Moeten we vandaag Luna 7 of al Luna 8 aanschaffen?

Luna 7 heeft FIPS 140-3 Level 3 met NIST-certificaat 4684 en Common Criteria EAL4+, bij Luna 8 lopen beide procedures nog. Wie bewijs nodig heeft, schaft Luna 7 aan, want Thales zet de lijn voort en de Luna HSM Universal Client verbindt beide generaties.

Hoe scheidt Luna 8 meerdere tenants?

Elke container is een eigen Luna 8-instantie met tot 10 partities en een eigen firmwareversie. Luna 100 voert één container, Luna 150 tot zes, Luna 190 tot 15, en een 1U-behuizing bevat een of twee cryptomodules met samen tot 30 instanties.

Hebben we voor kaartbetalingen een apart apparaat nodig?

Ja, pincodes en kaartsleutels horen op een payment HSM volgens PCI HSM, en bij Thales is dat de payShield 10K met de goedkeuring v3. De prestaties lopen per licentie van 25 tot 10.000 transacties per seconde, en tot 20 LMK-partities scheiden de sleutelsets.

Kunnen we Thales-apparaten in Duitsland laten beheren?

Ja, wij werken met exploitanten van kritieke infrastructuur en gereguleerde sectoren en nemen het beheer van de Luna- en payShield-apparaten in Duitse datacenters over. Wie het beheer volledig wil uitbesteden, neemt Luna Cloud HSM of payShield Cloud HSM af.

Thales HSM: Luna, payShield en ProtectServer

Thales in profiel

Een hardware security module genereert en bewaart sleutels in gecertificeerde hardware en geeft ze nooit onversleuteld vrij. Bij Thales is het portfolio per taak ingedeeld: Luna bedient algemene applicaties via PKCS#11, payShield verwerkt pincodes en kaartsleutels in het betalingsverkeer, en ProtectServer voert met functiemodules eigen code uit binnen de beveiligingsgrens.

Cryptografie en hardware security modules zijn onze kerncompetentie. Wij kennen de Universal Client, het partitiebeheer via Crypto Command Center en de weg van Luna 7 naar Luna 8, en plannen uw project langs de certificaten die uw toezichthouder eist.

Productlijnen: Luna, payShield, ProtectServer, Data Protection on Demand
Hoogste certificering: FIPS 140-3 Level 3, NIST-certificaat 4684
Post-quantumalgoritmen: ML-KEM, ML-DSA, LMS, HSS
Beheermodellen: Appliance, PCIe-kaart, USB-apparaat, clouddienst

De series in detail

Serie 01

Luna 8 Network HSM

Thales presenteerde Luna 8 in augustus 2026 als eerste product van een nieuw platform met een zelf ontwikkelde cryptoprocessor. De certificeringen volgens FIPS 140-3 Level 3 en Common Criteria lopen nog, dus wie een geldig certificaat nodig heeft, schaft nog Luna 7 aan.

Apparaatafbeelding bekijken

Modellen

Luna 8 Network HSM: Modellen
Luna 100 Standard	Eén container, 128 MB sleutelopslag
Luna 150 Enterprise	Tot 6 containers, 1.024 MB sleutelopslag
Luna 190 Maximum	Tot 15 containers, 4.096 MB sleutelopslag

Vormfactoren: 1U-appliance met vier 10-Gbit-poorten
Beheer: Eigen datacenter, Hosting bij een dienstverlener

Certificeringen

FIPS 140-3 Level 3 in behandeling
Common Criteria EAL4+ volgens EN 419 221-5 in behandeling
QSCD voor eIDAS 2 in behandeling
INMETRO, NITES en NATO SECRET in behandeling

Kenmerken

Elke container is een eigen Luna 8-instantie met tot 10 partities
Een of twee cryptomodules per 1U, samen tot 30 instanties
Per container een eigen firmwareversie
ML-KEM volgens FIPS 203, ML-DSA volgens FIPS 204 en LMS en HSS
Willekeurige getallen uit een quantumbron
Achterwaarts compatibel via de Luna HSM Universal Client

Gegevens van de fabrikant

Serie 02

Luna 7 Network HSM

De Luna 7 Network HSM heeft de certificaten die aanbestedingen vandaag vragen, waaronder FIPS 140-3 Level 3 voor de module K7 en Common Criteria EAL4+ volgens EN 419 221-5. De A-modellen melden beheerders aan met een wachtwoord, de S-modellen vereisen daarnaast het PED-apparaat, een apart invoerapparaat voor de aanmelding.

