Postkvantová kryptografie: termíny 2026, 2030 a 2035 a co z nich je závazné

Proč jsou termíny nyní pevně dané

Od srpna 2024 existují standardizované postkvantové algoritmy. Americký NIST tehdy zveřejnil ML-KEM pro ustanovení klíčů a ML-DSA a SLH-DSA pro podpisy jako FIPS 203, 204 a 205. Od té doby už „čekáme na standardy“ není důvodem s přechodem otálet.

Mezitím existují i termíny. V červnu 2025 zveřejnily členské státy EU s podporou Evropské komise společný plán přechodu. Plán EU BSI, německý spolkový úřad pro bezpečnost informací, doplnil v lednu 2026 svou technickou směrnici TR-02102-1 o migrační lhůty. BSI TR-02102-1 A 12. října 2026 zveřejnily BMI (německé spolkové ministerstvo vnitra), BMDS (německé spolkové ministerstvo pro digitalizaci a modernizaci státu) a BSI společné vodítko, které přebírá termíny EU pro Německo. BSI

Tento článek zasazuje termíny z těchto dokumentů do souvislostí. Rozlišuje přitom, co se doporučuje a kde se z toho stává povinnost. Toto rozlišení v mnoha shrnutích zaniká.

Přehled termínů

Konec roku 2026: inventura, odpovědnost a plán

První termín se netýká techniky, ale organizace. Plán EU uvádí pro konec roku 2026 mimo jiné tyto první kroky: zapojit zúčastněné strany, vybudovat vyspělou správu kryptografických aktiv, zmapovat závislosti, analyzovat kvantové riziko, zahrnout dodavatelský řetězec a vypracovat časový a implementační plán. Do té doby by měly být zahájeny pilotní projekty pro případy užití s vysokým a středním rizikem. Plán EU, PDF

Národní vodítko je pro Německo konkrétnější. Do konce roku 2026 má být dokončena přípravná a plánovací fáze, kterou vodítko nazývá „PQC-Readiness“. Každá organizace by měla jmenovat alespoň jedno odpovědné místo, které řídí implementační plán, priority a pokrok, a vyčlenit na to dostatečné personální a finanční zdroje. Vodítko, PDF

Pro inventuru vodítko odkazuje na Krypto-Kataster (evidenci kryptografických prostředků) z IT-Grundschutz, metodiky základní ochrany BSI: požadavek CON.1.A19 v modulu CON.1 Kryptokonzept. Pomoci mohou nástroje pro inventarizaci, skeny repozitářů kódu a Cryptographic Bill of Materials (CBOM), například podle standardu CycloneDX. První verze inventury má být hotová do konce roku 2026. Patří k ní i přehled interních a externích závislostí. Příklad z vodítka: čtečka karet i karta musí obě podporovat kvantově odolné algoritmy, jinak spojení mezi nimi není kvantově odolné.

Konec roku 2030: co je vysoce rizikový případ užití

Nejdůležitějším termínem je konec roku 2030. Do té doby mají být převedeny případy užití s vysokým kvantovým rizikem. Plán EU to formuluje jednoznačně: v těchto případech užití se zranitelné algoritmy s veřejným klíčem nemají po konci roku 2030 používat samostatně. Pro případy užití se středním rizikem platí totéž po konci roku 2035.

Co znamená „vysoké riziko“, si určuje každá organizace sama. Plán k tomu poskytuje metodu a hrubá orientační pravidla. Kvantové riziko případu užití závisí na třech faktorech:

• jak zranitelná je použitá kryptografie,
• jaká škoda vznikne, pokud bude prolomena,
• jak dlouhý a náročný je přechod na postkvantovou kryptografii.

Dvě orientační pravidla z plánu jsou obzvlášť praktická. Zaprvé: musí-li data zůstat důvěrná nejméně deset let a měl by útok i po deseti letech stále závažné následky, je riziko vysoké. Taková data mohou útočníci zachytit a uložit již dnes, aby je později dešifrovali („Store now, decrypt later“). Zadruhé: trvá-li přechod déle než osm let a byly by následky útoku vážné, je riziko rovněž vysoké. Plán jako příklad uvádí zabezpečení aktualizací softwaru.

Z toho vyplývá druhý požadavek pro rok 2030: kvantově odolné aktualizace softwaru a firmwaru mají být standardně zapnuty. Produkty, které přijdou na trh s očekávanou životností přesahující rok 2030, má být možné aktualizovat na postkvantové algoritmy. Samotný aktualizační mechanismus k tomu má používat postkvantové podpisy.

