Kuantum hesaplama ve veri güvenliği: Hangi yasal kurallar geçerlidir?

Hollanda veya Avrupa yasalarında kuantum hesaplamayı doğrudan düzenleyen bir yasa bulunmamaktadır. Geçerli olan, bilgi güvenliği ile ilgili mevcut yasadır ve bu da somut bir soruyu gündeme getirir: Şu anda şifrelenmiş veriler daha sonra çözülebildiğinde, bugün aldığınız güvenlik önlemleri hala yeterli olacak mı? Başlıca istisna, kuantum teknolojisi için özel kurallar içeren ihracat kontrolü ve yatırım taramasıdır.

Hali hazırda üç yükümlülük geçerlidir. Genel Veri Koruma Yönetmeliği'nin (GDPR) 32. maddesi. AVGHollanda Siber Güvenlik Yasası ( ) en son teknolojiyi dikkate alan güvenlik önlemleri gerektirir. Bu, sabit bir standart değil, sürekli değişen bir standarttır ve tıbbi kayıtlar, personel dosyaları ve yasal arşivler gibi yıllarca gizli kalması gereken verileri de kapsar.Sibergüvenlik yasası), which implements the EU NIS2 Directive, requires organisations in the designated essential and important sectors to manage the risks to their networks and information systems, and makes the management body responsible for approving those measures. For financial entities, the Digital Operational Resilience Act (DORA, Regulation (EU) 2022/2554) adds its own requirements on cryptographic controls and third-party risk.

Pratik risk, birinin bugün trafiğinizi çözmesi değil. Risk, şifrelenmiş verilerin ele geçirilip şimdi depolanması ve bu yetenek ortaya çıktığında çözülmesidir. Uzun gizlilik süresine sahip veriler için bu durum, kuantum sonrası şifrelemeye geçişi gelecekteki bir proje olmaktan ziyade mevcut bir görev haline getiriyor. Bu algoritmalar için uluslararası standartlar yayınlandı ve benimseniyor.

Kuantum teknolojisi, ihracat kontrolü ve yatırım incelemesini de gündeme getiriyor. Bazı kuantum ürünleri, Avrupa ihracat kontrol kurallarına göre çift kullanımlı mallar olarak kabul ediliyor ve kuantum teknolojisi alanında faaliyet gösteren Hollandalı şirketlere yapılan yatırımlar güvenlik incelemesine tabi tutulabiliyor.

Kuantum hesaplama neden veri güvenliği konusunda hukuki soruları gündeme getiriyor?

Çünkü yeterince güçlü bir kuantum bilgisayar, günümüz veri korumasının büyük ölçüde dayandığı şifrelemeyi kırabilir. Kanun kuantum bilgisayarlardan bahsetmiyor, ancak risklere uygun güvenlik önlemleri gerektiriyor.

Aynı güç bir güvenlik sorunu da yaratıyor. Çevrimiçi bankacılıktan dijital imzalara kadar dijital iletişimimizin büyük bir bölümünü koruyan açık anahtarlı şifreleme, sıradan bilgisayarların pratik bir sürede çözemeyeceği matematiksel problemlere dayanıyor. Yeterince büyük ve istikrarlı bir kuantum bilgisayar bu problemlerin bazılarını çözebilir. Böyle bir bilgisayarın ne zaman var olacağı belirsiz, ancak risk hükümetler ve güvenlik servisleri tarafından ciddiye alınıyor.

Temel hukuki sorun nedir?

Buradaki zorluk, hassas verileri günümüzde mevcut olan yasal araçlarla gelecekteki tehditlere karşı korumaktır. Bu araçlar, 'en son teknoloji' ve 'uygun önlemler' gibi açık standartlardır.

