalte als Tesla's zelf rijdende autos. Ja je kan echt wel iets bouwen dat je een QC noemt (ofwel zelf rijdende auto), maar iets kunnen opleveren dat aan de hoge standaard komt om er echt wat mee te kunnen in algemene zin (i.e. genoeg quantum bits na error correctie om echt een aanval op de huidige cryptografie te doen) is toch echt een ander vehaal.

Natuurlijk moet je rekening houden met het scenario dat het wel zo gaat lopen, zodat je niet overvallen wordt, maar als jij kan onderbouwen waarom de hardware er binnen 5/10 jaar zou zijn hoor ik dacht oprecht graag.

[Erikkamm]

Bij de NL overheid houden we ons aan de richtlijnen van het NCSC. En die zijn nog niet ver genoeg om dit probleem te adresseren. Zelfs de updates van de richtlijnen worden niet vaak genoeg geupdate.
Het NCSC zou dit dus centraal moeten oppakken, al dan niet met externe hulp. De overige overheids organisaties volgen dan de richtlijnen. Zie onderstaande wat het NCSC er nu over schrijft.

“https://www.ncsc.nl/api/media/sites/default/files/2025-11/TLS-Richtlijnen-2025-05.pdf

1.4.5 Cryptografische sterkte

De cryptografische sterkte is een maat om de beveiligingswaarde van een cryptografisch algoritme in uit te drukken. De cryptografische sterkte wordt uitgedrukt in bit. Ruwweg kan gesteld worden dat een cryptografische sterkte van 128-bit inhoudt dat een aanvaller ongeveer 2128 (2 tot de macht 128) pogingen nodig heeft om vercijferde informatie succesvol te ontcijferen. De cryptografische sterkte is een inschatting gebaseerd op het (type) algoritme, de gebruikte sleutellengte (indien het een versleutelingsalgoritme betreft) en het effect van (bekende) kwetsbaarheden in de algoritmiek. De sterkte van een versleutelingsalgoritme is daarbij niet altijd hetzelfde als de sleutellengte die een algoritme gebruikt. Verschillende algoritmes kunnen met andere sleutellengtes dezelfde cryptografische sterkte behalen. Een cryptografisch-relevante quantumcomputer (CRQC) is een quantumcomputer die krachtig genoeg is om de cryptografische sterkte van sommige algoritmes ernstig te verlagen. In deze publicatie drukken we, uit praktische overwegingen, de cryptografische sterkte enkel uit zoals bepaald voor conventionele computertechnologie. Wel nemen we het effect van een CRQC op deze cryptografische sterkte mee in het advies. Meer informatie over een CRQC en de quantumdreiging volgt later in deze publicatie”

[blissard]

@oltk waardevolle toevoeging.

Om de complexiteit nog iets te vergroten: we beschouwen nu de quantum computer op vergroten van het risico in feitelijk reeds bestaande aanvalsmogelijkheden. In de werkelijkheid zullen bij de toepassing hiervan waarschijnlijk andere mogelijkheden ontstaan. Wellicht is er straks met QC wel veel meer te verdienen op de beurs, het casino, defensie, bitcoin etc. dan met het kraken van de zoveelste ambtelijke nota.
En als je alles kunt kraken, en AI hebt om alles ook nog eens te interpreteren, dan moet men er ook nog iets mee kunnen doen.


Als je de lockpicking lawyer kijkt zie je dat ieder slot eenvoudig is te kraken. Toch wordt er niet continue bij mij ingebroken. Blijkbaar speelt er mee.

[trick2011]

Het zal vast ook niet helpen dat ML-KEM, HQC, ML-DSA vrij recent gestandaardiseerd zijn/worden. Er zijn nug nog steeds uitgebreide gesprekken gaande over hoe huidige protocollen PQC moet gaan aanwenden en of dit bijvoorbeeld in een dual mode moet gebeuren met de oude en nieuwe crypto.

[sdziscool]

De amerikaanse NIST heeft aangegeven dat je rond 2030 wel een beetje af wilt zijn van 'oude' niet quantum-safe algoritmes voor je beveiliging. Rond 2035 hoort de overheid compleet over te zijn.

Nu klinkt dat misschien vroeg, maar het idee is natuurlijk dat er veel dingen zijn die nu worden gemaakt, die over 20 jaar nog steeds worden gebruikt. Hoeveel van Nederlandse infrastructuur gebruikt nog wat 'veilig' was in 2005? Daarom moet je minstens 10 jaar voordat quantum computers beschikbaar worden, eigenlijk al geen enkel apparaat meer toelaten om quantum-insecure algoritmes te draaien voor je encryptie etc. Want wie weet hoe lang die apparaten wel niet gebruikt gaan worden?

[downtime]

Een ander probleem is dat inlichtingendiensten onderschepte communicatie gewoon bewaren tot er in de toekomst een manier is gevonden om de berichten die ze vandaag onderscheppen te decrypten. Want sommige berichten zijn over 5 of 10 jaar nog even gevoelig als op de dag van verzenden.

