Compliance
Van "we versleutelen" naar "we kunnen het aantonen"
Toezicht vraagt niet of je versleutelt. Het vraagt welk beleid je hebt, welke maatregelen dat beleid uitvoeren en hoe je dat aantoont.
| Kader | Wat het vraagt | Wat de datakluis levert |
|---|---|---|
| Cyberbeveiligingswet (NIS2 in Nederland) In werking sinds 15 augustus 2026, van toepassing op ruim 8.000 organisaties, met registratieplicht, risicoanalyse en meldplicht binnen 24 uur (NCSC) | Passende en evenredige maatregelen op basis van een risicoanalyse, inclusief beleid rond cryptografie (analyse NIS2 en cryptografie) | Versleuteling van externe en cloudbestandsstromen, plus een exporteerbaar overzicht per stroom |
| Rijksbreed Beleidskader Cryptografie Versie 1.0 van 14 februari 2025, verplichtend voor de rijksdienst, die dit ook aan leveranciers moet opleggen (beleidskader) | Cryptografiebeleid in lijn met het kader, ook bij toeleveranciers | Vastgelegde en rapporteerbare cryptografische maatregelen per bestandsstroom |
| EU-routekaart post-quantumcryptografie Lidstaten starten uiterlijk eind 2026, kritieke infrastructuur uiterlijk eind 2030 (Europese Commissie) | Een gepland migratietraject, geen eenmalige keuze | Een architectuur waarin het cryptografische profiel kan worden vervangen zonder de bestanden opnieuw te moeten uitwisselen |
| AIVD PQC-migratiehandboek Tweede editie van 3 december 2024, met driestappenbenadering en de PQChoiceAssistant (AIVD) | Diagnose, planning, uitvoering | Inzicht in welke bestandsstromen nu welke bescherming hebben |
| AVG | Passende technische maatregelen en verwerkersafspraken | Lokale versleuteling beperkt wat de cloudleverancier feitelijk kan inzien; [[verwerkersovereenkomst beschikbaar: ja/nee]] |
Bijgewerkt 23 september 2026 · bronnen en raadpleegdata in BRONNEN.md
Belangrijke nuance: de Cyberbeveiligingswet en de EU-routekaart schrijven geen specifiek product of algoritme voor. De datakluis helpt je maatregelen nemen en aantonen; hij maakt je niet automatisch compliant.
Waarom "quantum" hier wel, maar bescheiden, ter sprake komt
Gevoelige bestanden die je nu in de cloud zet, kunnen jaren bewaard blijven. De AIVD wijst er specifiek op dat organisaties met gegevens die over twintig jaar nog vertrouwelijk moeten zijn nu al aan de slag moeten (AIVD).
Wat de bestaande aanbieders hierover zeggen, is opvallend: Zivver beschrijft AES-versleuteling waarbij de AES-sleutel asymmetrisch met RSA-2048 wordt versleuteld, zonder enige post-quantumvermelding (Zivver). Op de pagina voor veilig bestanden delen van Tresorit staat geen algoritme en geen post-quantumclaim (Tresorit). Virtru vermeldt "FIPS 140-2 validated encryption" zonder post-quantumclaim (Virtru).
Nog in te vullen
Onze eigen positie wordt hier beschreven zodra de onafhankelijke beoordeling er is. Tot dan staat hier wat onze techniek qua opbouw doet en waarom wij verwachten dat die niet op dezelfde aannames rust — zonder de woorden die het claimregister verbiedt. Zie het claimregister.
Elke bewering op deze site staat met bron en status in het claimregister.