Herhangi bir hukuki yaklaşım, bir dizi hususu ele almalıdır:

• Mevcut verilerin korunması: Saldırganlar bugün şifrelenmiş verileri toplayıp, şifresini çözene kadar saklayabilirler. Bu, 'şimdi topla, sonra şifresini çöz' olarak bilinir.
• Yeni standartlar: Kuruluşlar, hem sıradan hem de kuantum bilgisayarların saldırılarına karşı koymak üzere tasarlanmış yeni şifreleme yöntemleri olan kuantum sonrası kriptografiye (PQC) geçmelidir.
• Yükümlülük: Eğer veri ihlali şifreleme yönteminin güncel olmamasından kaynaklanıyorsa, sorumluluk kimdedir sorusu ortaya çıkar: kuruluşta mı, tedarikçisinde mi yoksa her ikisinde birden mi?
• yenilik: Kurallar, kuantum teknolojisi üzerine yapılan araştırmaları ve kullanımını gereksiz yere engellememelidir.

Kuantum hesaplama modern şifrelemeyi nasıl tehdit ediyor?

Kuantum bilgisayarlar, açık anahtarlı şifrelemenin temelini oluşturan matematiksel problemleri verimli bir şekilde çözebilir. Uzun anahtarlı AES gibi simetrik şifreleme yöntemleri ise çok daha az savunmasız kabul edilir.

Açık anahtarlı şifreleme neden güvenlik açıkları içerir?

Açık anahtarlı şifreleme, çok büyük sayıların çarpanlarına ayrılması gibi sorunlara dayanır. Kuantum bilgisayar bu sorunları pratik bir sürede çözebilir.

Bu sistem, güvenli web sitelerinin (HTTPS), VPN bağlantılarının, e-posta şifrelemesinin ve dijital imzaların temelini oluşturur. Gücü, çok büyük sayıları asal sayılara ayırma veya ayrık logaritma problemi gibi bazı matematiksel problemlerin zorluğunda yatmaktadır. Sıradan bir bilgisayar için, kullanılan anahtar boyutları için bu problemleri çözmek pratik olmayacak kadar uzun zaman alacaktır.

Yeterince güçlü bir kuantum bilgisayar bu sorunları verimli bir şekilde çözebilir. AES gibi simetrik şifreleme daha az etkilenir: AES-256 gibi daha uzun anahtarlar genellikle yeterli kabul edilir. Bu nedenle veri güvenliğine ilişkin yasal çerçeve esas olarak açık anahtar sistemlerine odaklanmalıdır.

Shor algoritması nedir?

1994'te yayınlanan Shor algoritması, büyük sayıları verimli bir şekilde çarpanlarına ayırabilen bir kuantum algoritmasıdır. Büyük ve kararlı bir kuantum bilgisayarda, RSA ve eliptik eğri şifrelemesi gibi en yaygın kullanılan açık anahtar sistemlerini kırabilir.

'Şimdi topla, sonra şifresini çöz' tehdidi nedir?

Saldırganlar bugün şifrelenmiş verileri toplayabilir ve kuantum bilgisayarlar yeterince güçlü hale geldiğinde daha sonra şifresini çözebilirler. Bu nedenle, uzun yıllar boyunca gizli kalması gereken veriler zaten risk altındadır.

Bu durum, özellikle uzun süre gizli kalması gereken bilgileri tehdit etmektedir; örneğin:

• Devlet ve savunma sırları On yıllarca süren gizlilik süreleriyle.
• Fikri mülkiyet Şirketlere ait ticari sırlar ve araştırma verileri gibi bilgiler.
• Hassas kişisel verilerTıbbi ve biyometrik veriler gibi.
• Mali ve hukuki kayıtlar Yasal ve düzenleyici nedenlerle güvenli tutulması gereken.

Hollanda kuantum teknolojisine nasıl hazırlanıyor?

Hollanda, ulusal bir program aracılığıyla kuantum teknolojisine yatırım yapıyor ve kuantum sonrası kriptografiye geçiş için pratik kılavuzlar yayınladı. Kuantum hesaplama konusunda Hollanda'da özel bir yasal düzenleme bulunmamaktadır.

ulusal program Kuantum Deltası NL Hükümeti, üniversiteleri ve şirketleri bir araya getiriyor. 2019 Ulusal Kuantum Teknolojisi Gündemi'ne dayanıyor ve diğerlerinin yanı sıra Ulusal Büyüme Fonu'ndan (National Growth Fund) fon alıyor.Ulusal Büyüme Fonu). The programme covers quantum computing, quantum networks and quantum sensing, and pays attention to the social and ethical aspects of the technology. These are policy choices, not rules of law that bind companies.

