NIST IR 8547 definitief (27 oktober 2026): RSA en ECC na 2030 deprecated en na 2035 niet meer toegestaan, en wat dat vraagt onder artikel 32 AVG, de Cyberbeveiligingswet en DORA

Op 23 februari 2017 maakten onderzoekers van het CWI in Amsterdam en Google bekend dat zij de eerste praktische botsing in het hashalgoritme SHA-1 hadden gevonden: twee verschillende pdf-bestanden met dezelfde digitale vingerafdruk. Cryptografen hadden toen al jaren gewaarschuwd, en toch draaide SHA-1 nog in certificaten, versiebeheer en archiefsystemen. Bijna tien jaar later staat SHA-1 in een voetnoot van een nieuw NIST-rapport: na 2030 mag het niet meer worden gebruikt in FIPS-gevalideerde cryptografische modules. Het rapport waarin die voetnoot staat, gaat over een veel grotere operatie. Op 27 oktober 2026 publiceerde NIST de definitieve versie van IR 8547, het overgangsplan naar post-quantumcryptografie, en daarmee hebben RSA en elliptische-curvecryptografie een vaste einddatum binnen de Amerikaanse standaarden.

Wat NIST op 27 oktober 2026 vastlegde in IR 8547: RSA, ECDSA, EdDSA en Diffie-Hellman na 2030 deprecated en na 2035 niet meer toegestaan

IR 8547, Transition to Post-Quantum Cryptography Standards, vervangt het concept van 12 november 2024. De kern staat in twee tabellen. Voor digitale handtekeningen gaan ECDSA, EdDSA en RSA na 2030 naar de status deprecated en zijn ze na 2035 disallowed onder NIST-standaarden en -richtlijnen. Voor sleuteluitwisseling geldt hetzelfde schema voor Diffie-Hellman en MQV op eindige lichamen en elliptische krommen, en voor RSA-sleuteltransport. Eerder voorzag NIST in SP 800-57 dat publieke-sleutelschema's met 112 bits beveiligingssterkte op 1 januari 2031 zouden vervallen; het nieuwe rapport trekt alle quantumkwetsbare schema's in één venster samen, ongeacht hun sleutellengte.

De begrippen hebben een precieze betekenis. Deprecated betekent volgens NIST dat het algoritme nog mag worden gebruikt, maar dat er enig veiligheidsrisico is en dat de eigenaar van de gegevens dat risico moet beoordelen en zelf moet besluiten of hij doorgaat. Disallowed betekent dat het algoritme niet meer is toegestaan voor het opgegeven doel. Als vervangers noemt het rapport ML-KEM (FIPS 203) voor sleuteluitwisseling, met ML-KEM-768 als aanbevolen standaardparameterset, en ML-DSA, SLH-DSA, LMS en XMSS voor handtekeningen. HQC is geselecteerd als alternatief voor ML-KEM en wordt een goedgekeurd schema zodra de standaard verschijnt. NIST is niet van plan nog meer KEM's te selecteren. Hybride sleuteluitwisseling, waarbij een klassiek en een post-quantumschema worden gecombineerd, kan FIPS 140-gevalideerd worden als de constructie een door NIST goedgekeurde compositietechniek gebruikt (de sleutelafleiding uit SP 800-56C), ten minste één invoer uit een goedgekeurd sleuteluitwisselingsschema komt en de module aan de overige validatie-eisen voldoet.

Waarom de Amerikaanse termijnen van 31 december 2030 en 31 december 2031 ook Nederlandse leveranciers raken

IR 8547 koppelt het venster van 2030 tot 2035 aan twee bindende federale instrumenten: Executive Order 14412 en OMB-memorandum M-26-15. Federale high value assets en systemen met een hoge impactclassificatie moeten uiterlijk 31 december 2030 post-quantum sleuteluitwisseling gebruiken en uiterlijk 31 december 2031 post-quantumhandtekeningen. Onder Executive Order 14306 en hetzelfde memorandum moeten federale diensten uiterlijk 2 januari 2030 TLS 1.3 ondersteunen. Systemen die geen post-quantumcryptografie aankunnen, moeten worden geïdentificeerd en voorrang krijgen bij vervanging of uitfasering.

