Post-kvante-kryptografi: fristerne 2026, 2030 og 2035, og hvad der er bindende

Hvorfor datoerne ligger fast nu

Siden august 2024 har der været standardiserede post-kvante-algoritmer. Det amerikanske NIST offentliggjorde dengang ML-KEM til nøgleetablering samt ML-DSA og SLH-DSA til signaturer som FIPS 203, 204 og 205. Siden da er “vi venter på standarder” ikke længere en grund til at udskyde overgangen.

Nu er der også datoer. I juni 2025 offentliggjorde EU's medlemsstater med støtte fra Europa-Kommissionen en fælles køreplan for overgangen. EU-køreplanen I januar 2026 føjede BSI, Tysklands føderale myndighed for informationssikkerhed, migreringsfrister til sin tekniske retningslinje TR-02102-1. BSI TR-02102-1 Og den 12. oktober 2026 offentliggjorde BMI (det tyske forbundsindenrigsministerium), BMDS (det tyske forbundsministerium for digitalisering og modernisering af staten) og BSI en fælles retningslinje, der overfører EU-datoerne til Tyskland. BSI

Dette indlæg sætter datoerne fra disse dokumenter i perspektiv. Det skelner mellem, hvad der anbefales, og hvor det bliver til en pligt. Den sondring får for lidt plads i mange sammenfatninger.

Fristerne i overblik

Udgangen af 2026: inventar, ansvar og plan

Den første frist handler ikke om teknik, men om organisering. EU-køreplanen nævner blandt andet disse første skridt inden udgangen af 2026: inddrage interessenter, opbygge en moden styring af kryptografiske aktiver, kortlægge afhængigheder, analysere kvanterisikoen, inddrage leverandørkæden og udarbejde en tids- og implementeringsplan. Pilotprojekter for anvendelser med høj og mellemhøj risiko skal være påbegyndt inden da. EU-køreplanen, PDF

Den nationale retningslinje er mere konkret for Tyskland. Inden udgangen af 2026 skal forberedelses- og planlægningsfasen være afsluttet; retningslinjen kalder det “PQC-Readiness”. Hver organisation bør udpege mindst én ansvarlig enhed, der styrer implementeringsplan, prioriteter og fremdrift, og afsætte tilstrækkelige personalemæssige og økonomiske ressourcer til det. Retningslinje, PDF

Til inventaret henviser retningslinjen til “Krypto-Kataster”, et register over kryptografiske aktiver fra IT-Grundschutz, BSI's metode og baseline for informationssikkerhed: krav CON.1.A19 i modulet CON.1 Kryptokonzept. Værktøjer til inventarisering, scanninger af kode-repositories og en Cryptographic Bill of Materials (CBOM), fx efter CycloneDX-standarden, kan hjælpe. Den første version af inventaret skal foreligge ved udgangen af 2026. Hertil hører også et overblik over interne og eksterne afhængigheder. Retningslinjens eksempel: Kortlæser og kort skal begge understøtte kvantesikre algoritmer, ellers er forbindelsen mellem dem ikke kvantesikker.

Udgangen af 2030: hvad en højrisiko-anvendelse er

Den vigtigste frist er udgangen af 2030. Inden da skal anvendelser med høj kvanterisiko være omstillet. EU-køreplanen formulerer det klart: For disse anvendelser bør sårbare public key-algoritmer ikke længere bruges alene efter udgangen af 2030. For anvendelser med mellemhøj risiko gælder det samme efter udgangen af 2035.

Hvad “høj risiko” betyder, fastlægger hver organisation selv. Køreplanen giver en metode og nogle grove tommelfingerregler. Kvanterisikoen ved en anvendelse afhænger af tre faktorer:

• hvor sårbar den anvendte kryptografi er,
• hvilken skade der opstår, hvis den brydes,
• hvor lang og krævende overgangen til post-kvante-kryptografi er.

To af køreplanens tommelfingerregler er særligt praktiske. For det første: Hvis data skal forblive fortrolige i mindst ti år, og et angreb også efter ti år ville have betydelige konsekvenser, er risikoen høj. Sådanne data kan angribere allerede i dag opsnappe og gemme for at dekryptere dem senere (“Store now, decrypt later”). For det andet: Hvis overgangen tager mere end otte år, og konsekvenserne af et angreb ville være alvorlige, er risikoen ligeledes høj. Køreplanen nævner sikring af softwareopdateringer som eksempel.