Kuantum sonrası kriptografi konusunda neler yapılıyor?

Hollanda hükümeti PQC geçiş kılavuzunu yayınladı ve kuruluşlara şimdiden hazırlıklara başlamaları tavsiye ediliyor. Geçiş süreci yıllar sürdüğü için beklemek riski artırıyor.

2023 yılında Genel İstihbarat ve Güvenlik Servisi (AIVD), araştırma kuruluşu TNO ve Centrum Wiskunde & Informatica (CWI), PQC geçiş kılavuzu yayınladı. Bu kılavuz, kuruluşlara kullandıkları kriptografinin envanterini çıkarmakla başlayarak geçişe hazırlanmaları için pratik adımlar sunuyor.

Verilen mesaj, PQC'ye geçişin uzak, teorik bir sorun değil, kuruluşların şimdiden planlaması gereken ve yıllar süren bir görev olduğudur. Bu, temel ve önemli kuruluşlar için daha yüksek siber güvenlik standartları gerektiren ve Hollanda'da Siber Güvenlik Yasası ile uygulanan Avrupa NIS2 Direktifi ile uyumludur. Bu yasa kapsamına giren kuruluşlar, kriptografilerine yönelik riskler de dahil olmak üzere risklerini değerlendirmek zorundadır.

Avrupa'da hangi kurallar kuantum veri güvenliğini şekillendiriyor?

GDPR, NIS2 Direktifi, DORA ve Siber Dayanıklılık Yasası'nın tümü, risklere ve en son teknolojiye uygun güvenlik gerektirmektedir. Bunlar, AB'nin PQC yol haritasıyla birlikte, kuruluşları kuantum güvenli şifrelemeye doğru itmektedir.

Kuantum dünyasında GDPR nasıl uygulanır?

GDPR'da kuantum hesaplamadan bahsedilmiyor, ancak teknoloji açısından tarafsızdır. Mevcut teknolojiye uygun güvenlik önlemlerini alma yükümlülüğü, kuantum riskini de kapsar.

İki temel madde öne çıkmaktadır. GDPR'nin 25. maddesi, veri korumasını tasarım ve varsayılan olarak zorunlu kılmaktadır : kuruluşlar, kişisel veriler için teknik güvenlik önlemlerini yeni süreçlere baştan itibaren entegre etmelidir. GDPR'nin 32. maddesi ise, mevcut teknoloji, maliyetler ve riskler dikkate alınarak uygun teknik ve organizasyonel önlemler alınmasını gerektirmektedir. Kuantum sonrası standartlar olgunlaştıkça, 'mevcut teknoloji' giderek uzun süre gizli kalması gereken kişisel veriler için kuantum güvenli şifreleme kullanımını ifade edecektir. Bu geçişe hazırlıklı olmayan bir kuruluş, güvenliğinin artık yeterli kabul edilmeme riskini taşır. Bu ilkeler hakkında daha fazla bilgiyi Genel Veri Koruma Yönetmeliği kılavuzumuzda bulabilirsiniz.

Yetersiz güvenlik önlemleri veri ihlaline yol açarsa, kuruluşun bunu 72 saat içinde Hollanda Veri Koruma Kurumu'na bildirmesi gerekebilir (GDPR Madde 33). Kurum, 20 milyon Euro'ya kadar veya yıllık küresel cironun %4'üne kadar para cezası uygulayabilir ve etkilenen kişiler GDPR Madde 82 uyarınca tazminat talep edebilir.

Hangi yeni AB kuralları kuruluşları kuantum teknolojisine hazır olmaya doğru itiyor?

NIS2 Direktifi, DORA ve Siber Dayanıklılık Yasası daha geniş siber güvenlik yükümlülükleri getiriyor. Bunların hiçbiri belirli kuantum güvenli algoritmalar öngörmüyor, ancak hepsi en son teknolojiyi dikkate alan risk tabanlı güvenlik gerektiriyor.

