Welke deadlines voor post-kwantumcryptografie gelden in de VS, de EU en Nederland?

Voor de gevoeligste systemen in de Verenigde Staten, de Europese Unie en Nederland geldt vandaag een vergelijkbare kern. De eerste, grootste groep systemen moet over op post-kwantumcryptografie, de nieuwe versleuteling die bestand moet zijn tegen een kwantumcomputer. Volgens NIST moeten de meest gevoelige Amerikaanse federale systemen voor 31 december 2030 over op post-kwantumsleuteluitwisseling en voor 31 december 2031 op post-kwantumdigitale handtekeningen. Volgens de Europese Commissie moeten hoogrisicotoepassingen in de hele Unie voor eind 2030 zijn gemigreerd en de rest voor eind 2035. Via de Rijksbrede Quantumstrategie geldt voor Nederland dezelfde volgorde: hoogrisicosystemen van de rijksoverheid voor eind 2030, middelrisicosystemen voor eind 2035. Dat staat in het eindrapport van NIST, de routekaart van de Europese Commissie en de Rijksbrede Quantumstrategie van het Nederlandse kabinet.

Verenigde Staten: NIST zet de klok

Het Amerikaanse standaardisatie-instituut NIST publiceerde op 27 oktober 2026 zijn definitieve rapport over de overstap naar post-kwantumcryptografie. Na 2030 worden kwetsbare algoritmen als RSA en elliptic curve afgeraden voor nieuwe toepassingen, ongeacht de sleutelgrootte. Na 2035 zijn ze onder NIST-standaarden helemaal niet meer toegestaan. Voor de eigen federale systemen hanteert NIST een nog strakker schema. De gevoeligste “high value assets” moeten voor 31 december 2030 over op post-kwantumsleuteluitwisseling en voor 31 december 2031 op post-kwantumdigitale handtekeningen. Dat tempo sluit aan op het eerdere beleidsdocument NSM-10, dat 2035 als algemeen einddoel voor de federale migratie vastlegde.

Europese Unie: drie mijlpalen vanaf 2026

Via de EU PQC Workstream kwam op 23 juni 2025 een gecoördineerde routekaart van de Europese Commissie, met drie mijlpalen voor de hele Unie. Uiterlijk 31 december 2026 moet elke lidstaat een nationale overgangsstrategie klaar hebben. Uiterlijk 31 december 2030 moeten hoogrisicotoepassingen zijn gemigreerd, en uiterlijk 31 december 2035 de rest, waarna kwetsbare sleutelmechanismen niet langer zelfstandig mogen worden gebruikt.

Nederland volgt de EU-lijn

Het Nederlandse kabinet stuurde op 5 oktober 2026 de Rijksbrede Quantumstrategie “Weerbaar in 2035” naar de Tweede Kamer, namens negen ministeries. Minister Heleen Herbert (Economische Zaken en Klimaat) en staatssecretaris Willemijn Aerdts (Digitale Economie en Soevereiniteit) ondertekenden de strategie. Volgens meerdere techmedia die de strategie bespraken, moeten hoogrisicosystemen van de rijksoverheid voor eind 2030 volledig zijn overgestapt op post-kwantumcryptografie, en middelrisicosystemen voor eind 2035. Dat spoort met de EU-routekaart die Nederland als lidstaat volgt.

Alle deadlines naast elkaar

Land/instantie	Eerste mijlpaal	Einddoel
VS (NIST)	Federale sleuteluitwisseling voor 31 december 2030, handtekeningen voor 31 december 2031, volgens NIST.	Kwetsbare algoritmen na 2035 verboden onder NIST-standaarden.
EU	Nationale overgangsstrategie klaar voor eind 2026, hoogrisicotoepassingen gemigreerd voor eind 2030, volgens de Europese Commissie.	Rest van de systemen gemigreerd voor eind 2035, volgens de Europese Commissie.
Nederland	Hoogrisicosystemen van de rijksoverheid over voor eind 2030, volgens de Rijksbrede Quantumstrategie.	Middelrisicosystemen over voor eind 2035, volgens de Rijksbrede Quantumstrategie.

Waarom nu al beginnen

De Algemene Rekenkamer meldde op 4 februari 2026 dat de AIVD er rekening mee houdt dat “Q-day” - de dag waarop een kwantumcomputer gangbare versleuteling kan kraken - al in 2030 kan vallen. Op dat moment was 71 procent van de onderzochte rijksoverheidsorganisaties nog niet begonnen met de voorbereiding op die overstap. Volgens AIVD, TNO en CWI (het Centrum Wiskunde & Informatica) kan de overstap van een organisatie zelf al gauw tien jaar of langer duren. Dat is voor hen de belangrijkste reden om niet te wachten tot 2030 of 2035 dichterbij komt. Voor de rijksoverheid is de eerstvolgende harde datum 31 december 2026, de EU-deadline voor een nationale overgangsstrategie.