[sdziscool]

ja, daar is jammergenoeg niets aan te doen, enige voordeel is dat ze niet weten welke data per se waardevol is vs niet behalve via metadata dus kleine kans dat de gemiddelde persoon zijn data decrypted gaat worden in de komende 100 jaar.

[Magic]

Een taktiek kan dan dus zijn om zo ontiegelijk veel waardeloze data mee te sturen dat het niet de moeite waard is om álles te gaan decrypten.

[CAPSLOCK2000]

ja, daar is jammergenoeg niets aan te doen,

Helemaal voorkomen is misschien niet mogelijk, maar je kan het aardig lastig maken door Perfect Forward Security te gebruiken. Dat zorgt er voor dat je niet achteraf terug kan komen met een onderschepte sleutel om eerder opgeslagen berichten te decoderen. Wikipedia: Perfect forward secrecy

[The-Source]

Kijkend naar de datum ontwikkeld > datum opvolger > datum onveilig beschouwd
Dan zie je wel een trend van SSL1 (1994) > SSL3 > TLS1.0 (SSL3.1) naar TLS1.3
SSL1 tm SSL3 zijn snel opvolgend ontwikkeld met vooral de laatste een grote verbetering in security methodes.
TLS1 wat dus meer als SSL3.1 gezien kan worden was grotendeels nieuwe naam en ondanks dat 7 jaar later (2006) TLS1.1 is uitgebracht werd deze al snel door TLS1.2 opgevolgd (2008)
TLS1.3 is in 2018 uitgebracht.
Het jaar van ontwikkeling tov label onveilig zit tussen de 12 jaar (oude standaarden en lagere internet adaptatie) tot 8 jaar.
Met die trend in gedachte houdend zou dus vanaf nu tot 2030 TLS1.3 onveilig gaan worden.
En dat alles was zonder quantum compute. En juist die ontwikkeling versneld ook maar is binnenkort nog niet op een realistisch niveau om deze encryptie volledig te kraken.
Dit komt omdat TLS1.3 uit meerdere lagen bestaat waarvan vooral de Hashes laag het langst zal stand houden.

Dit alles op basis van historische ontwikkeling en dus ook historische quantum bits ontwikkeling. Mocht er iemand hier een echte doorbraak gaan maken en zo van 100 qbits stabiel naar 1000 qbits gaan dan schuift die tijdlijn hard naar voren. En vergeet ook niet het volgende.
Harvest now, decrypt later...

[goarilla]

En welke quantum safe algoritmes kunnen we nu al gebruiken ?

[sdziscool]

ML-DSA, ML-KEM, SLH-DSA en HQC zijn op het moment allemaal goedgekeurd voor gebruik door de NIST.

[Zwatelaar]

Klinkt heel slim. Alles minimaal 10 jaar future-proof maken. Helemaal voor.

Het enige wat nog ontbreekt is een glazen bol om te voorspellen wat er de komende 10 jaar voor nieuwe dreigingen bij gaan komen.

[AcidBanger]

Ben benieuwd hoeveel bedrijven zich überhaupt hierop voorbereiden of weten hoe ze dat moeten doen.

[downtime]

Als ze dat niet weten dan zijn er volop bedrijven die kunnen adviseren. Bij mijn werkgever hebben we ook regelmatig consultants over de vloer die ons helpen met dingen die we zelf niet kunnen omdat we niet groot genoeg zijn om voor alle niche kennisgebieden een fulltime medewerker aan te nemen.

[007Nightfire]

Als je maar betaalt is er altijd een consultant die langs wil komen. De vraag is of dit op het lijstje staat van bedrijven, en vervolgens of het hoog genoeg staat om er een consultant voor in te huren.

[Aerophobia1]

Ze worden nu ook al massaal aangevallen en gehacked. Ook zonder Quantum computer.
Zwakste schakel zijn wij.

[cricque]

Ja maar de meeste consultants is heel veel bla/bla en weinig boem/boem ... Ik gaf tot vorig jaar een cursus programmeren in avondschool. Daar was ook een andere leraar die en stukje deed van een andere cursus, vlotte prater en kent veel termen en altijd maar klagen over zijn rate, het was niet genoeg tov want hij overdag kan factureren. Tsja waarom doe je het dan ? Ik zou hem nog geen pc laten bedienen. Een echte blaaskaak met weinig kennis algemeen. Maar rekent wel top dollar aan. In grote bedrijven kan dit gemakkelijk omdat je daar niet "opvalt", maar hier moet geen praatjesmaker binnenkomen hoor

[Tortelli]

Eerlijke antwoord: ik heb geen flauw idee.

[CAPSLOCK2000]

Voor 90% van de bedrijven zal gelden dat "onze leverancier voldoet aan alle standaarden... denken we".

Eerlijk gezegd hoeft die hele voorbereiding niet zo spannend te zijn. In praktijk moet je op een paar punten een ander encryptieprotocol configureren en misschien wat libraries upgraden om dat mogelijk te maken.
Hoe het precies werkt hoef je als gewone IT'er niet te weten.
De juiste algoritmes kiezen kan wel lastig zijn maar dat moet je sowieso aan experts overlaten.

