02 Deadlines
De deadlines staan al vast
Dit zijn geen voorspellingen. In de VS en de EU hebben instellingen richtlijnen en eisen gepubliceerd met vaste datums voor het vervangen van kwetsbare cryptografie.
-
13 aug 2024
NIST publiceert de nieuwe standaarden
Het Amerikaanse standaardeninstituut publiceert drie nieuwe standaarden: FIPS 203 (ML-KEM), om de sleutels af te spreken waarmee gegevens worden versleuteld, en FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA), voor digitale handtekeningen. Er zijn dus alternatieven voor de huidige algoritmen beschikbaar.
-
nov 2024
NIST stelt deadlines voor om de huidige algoritmen uit te faseren
In het eerste openbare concept van NIST IR 8547 staan alle quantumkwetsbare publieke-sleutelalgoritmen, ook P-256, na 2035 als niet meer toegestaan (disallowed).
-
22 jun 2026
Executive Order 14412
Het decreet gaat in op het risico dat bekendstaat als “harvest now, decrypt later”. Voor high-value assets en systemen met hoge impact stelt het 31 dec 2030 als deadline voor post-quantum sleuteluitwisseling en 31 dec 2031 voor digitale handtekeningen.
-
24 jun 2026
OMB M-26-15: een federale migratie in fasen
Federale instanties moeten een geautomatiseerde inventaris bouwen waarvan de gegevens “should populate a central Cryptographic Bill of Materials” (een centrale CBOM zouden moeten vullen). De plannen van de instanties moeten uiterlijk 22 okt 2026 zijn ingediend. De migratie verloopt in vijf fasen, van 2026 tot 2035.
-
Rond dec 2026
Een voorgestelde regel voor federale opdrachtnemers
EO 14412 geeft de FAR Council 180 dagen, tot rond 19 dec 2026, om een regel voor te stellen onder de Federal Acquisition Regulation (FAR). Die regel zou betrokken opdrachtnemers verplichten om uiterlijk 31 dec 2030 te voldoen aan de FIPS-standaarden van NIST, ook die op basis van post-quantumalgoritmen.
-
Rond mrt 2027
Richtlijnen over wat een CBOM zou moeten bevatten
Binnen 270 dagen na EO 14412, rond maart 2027, publiceert CISA in afstemming met NIST richtlijnen over de minimumelementen die een CBOM zou moeten bevatten.
-
2030 tot 2035
De migratiedeadlines
Onder EO 14412 moet post-quantum sleuteluitwisseling uiterlijk 31 dec 2030 zijn ingevoerd, en digitale handtekeningen uiterlijk 31 dec 2031, op high-value assets en systemen met hoge impact. Wordt de FAR-regel waar het decreet om vraagt aangenomen, dan moeten betrokken opdrachtnemers uiterlijk 31 dec 2030 voldoen. NSA CNSA 2.0 stelt datums voor exclusief gebruik tussen 2030 en 2033, afhankelijk van de categorie. In de EU vraagt de roadmap van de NIS-samenwerkingsgroep van 23 jun 2025, een aanbeveling, de lidstaten om nationale strategieën tegen eind 2026, toepassingen met hoog risico tegen eind 2030 en zoveel systemen als haalbaar tegen 2035.
Bronnen: EO 14412; EO 14412 in het Federal Register; OMB M-26-15; NIST IR 8547; CISA Post-Quantum Cryptography Initiative; NSA CNSA 2.0; NIST FIPS 203; roadmap van de NIS-samenwerkingsgroep (EU).