Kdy přijde Q-Day? Co ukazuje výzkum v letech 2025 a 2026

Co se myslí pojmem Q-Day

„Q-Day“ označuje den, kdy kvantový počítač dokáže prolomit dnes rozšířenou kryptografii s veřejným klíčem. Jde především o RSA a algoritmy na eliptických křivkách, na nichž stojí TLS, VPN, podepisování kódu, PKI a digitální identity. Odborníci hovoří o kryptograficky relevantním kvantovém počítači, zkráceně CRQC.

Že by takový počítač mohl tyto algoritmy prolomit, je známo od roku 1994, kdy Peter Shor zveřejnil příslušné kvantové algoritmy. Otevřené zůstává, kdy bude možné postavit stroj dostatečně velký a s dostatečně nízkou chybovostí. V této otázce se výzkum v letech 2025 a 2026 výrazně posunul. Tento článek shrnuje nejdůležitější práce a zasazuje do souvislostí, co dokládají a co ne.

Nejprve jeden pojem: dnešní kvantové počítače pracují s fyzickými qubity, které jsou náchylné k chybám. Kvantovou korekcí chyb se mnoho fyzických qubitů spojuje do jednoho stabilnějšího logického qubitu. Odhady zdrojů proto obvykle uvádějí obě čísla. Pro otázku, jak daleko je hardware, je rozhodující počet fyzických qubitů.

Co očekávají odborníci: Quantum Threat Timeline Report

Nejznámějším dlouhodobým průzkumem je Quantum Threat Timeline Report organizace Global Risk Institute. Michele Mosca a Marco Piani z evolutionQ se v něm každý rok ptají odborníků z výzkumu a průmyslu. Sedmé vydání, datované 9. března 2026, vychází z odpovědí 26 odborníků. Global Risk Institute

Výsledek: kryptograficky relevantní kvantový počítač v příštích deseti letech považují respondenti za „docela možný“, s pravděpodobností 28 až 49 procent. Do 15 let jej považují za „pravděpodobný“, s pravděpodobností 51 až 70 procent. Série zpráv definuje takový počítač jako stroj, který dokáže prolomit RSA-2048 do 24 hodin.

Průzkum mezi 26 lidmi není měření. Jeho hodnota spočívá v časové řadě: stejná otázka se klade již léta a odhady se napříč vydáními posouvaly dopředu.

Co očekává BSI

BSI, německý spolkový úřad pro bezpečnost informací, nechává stav vývoje kvantových počítačů od roku 2017 hodnotit ve vlastní studii, naposledy aktualizované v roce 2025. Německé národní vodítko k postkvantové migraci shrnuje výsledek takto: je pravděpodobné, že takový kvantový počítač bude realizovatelný nejpozději do 15 let, tedy do roku 2040 nebo dříve. Základní předpoklady kvantové korekce chyb byly v roce 2024 plně ověřeny a další pokroky mohou tuto dobu výrazně zkrátit. Vodítko, PDF

Pro oblast vysoké bezpečnosti je německá spolková vláda opatrnější. Tam pracuje s hypotézou, že kryptograficky relevantní kvantové počítače budou k dispozici na začátku 30. let. Vodítko k tomu cituje Bundestagsdrucksache (oficiální parlamentní tisk německého Spolkového sněmu) z února 2025.

Odhady BSI a odborníků jsou si tedy blízké: žádný průlom zítra, ale reálná možnost během životnosti systémů, které se plánují dnes.

Odhady hardwaru klesají

Posunuly se především odhady toho, jak velký by kvantový počítač pro útok musel být. V centru pozornosti jsou tři práce z let 2025 a 2026.

RSA-2048 s méně než milionem qubitů. V květnu 2025 odhadl Craig Gidney z Google Quantum AI, že kvantový počítač s méně než milionem zašuměných qubitů by mohl faktorizovat 2048bitové číslo RSA za méně než týden. arXiv:2505.15917 V roce 2019 činil jeho odhad společně s Martinem Ekerå ještě 20 milionů qubitů. arXiv:1905.09749 Hardwarové předpoklady přitom zůstaly stejné: čtvercová mřížka se spojením pouze se sousedy, chybovost 0,1 procenta na hradlo a cyklus korekce chyb jedna mikrosekunda. Úspora pochází z lepších algoritmů a efektivnější korekce chyb, nikoli z lepšího hardwaru. Cenou je delší doba výpočtu.

RSA-2048 se zhruba 100 000 qubity. V únoru 2026 představila australská společnost Iceberg Quantum architekturu „Pinnacle“. Ta nahrazuje dosud obvyklou korekci chyb takzvanými kódy qLDPC. Za stejných předpokladů ohledně chybovosti a taktu odhaduje Iceberg zhruba 98 000 fyzických qubitů při době výpočtu asi jeden měsíc, nebo zhruba 471 000 qubitů pro asi jeden den. arXiv:2602.11457 Architektura byla dosud ověřena pouze v simulacích. Vyžaduje spojení mezi vzdálenými qubity a velmi rychlé dekódování chyb; obojí v tomto řádu zatím nebylo prokázáno.