Next to the GDPR, three EU instruments strengthen cybersecurity obligations without naming quantum-safe standards:

• Siber Direnç Yasası (CRA, Yönetmelik (AB) 2024/2847): Bu düzenleme, bağlantılı cihazlar ve yazılımlar gibi dijital unsurlar içeren ürünler için siber güvenlik gereksinimlerini belirler. Üreticiler, ürünlerine güvenlik özellikleri entegre etmeli ve güvenlik açıklarını gidermelidir. Raporlama yükümlülükleri 11 Eylül 2026'dan itibaren, diğer yükümlülüklerin çoğu ise 11 Aralık 2027'den itibaren geçerlidir. CRA, kuantum güvenli şifrelemeyi zorunlu kılmamaktadır, ancak risklere uygun güvenlik gerektirmektedir.
• NIS2 Yönergesi: Bu direktif, enerji, sağlık hizmetleri ve dijital altyapı gibi çok çeşitli temel ve önemli kuruluşlara siber güvenlik yükümlülüklerini genişletmektedir. Kriptografi ve şifreleme politikaları (Madde 21) dahil olmak üzere risk yönetimini ve önemli olayların raporlanmasını gerektirmektedir. Hollanda'da Siber Güvenlik Yasası ile uygulanmaktadır.
• -Dora: 17 Ocak 2025'ten itibaren, finansal kuruluşların şifreleme ve kriptografik kontrollere ilişkin politikaları içeren bir BT risk yönetimi çerçevesine sahip olmaları ve BT tedarikçilerinin risklerini yönetmeleri gerekmektedir.

Bu kurallar net bir yön gösteriyor. Kuantum güvenli şifrelemeye geçiş henüz açık bir yasal zorunluluk değil, ancak uzun vadeli gizli verilere sahip kuruluşlar için, uygun ve en son teknolojiye uygun önlemleri alma genel yükümlülüğünden giderek daha fazla kaynaklanıyor.

Mevcut ve beklenen uyumluluk standartları nasıl karşılaştırılıyor?

Tablo, mevcut yaklaşımı, kuantum sonrası standartlar oluşturulduktan sonra beklenebilecek durumla karşılaştırmaktadır. Sağdaki sütun, mevcut yasayı değil, beklenen gelişmeleri açıklamaktadır.

Avrupa'nın kuantum güvenli güvenlik konusundaki yaklaşımı nedir?

AB, 11 Nisan 2024 tarihli Komisyon Tavsiyesi ve Haziran 2025 tarihli yol haritası ile PQC'ye geçişi koordine etmektedir. Yol haritası, en geç 2030 yılına kadar yüksek riskli sistemleri korumayı amaçlamaktadır.

Parçalı bir yaklaşımı önlemek için AB, koordineli bir geçiş üzerinde çalışmaktadır. 11 Nisan 2024'te Avrupa Komisyonu, kuantum sonrası kriptografiye geçiş için Koordineli Uygulama Yol Haritası Hakkında bir Tavsiye Kararı kabul etti. Bu temelde, Üye Devletler, Komisyonun desteğiyle, 23 Haziran 2025'te bir yol haritası yayınladı. Bu yol haritası, Üye Devletlerin geçişe 2026 yılının sonuna kadar başlamasını, kritik altyapı gibi yüksek riskli sistemlerin en geç 2030 yılının sonuna kadar PQC ile korunmasını ve pratik olarak mümkün olan en fazla sistemin 2035 yılına kadar bu sisteme geçmesini öngörmektedir.

Bu yol haritası bağlayıcı bir yasa değil, siyasi bir taahhüttür. Ancak düzenleyicilerin ve denetleyici makamların ne bekleyeceğini gösteriyor ve GDPR, NIS2 ve DORA'daki açık standartların nasıl yorumlanacağını etkilemesi muhtemeldir.

Komisyon, Temmuz 2025'te ayrıca bir Kuantum Avrupa Stratejisi de kabul etti ve 2026 çalışma programında bir Kuantum Yasası için yasal bir teklif duyurdu. Bu metnin yazıldığı sırada, böyle bir yasa AB yasası değildir; buna güvenmeden önce mevcut durumu kontrol edin.

