Hvornår kommer Q-Day? Hvad forskningen viser i 2025 og 2026

Hvad der menes med Q-Day

“Q-Day” betegner den dag, hvor en kvantecomputer kan bryde den public key-kryptografi, der er udbredt i dag. Det drejer sig først og fremmest om RSA og algoritmer baseret på elliptiske kurver, som TLS, VPN'er, kodesignaturer, PKI'er og digitale identiteter bygger på. Fagfolk taler om en kryptografisk relevant kvantecomputer, forkortet CRQC.

At en sådan maskine kan bryde disse algoritmer, har været kendt siden 1994, hvor Peter Shor offentliggjorde de tilsvarende kvantealgoritmer. Det åbne spørgsmål er, hvornår der kan bygges en maskine, der er stor nok og har få nok fejl. På det spørgsmål har forskningen flyttet sig markant i 2025 og 2026. Dette indlæg opsummerer de vigtigste arbejder og vurderer, hvad de dokumenterer, og hvad de ikke dokumenterer.

Et begreb på forhånd: Nutidens kvantecomputere arbejder med fysiske qubits, der er fejlbehæftede. Gennem kvantefejlkorrektion samles mange fysiske qubits til én mere stabil logisk qubit. Ressourceestimater angiver derfor oftest begge tal. For spørgsmålet om, hvor langt hardwaren stadig er fra målet, er det antallet af fysiske qubits, der tæller.

Hvad fagfolk forventer: Quantum Threat Timeline Report

Den bedst kendte langtidsundersøgelse er Quantum Threat Timeline Report fra Global Risk Institute. Michele Mosca og Marco Piani fra evolutionQ spørger hvert år fagfolk fra forskning og industri. Den syvende udgave, dateret 9. marts 2026, bygger på svar fra 26 fagfolk. Global Risk Institute

Resultatet: De adspurgte anser en kryptografisk relevant kvantecomputer inden for de næste ti år for “meget muligt”, med en sandsynlighed på 28 til 49 procent. Inden for 15 år anser de den for “sandsynlig”, med 51 til 70 procent. Rapportserien definerer en sådan maskine som en, der kan bryde RSA-2048 inden for 24 timer.

En undersøgelse blandt 26 personer er ikke en måling. Dens værdi ligger i tidsserien: Det samme spørgsmål er blevet stillet i årevis, og vurderingerne er rykket frem på tværs af udgaverne.

Hvad BSI forventer

BSI, Tysklands føderale myndighed for informationssikkerhed, har siden 2017 fået udviklingen af kvantecomputere vurderet i et eget studie, senest opdateret i 2025. Den tyske nationale retningslinje for post-kvante-migreringen opsummerer resultatet således: Det er sandsynligt, at en sådan kvantecomputer kan realiseres inden for højst 15 år, altså inden 2040 eller tidligere. Grundantagelserne for kvantefejlkorrektion blev fuldt verificeret i 2024, og yderligere fremskridt kan forkorte perioden betydeligt. Retningslinje, PDF

For højsikkerhedsområdet er den tyske forbundsregering mere forsigtig. Her arbejder den ud fra hypotesen om, at kryptografisk relevante kvantecomputere er tilgængelige i begyndelsen af 2030'erne. Retningslinjen citerer i den forbindelse et forbundsdagsdokument (Bundestagsdrucksache) fra februar 2025.

BSI's og fagfolkenes vurderinger ligger dermed tæt på hinanden: intet gennembrud i morgen, men en realistisk mulighed inden for levetiden af systemer, der planlægges i dag.

Hardwareestimaterne falder

Det, der især har flyttet sig, er estimaterne af, hvor stor en kvantecomputer skal være for at gennemføre et angreb. Tre arbejder fra 2025 og 2026 står i centrum.

RSA-2048 med under en million qubits. I maj 2025 estimerede Craig Gidney fra Google Quantum AI, at en kvantecomputer med færre end en million støjfyldte qubits kunne faktorisere et 2048-bit RSA-tal på under en uge. arXiv:2505.15917 I 2019 lå hans estimat sammen med Martin Ekerå stadig på 20 millioner qubits. arXiv:1905.09749 Hardwareantagelserne er de samme: et kvadratisk gitter med forbindelser kun til naboer, en fejlrate på 0,1 procent pr. gate og en fejlkorrektionscyklus på et mikrosekund. Besparelsen kommer fra bedre algoritmer og mere effektiv fejlkorrektion, ikke fra bedre hardware. Prisen er en længere kørselstid.

RSA-2048 med omkring 100.000 qubits. I februar 2026 præsenterede den australske virksomhed Iceberg Quantum “Pinnacle”-arkitekturen. Den erstatter den hidtil gængse fejlkorrektion med såkaldte qLDPC-koder. Under de samme antagelser om fejlrate og taktfrekvens estimerer Iceberg omkring 98.000 fysiske qubits ved ca. en måneds kørselstid, eller omkring 471.000 qubits for ca. en dag. arXiv:2602.11457 Arkitekturen er indtil videre kun afprøvet i simuleringer. Den kræver forbindelser mellem qubits, der ligger langt fra hinanden, og en meget hurtig fejldekodning; ingen af delene er endnu demonstreret i denne størrelsesorden.

