Postkvantkrüptograafia: tähtajad 2026, 2030 ja 2035 ning mis neist on siduv

Miks tähtajad on nüüd paigas

Alates 2024. aasta augustist on olemas standarditud postkvantalgoritmid. USA standardiasutus NIST avaldas toona võtmekokkuleppe jaoks ML-KEM-i ning allkirjade jaoks ML-DSA ja SLH-DSA standarditena FIPS 203, 204 ja 205. Sellest ajast peale ei ole „ootame standardeid“ enam põhjus üleminekuga viivitada.

Nüüdseks on olemas ka tähtajad. 2025. aasta juunis avaldasid ELi liikmesriigid Euroopa Komisjoni toel ühise ülemineku tegevuskava. ELi tegevuskava Saksamaa Liidu Infoturbeamet (BSI) täiendas 2026. aasta jaanuaris oma tehnilist juhendit TR-02102-1 migratsioonitähtaegadega. BSI TR-02102-1 Ning 12. oktoobril 2026 avaldasid BMI (Saksamaa Liidu siseministeerium), BMDS (Saksamaa Liidu digitaal- ja riigihalduse moderniseerimise ministeerium) ja BSI ühise juhise, mis võtab ELi tähtajad Saksamaal üle. BSI

See artikkel paigutab nende dokumentide tähtajad konteksti. Seejuures eristab see, mida soovitatakse ja kus soovitusest saab kohustus. Paljudes kokkuvõtetes jääb see eristus tähelepanuta.

Tähtajad ülevaatlikult

2026. aasta lõpp: inventuur, vastutus ja plaan

Esimene tähtaeg ei puuduta tehnikat, vaid korraldust. ELi tegevuskava nimetab 2026. aasta lõpuks muu hulgas järgmised esimesed sammud: kaasata osapooled, luua küps krüptograafiliste varade haldus, kaardistada sõltuvused, analüüsida kvantriski, kaasata tarneahel ning koostada ajakava ja rakenduskava. Selleks ajaks peaksid olema alanud kõrge ja keskmise riskiga kasutusjuhtude pilootprojektid. ELi tegevuskava, PDF

Riiklik juhis on Saksamaa jaoks konkreetsem. 2026. aasta lõpuks peaks ettevalmistus- ja planeerimisetapp olema lõpetatud; juhis nimetab seda „PQC-valmiduseks“ (PQC-Readiness). Iga organisatsioon peaks määrama vähemalt ühe vastutava üksuse, kes juhib rakenduskava, prioriteete ja edenemist, ning planeerima selleks piisavad inim- ja rahalised ressursid. Juhis, PDF

Inventuuri jaoks viitab juhis IT-Grundschutzi (BSI infoturbe põhikaitse metoodika) Krypto-Katasterile ehk krüptograafiliste lahenduste registrile, mis on nõue CON.1.A19 moodulis CON.1 Kryptokonzept (krüptokontseptsioon). Abiks võivad olla inventeerimistööriistad, koodihoidlate skaneerimine ja krüptograafiline materjalide loend (Cryptographic Bill of Materials, CBOM), näiteks CycloneDX standardi järgi. Inventuuri esimene versioon peaks valmis olema 2026. aasta lõpuks. Selle juurde kuulub ka ülevaade sisemistest ja välistest sõltuvustest. Juhise näide: nii kaardilugeja kui ka kaart peavad toetama kvantkindlaid algoritme, vastasel juhul ei ole nendevaheline ühendus kvantkindel.

2030. aasta lõpp: mis on kõrge riskiga kasutusjuht

Kõige olulisem tähtaeg on 2030. aasta lõpp. Selleks ajaks peaksid kõrge kvantriskiga kasutusjuhud olema üle viidud. ELi tegevuskava sõnastab selle selgelt: nendes kasutusjuhtudes ei tohiks haavatavaid avaliku võtme algoritme pärast 2030. aasta lõppu enam üksi kasutada. Keskmise riskiga kasutusjuhtude puhul kehtib sama pärast 2035. aasta lõppu.

Mida tähendab „kõrge risk“, otsustab iga organisatsioon ise. Tegevuskava annab selleks meetodi ja üldised rusikareeglid. Kasutusjuhu kvantrisk sõltub kolmest tegurist:

• kui haavatav on kasutatav krüptograafia,
• milline kahju tekib, kui see murtakse,
• kui kaua ja kui töömahukalt kestab üleminek postkvantkrüptograafiale.

Kaks tegevuskava rusikareeglit on eriti praktilised. Esiteks: kui andmed peavad jääma konfidentsiaalseks vähemalt kümme aastat ja rünnakul oleksid ka kümne aasta pärast märkimisväärsed tagajärjed, on risk kõrge. Selliseid andmeid saavad ründajad juba täna pealt kuulata ja salvestada, et need hiljem dekrüpteerida („Store now, decrypt later“). Teiseks: kui üleminek kestab üle kaheksa aasta ja rünnaku tagajärjed oleksid rasked, on risk samuti kõrge. Tegevuskava toob näiteks tarkvarauuenduste kaitsmise.