Modellen

Luna 7 Network HSM: Modellen
A700 en S700	1.000 RSA-2048-bewerkingen per seconde, 5 partities
A750 en S750	5.000 RSA-2048-bewerkingen per seconde, 5 tot 20 partities
A790 en S790	10.000 RSA-2048-bewerkingen per seconde, 10 tot 100 partities

Vormfactoren: 1U-netwerkappliance
Beheer: Eigen datacenter, Hybride met Luna Cloud HSM

Certificeringen

FIPS 140-3 Level 3, NIST-certificaat 4684 voor de module K7
FIPS 140-2 Level 3
Common Criteria EAL4+ volgens EN 419 221-5
Vermeld als QSCD

Kenmerken

ECC P-256 met 2.000, 10.000 of 20.000 bewerkingen per seconde per niveau
Firmware 7.9 van 29 juli 2025 brengt ML-KEM en ML-DSA
Aanmelding naar keuze met wachtwoord of PED-apparaat
Sleutelkopie en back-up samen met Luna Cloud HSM

Gegevens van de fabrikant

Serie 03

Luna 7 PCIe HSM en USB HSM

De PCIe-kaart zit in de applicatieserver en haalt dezelfde prestatieniveaus als het netwerkapparaat, wat korte paden betekent voor apparatenfabrikanten en latentiekritische diensten. Het USB-apparaat U700 bevat één partitie met 32 MB opslag en dient voor de offline root van een PKI.

Thales Luna PCIe HSM als insteekkaart — Productfoto: Thales

Modellen

Luna 7 PCIe HSM en USB HSM: Modellen
PCIe A700 tot A790	Dezelfde prestatieniveaus als de netwerkapparaten
PCIe S700 tot S790	Aanmelding via het PED-apparaat
U700	Eén partitie, 32 MB opslag, USB 3.0 Type-C

Vormfactoren: PCIe-kaart, USB-apparaat
Beheer: Applicatieserver, Werkplek zonder netwerkaansluiting

Certificeringen

FIPS 140-2 Level 3
FIPS 140-3 voor de module K7, NIST-certificaat 4684
Common Criteria EAL4+ volgens EN 419 221-5
Vermeld als QSCD
U700 volgens de productpagina FIPS 140-3 Level 3, op de compliancepagina in behandeling

Kenmerken

Drivers voor Windows en Linux
Inbouw in eigen apparaten door fabrikanten
U700 voor offline root-CA’s en voor eigen sleutels in de cloud
Dezelfde prestatieniveaus en doorvoerwaarden als bij de Luna 7 Network HSM

Gegevens van de fabrikant

Serie 04

Luna Cloud HSM op Data Protection on Demand

Data Protection on Demand is de marktplaats van Thales waar u Luna Cloud HSM en kant-en-klare diensten voor ondertekening, code signing en databases afneemt. De diensten draaien op hardware volgens FIPS 140-2 Level 3, en Hybrid Luna verbindt ze met eigen apparaten.

Marktplaats van Thales Data Protection on Demand — Productfoto: Thales

Modellen

Luna Cloud HSM op Data Protection on Demand: Modellen
Luna Cloud HSM	Algemene dienst voor sleutels en handtekeningen
Digital Signing en Java Code Signer	Diensten voor handtekeningen en ondertekende code
Microsoft ADCS en Authenticode	Diensten voor Windows-PKI en codeondertekening
Oracle TDE en SQL Server	Sleutels voor de versleuteling van databases
Luna Key Broker for Microsoft DKE	Sleutelbemiddeling voor Double Key Encryption
Hybrid Luna HSM	Verbinding tussen clouddienst en eigen apparaat

Vormfactoren: Clouddienst
Beheer: Clouddienst van Thales, Hybride met eigen Luna-apparaten