Heraf følger et andet krav for 2030: Kvantesikre software- og firmwareopdateringer skal være aktiveret som standard. Produkter, der kommer på markedet med en forventet levetid ud over 2030, skal kunne opdateres til post-kvante-algoritmer. Selve opdateringsmekanismen skal til det formål bruge post-kvante-signaturer.

BSI sætter i TR-02102-1 samme dato for applikationer med meget højt beskyttelsesbehov: Deres overgang til kvantesikre algoritmer bør ske inden udgangen af 2030.

Udgangen af 2031 og 2035: hvad BSI TR-02102-1 anbefaler

TR-02102-1 i version 2026-01 af 23. januar 2026 er BSI's centrale anbefaling om kryptografiske algoritmer og nøglelængder. Den skelner mellem nøgleetablering og signaturer. BSI TR-02102-1, PDF

Nøgleetablering. Klassiske algoritmer som RSA eller Diffie-Hellman på elliptiske kurver anbefaler BSI alene kun til udgangen af 2031. Derefter skal de kun bruges sammen med en kvantesikker KEM-algoritme. Årsagen er “Store now, decrypt later”: Opsnappede data er i fare, så snart der findes en tilstrækkeligt kraftig kvantecomputer, også selv om opsnapningen ligger år tilbage.

Signaturer. Her er situationen en anden. En klassisk signatur forbliver troværdig, så længe der ikke findes en kryptografisk relevant kvantecomputer. BSI følger derfor EU-køreplanen og anbefaler efter den nuværende vurdering klassiske signaturalgoritmer forventeligt til udgangen af 2035. Samtidig påpeger retningslinjen, at der netop for signaturer inden for en PKI må regnes med lange migreringstider.

Hybrid i stedet for udskiftning. BSI anbefaler at bruge post-kvante-algoritmer hybridt, altså i kombination med en klassisk algoritme. Falder den ene af de to, beskytter den anden fortsat. Den nationale retningslinje overtager denne anbefaling.

2035: NIST IR 8547 og den internationale ramme

I USA foreslog NIST i november 2024 med udkastet NIST IR 8547 en tidsplan for udfasning af klassiske public key-algoritmer. NIST IR 8547 Algoritmer med 112 bits sikkerhedsniveau, herunder RSA-2048, skal efter 2030 betragtes som “deprecated”. Efter 2035 skal RSA, ECDSA, EdDSA og klassisk Diffie-Hellman på alle sikkerhedsniveauer være “disallowed”.

To forbehold er vigtige. Dokumentet er stadig et udkast (Initial Public Draft). Og “deprecated” betyder hos NIST ikke forbudt: En algoritme må fortsat bruges, hvis organisationen bevidst accepterer risikoen. Endeligt udelukket er den først som “disallowed”.

EU-køreplanen har bevidst knyttet 2035 til denne tidsplan. Den henviser til NIST IR 8547, til det amerikanske mål fra National Security Memorandum 10 om at fjerne så meget kvanterisiko som muligt inden 2035, og til tidsplanen fra det britiske NCSC, der ligeledes nævner 2035 som mål. For internationalt aktive virksomheder er det en god nyhed: De store tidsplaner modsiger ikke hinanden.

Hvad der er en pligt, og hvad der er en anbefaling

De fleste sammenfatninger taler om “deadlines”. Juridisk er datoerne fra EU-køreplanen og den nationale retningslinje dog anbefalinger. Det siger retningslinjen selv: Fristerne er “presserende anbefalinger på grund af det akutte handlingspres”. For at de bliver bindende, skal IT-Planungsrat (det tyske koordineringsorgan for forbundsstatens og delstaternes IT) og UP KRITIS (Tysklands offentlig-private partnerskab for kritisk infrastruktur) så vidt muligt vedtage dem som bindende inden udgangen af 2026.

Bindende er i dag især tre ting:

