(1)

De beveiliging van gegevens en gevoelige communicatie is van vitaal belang voor de samenleving, de economie, de veiligheid en de welvaart van de Unie. Cyberbeveiliging is van strategisch belang voor de opbouw van een “Europa dat klaar is voor het digitale tijdperk” (2) en is een belangrijke doelstelling van het beleidsprogramma voor het digitale decennium (3).

(2)

Zowel in de EU-strategie voor de veiligheidsunie (4) als in de EU-strategie inzake cyberbeveiliging (5) wordt benadrukt dat versleuteling een belangrijke technologie is om veerkracht en technologische soevereiniteit te bereiken en een operationele capaciteit ter voorkoming van cyberaanvallen op te bouwen. Versleuteling is van essentieel belang voor de digitale wereld om digitale systemen en transacties en defensievermogens te beveiligen en om een aantal grondrechten te beschermen. De wedloop van verscheidene landen en particuliere entiteiten om kwantumcomputingcapaciteiten te ontwikkelen en nieuwe, mogelijk lonende kansen te ontsluiten, vormt een bedreiging voor de huidige cryptografische normen. Deze normen spelen een centrale rol bij de waarborging van de vertrouwelijkheid en de integriteit van gegevens, de bescherming van gevoelige communicatie en de ondersteuning van essentiële elementen van netwerkbeveiliging.

(3)

Vanwege de mogelijke toekomstige ontwikkeling van kwantumcomputers die de huidige versleuteling kunnen kraken, moet Europa op zoek naar betere beveiliging die de bescherming van gevoelige communicatie en de integriteit op lange termijn van vertrouwelijke informatie waarborgt, en wel door zo snel mogelijk op post-kwantumcryptografie over te schakelen. Dit nieuwe soort cryptografie moet de bekende kwetsbaarheden van de huidige asymmetrische cryptografie wegnemen en zorgen voor betere bestendigheid tegen de dreigingen die van het kwaadwillige gebruik van kwantumcomputers uitgaan.

(4)

De Commissie financiert al meer dan tien jaar onderzoek naar en ontwikkeling van post-kwantumcryptografie en onderkent zodoende dat kwantumcomputing een mogelijke bedreiging voor de huidige asymmetrische cryptografie vormt.

(5)

De lidstaten moeten overwegen om de huidige digitale infrastructuren en diensten voor overheidsdiensten en andere kritieke infrastructuren zo spoedig mogelijk naar post-kwantumcryptografie te migreren, zodat er een fundamentele verschuiving in cryptografische algoritmen, protocollen en systemen teweeg wordt gebracht. Zoals in het recente witboek “How to master Europe’s digital infrastructure needs” van de Commissie wordt benadrukt, vereist dit een gecoördineerde inspanning waarbij overheidsinstanties, normalisatie-instellingen, belanghebbenden uit het bedrijfsleven, onderzoekers en cyberbeveiligingsprofessionals worden betrokken.

(6)

Met deze aanbeveling van de Commissie worden de lidstaten aangemoedigd een alomvattende strategie te ontwikkelen voor de vaststelling van post-kwantumcryptografie om een gecoördineerde en gesynchroniseerde transitie in de verschillende lidstaten en hun publieke sectoren te waarborgen. In de strategie moeten duidelijke doelstellingen, mijlpalen en tijdschema’s worden bepaald die in de vaststelling van een gezamenlijke routekaart voor de uitvoering van post-kwantumcryptografie resulteren. Dit moet in de hele Unie leiden tot de uitrol van post-kwantumcryptografietechnologie in bestaande overheidssystemen en kritieke infrastructuren via hybride regelingen die post-kwantumcryptografie kunnen combineren met bestaande cryptografische benaderingen of kwantumcryptografie.