Kuantum güvenliği uyumluluğuna nasıl hazırlanıyorsunuz?

Öncelikle şifreleme yöntemlerinizin envanterini çıkarın, ardından hangi verilerin ve sistemlerin en büyük risk altında olduğunu değerlendirin ve aşamalı olarak geçiş yapın. Amaç, kriptografik çevikliktir: algoritmaları hızlı bir şekilde değiştirebilmek.

Amaç kripto-çevikliktir : yeni tehditler veya standartlar ortaya çıktığında kriptografik yöntemlerinizi hızla değiştirme yeteneği. Süreç şu soruyla başlar: En savunmasız olduğunuz yer neresi? GDPR ve uygulanabilir durumlarda NIS2 ve DORA gerekliliklerini çerçeve olarak kullanın.

Aşama 1: Kriptografik envanter nasıl oluşturulur?

Kuruluşunuzun kullandığı tüm şifreleme yöntemlerini, tedarikçilerden gelen yazılımlar ve cihazlar da dahil olmak üzere haritalandırıyorsunuz. Bu genel bakış olmadan öncelikleri belirleyemezsiniz.

Ana sunucularınızın ötesine bakın. Envanter şunları kapsamalıdır:

• Aktarım halindeki veriler: E-postalarınız, VPN'iniz ve bulut bağlantılarınız nasıl güvence altına alınıyor?
• Beklemedeki veriler: Veritabanlarınızı, yedeklerinizi ve dizüstü bilgisayarlarınızı hangi şifreleme yöntemi koruyor?
• Gömülü sistemler: Üçüncü taraf yazılımlarda, bağlı cihazlarda ve ağ ekipmanlarında şifreleme.
• Eski sistemler: Eski uygulamalar genellikle güncelliğini yitirmiş ve güvenlik açığı bulunan şifreleme yöntemleri içerir.

Ayrıca sözleşmelerinizi de kontrol edin. BT tedarikçileri ve bulut sağlayıcılarıyla yapılan anlaşmalar, kullandıkları şifreleme yöntemleri hakkında bilgi vermelerini, güncellemeleri desteklemelerini ve geçiş sürecinde iş birliği yapmalarını zorunlu kılmalıdır. GDPR'nin 28. maddesi uyarınca, veri işleyenin uygun güvenlik için yeterli güvenceler sunması da gerekmektedir.

2. Aşama: Riskleri nasıl değerlendirir ve öncelikleri nasıl belirlersiniz?

Sistemlerinizi verilerin hassasiyetine ve ne kadar süreyle gizli kalması gerektiğine göre değerlendirin. On yıldan fazla süreyle korunması gereken veriler önceliklidir.

Öncelikleri belirlemek için bu soruları kullanın:

1. Hangi verilerin on yıldan fazla süreyle gizli kalması gerekir? Fikri mülkiyeti, uzun vadeli finansal kayıtları ve hassas kişisel verileri düşünün. Bunlar, 'şimdi topla, sonra şifresini çöz' saldırılarının ana hedefidir.
2. Hangi sistemler dış tehditlere en çok maruz kalıyor? Kullanıcı dostu uygulamalar ve veri aktarım protokolleri en ön saflarda yer alıyor.
3. Hukuki ve sözleşmesel yükümlülükleriniz nelerdir? GDPR, sektör kuralları ve müşteri sözleşmeleri, belirli veriler için hangi güvenlik seviyesini karşılamanız gerektiğini ve bu verileri ne kadar süreyle saklamanız gerektiğini belirler.

3. Aşama: Kuantum sonrası kriptografiye nasıl geçiş yapılır?

Güvenlik açığı bulunan algoritmaları, en yüksek risklerden başlayarak aşamalı olarak değiştirir ve dikkatlice test edersiniz. Mümkün olduğunca, geçiş sırasında klasik ve kuantum sonrası yöntemleri birleştirirsiniz.