• Verschlusssachen (klassificerede informationer). For godkendte VS-IT-sikkerhedsprodukter, altså IT-sikkerhedsprodukter godkendt til klassificerede informationer, har BSI fastsat bindende frister for at omstille området for klassificerede informationer inden 2030.
• NIS2 i Tyskland. Vigtige og væsentlige enheder er efter § 30 i BSI-loven (BSI-Gesetz, BSIG), den tyske gennemførelse af NIS2's risikostyringsforanstaltninger, forpligtet til at overholde det aktuelle tekniske niveau (“Stand der Technik”) for kryptografi. Retningslinjen nævner udtrykkeligt TR-02102 som målestok for det. Den, der ignorerer anbefalingerne i TR-02102 uden en begrundet risikobeslutning, vil i tvivlstilfælde få svært ved at dokumentere det aktuelle tekniske niveau.
• Branchekrav. Den delegerede retsakt om IKT-risikostyring under DORA (Delegeret forordning (EU) 2024/1774, artikel 6) kræver, at finansielle enheder i deres politik for kryptering og kryptografiske kontroller fastsætter, at den kryptografiske teknologi opdateres eller udskiftes ved fremskridt inden for kryptoanalyse. PCI DSS 4.0.1 kræver med krav 12.3.3 siden 31. marts 2025 et dokumenteret overblik over de anvendte cipher suites og protokoller, der gennemgås mindst én gang om året, og en strategi for forudsigelige sårbarheder. Ingen af dem nævner en fast post-kvante-dato. Men en kvantecomputer er netop den slags udvikling, de skal reagere på.

Begge dokumenter, EU-køreplanen og retningslinjen, indeholder desuden den samme sætning for det tilfælde, at en dato ikke kan overholdes: Så skal den individuelle risiko vurderes. Det er ikke en udvej, men en pligt til dokumentation. Den, der ikke når 2030, bør kunne begrunde hvorfor og med hvilke kompenserende foranstaltninger.

Hvad tidslinjen betyder for planlægningen

EU-køreplanen begrunder også sine datoer med, hvor lang tid overgangen tager. Det kan let tage fem til ti år at omstille alle relevante systemer fuldstændigt. Retningslinjen henviser til tidligere kryptografiske overgange, der ligeledes tog år.

Hvor godt virksomheder er forberedt, viser en markedsundersøgelse, som KPMG gennemførte for BSI i 2023: Næsten 90 procent af deltagerne vurderede, at de ikke ville kunne imødegå kvantecomputeres trussel mod kryptografien i tide. BSI's markedsundersøgelse

Regnestykket er enkelt. Den, der skal have omstillet højrisiko-anvendelser inden udgangen af 2030 og har brug for fem år til det, burde være begyndt i 2025. For alle andre gælder: Fristen ved udgangen af 2026 for inventar, ansvar og plan er den første, man realistisk stadig kan overholde. Og den koster primært arbejde, næppe investeringer.

Samtidig advarer EU-køreplanen og retningslinjen mod den anden yderlighed. Tidsplanen skal undgå en kaotisk overgang, der skaber nye sårbarheder gennem utilstrækkeligt testede løsninger. En hurtig total udskiftning er altså ikke målet. Det, der kræves, er en prioriteret, testet og dokumenteret overgang.

Hvad vi hos Secani tager med herfra

Retningslinjen kræver, at kvanterisikoen integreres i den almindelige risikostyring, og at fristerne for håndteringen forankres der. For et ISMS betyder det: Kvanterisikoen bliver ikke et særprojekt ved siden af registret, men en risiko som andre, koblet til de berørte aktiver, applikationer og leverandører, med en ansvarlig person og en dato. Så forbliver det sporbart, hvilke anvendelser der blev vurderet som høj risiko, hvorfor, og hvornår de skal være omstillet.

Hvordan du fører risici, så de fører til beslutninger, beskriver vi i Byg et risikoregister, der ændrer beslutninger. Hvordan kryptering og nøglehåndtering bør vurderes samlet, kan du læse i Kryptering og nøglehåndtering: verificér beskyttelseskæden. Hvad forskningen siger om tidspunktet, hvor en kvantecomputer kan bryde RSA, opsummerer vi i Hvornår kommer Q-Day? Hvad forskningen viser i 2025 og 2026.

Konklusion

Datoerne for post-kvante-migreringen ligger fast, og de store tidsplaner fra EU, Tyskland, USA og Storbritannien passer sammen: inventar og plan ved udgangen af 2026, anvendelserne med høj risiko ved udgangen af 2030, resten i 2035. Bindende er de indtil videre især for klassificerede informationer. For NIS2-enheder i Tyskland bliver de via det aktuelle tekniske niveau efter § 30 BSIG i praksis målestokken. Den, der begynder i dag, bør derfor ikke starte med teknikken, men med en ansvarlig enhed, et inventar og en begrundet klassificering af egne anvendelser.

Kilder

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream under NIS-samarbejdsgruppen, Part 1, version 1.1, 11.6.2025, offentliggjort 23.6.2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (Fælles retningslinje fra BMDS, BMI og BSI, offentliggjort 12.10.2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, pressemeddelelse, 12.10.2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (version 2026-01, 23.1.2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG for BSI, april 2023)