Kroatiës €9.9M-pilot in EU-kwantumschild

Elke versleutelde boodschap die vandaag over internet gaat, kan door een vijandige inlichtingendienst worden opgeslagen voor later. Zodra een krachtige kwantumcomputer de wiskundige beveiliging kan breken, wordt oude buit alsnog leesbaar. Die dreiging heeft inmiddels een naam: "harvest now, decrypt later" (CSO Online). Dat moment ligt misschien nog tien jaar weg, maar staatsgeheimen, militaire plannen en gegevens over kritieke infrastructuur moeten vaak ook tientallen jaren geheim blijven. Daarom bouwt de EU, grotendeels buiten het publieke zicht, aan een Europees kwantumcommunicatienetwerk dat afluisteren bij sleuteluitwisseling fysiek aantoonbaar moet maken.

Kroatië heeft nu zijn eigen stukje aan dat netwerk toegevoegd. Het CroQCI-project van € 9,9 miljoen demonstreerde kwantumveilige communicatie tussen acht locaties in Zagreb (Večernji list). Daarmee ging het project voorbij de laboratoriumopstelling, naar echte datacenteromgevingen en toepassingen voor eindgebruikers (CroQCI). Onder leiding van CARNET, het Kroatische academische netwerk, en met wetenschappelijke aansturing door het Ruđer Bošković-instituut testte de pilot de glasvezelinfrastructuur en het sleutelbeheer die later nodig zijn om op het bredere EU-systeem aan te sluiten. Op zichzelf is een pilot in één hoofdstad bescheiden. Binnen een plan met 27 landen krijgt hij wel gewicht.

Een verzegeling van licht

Kwantumsleuteldistributie, of QKD, klinkt ingewikkelder dan het is. De techniek maakt encryptiesleutels met afzonderlijke lichtdeeltjes en geeft die sleutels vervolgens door aan gewone encryptie, die de eigenlijke data beschermt (ITU). De truc zit in de natuurkunde: wie zulke lichtdeeltjes onderschept om een sleutel te kopiëren, verstoort hun kwantumtoestand. Zender en ontvanger kunnen dat merken. Het werkt dus als een verzegeling die laat zien of eraan is gezeten.

Daarmee beschermt QKD één specifieke stap: de uitwisseling van sleutels. Gecompromitteerde apparaten, slechte software, dreigingen van binnenuit en metadata blijven gewoon kwetsbaarheden (Fraunhofer IPMS). Ook zijn kwantumsignalen kwetsbaar. Ze kunnen niet zoals normaal internetverkeer worden versterkt, waardoor het bereik beperkt blijft zonder vertrouwde tussenstations of satellietverbindingen.

De continentale puzzel

Het EU-kader dat de Kroatische pilot strategische betekenis geeft, is EuroQCI. Dat programma begon in 2019 en omvat alle 27 lidstaten plus de Europese Ruimtevaartorganisatie (Europese Commissie). Het doel is bescherming van overheidsdata, kritieke infrastructuur en gevoelig onderzoek tegen toekomstige ontsleuteling met kwantumcomputers (HADEA).

De architectuur heeft twee lagen. Nationale glasvezelnetwerken, zoals dat van Kroatië, vormen het grondsegment. Satellieten moeten uiteindelijk landen verbinden waar glasvezel alleen niet volstaat. Via de Connecting Europe Facility zijn 19 grensoverschrijdende projecten gefinancierd, goed voor € 193 miljoen aan totale investeringen en € 96 miljoen aan EU-subsidies in 25 lidstaten (HADEA). Het project TransEuroOGS bouwt optische grondstations in Duitsland, Griekenland, Ierland en Luxemburg om kwantumsleutels van satellieten te ontvangen (FAU, HellasQCI). Een ander backboneproject, QUANT-GPICz, moet Frankfurt, Berlijn, Warschau en Praag via kwantumbeveiligde glasvezel met elkaar verbinden.

Juist bij het satellietdeel zit planningsrisico. Het Eagle-1-prototype stond officieel gepland voor eind 2026, maar volgens berichtgeving kan de lancering doorschuiven naar eind 2027 of begin 2028 (Space Intel Report).

Twee schilden, niet één

QKD is maar één onderdeel van Europa’s verdediging tegen de kwantumdreiging. Het bredere schild is post-kwantumcryptografie: nieuwe wiskundige algoritmen die bestand moeten zijn tegen aanvallen met kwantumcomputers. NIST rondde de eerste drie standaarden daarvoor af in augustus 2024 (NIST). De Franse cyberveiligheidsdienst ANSSI wil vanaf 2027 geen producten meer certificeren die geen kwantumveilige encryptie hebben (MarketScreener). Dat raakt in de praktijk elk softwareproduct dat door overheden en kritieke operators wordt gebruikt.

De twee benaderingen lossen verschillende delen van het probleem op. Post-kwantumalgoritmen zijn een software-upgrade voor vrijwel de hele digitale wereld: VPN’s, certificaten, berichtenapps. QKD voegt daar een natuurkundige laag aan toe voor de gevoeligste verbindingen, waar zelfs vertrouwen op wiskundige aannames te veel kan zijn (NIST, ITU). Europa kiest dus voor beide routes. De Commissie heeft bovendien een publieke consultatie geopend, tot 24 juni 2026, over de EuroQCI-activiteiten vanaf 2027 (Quantum Flagship).

De acht kwantumverbonden locaties in Zagreb zullen Europese geheimen niet op eigen kracht beschermen. De waarde ontstaat pas wanneer nationale pilots, grensoverschrijdende glasvezel, certificeringskaders en satellieten één interoperabel geheel vormen. Realistisch gezien gaat het om infrastructuurbouw in de tweede helft van de jaren twintig, met een bredere migratie naar kwantumveilige beveiliging rond 2030. De wedloop is niet spectaculair, maar wel reëel: versleuteld verkeer dat vandaag wordt opgeslagen, verdwijnt niet vanzelf, en de computers die het ooit kunnen lezen komen dichterbij.