(7)

Voor een doeltreffende transitie naar post-kwantumcryptografie moet de routekaart voor een gecoördineerde uitvoering van post-kwantumcryptografie een lijst met door de lidstaten te nemen maatregelen bevatten, onder meer met betrekking tot post-kwantumcryptografiealgoritmen, met een duidelijk tijdschema voor de verschillende te bereiken fasen en mijlpalen, rekening houdend met hun onderlinge afhankelijkheid en de betrokken belanghebbenden.

(8)

Voor een geharmoniseerde uitvoering van post-kwantumcryptografie in de Unie is het van essentieel belang gemeenschappelijke Europese normen te ontwikkelen, evenals een kader voor de vaststelling en de selectie van post-kwantumcryptografiealgoritmen die in de digitale netwerken en diensten in de Unie moeten worden uitgerold. Via de actieve deelname van door de EU gefinancierde onderzoekers ondersteunt de Unie reeds de ontwikkeling en het testen van post-kwantumcryptografiealgoritmen die voor normen in internationale selectieprocessen voor post-kwantumcryptografie in aanmerking komen. Met deze aanbeveling van de Commissie worden de lidstaten aangemoedigd om op EU-niveau nauw samen te werken met de cyberbeveiligingsdeskundigen van de Unie, de NIS-samenwerkingsgroep en het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) aan de evaluatie en selectie van passende post-kwantumcryptografiealgoritmen en de vaststelling ervan als EU-normen voor een geharmoniseerde uitvoering in de Unie.

(9)

De lidstaten en de Unie moeten bij de ontwikkeling van internationale normen op het gebied van post-kwantumcryptografie actief met hun internationale strategische partners blijven samenwerken om de interoperabiliteit van communicatie in de toekomst te waarborgen.

(10)

Zodra de lidstaten overeenstemming hebben bereikt, moet de routekaart voor een gecoördineerde uitvoering van post-kwantumcryptografie als blauwdruk dienen voor de bepaling van de nationale plannen voor de transitie naar post-kwantumcryptografie of, indien die plannen reeds bestaan, voor de afstemming ervan op de gemeenschappelijke routekaart.

(11)

Om ervoor te zorgen dat er vooruitgang wordt geboekt in de richting van de doelstellingen van deze aanbeveling, is de Commissie voornemens nauwlettend toe te zien op de maatregelen die naar aanleiding van de aanbeveling worden genomen. Met het oog op dit toezicht worden de lidstaten aangemoedigd om de Commissie op haar verzoek alle informatie te verstrekken die redelijkerwijs van hen kan worden verwacht. Op basis van de aldus verkregen informatie en alle andere beschikbare informatie beoordeelt de Commissie de gevolgen van deze aanbeveling en bepaalt zij of er aanvullende stappen nodig zijn, zoals voorstellen voor bindende handelingen van het Unierecht.

(12)

Deze aanbeveling over post-kwantumcryptografie bouwt voort op de beleidsdoelstellingen van de EU-strategie inzake cyberbeveiliging om de end-to-endbeveiliging en de veerkracht van de digitale infrastructuren en diensten voor overheidsdiensten en andere kritieke infrastructuren van de Unie te verbeteren; dient de doelstellingen van de digitale eengemaakte markt en de gezamenlijke mededeling betreffende een strategie voor economische veiligheid van de EU 10919/23 (6); en neemt de risico’s voor de fysieke en de cyberbeveiliging van kritieke infrastructuren in aanmerking, alsook de risico’s die in het kader van de onlangs uitgevoerde risicobeoordeling voor kwantumtechnologie in kaart zijn gebracht (7). De aanbeveling eerbiedigt de grondrechten en neemt de beginselen in acht die met name in het Handvest van de grondrechten van de EU (de artikelen 7, 8 en 11) en het Europees Verdrag tot bescherming van de rechten van de mens (de artikelen 8 en 10) zijn erkend en die voor regeringen positieve verplichtingen inhouden om het risico van onrechtmatige toegang tot en controle van informatie tot een minimum te beperken, wat de bescherming en de bevordering van cryptografische technologie noodzakelijk maakt,