Mark Medum Bundegaard, Chief Product Officer bij Partisia – Interviewreeks

Mark Medum Bundegaard, Chief Product Officer bij Partisia, is een technologie‑ en productleider die zich specialiseert in privacy‑verhogende technologieën, blockchain‑architectuur en veilige machine learning. Hij leidt Partisia’s productvisie en roadmap, en werkt samen met engineering‑, design‑ en business‑teams om platformen te leveren die zijn gebouwd op secure multiparty computation en kwantum‑veilige infrastructuur. Zijn achtergrond omvat seniorfuncties in de banksector, telecom, media en startups, met diepe expertise in cloud‑native systemen, gedistribueerde architectuur en toegepaste AI, naast ervaring met het beheren van grootschalige operaties zoals het Deense Copenhell muziekfestival.

Partisia is een op cryptografie gerichte software‑bedrijf dat infrastructuur ontwikkelt voor privacy‑behoudende datacollaboratie. Het platform stelt organisaties in staat om op versleutelde data te berekenen met behulp van secure multiparty computation gecombineerd met blockchain‑orchestratie, waardoor inzichten kunnen worden verkregen zonder gevoelige informatie bloot te stellen. Door confidential computing, gedecentraliseerde identiteit en privacy‑first machine learning te ondersteunen, helpt Partisia ondernemingen de waarde van data te ontsluiten terwijl ze voldoen aan regelgeving, beveiliging en datasouvereiniteit in sectoren zoals financiën, gezondheidszorg en digitale infrastructuur.

Het recente gezamenlijk rapport van Europol schetst post‑quantum cryptografie (PQC) — encryptie ontworpen om veilig te blijven zelfs wanneer kwantumcomputers de huidige standaarden kunnen breken — als een langetermijn‑, risico‑gebaseerde transitie in plaats van een eenmalige algoritmeswissel. Vanuit wat je ziet bij financiële instellingen, waar ligt de grootste kloof tussen het herkennen van kwantumrisico en daadwerkelijk kunnen handelen?

De grootste kloof vandaag is zichtbaarheid. De meeste financiële instellingen hebben nog geen volledige “cryptographic bill of materials” — wat een duidelijk overzicht betekent van waar cryptografie wordt gebruikt, welke algoritmes welke assets beschermen, en hoe lang die assets veilig moeten blijven.

Zonder die basis is het moeilijk om migratie te prioriteren. Zelfs wanneer de zichtbaarheid verbetert, is het vervangen van cryptografie in gereguleerde, legacy‑systemen een langzaam proces dat software, hardware, certificering en operationele veranderingen omvat. De uitdaging is niet het herkennen van het risico, maar het vertalen van dat bewustzijn naar een uitvoerbaar migratieroadmap.

Het rapport merkt op dat veel organisaties geen volledige inventaris van hun cryptografie hebben, wat betekent dat ze niet volledig weten waar encryptie wordt gebruikt in applicaties, datastromen en infrastructuur. Waarom is deze zichtbaarheid nog zo beperkt bij grote financiële instellingen, en wat zijn de meest praktische manieren om dit te verhelpen?

Moderne systemen bestaan uit veel onderling verbonden software‑onderdelen en subsystemen die onafhankelijk, op verschillende tijdstippen en door verschillende actoren zijn ontwikkeld. Het is vaak moeilijk om een volledig overzicht te krijgen van welke software wordt gebruikt, laat staan welke algoritmes. Er is waarschijnlijk geen “one-size-fits-all” oplossing. 

Echter, bedrijven die al een overzicht van hun software hebben, zitten waarschijnlijk beter. Hetzelfde geldt voor hardware; de meeste banken werken nog steeds met encryptiesleutels die via HSM’s worden geleverd, wat een afhankelijkheidsketen creëert van de applicatie tot aan de hardware. Toen de cloud‑boom de financiële sector bereikte, maakte dat veel zaken makkelijker, maar het verkrijgen van voldoende zichtbaarheid in services werd moeilijker. Daarom werken veel instellingen momenteel, als onderdeel van de migratie naar PQC‑standaarden, aan het creëren van een volledig overzicht van sleutels.

Je hebt aangegeven dat PQC‑gereedheid vaak stagneert door eigendom‑ en governance‑kwesties in plaats van de cryptografische keuze zelf. Hoe vertalen onduidelijke verantwoordelijkheden tussen security, IT en productteams zich in reëel langetermijn‑security‑ en compliance‑risico?

Cryptografie bevindt zich op het snijvlak van security, infrastructuur en applicatie‑ontwikkeling. Wanneer eigendom onduidelijk is, stagneren migratie‑inspanningen — niet omdat de algoritmes onbekend zijn, maar omdat geen enkel team het mandaat of de zichtbaarheid heeft om de transitie te sturen.

Na verloop van tijd creëert dit systemisch risico. Systemen blijven langer afhankelijk van legacy‑cryptografie dan bedoeld, wat de blootstelling vergroot en de uiteindelijke migratie complexer, duurder en disruptiever maakt.

Crypto‑agility — het vermogen om cryptografische algoritmes te wisselen of te upgraden zonder volledige systemen te herbouwen — wordt vaak genoemd als essentieel voor PQC‑gereedheid. Hoe vergroot het gebrek aan crypto‑agility lock‑in, technische schuld en toekomstige upgrade‑kosten voor financiële instellingen?

Crypto‑agility bepaalt of cryptografische componenten kunnen worden vervangen zonder het volledige systeem opnieuw te ontwerpen. Waar cryptografie diep is ingebed in applicatielogica of infrastructuur, wordt vervanging duur en operationeel riskant.