Eliptické křivky během minut. Koncem března 2026 zveřejnil Google Quantum AI spolu s výzkumníky z Ethereum Foundation a Stanfordovy univerzity odhady zdrojů pro 256bitové křivky, které mimo jiné zabezpečují Bitcoin a Ethereum. Dva optimalizované obvody si vystačí s méně než 1 200 logickými qubity a méně než 90 miliony Toffoliho hradel, nebo s méně než 1 450 logickými qubity a méně než 70 miliony Toffoliho hradel. Na supravodivém hardwaru s chybovostí 0,1 procenta to odpovídá méně než 500 000 fyzickým qubitům a době výpočtu několika minut. Google to vyčísluje jako zhruba dvacetinásobné snížení oproti dosud nejlepšímu odhadu. Google Research, arXiv:2603.28846

Pozoruhodné je i to, jak Google publikoval. Samotné obvody zveřejněny nebyly, aby útočníci nedostali návod. Místo toho důkaz s nulovou znalostí dokládá, že odhady jsou správné. Pro firmy je to signál: samotný výzkum dnes toto téma považuje za bezpečnostně relevantní.

Co čísla neříkají

Jakkoli je křivka působivá, práce mají jasné hranice.

• Takový stroj neexistuje. Čip Willow od Googlu měl při svém představení v prosinci 2024 105 qubitů a předvedl korekci chyb pod kritickým prahem. Google Ke stovkám tisíc qubitů, které by dny či týdny počítaly s korekcí chyb, má hardware ještě daleko.
• Předpoklady jsou optimistické, ale ne exotické. Všechny uvedené odhady předpokládají chybovost 0,1 procenta a takty v řádu mikrosekund. Některé platformy takových hodnot dnes dosahují, ale ne v tomto měřítku a ne trvale.
• Většina prací jsou preprinty. Dosud neprošly recenzí. U Icebergu navíc výsledky pocházejí pouze ze simulací.
• Pokrok přichází z algoritmů. To je zároveň znepokojivá stránka. Každé snížení v posledních letech přišlo z lepší matematiky a lepší korekce chyb. Takové pokroky se obtížně předvídají a mohou přijít náhle.

Kdo z toho odvozuje přesné datum, vyčítá z prací víc, než obsahují. Spolehlivý závěr je jiný: laťka za sedm let klesla o více než řád, aniž by se změnily hardwarové předpoklady.

Proč nejistota není důvodem čekat

Pro plánování pomáhá jednoduchá úvaha, která pochází od Michele Moscy. Je třeba porovnat tři období:

• jak dlouho musí data zůstat důvěrná,
• jak dlouho trvá přechod na postkvantovou kryptografii,
• jak dlouho potrvá, než vznikne kryptograficky relevantní kvantový počítač.

Je-li součet prvních dvou větší než třetí období, přijde přechod pozdě. Data, která jsou dnes zachycena a uložena, pak bude možné později dešifrovat („Store now, decrypt later“).

Plán EU pro postkvantovou migraci stojí právě na tom. Řadí případy užití mezi vysoce rizikové, pokud data musí zůstat důvěrná nejméně deset let, a dobu úplného přechodu odhaduje na pět až deset let. Plán EU, PDF I ten, kdo očekává Q-Day až v roce 2040, dojde při deseti letech důvěrnosti a pěti letech přechodu k začátku nejpozději v roce 2025.

U podpisů je tlak menší, protože podpis musí vydržet jen do doby, než kvantový počítač vznikne. Zato jsou tam doby přechodu nejdelší: PKI, aktualizace firmwaru a zařízení s dlouhou životností nelze přestavět za rok. Proto plán EU požaduje, aby aktualizace softwaru a firmwaru byly do roku 2030 standardně podepisovány kvantově odolně.

Závěr

Výzkum nepřináší datum Q-Day, ale jasný směr. Odborníci považují kryptograficky relevantní kvantový počítač do deseti let za docela možný, BSI jej považuje za pravděpodobný do roku 2040 a odhadované hardwarové požadavky v letech 2025 a 2026 výrazně klesly. Pro firmy ostatně přesný letopočet není rozhodující otázkou. Rozhodující je, zda vlastní data musí zůstat důvěrná déle, než kolik času přechod dovolí. Jaké termíny z toho úřady odvozují a co z nich je závazné, se dočtete v článku Postkvantová kryptografie: termíny 2026, 2030 a 2035 a co z nich je závazné.

Zdroje

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9. března 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (společné vodítko BMDS, BMI a BSI, 12. října 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21. května 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, vyšlo v časopise Quantum 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, únor 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney a kol., arXiv, 30. března 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31. března 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9. prosince 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupiny NIS Cooperation Group, červen 2025)