Die termijnen binden Amerikaanse federale diensten en werken via hun inkoop door in de toeleveringsketen. Een Nederlandse softwareleverancier, cloudaanbieder of fabrikant van netwerkapparatuur die aan Amerikaanse overheden levert, krijgt de data via aanbestedingseisen en contractvoorwaarden op zijn bureau. AIRecht beschreef eerder hoe de Amerikaanse federale inkoopregels post-quantumcryptografie in contracten brengen. Het rapport noemt zichzelf bovendien een blauwdruk voor beheerders van vitale infrastructuur en andere organisaties die dezelfde overgang doormaken. Leveranciers die één productlijn voor de hele wereld bouwen, zullen hun releaseplanning op de strengste klant afstemmen.

Hoe de status deprecated na 2030 doorwerkt in artikel 32 AVG, de Cyberbeveiligingswet en DORA

IR 8547 komt het Nederlandse recht binnen via drie Europese bepalingen die naar de stand van de techniek verwijzen. Artikel 32 AVG vraagt passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek. Artikel 21, lid 2, onder h, van de NIS2-richtlijn noemt uitdrukkelijk beleid en procedures voor het gebruik van cryptografie en encryptie; in Nederland is dat sinds 15 augustus 2026 een onderdeel van de zorgplicht in de Cyberbeveiligingswet. Voor financiële instellingen vraagt de technische reguleringsnorm voor ICT-risicobeheer onder DORA (Gedelegeerde Verordening (EU) 2024/1774) in artikel 6 een beleid voor encryptie en cryptografische maatregelen, en het bijwerken van cryptografische technologie op basis van ontwikkelingen in de cryptoanalyse.

Wanneer de Amerikaanse normsteller voor cryptografie formeel vastlegt dat RSA en ECC na 2030 een risico dragen dat de gegevenseigenaar moet afwegen, verschuift wat een toezichthouder of rechter als stand van de techniek kan aannemen. Een organisatie die na 2030 nog vertrouwelijke gegevens met lange bewaartermijnen uitsluitend met RSA-2048 beschermt, zal moeten uitleggen waarom dat passend was. De term deprecated zelf wijst de weg: een gedocumenteerde risicoafweging per systeem, met een besluit en een eigenaar. Die afweging past bij de verantwoordingsplicht van artikel 5, lid 2, AVG en bij het risicobeheer dat de Cyberbeveiligingswet vraagt. In het eerdere stuk over het register dat vóór de plicht komt stond al waarom een cryptografische inventaris de eerste stap is.

Wat de EU-routekaart en de Rijksbrede Quantumstrategie al vroegen: eind 2026, eind 2030 en eind 2035

Europa heeft een eigen tijdpad, en dat sluit opvallend goed aan op het Amerikaanse. De lidstaten stelden na Aanbeveling (EU) 2024/1101 een gecoördineerde routekaart vast. De Rijksbrede Quantumstrategie van 5 oktober 2026 neemt die data over voor de Rijksoverheid: uiterlijk eind 2026 quantumrisico in het risicomanagement en een eigen cryptografiebeleid, uiterlijk eind 2028 het vermogen om bij inkoop en aanbesteding eisen en wensen over quantumveilige cryptografie te stellen, uiterlijk eind 2030 migratie van gebruiksscenario's met een hoog risico, en uiterlijk eind 2035 het gemiddelde risico, met het lage risico voltooid voor zover dat mogelijk is.