Het pijnpunt is weten waar je overal encryptie gebruikt en zorgen dat je die kán veranderen. Als dat hardcoded is als deel van de software wordt het lastig. Het is gelukkig al jaren breed bekend dat je encryptieprotocollen configureerbaar moet maken en de meeste software kan dat.

Je moet dus wel met de stofkam door al je software heen moeten om precies vast te stellen waar er encryptie gebruikt wordt. Eerlijk gezegd zou je dat soort info al moeten hebben als je je zaakjes goed voor elkaar hebt.

[Reactie gewijzigd door CAPSLOCK2000 op 6 februari 2026 13:42]

[dartbord]

'een gebrek aan capaciteit en expertise'


Dat is wel een perfecte opsomming van onze politiek.

[bilaba70]

Politiek roept constant een overheid die kleiner moet en minder, minder minder ambtenaren, maar vraagt ook constant meer van diezelfde groep

[CyberTijn]

Commerciële bedrijven ook niet, dus overheid & bedrijfsleven kunnen elkaar de hand schudden. Of nog beter; samen optrekken.

[Reactie gewijzigd door CyberTijn op 6 februari 2026 11:06]

[KaiTak]

Ik denk dat bijna niemand is voorbereid op de komst van Quantum.... en dan nog gecombineerd met AI....

[cdwave]

Ik krijg hier zo'n "Y2K" gevoel bij.

In de jaren '90 werd er paniek gezaaid dat allerlei software zou ontsporen bij de overgang van 1999 naar 2000. Ik heb in die tijd ook lekker verdiend met het vervangen van allerhande software die helemaal niet vervangen hoefde te worden. Zelfs de ASCII databases in de AS400 hadden eigenlijk geen probleem, die deden gewoon 99 + 01 = 00 en 01 - 03 = 98.

Dit lijkt me net zoiets. Nu wordt er paniek gezaaid dat al je encryptie ineens niet meer goed genoeg gaat zijn over een paar jaar. En dus kun je binnenkort wel consultants inhuren die voor een smakelijk tarief wel even je spulletjes doorlichten en een vrijblijvend advies geven om nog eens de beurs te trekken om hun zelfgemaakte oplossing te implementeren.

Decryptie blijft toch een gevalletje geld. Gezien de prototypes met een paar Q-bits nog zeecontainers vullen en energie slurpen als een klein land, is het de komende eeuw nog steeds een stuk goedkoper om gewoon iemand in te huren die zich old-skool met misleiding, bedreiging en geweld toegang weet te verschaffen, dan om een paar seconden een quantumcomputer te huren.

[Ed Vertijsment]

Nu is volgens mij die soep inderdaad niet zo heet gegeten maar wat je zegt is wel de naïeve constatering:

99 + 01 = 00 sure

01 - 03 = 98 tuurlijk

Maar het tijdverschil tussen 1999 en 2000 wordt dan 1999 jaar wat niet klopt.

Maar is goed gekomen

[Walkur]

Met Ai zal het proberen van de echte data te verbergen in "noise" een stuk lastiger worden

Misschien worden in de toekomst weer de ouderwetse papieren "top secret" folders weer populairder. Samen met de grote archiefkasten. Wat je niet digitaal hebt is ook niet te hacken tenslotte.

Dit is natuurlijk niet voor alles te doen, maar deze afdelingen zullen waarschijnlijk wel groter worden.

[geert1]

Dan zou je in principe zelf weer met een pen moeten gaan schrijven, als de documenten echt offline moeten zijn. Typen en dan uitprinten zou alsnog verkeerd gaan als het systeem al was gecompromitteerd.

Nee, ik denk dat kwantumproof encryptie de enige weg voorwaarts is. Er bestaan er al een aantal en er komen er meer aan. Het zal een klus zijn om encryptie te vervangen/upgraden in ontelbare stukken software, hardware, protocollen en dergelijke. Maar het hoeft niet vandaag, maar over de tijd. Want een praktische, betaalbare kwantumcomputer is er nog niet. Het wordt pas spannend als de kosten van het hacken lager zijn dan wat de ingewonnen data oplevert. Voor nu zullen ouderwetse methoden veel goedkoper zijn, zoals social engineering / phishing / infiltratie / spionage / chantage / bedreiging / geweld.

[Reactie gewijzigd door geert1 op 6 februari 2026 13:26]

[GenomDalar1983]

Tja, wat dat betreft lijkt het heel erg op midden en einde jaren 90 toen "internet" steeds een beetje meer publiek werd. Iedereen ging er van alles publiek op doen zonder na te denken over beveiliging. Open dirs hier, brakke logins daar of ESC om in te loggen (Windows 98), Het was een leuke pionierstijd maar o zo onveilig.

[Tripledad65]

Ik zie ook paralellen met het Y2K probleem. Ook een IT dreiging die op ons afkwam met een potentieel hoog risico. Iedereen wilde natuurlijk erg graag helpen met advies en oplossingen, en vooral geld verdienen. Dat is uiteindelijk allemaal goed gekomen. QC is natuurlijk een ander risico, het heeft niet een vaste datum, en het is ook niet een eenmalig event.

[adje123]

Misschien moeten ze een "quantum-belasting" instellen zodat er genoeg geld is om zich voor te bereiden.