Certificeringen

Hardware volgens FIPS 140-2 Level 3

Kenmerken

Verdere diensten voor CyberArk, Hyperledger en PKI-sleutels
Luna HSM Backup maakt back-ups van sleutels uit de dienst
CipherTrust Key Management Services op dezelfde marktplaats
payShield Cloud HSM als gehost apparaat voor Azure, AWS en Google Cloud

Gegevens van de fabrikant

Serie 05

payShield 10K

De payShield 10K verwerkt pincodes, kaartsleutels en transacties bij kaartuitgevers, acquirers en kaartschema’s en heeft de goedkeuring PCI HSM v3. Thales noemt voor het apparaat geen validatie volgens FIPS 140-3 en geen post-quantumalgoritmen.

Modellen

payShield 10K: Modellen
PS10-S	Twee hostpoorten met 1 Gbit
PS10-D	Hostpoorten met 10 Gbit
PS10-F	Aansluiting via FICON

Vormfactoren: 1U-appliance
Beheer: Eigen datacenter, payShield Cloud HSM als gehost apparaat

Certificeringen

FIPS 140-2 Level 3 voor de TASP
PCI HSM v3 inclusief RAP
PCI HSM v3 KLD voor het Trusted Management Device
AusPayNet, CB HSM, GBIC en Bancontact

Kenmerken

Prestaties per licentie: 25, 60, 250, 1.000, 2.500 of 10.000 transacties per seconde
Prestatieniveau later via licentie uit te breiden
Tot 20 LMK-partities voor gescheiden sleutelsets
Beheer via payShield Manager en payShield Monitor
Sleutels laden via het Trusted Management Device

Gegevens van de fabrikant

Serie 06

ProtectServer 3

ProtectServer 3 is bedoeld voor teams die eigen logica in het apparaat willen uitvoeren, want functiemodules draaien binnen de beveiligingsgrens. De apparaten hebben FIPS 140-2 Level 3, en de validatie volgens FIPS 140-3 Level 3 loopt met firmware 7.03.03 sinds september 2025.

Modellen

ProtectServer 3: Modellen
ProtectServer 3+ External	1U, twee voedingen, vier gigabitpoorten
ProtectServer 3 External	Compacte behuizing voor kleinere omgevingen
ProtectServer 3 PCIe	Prestatieniveaus PL25, PL220 en PL3500

Vormfactoren: 1U-appliance, Compact tafelmodel, PCIe-kaart
Beheer: Eigen datacenter, Applicatieserver met PCIe-kaart

Certificeringen

FIPS 140-2 Level 3
FIPS 140-3 Level 3 in behandeling, firmware 7.03.03 sinds september 2025

Kenmerken

Functiemodules voeren eigen code uit binnen de beveiligingsgrens
Software-emulator voor ontwikkeling en testen
Twee voedingen en vier gigabitpoorten bij de ProtectServer 3+ External

Gegevens van de fabrikant

Zo vindt u de juiste productlijn

Vier vragen leiden bij Thales tot de beslissing: het vereiste bewijs, de belasting met het aantal partities, het soort applicatie en het beheermodel. Wij toetsen de vier punten samen en onderbouwen de keuze schriftelijk.

01

Certificaat vandaag of platform van morgen

Luna 7 heeft FIPS 140-3 Level 3 en Common Criteria EAL4+ en past daarmee in aanbestedingen met bewijsplicht. Bij Luna 8 lopen deze procedures nog, maar het platform brengt meer containers en de nieuwe post-quantumalgoritmen mee.

02

Belasting en partities

De Luna 7 Network HSM loopt van 1.000 tot 10.000 RSA-2048-bewerkingen per seconde en van 5 tot 100 partities. Luna 8 telt anders: tot 15 containers per apparaat, elke container met tot 10 partities.

03

Applicatie of betalingsverkeer

Pincodeverwerking en kaartsleutels vereisen de payShield 10K met de goedkeuring PCI HSM v3. PKI, code signing en databases draaien op Luna, en eigen logica in het apparaat hoort op ProtectServer 3.

04

Beheermodel

U beheert de apparaten zelf, draagt het beheer aan ons over of neemt Luna Cloud HSM en payShield Cloud HSM als dienst af. De volledige oplossing draait in Duitse datacenters.