Öncelikler net bir şekilde belirlendiğinde, kuantum sonrası kriptografiye (PQC) aşamalı geçişe başlanabilir . Bu basit bir değiştirme işlemi değildir. İş operasyonlarının aksamamasını sağlamak için planlama, test ve dikkatli uygulama gerektirir. Geçiş sırasında yaygın bir yaklaşım, klasik ve kuantum sonrası yöntemlerin birlikte kullanıldığı hibrit bir çözümdür.

Seçimlerinizi, risk değerlendirmesini ve planlamayı kaydedin. Daha sonra bir düzenleyici kurum veya mahkeme güvenliğinizin yeterli olup olmadığını sorarsa, bu belgeler sizin kanıtınız olacaktır.

Hangi hukuki sorular hâlâ açıkta kalıyor?

Şifrelemenin yanı sıra, kuantum teknolojisi sorumluluk, fikri mülkiyet, gizlilik ve ihracat kontrolü konularında da soruları gündeme getiriyor. Bunlardan bazıları mevcut yasalar kapsamında yanıtlanabilir; diğerleri ise mahkemelerin ve yasama organının takdirine kalacaktır.

En önemli sorulardan biri sorumluluktur. Bir şirket, şifreleme yönteminin güncel olmaması nedeniyle veri ihlali yaşarsa, sorumluluk kime aittir? Hollanda yasalarına göre, cevap mevcut kurallarla başlar. Verileri etkilenen kişilere karşı, kuruluş GDPR kapsamında sorumludur ve tazminat ödemek zorunda kalabilir (GDPR Madde 82). Müşterilere karşı ise, sözleşmeyi yerine getirmeme nedeniyle sorumlu tutulabilir (Hollanda Medeni Kanunu Madde 6:74). Kuantum güvenli güncellemeler sağlamayan bir yazılım tedarikçisinden zararı tazmin edip edemeyeceği, sözleşmeye ve o sırada makul olarak beklenebilecek olana bağlıdır. Mahkemeler, "en son teknoloji"nin zaman içinde nasıl geliştiğini değerlendirmek zorunda kalacaklardır.

Kuantum bilgisayarlarla yapılan icatların sahibi kimdir?

Mevcut patent yasasına göre, yalnızca gerçek kişiler mucit olarak gösterilebilir. Kuantum bilgisayar yardımıyla geliştirilen bir buluş patentlenebilir, ancak mucidin insan olması gerekir.

Kuantum bilgisayarlar, günümüzde tasarlanamayan moleküllerin, malzemelerin ve algoritmaların tasarlanmasına yardımcı olabilir. Bu da bu tür buluşların kime ait olduğu sorusunu gündeme getiriyor. Avrupa Patent Ofisi Hukuk Temyiz Kurulu, 2021 yılında (J 8/20 sayılı dava) bir patent başvurusunda adı geçen mucidin bir makine değil, gerçek bir kişi olması gerektiğine karar verdi. Bilgisayar araçlarıyla yapılan buluşlar, çalışmayı yöneten insan mucit olarak kabul edilerek yine de patentlenebilir. Sözleşmelerde, özellikle üçüncü bir tarafın hesaplama kapasitesi kullanıldığında, kuantum hesaplama hizmetleriyle oluşturulan sonuçların kime ait olduğu açıkça belirtilmelidir.

Kuantum hesaplama, büyük miktarda veriyi analiz etme yeteneğini de artırabilir. GDPR'nin amaç sınırlaması, veri minimizasyonu ve orantılılık ilkeleri bu tür analizler için tamamen geçerlidir ve işlemenin bireyler için yüksek risk oluşturması muhtemel olduğunda veri koruma etki değerlendirmesi (GDPR Madde 35) gereklidir.

Kuantum teknolojisine hangi ihracat ve yatırım kuralları uygulanır?

Bazı kuantum ürünleri, AB ihracat kontrol kuralları uyarınca çift kullanımlı mallardır. Kuantum teknolojisi alanında faaliyet gösteren Hollandalı şirketlere yapılan yatırımlar, Wet Vifo kapsamında güvenlik taramasına tabi tutulabilir.