BSI stanoví v TR-02102-1 stejný termín pro aplikace s velmi vysokou potřebou ochrany: jejich přechod na kvantově odolné algoritmy by měl proběhnout do konce roku 2030.

Konec roku 2031 a 2035: co doporučuje BSI TR-02102-1

TR-02102-1 ve verzi 2026-01 z 23. ledna 2026 je ústředním doporučením BSI ke kryptografickým algoritmům a délkám klíčů. Rozlišuje mezi ustanovením klíčů a podpisy. BSI TR-02102-1, PDF

Ustanovení klíčů. Klasické algoritmy jako RSA nebo Diffie-Hellman na eliptických křivkách doporučuje BSI samostatně už jen do konce roku 2031. Poté se mají používat pouze společně s kvantově odolným algoritmem KEM. Důvodem je „Store now, decrypt later“: zachycená data jsou ohrožena, jakmile existuje dostatečně výkonný kvantový počítač, i když k zachycení došlo před lety.

Podpisy. Zde je situace jiná. Klasický podpis zůstává důvěryhodný, dokud neexistuje kryptograficky relevantní kvantový počítač. BSI proto následuje plán EU a podle současného stavu doporučuje klasické podpisové algoritmy pravděpodobně do konce roku 2035. Směrnice zároveň upozorňuje, že právě u podpisů v rámci PKI je třeba počítat s dlouhými dobami migrace.

Hybridně místo výměny. BSI doporučuje nasazovat postkvantové algoritmy hybridně, tedy v kombinaci s klasickým algoritmem. Selže-li jeden z obou algoritmů, druhý nadále chrání. Národní vodítko toto doporučení přebírá.

2035: NIST IR 8547 a mezinárodní rámec

V USA navrhl NIST v listopadu 2024 v návrhu NIST IR 8547 harmonogram postupného vyřazení klasických algoritmů s veřejným klíčem. NIST IR 8547 Algoritmy s úrovní bezpečnosti 112 bitů, mezi nimi RSA-2048, mají být po roce 2030 považovány za „deprecated“. Po roce 2035 mají být RSA, ECDSA, EdDSA a klasický Diffie-Hellman na všech úrovních bezpečnosti „disallowed“.

Důležitá jsou dvě omezení. Dokument je dodnes návrhem (Initial Public Draft). A „deprecated“ u NIST neznamená zakázáno: algoritmus se smí dál používat, pokud organizace riziko vědomě nese. Definitivně vyloučen je až jako „disallowed“.

Plán EU vědomě navázal rok 2035 na tento harmonogram. Odkazuje na NIST IR 8547, na americký cíl z National Security Memorandum 10 odstranit do roku 2035 co nejvíce kvantového rizika a na harmonogram britského NCSC, který rovněž uvádí jako cíl rok 2035. Pro mezinárodně působící firmy je to dobrá zpráva: velké harmonogramy si neodporují.

Co z toho je povinnost a co doporučení

Většina shrnutí hovoří o „deadlinech“. Právně jsou však termíny z plánu EU a národního vodítka doporučeními. Vodítko to samo uvádí: lhůty jsou „naléhavými doporučeními s ohledem na akutní potřebu jednat“. Aby se staly závaznými, mají je IT-Planungsrat (německá rada pro plánování IT spolku a spolkových zemí) a UP KRITIS (německé partnerství veřejného a soukromého sektoru pro ochranu kritické infrastruktury) do konce roku 2026 pokud možno závazně přijmout.

Závazné jsou dnes především tři oblasti:

• Verschlusssachen (utajované informace). Pro schválené bezpečnostní IT produkty pro utajované informace (VS-IT) stanovil BSI závazné lhůty, aby byla oblast utajovaných informací převedena do roku 2030.
• NIS2 v Německu. Důležité a obzvlášť důležité subjekty jsou podle § 30 BSI-Gesetz (BSIG, německého zákona, kterým byla provedena NIS2) povinny dodržovat u kryptografie stav techniky. Vodítko jako měřítko výslovně uvádí TR-02102. Kdo doporučení TR-02102 ignoruje bez odůvodněného rozhodnutí o riziku, bude mít v případě pochybností potíže stav techniky prokázat.
• Odvětvová pravidla. Akt v přenesené pravomoci k řízení rizik v oblasti IKT podle DORA (nařízení v přenesené pravomoci (EU) 2024/1774, článek 6) vyžaduje od finančních subjektů, aby jejich politika šifrování a kryptografických kontrol stanovila, že kryptografická technologie bude při pokroku kryptoanalýzy aktualizována nebo nahrazena. PCI DSS 4.0.1 vyžaduje požadavkem 12.3.3 od 31. března 2025 zdokumentovaný přehled používaných šifrovacích sad (cipher suites) a protokolů, který se nejméně jednou ročně přezkoumává, a strategii pro předvídatelné zranitelnosti. Pevný postkvantový termín neuvádí ani jeden z nich. Kvantový počítač je však přesně tím druhem vývoje, na který mají reagovat.

Oba dokumenty, plán EU i vodítko, navíc obsahují stejnou větu pro případ, že termín nelze dodržet: pak je třeba posoudit individuální riziko. To není únikový východ, ale povinnost dokumentace. Kdo rok 2030 nestihne, měl by umět zdůvodnit proč a s jakými náhradními opatřeními.

Co časová osa znamená pro plánování

Plán EU zdůvodňuje své termíny i délkou přechodu. Úplné převedení všech relevantních systémů může snadno trvat pět až deset let. Vodítko odkazuje na dřívější kryptografické přechody, které rovněž trvaly roky.

Jak dobře jsou firmy připraveny, ukazuje průzkum trhu, který v roce 2023 provedla společnost KPMG na zakázku BSI: téměř 90 procent účastníků odhadlo, že hrozbám, které kvantové počítače představují pro kryptografii, nedokážou čelit včas. Průzkum trhu BSI

Počet je jednoduchý. Kdo má mít vysoce rizikové případy užití převedeny do konce roku 2030 a potřebuje na to pět let, měl začít v roce 2025. Pro všechny ostatní platí: termín na konci roku 2026 pro inventuru, odpovědnost a plán je první, který lze ještě realisticky dodržet. A stojí především práci, téměř žádné investice.

Plán EU i vodítko zároveň varují před opačným extrémem. Harmonogram má zabránit chaotickému přechodu, který by nedostatečně otestovanými řešeními vytvořil nové zranitelnosti. Rychlá kompletní výměna tedy není cílem. Žádoucí je prioritizovaný, otestovaný a zdokumentovaný přechod.

Co si z toho v Secani odnášíme

Vodítko požaduje začlenit kvantové riziko do běžného řízení rizik a ukotvit tam lhůty pro jeho ošetření. Pro ISMS to znamená: kvantové riziko se nestane zvláštním projektem vedle registru, ale rizikem jako každé jiné, propojeným s dotčenými aktivy, aplikacemi a dodavateli, s odpovědnou osobou a termínem. Tak zůstává dohledatelné, které případy užití byly zařazeny jako vysoce rizikové, proč a kdy mají být převedeny.

Jak vést rizika tak, aby z nich vznikala rozhodnutí, popisujeme v článku Vytvořte registr rizik, který mění rozhodnutí. Jak celkově prověřit šifrování a správu klíčů, se dočtete v článku Šifrování a správa klíčů: ověřte celý ochranný řetězec. Co výzkum říká o okamžiku, kdy by kvantový počítač mohl prolomit RSA, shrnujeme v článku Kdy přijde Q-Day? Co ukazuje výzkum v letech 2025 a 2026.

Závěr

Termíny postkvantové migrace jsou stanoveny a velké harmonogramy EU, Německa, USA a Velké Británie do sebe zapadají: do konce roku 2026 inventura a plán, do konce roku 2030 vysoce rizikové případy užití, do roku 2035 zbytek. Závazné jsou zatím především pro utajované informace. Pro subjekty NIS2 v Německu se prostřednictvím stavu techniky podle § 30 BSIG fakticky stávají měřítkem. Kdo dnes začíná, neměl by proto začínat technikou, ale odpovědným místem, inventurou a odůvodněným zařazením vlastních případů užití.

Zdroje

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupiny NIS Cooperation Group, Part 1, verze 1.1, 11. června 2025, zveřejněno 23. června 2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (společné vodítko BMDS, BMI a BSI, zveřejněno 12. října 2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, tisková zpráva, 12. října 2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (verze 2026-01, 23. ledna 2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12. listopadu 2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG na zakázku BSI, duben 2023)