Elliptiske kurver på minutter. I slutningen af marts 2026 offentliggjorde Google Quantum AI sammen med forskere fra Ethereum Foundation og Stanford University ressourceestimater for 256-bit-kurver, der blandt andet sikrer Bitcoin og Ethereum. To optimerede kredsløb klarer sig med under 1.200 logiske qubits og under 90 millioner Toffoli-gates eller under 1.450 logiske qubits og under 70 millioner Toffoli-gates. På superledende hardware med en fejlrate på 0,1 procent svarer det til færre end 500.000 fysiske qubits og en kørselstid på få minutter. Google angiver det som en omtrent 20-dobbelt reduktion i forhold til det hidtil bedste estimat. Google Research, arXiv:2603.28846

Bemærkelsesværdigt er også, hvordan Google har offentliggjort. Selve kredsløbene blev ikke publiceret for ikke at give angribere en vejledning. I stedet dokumenterer et zero-knowledge-bevis, at estimaterne holder. For virksomheder er det et signal: Forskningen behandler nu selv emnet som sikkerhedsrelevant.

Hvad tallene ikke siger

Så imponerende kurven end er, har arbejderne klare begrænsninger.

• Maskinen findes ikke. Googles Willow-chip havde ved præsentationen i december 2024 105 qubits og viste fejlkorrektion under den kritiske tærskel. Google Hardwaren er langt fra hundredtusinder af qubits, der regner fejlkorrigeret over dage eller uger.
• Antagelserne er optimistiske, men ikke eksotiske. Alle de nævnte estimater forudsætter en fejlrate på 0,1 procent og cyklustider i mikrosekundområdet. Enkelte platforme når sådanne værdier i dag, men ikke i denne størrelse og ikke vedvarende.
• De fleste arbejder er preprints. De er endnu ikke fagfællebedømt. For Icebergs vedkommende kommer det til, at resultaterne alene stammer fra simuleringer.
• Fremskridtet kommer fra algoritmer. Det er samtidig den foruroligende side. Hver reduktion i de seneste år kom fra bedre matematik og bedre fejlkorrektion. Sådanne fremskridt er svære at forudsige og kan komme pludseligt.

Den, der udleder en præcis dato heraf, læser mere ind i arbejderne, end de kan bære. Det holdbare udsagn er et andet: Barrieren er på syv år faldet med mere end en størrelsesorden, uden at hardwareantagelserne har ændret sig.

Hvorfor usikkerheden ikke er en grund til at vente

Til planlægningen hjælper en enkel overvejelse, der går tilbage til Michele Mosca. Tre tidsrum skal sammenlignes:

• hvor længe data skal forblive fortrolige,
• hvor længe overgangen til post-kvante-kryptografi tager,
• hvor længe der går, før der findes en kryptografisk relevant kvantecomputer.

Er summen af de to første større end det tredje tidsrum, kommer overgangen for sent. Data, der opsnappes og gemmes i dag, kan så dekrypteres senere (“Store now, decrypt later”).

EU-køreplanen for post-kvante-migreringen bygger netop på dette. Den klassificerer anvendelser som høj risiko, hvis data skal forblive fortrolige i mindst ti år, og estimerer varigheden af en fuldstændig overgang til fem til ti år. EU-køreplanen, PDF Selv den, der først forventer Q-Day i 2040, når med ti års fortrolighed og fem års overgang frem til en start senest i 2025.

For signaturer er presset mindre, for en signatur skal kun holde, indtil kvantecomputeren findes. Til gengæld er overgangstiderne der længst: PKI'er, firmwareopdateringer og enheder med lang levetid kan ikke bygges om på et år. Derfor kræver EU-køreplanen, at software- og firmwareopdateringer som standard signeres kvantesikkert inden 2030.

Konklusion

Forskningen giver ingen dato for Q-Day, men en klar retning. Fagfolk anser en kryptografisk relevant kvantecomputer inden for ti år for meget mulig, BSI anser den for sandsynlig inden 2040, og de estimerede hardwarekrav er faldet kraftigt i 2025 og 2026. For virksomheder er det præcise årstal under alle omstændigheder ikke det afgørende spørgsmål. Det afgørende er, om egne data skal forblive fortrolige længere, end overgangen giver tid til. Hvilke datoer myndighederne udleder heraf, og hvad der er bindende, kan du læse i Post-kvante-kryptografi: fristerne 2026, 2030 og 2035, og hvad der er bindende.

Kilder

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9.3.2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (Fælles retningslinje fra BMDS, BMI og BSI, 12.10.2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21.5.2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, udgivet i Quantum 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, februar 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney m.fl., arXiv, 30.3.2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31.3.2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9.12.2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream under NIS-samarbejdsgruppen, juni 2025)