Washington en Den Haag kiezen dus allebei eind 2030 voor de gevoeligste systemen en 2035 als richtpunt voor de rest; het Nederlandse tijdpad laat het lage risico voltooien voor zover dat mogelijk is. Het verschil zit in de juridische vorm. De Amerikaanse data staan in een executive order en een OMB-memorandum die federale diensten binden, met een technisch rapport dat de algoritmen bij naam noemt. Het Nederlandse tijdpad is intern rijksbeleid; voor essentiële en belangrijke entiteiten buiten de overheid loopt de verplichting via de open norm van de Cyberbeveiligingswet en de aangekondigde richtlijnen voor essentiële bedrijven. Wie in Nederland een migratieplanning opstelt, heeft met IR 8547 nu een tabel die per algoritme aangeeft wat na 2030 en 2035 geldt. Over de status van FIPS 140-2-certificaten die op 21 september 2026 historisch werden schreef AIRecht eerder; voor validatie blijft FIPS 140-3 de maatstaf.

Welke vijf afspraken in ICT-contracten nu naar IR 8547 kunnen verwijzen

Contracten met een looptijd van vijf jaar of langer die vandaag worden getekend, lopen door het venster van 2030 heen. Deze checklist voor ICT- en cloudcontracten volgt de begrippen van het rapport:

• Een cryptografische opgave: welke algoritmen en parameters het product of de dienst gebruikt voor sleuteluitwisseling en handtekeningen, met een plicht om die opgave bij elke hoofdversie bij te werken.
• Een migratietoezegging die aansluit op de tabellen in IR 8547: ondersteuning van ML-KEM, bij voorkeur ML-KEM-768 of hybride, vóór een vaste datum, en van ML-DSA of SLH-DSA voor handtekeningen.
• Een regeling voor statuswijzigingen: wat de leverancier moet doen als NIST, BSI, ANSSI of de AIVD een gebruikt algoritme afraadt of verbiedt, en binnen welke termijn.
• Een validatieverklaring die het bereik van het certificaat noemt: een FIPS 140-3-certificaat dekt alleen de algoritmen die erin staan, en post-quantumfuncties vallen daar niet automatisch onder.
• Een exitbepaling voor systemen die geen post-quantumcryptografie kunnen ondersteunen, zodat vervanging niet strandt op een lopend contract.

Wie het risico draagt voor gegevens die na 2035 nog vertrouwelijk moeten zijn

IR 8547 noemt harvest now, decrypt later als een van de belangrijkste redenen voor haast: een aanvaller slaat versleuteld verkeer nu op en ontsleutelt het zodra een cryptografisch relevante quantumcomputer bestaat. Het rapport wijst erop dat eerdere cryptografische overgangen tien tot twintig jaar duurden. Patiëntendossiers, notariële aktes, gegevens van de Belastingdienst en bedrijfsgeheimen in octrooiaanvragen moeten vaak langer geheim blijven dan tien jaar. Burgers kunnen niet kiezen of zij die gegevens afstaan. Het is daarom de organisatie die de gegevens bewaart die bepaalt of verkeer van vandaag in 2040 nog leesbaar is voor een ander. Voor die organisaties is de definitieve versie van IR 8547 het moment om de migratieplanning te koppelen aan concrete systemen, bewaartermijnen en contractdata.

Wilt u weten wat uw eigen ICT- of cloudcontract zegt over cryptografie, updates en de overstap naar nieuwe standaarden? Met de AIRecht contractscan ziet u snel wat uw leverancier toezegt en waar u zelf het risico draagt.

Bronnen (geraadpleegd op 28 oktober 2026): NIST IR 8547, Transition to Post-Quantum Cryptography Standards (definitief, 27 oktober 2026); NIST IR 8547, volledige tekst (pdf); Google Security Blog en CWI Amsterdam, Announcing the first SHA1 collision (23 februari 2017); NIST, NIST Retires SHA-1 Cryptographic Algorithm (december 2022); Verordening (EU) 2016/679 (AVG), artikelen 5 en 32; Richtlijn (EU) 2022/2555 (NIS2), artikel 21; Gedelegeerde Verordening (EU) 2024/1774 (DORA, ICT-risicobeheer), artikel 6; Aanbeveling (EU) 2024/1101 over een gecoördineerde uitvoeringsroutekaart voor post-quantumcryptografie; Rijksbrede Quantumstrategie (5 oktober 2026).