Wat we rond Thales verzorgen

Rond het apparaat ligt het eigenlijke werk: selectie, koppeling van de applicaties, sleutelceremonie, monitoring en beheer. Eén team begeleidt u van advies tot beheer.

HSM-advies en integratie
Wij vergelijken de Luna-niveaus aan de hand van uw belasting, richten de partities in en verbinden uw applicaties via de Luna HSM Universal Client. De sleutelceremonie leggen we vast voor de audit.
Wij vergelijken de Luna-niveaus aan de hand van uw belasting. Wij richten de partities in. Wij verbinden uw applicaties via de Luna HSM Universal Client. De sleutelceremonie leggen we vast voor de audit.
HSM & sleutelbeheer
PQC-gereedheid
Wij brengen in kaart welke applicaties op RSA en ECC berusten, want quantumcomputers kunnen beide algoritmen breken, en plannen de overstap naar ML-KEM en ML-DSA. Bij Luna 7 levert firmware 7.9 deze algoritmen, bij Luna 8 horen ze bij het platform.
Wij brengen uw applicaties met RSA en ECC in kaart. Quantumcomputers kunnen beide algoritmen breken. Wij plannen de overstap naar ML-KEM en ML-DSA. Bij Luna 7 levert firmware 7.9 deze algoritmen. Bij Luna 8 horen ze bij het platform.
Post-quantumcryptografie
Cloud
Wij kiezen de passende diensten op Data Protection on Demand, verbinden ze met uw applicaties en houden sleutels via Hybrid Luna ook in het eigen datacenter. payShield Cloud HSM is te gebruiken met Azure, AWS en Google Cloud.
Wij kiezen de passende diensten op Data Protection on Demand. Wij verbinden ze met uw applicaties. Met Hybrid Luna houdt u sleutels ook in het eigen datacenter. payShield Cloud HSM draait met Azure, AWS en Google Cloud.
Cloud

Normen en bewijsstukken

Vijf voorschriften bepalen bij Thales de keuze en de documenten. Aan elk voorschrift koppelen we de productlijn die er vandaag aan voldoet, en we noemen de procedures die nog lopen.

Voorschrift / Vereist / OTOKO® levert
Voorschrift	Vereist	OTOKO® levert
FIPS 140-3	Gecertificeerde cryptomodules met een vastgelegd niveau van fysieke bescherming	Luna 7 met Level 3 en NIST-certificaat 4684, Luna 8 en ProtectServer 3 in behandeling
Common Criteria EN 419 221-5	Gecertificeerde ondertekeningsmodule voor vertrouwensdiensten	Luna 7 als netwerkapparaat en PCIe-kaart met EAL4+, Luna 8 in behandeling
eIDAS	Gekwalificeerd middel voor het aanmaken van elektronische handtekeningen (QSCD) bij de verlener van vertrouwensdiensten	Luna 7 staat vermeld als QSCD, de QSCD-toetsing voor eIDAS 2 loopt bij Luna 8
PCI HSM	Gecertificeerde hardware voor pincodes en kaartsleutels	payShield 10K volgens v3 met RAP, daarnaast de KLD-toetsing van het Trusted Management Device
Nationale kaartgoedkeuringen	Goedkeuringen van de nationale betaalsystemen	payShield 10K met AusPayNet, CB HSM, GBIC en Bancontact, opgave van de fabrikant zonder certificaatnummer

Veelgestelde vragen over Thales

Gerelateerde onderwerpen

Diensten

Sectoren

Andere fabrikanten

Menu

Thales HSM: Luna en payShield in bedrijf

Thales in profiel

De series in detail

Luna 8 Network HSM

Luna 7 Network HSM

Luna 7 PCIe HSM en USB HSM

Luna Cloud HSM op Data Protection on Demand

payShield 10K

ProtectServer 3

Zo vindt u de juiste productlijn

Wat we rond Thales verzorgen

Normen en bewijsstukken

Veelgestelde vragen over Thales

Gerelateerde onderwerpen

Meer weten over

Thales

Onze klanten

Onze partners