Kuantum teknolojisi stratejik açıdan hassastır. AB Çift Kullanım Yönetmeliği (Yönetmelik (AB) 2021/821) ve ulusal önlemler, belirli kuantum bilgisayarların, bileşenlerin ve ilgili yazılım ve teknolojinin ihracatı için lisans gerektirebilir. Listeler düzenli olarak değiştiğinden, AB dışındaki taraflarla teknoloji ihracatı veya paylaşımı yapmadan önce güncel sürümü kontrol edin.

Hollanda'da Yatırımlar, Birleşmeler ve Devralmalar Güvenlik Tarama Yasası (Wet veiligheidstoets yatırımlar, fusies ve adlar, Wet Vifo) has applied since 1 June 2023. Acquisitions of, and certain investments in, companies active in sensitive technology, which can include quantum items on the dual-use lists, must be notified to the Investment Screening Bureau (Bureau Toetsing Investeringen(BTI) ve onay alınmadan tamamlanmayabilir. Bu nedenle, kuantum teknolojisine yatırım yapan girişimler ve yatırımcılar, bir işlemin bildirime tabi olup olmadığını erken aşamada kontrol etmelidir.

What should you check as an organisation that holds sensitive data?

Under Article 32 GDPR and, where it applies, the Cybersecurity Act, you remain responsible for the security of your data, also when suppliers run your systems. Check these points:

• Identify data that must remain confidential for more than ten years, such as personnel files, medical data and trade secrets.
• Check whether your organisation falls under the Cybersecurity Act or DORA, and whether the management body has approved the risk measures.
• Ask your IT and cloud suppliers in writing which cryptography they use and when they will support post-quantum methods.
• Check that your data processing agreements under Article 28 GDPR oblige processors to update their security to the state of the art.
• Record your inventory, risk assessment and migration planning, so you can show a regulator or court what you did.

What should you check as a supplier of software or devices?

Your clients will pass their security duties on to you by contract, and the Cyber Resilience Act adds direct product duties from 11 September 2026. Check these points:

• Check whether your products with digital elements fall under the CRA and which obligations apply from 11 September 2026 and 11 December 2027.
• Review the security, update and liability clauses in your client contracts and general terms.
• Define the support period during which you deliver security updates, including cryptographic updates.
• Check whether your quantum hardware, software or technology requires an export licence under Regulation (EU) 2021/821.
• Check whether an investment in your company must be notified to the BTI under the Wet Vifo.

What can we do for you with quantum-related data security?

Ürettiğimiz bilişim avukatları advise businesses on data protection, cybersecurity obligations and contracts with IT suppliers:

• We assess whether your organisation falls under the Cybersecurity Act, DORA or the CRA, and what that requires of you.
• We review and draft security, update and liability clauses in IT, cloud and data processing agreements.
• We help you document your risk assessment and migration plan so that it stands up to a regulator.
• We advise on the data breach notification to the Dutch Data Protection Authority within the 72-hour deadline.
• We check whether a transaction must be notified under the Wet Vifo or an export requires a licence.

ÖZET

• Kuantum hesaplamayı doğrudan düzenleyen bir yasa bulunmamaktadır; GDPR, Siber Güvenlik Yasası (NIS2) ve DORA, en son teknolojiye ve risklere uygun güvenlik gerektirmektedir.
• 'Şimdi topla, sonra şifresini çöz' demek, uzun gizlilik süresine sahip verilerin zaten risk altında olduğu anlamına gelir.
• AB'nin Haziran 2025 tarihli yol haritası, yüksek riskli sistemlerin en geç 2030 yılının sonuna kadar kuantum sonrası şifreleme yöntemlerini kullanmasını öngörüyor; bu, bağlayıcı bir yasa değil, siyasi bir taahhüttür.
• Kriptografik bir envanterle başlayın, hassasiyet ve saklama süresine göre önceliklendirin ve kriptografik çevikliği hedefleyerek aşamalı olarak geçiş yapın.
• Quantum technology is also subject to export control and, for investments in Dutch companies, possibly to screening under the Wet Vifo.

Sık Sorulan Sorular