Instellingen die nu agility opbouwen, kunnen geleidelijk overgaan. Degenen die dat niet doen, kunnen later geconfronteerd worden met grootschalige, disruptieve migraties, vooral naarmate standaarden en regelgevende verwachtingen evolueren.

Vanuit jouw perspectief bij Partisia, opererend op de cryptografische en infrastructuurlaag van gereguleerde systemen, welke soorten legacy‑platformen of architecturale patronen blijken het moeilijkst te bereiden op PQC, en waarom?

Zeer gereguleerde systemen zijn vaak het moeilijkst bij te werken. Dit is opzettelijk — deze systemen zijn ontworpen voor stabiliteit en zekerheid, niet voor snelle verandering.

Het overzetten naar PQC vereist meer dan alleen het updaten van algoritmes. Het omvat software‑updates, hardware‑ondersteuning, hercertificering en operationele validatie. Deze beperkingen maken vroegtijdige planning essentieel, aangezien migratietijdlijnen worden gemeten in jaren, niet maanden.

Een kernaanbeveling in het rapport is dat organisaties beoordelen hoe lang verschillende data‑assets veilig moeten blijven — bijvoorbeeld of gevoelige financiële of persoonlijke gegevens jarenlang of decennialang vertrouwelijk moeten blijven. Hoe moeten instellingen realistisch de cryptografische “shelf life” evalueren bij het plannen van een PQC‑migratie?

Instellingen moeten beoordelen hoe lang specifieke data vertrouwelijk moeten blijven en wat de consequenties zouden zijn als deze in de toekomst worden blootgesteld.

Sommige data, zoals transactie‑records of persoonlijke financiële informatie, moeten mogelijk decennialang beschermd worden. Dit maakt ze kwetsbaar voor “nu oogsten, later ontcijferen” scenario’s, waarbij versleutelde data vandaag wordt verzameld en later wordt ontcijferd zodra kwantumcapaciteiten volwassen zijn. Het begrijpen van deze tijdlijnen is essentieel voor het prioriteren van migratie.

Veel teams gaan ervan uit dat PQC‑werk pas begint zodra de definitieve standaarden volledig zijn vastgesteld, maar het rapport suggereert dat voorbereiding eerder moet plaatsvinden. Welke concrete acties moeten security‑ en architectuurteams de komende 12–24 maanden prioriteren, zelfs voordat grootschalige migraties beginnen?

De belangrijkste stap is het opstellen van een volledige inventaris van cryptografisch gebruik — begrijpen waar cryptografie wordt toegepast, hoe het is geïmplementeerd en van welke systemen het afhankelijk is.

Deze zichtbaarheid stelt instellingen in staat om high‑risk systemen te identificeren en te beginnen met het ontwerpen van crypto‑agile architecturen die toekomstige algoritme‑transities ondersteunen zonder grootschalige verstoring.

Er bestaat nog steeds de overtuiging dat uitstel van PQC‑planning geld bespaart totdat kwantumdreigingen meer direct worden. Op basis van wat je in de praktijk ziet, hoe vergroot uitstel daadwerkelijk de toekomstige kosten, operationele complexiteit en risico‑blootstelling?

Goede vraag. Het uitstellen van voorbereiding elimineert het migratiewerk niet — het comprimeert het naar een kortere tijdsperiode. Systemen die vandaag worden geïmplementeerd kunnen decennialang operationeel blijven, wat betekent dat beslissingen die nu worden genomen de toekomstige risico‑blootstelling bepalen.

Vroege voorbereiding stelt instellingen in staat om crypto‑agility op te nemen in normale upgrade‑cycli. Te lang wachten kan leiden tot dure, urgente migraties onder regulatoire of dreigings‑druk.

Je hebt gewerkt met cloud‑native systemen, blockchain‑infrastructuur en privacy‑behoudende technologieën zoals secure multiparty computation, die data verwerken zonder ze te onthullen. Hoe verschilt PQC‑planning in deze gedistribueerde of privacy‑gerichte omgevingen ten opzichte van traditionele gecentraliseerde financiële systemen?

Op fundamenteel niveau is de uitdaging dezelfde: identificeren waar cryptografie wordt gebruikt en ervoor zorgen dat deze veilig kan worden vervangen. Of een systeem nu gecentraliseerd of gedistribueerd is, de beveiliging hangt uiteindelijk af van de sterkte en levenscyclus van de cryptografische primitives.

Het belangrijkste verschil is de architecturale zichtbaarheid. Gedistribueerde en cryptografie‑gedreven systemen hebben vaak duidelijkere grenzen rond sleutelgebruik en verificatie, waardoor afhankelijkheden makkelijker te identificeren zijn. Maar de kernopdracht — zichtbaarheid verkrijgen, migratie plannen en cryptografische agility waarborgen — blijft in beide omgevingen hetzelfde.

Kijkend naar de toekomst, verwacht je dat PQC‑gereedheid een regulatoire compliance‑baseline wordt, of kan het zich ontwikkelen tot een concurrentie‑ en vertrouwens‑differentiator voor financiële instellingen — en welke vroege signalen moeten investeerders en technologische leiders in de gaten houden?

Op de korte termijn zal PQC waarschijnlijk opduiken als onderdeel van evoluerende security‑ en regelgevende verwachtingen, in plaats van een op zichzelf staande compliance‑vereiste.

Na verloop van tijd zullen instellingen die sterke cryptografische veerkracht en langetermijn‑databeveiliging aantonen een vertrouwensvoordeel hebben. Investeerders en regelgevers besteden steeds meer aandacht aan infrastructuur‑risico, en cryptografische paraatheid wordt onderdeel van dat bredere veerkracht‑gesprek.

Bedankt voor het geweldige interview, lezers die meer willen weten, kunnen Partisia bezoeken.