NCC Policy Radar: IT-beslisser moet nu handelen op quantum en AI

AI veranderde dreigingsbeeld en nationale verdediging

Overheden integreren kunstmatige intelligentie steeds vaker in hun nationale cyberverdediging zo meldt het rapport. Zo ontwikkelt het Verenigd Koninkrijk het National Cyber Shield, terwijl Singapore, Australië en de EU via de 'Grand Challenge on AI for Cyber Security' inzetten op AI-gedreven verdedigingsoplossingen. De Nederlandse Cyber Security Raad pleit in dit kader voor een gezamenlijke Europese aanpak om expertise te bundelen. Doordat landen uiteenlopende strategieën hanteren, ontstaan bij organisaties nieuwe vragen over vertrouwen, toegang tot technologie en digitale soevereiniteit.

Van tijdelijke aandacht naar structurele weerbaarheid

De opkomst van geavanceerde en generatieve AI-modellen zorgt voor een blijvende focus op digitale veiligheid. Dit vormt een contrast met de publieke aandacht na incidenten, die doorgaans snel wegebt terwijl de impact van toezicht en wetgeving langdurig doorwerkt. Bestuurders moeten cybersecurity en risicobeheer daarom structureel verankeren in hun bedrijfsvoering en incidentrespons- en herstelplannen continu testen om verval in paraatheid te voorkomen.

Voorbereiden op het quantumtijdperk

Op het vlak van quantumtechnologie verschuift de prioriteit van beleidsrichtlijnen naar concrete implementatie. Voorgestelde NIS2-aanpassingen verplichten EU-lidstaten om post-quantumcryptografie (PQC) op te nemen in hun nationale strategie. Daarnaast certificeert de Franse autoriteit ANSSI vanaf 2027 geen beveiligingsproducten meer zonder quantumresistente versleuteling. Nederlandse organisaties moeten nu al hun afhankelijkheden van cryptografie inventariseren; wie wacht op definitieve regelgeving loopt het risico op een tekort aan voorbereidingstijd.

Supply chain en geopolitieke risico's

Geopolitieke spanningen vergroten de focus op de toeleveringsketen. Via het 'Technology Sovereignty Package' en de voorgestelde Cybersecurity Act 2.0 streeft de Europese Commissie naar minder strategische afhankelijkheden en een betere bescherming tegen buitenlandse beïnvloeding. De herziene NIS2-richtlijn breidt verplichtingen uit naar onder meer datacenters, cloudaanbieders en managed service providers. Bedrijven moeten geopolitieke dreigingen en mogelijke statelijke cyberactiviteiten integreren in hun dagelijkse besluitvorming.

Leeftijdsverificatie en privacy

Bij digitale diensten zoeken overheden naar een balans tussen de bescherming van minderjarigen en de borging van privacy. De Europese KIDS Act noemt een minimumleeftijd van 15 jaar voor sociale media. Privacy-enhancing technologies (PETs?), waaronder zero-knowledge proofs?, maken verificatie mogelijk zonder exacte geboortedata te delen. Naast deze technieken blijft een veilige technische architectuur noodzakelijk.

Katharina Sommer, Director of Government Affairs bij NCC Group, benadrukt dat organisaties niet moeten wachten op rijpere regelgeving: "Die onzekerheid mag geen reden zijn om investeringen in digitale weerbaarheid uit te stellen. Inzicht in strategische afhankelijkheden en voorbereiding op mogelijke verstoringen moeten een vast onderdeel worden van goed bestuur."