Sellest tuleneb 2030. aastaks teine nõue: kvantkindlad tarkvara- ja püsivarauuendused peaksid olema vaikimisi sisse lülitatud. Tooted, mis tulevad turule eeldatava elueaga üle 2030. aasta, peaksid olema uuendatavad postkvantalgoritmidele. Uuendusmehhanism ise peaks selleks kasutama postkvantallkirju.

BSI seab TR-02102-1-s sama tähtaja väga kõrge kaitsevajadusega rakendustele: nende üleminek kvantkindlatele algoritmidele peaks toimuma 2030. aasta lõpuks.

2031. ja 2035. aasta lõpp: mida soovitab BSI TR-02102-1

TR-02102-1 versioon 2026-01, dateeritud 23. jaanuaril 2026, on BSI keskne soovitus krüptograafiliste algoritmide ja võtmepikkuste kohta. See eristab võtmekokkulepet ja allkirju. BSI TR-02102-1, PDF

Võtmekokkulepe. Klassikalisi algoritme, nagu RSA või elliptkõveratel põhinev Diffie-Hellman, soovitab BSI üksi kasutada ainult kuni 2031. aasta lõpuni. Pärast seda tuleks neid kasutada ainult koos kvantkindla KEM-algoritmiga. Põhjus on „Store now, decrypt later“: pealtkuulatud andmed on ohus kohe, kui piisavalt võimas kvantarvuti on olemas, isegi kui pealtkuulamine toimus aastaid varem.

Allkirjad. Siin on olukord teistsugune. Klassikaline allkiri jääb usaldusväärseks seni, kuni krüptograafiliselt olulist kvantarvutit ei ole. Seetõttu järgib BSI ELi tegevuskava ja soovitab praeguse seisuga klassikalisi allkirjaalgoritme eeldatavasti kuni 2035. aasta lõpuni. Samal ajal juhib juhend tähelepanu sellele, et just PKI-siseste allkirjade puhul tuleb arvestada pikkade migratsiooniaegadega.

Hübriid väljavahetamise asemel. BSI soovitab kasutada postkvantalgoritme hübriidselt ehk koos klassikalise algoritmiga. Kui üks kahest algoritmist murtakse, kaitseb teine edasi. Riiklik juhis võtab selle soovituse üle.

2035: NIST IR 8547 ja rahvusvaheline raamistik

USA-s pakkus NIST 2024. aasta novembris kavandiga NIST IR 8547 välja ajakava klassikaliste avaliku võtme algoritmide järkjärguliseks lõpetamiseks. NIST IR 8547 112-bitise turvatasemega algoritmid, sealhulgas RSA-2048, loetakse pärast 2030. aastat „deprecated“-iks. Pärast 2035. aastat peaksid RSA, ECDSA, EdDSA ja klassikaline Diffie-Hellman olema kõigil turvatasemetel „disallowed“.

Kaks piirangut on olulised. Dokument on tänaseni kavand (Initial Public Draft). Ja „deprecated“ ei tähenda NIST-i juures keelatut: algoritmi võib edasi kasutada, kui organisatsioon kannab riski teadlikult. Lõplikult välistatud on see alles staatusega „disallowed“.

ELi tegevuskava on 2035. aasta teadlikult selle ajakavaga vastavusse viinud. See viitab NIST IR 8547-le, USA riikliku julgeoleku memorandumi National Security Memorandum 10 eesmärgile kõrvaldada 2035. aastaks võimalikult suur osa kvantriskist ning Ühendkuningriigi NCSC ajakavale, mis nimetab samuti eesmärgiks 2035. aastat. Rahvusvaheliselt tegutsevatele ettevõtetele on see hea uudis: suured ajakavad ei ole omavahel vastuolus.

Mis on kohustuslik ja mis soovitus

Enamik kokkuvõtteid räägib „tähtaegadest“. Õiguslikult on ELi tegevuskava ja riikliku juhise tähtajad aga soovitused. Juhis ütleb seda ise: tähtajad on „kiireloomulised soovitused ägeda tegutsemissurve tõttu“. Et need muutuksid siduvaks, peaksid IT-Planungsrat (Saksamaa liidu ja liidumaade IT-planeerimise nõukogu) ja UP KRITIS (Saksamaa elutähtsa taristu avaliku ja erasektori partnerlus) need 2026. aasta lõpuks võimaluse korral siduvalt vastu võtma.

Siduv on täna peamiselt kolm asja:

• Verschlusssachen (salastatud teave). Heakskiidetud VS-IT-turvatoodete (salastatud teabe töötlemiseks lubatud IT-turvatoodete) jaoks on BSI kehtestanud siduvad tähtajad, et salastatud teabe valdkond 2030. aastaks üle viia.
• NIS2 Saksamaal. Olulised ja eriti olulised üksused on BSI seaduse (BSI-Gesetz, BSIG, millega Saksamaa võttis üle NIS2) § 30 alusel kohustatud järgima krüptograafias tehnika taset (Stand der Technik). Juhis nimetab selle mõõdupuuna sõnaselgelt TR-02102. Kes eirab TR-02102 soovitusi ilma põhjendatud riskiotsuseta, sellel on kahtluse korral raske tehnika taseme järgimist tõendada.
• Valdkondlikud reeglid. DORA alusel IKT-riskijuhtimise kohta vastu võetud delegeeritud õigusakt (delegeeritud määrus (EL) 2024/1774, artikkel 6) nõuab finantsüksustelt, et nende krüpteerimise ja krüptograafiliste kontrollide poliitika näeks ette krüptotehnika ajakohastamise või väljavahetamise krüptoanalüüsi arengu korral. PCI DSS 4.0.1 nõue 12.3.3 nõuab alates 31. märtsist 2025 dokumenteeritud ülevaadet kasutatavatest šifrikomplektidest ja protokollidest, mis vaadatakse üle vähemalt kord aastas, ning strateegiat ettenähtavate nõrkuste jaoks. Kindlat postkvanttähtaega kumbki ei nimeta. Kvantarvuti on aga täpselt seda liiki areng, millele need peaksid reageerima.

Mõlemad dokumendid, ELi tegevuskava ja juhis, sisaldavad lisaks sama lauset juhuks, kui tähtajast ei ole võimalik kinni pidada: siis tuleb hinnata individuaalset riski. See ei ole pääsetee, vaid dokumenteerimiskohustus. Kes 2030. aasta tähtajast mööda laseb, peaks oskama põhjendada, miks ja milliste asendusmeetmetega.

Mida ajajoon planeerimise jaoks tähendab

ELi tegevuskava põhjendab oma tähtaegu ka ülemineku kestusega. Kõigi asjakohaste süsteemide täielik üleviimine võib kergesti võtta viis kuni kümme aastat. Juhis viitab varasematele krüptograafilistele üleminekutele, mis kestsid samuti aastaid.

Kui hästi on ettevõtted valmis, näitab turu-uuring, mille KPMG viis BSI tellimusel läbi 2023. aastal: peaaegu 90 protsenti vastanutest arvas, et nad ei suuda kvantarvutitest krüptograafiale tulenevatele ohtudele õigeaegselt reageerida. BSI turu-uuring

Arvutus on lihtne. Kes peab kõrge riskiga kasutusjuhud 2030. aasta lõpuks üle viima ja vajab selleks viis aastat, oleks pidanud alustama 2025. aastal. Kõigile teistele kehtib: 2026. aasta lõpu tähtaeg inventuuri, vastutuse ja plaani jaoks on esimene, millest saab realistlikult veel kinni pidada. Ning see nõuab eelkõige tööd, vaevalt investeeringuid.

Samal ajal hoiatavad ELi tegevuskava ja juhis teise äärmuse eest. Ajakava eesmärk on vältida kaootilist üleminekut, mis loob ebapiisavalt testitud lahenduste kaudu uusi nõrkusi. Kiire täielik väljavahetamine ei ole seega eesmärk. Vaja on prioriseeritud, testitud ja dokumenteeritud üleminekut.

Mida meie Secanis sellest kaasa võtame

Juhis nõuab kvantriski integreerimist tavapärasesse riskijuhtimisse ja selle käsitlemise tähtaegade sinna kinnitamist. ISMS-i jaoks tähendab see: kvantriskist ei saa registri kõrval eriprojekt, vaid risk nagu teisedki, mis on seotud mõjutatud varade, rakenduste ja tarnijatega ning millel on vastutav isik ja tähtaeg. Nii jääb jälgitavaks, millised kasutusjuhud liigitati kõrge riskiga juhtudeks, miks ja millal need peaksid olema üle viidud.

Kuidas hallata riske nii, et neist sünnivad otsused, kirjeldame artiklis Looge riskiregister, mis muudab otsuseid. Kuidas krüpteerimist ja võtmehaldust tervikuna kontrollida, loete artiklist Krüpteerimine ja võtmehaldus: kontrollige kaitseahelat. Mida ütlevad uuringud ajast, mil kvantarvuti võiks RSA murda, võtame kokku artiklis Millal saabub Q-Day? Mida näitavad 2025. ja 2026. aasta uuringud.

Kokkuvõte

Postkvantmigratsiooni tähtajad on paigas ning ELi, Saksamaa, USA ja Ühendkuningriigi suured ajakavad sobivad omavahel kokku: 2026. aasta lõpuks inventuur ja plaan, 2030. aasta lõpuks kõrge riskiga kasutusjuhud, 2035. aastaks ülejäänu. Siduvad on need seni peamiselt salastatud teabe puhul. Saksamaa NIS2 üksustele saavad need BSIG § 30 kohase tehnika taseme kaudu tegelikkuses mõõdupuuks. Kes alustab täna, ei peaks seetõttu alustama tehnikast, vaid vastutavast üksusest, inventuurist ja oma kasutusjuhtude põhjendatud liigitusest.

Allikad

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (NIS koostöörühma EU PQC Workstream, Part 1, versioon 1.1, 11.06.2025, avaldatud 23.06.2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (BMDS-i, BMI ja BSI ühine juhis, avaldatud 12.10.2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, pressiteade, 12.10.2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (versioon 2026-01, 23.01.2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG BSI tellimusel, aprill 2023)