Post-kvanttikryptografia: määräajat 2026, 2030 ja 2035 ja mikä niistä on sitovaa

Miksi päivämäärät ovat nyt selvillä

Elokuusta 2024 lähtien on ollut olemassa standardoituja post-kvanttialgoritmeja. Yhdysvaltalainen NIST julkaisi tuolloin ML-KEM:n avaintenvaihtoon sekä ML-DSA:n ja SLH-DSA:n allekirjoituksiin standardeina FIPS 203, 204 ja 205. Siitä lähtien ”odotamme standardeja” ei ole enää ollut syy lykätä siirtymää.

Nyt myös päivämäärät ovat tiedossa. Kesäkuussa 2025 EU:n jäsenvaltiot julkaisivat Euroopan komission tuella yhteisen tiekartan siirtymää varten. EU:n tiekartta Tammikuussa 2026 BSI, Saksan liittovaltion tietoturvavirasto, lisäsi teknisen ohjeensa TR-02102-1 migraation määräajat. BSI TR-02102-1 Ja 12. lokakuuta 2026 BMI (Saksan liittovaltion sisäministeriö), BMDS (Saksan liittovaltion digitalisaatio- ja valtionhallinnon modernisointiministeriö) ja BSI julkaisivat yhteisen ohjeistuksen, joka ottaa EU:n päivämäärät käyttöön Saksassa. BSI

Tämä kirjoitus suhteuttaa näiden asiakirjojen päivämäärät. Se erottaa toisistaan sen, mitä suositellaan, ja sen, missä siitä tulee velvoite. Tämä ero jää monissa tiivistelmissä liian vähälle huomiolle.

Määräajat yhdellä silmäyksellä

Vuoden 2026 loppu: inventaario, vastuut ja suunnitelma

Ensimmäinen määräaika ei koske tekniikkaa vaan organisointia. EU:n tiekartta mainitsee vuoden 2026 loppuun mennessä muun muassa nämä ensimmäiset vaiheet: sidosryhmien osallistaminen, kypsän kryptografisen omaisuuden hallinnan rakentaminen, riippuvuuksien kartoittaminen, kvanttiriskin analysointi, toimitusketjun mukaan ottaminen sekä aikataulu- ja toteutussuunnitelman laatiminen. Korkean ja keskisuuren riskin käyttötapausten pilottihankkeiden pitäisi olla siihen mennessä käynnissä. EU:n tiekartta, PDF

Kansallinen ohjeistus on Saksan osalta konkreettisempi. Valmistelu- ja suunnitteluvaiheen pitäisi olla valmis vuoden 2026 loppuun mennessä; ohjeistus kutsuu tätä nimellä ”PQC-Readiness”. Jokaisen organisaation pitäisi nimetä vähintään yksi vastuutaho, joka ohjaa toteutussuunnitelmaa, prioriteetteja ja edistymistä, ja varata tähän riittävät henkilö- ja taloudelliset resurssit. Ohjeistus, PDF

Inventaarion osalta ohjeistus viittaa IT-Grundschutzin, BSI:n tietoturvamenetelmän ja -perustason, ”Krypto-Kataster”-rekisteriin eli kryptografisen omaisuuden luetteloon: vaatimus CON.1.A19 moduulissa CON.1 Kryptokonzept. Inventointityökalut, koodirepositorioiden skannaukset ja Cryptographic Bill of Materials (CBOM), esimerkiksi CycloneDX-standardin mukaisena, voivat auttaa. Inventaarion ensimmäisen version pitäisi olla valmis vuoden 2026 loppuun mennessä. Siihen kuuluu myös yleiskuva sisäisistä ja ulkoisista riippuvuuksista. Ohjeistuksen esimerkki: kortinlukijan ja kortin on molempien tuettava kvanttiturvallisia algoritmeja, muuten niiden välinen yhteys ei ole kvanttiturvallinen.

Vuoden 2030 loppu: mikä on korkean riskin käyttötapaus

Tärkein määräaika on vuoden 2030 loppu. Siihen mennessä korkean kvanttiriskin käyttötapausten pitäisi olla siirretty. EU:n tiekartta ilmaisee asian selvästi: näissä käyttötapauksissa haavoittuvia julkisen avaimen algoritmeja ei pitäisi enää käyttää yksinään vuoden 2030 lopun jälkeen. Keskisuuren riskin käyttötapauksissa sama koskee aikaa vuoden 2035 lopun jälkeen.

Sen, mitä ”korkea riski” tarkoittaa, kukin organisaatio määrittää itse. Tiekartta antaa tähän menetelmän ja karkeita nyrkkisääntöjä. Käyttötapauksen kvanttiriski riippuu kolmesta tekijästä:

• kuinka haavoittuvaa käytetty kryptografia on,
• millaista vahinkoa syntyy, jos se murretaan,
• kuinka pitkä ja vaativa siirtymä post-kvanttikryptografiaan on.

Kaksi tiekartan nyrkkisääntöä on erityisen käytännöllisiä. Ensinnäkin: jos tietojen on pysyttävä luottamuksellisina vähintään kymmenen vuotta ja hyökkäyksellä olisi vielä kymmenen vuoden jälkeenkin merkittäviä seurauksia, riski on korkea. Hyökkääjät voivat jo nyt siepata ja tallentaa tällaisia tietoja purkaakseen niiden salauksen myöhemmin (”Store now, decrypt later”). Toiseksi: jos siirtymä kestää yli kahdeksan vuotta ja hyökkäyksen seuraukset olisivat vakavia, riski on niin ikään korkea. Tiekartta mainitsee esimerkkinä ohjelmistopäivitysten suojaamisen.

Tästä seuraa toinen vaatimus vuodelle 2030: kvanttiturvallisten ohjelmisto- ja laiteohjelmistopäivitysten pitäisi olla oletuksena käytössä. Markkinoille tulevien tuotteiden, joiden odotettu elinkaari ulottuu vuoden 2030 yli, pitäisi olla päivitettävissä post-kvanttialgoritmeihin. Päivitysmekanismin itsensä pitäisi käyttää tähän post-kvanttiallekirjoituksia.

BSI asettaa TR-02102-1:ssä saman päivämäärän sovelluksille, joiden suojaustarve on erittäin korkea: niiden siirtymän kvanttiturvallisiin algoritmeihin pitäisi tapahtua vuoden 2030 loppuun mennessä.

Vuoden 2031 loppu ja 2035: mitä BSI TR-02102-1 suosittelee

TR-02102-1:n versio 2026-01, päivätty 23. tammikuuta 2026, on BSI:n keskeinen suositus kryptografisista algoritmeista ja avainten pituuksista. Se erottaa toisistaan avaintenvaihdon ja allekirjoitukset. BSI TR-02102-1, PDF

Avaintenvaihto. Klassisia algoritmeja, kuten RSA:ta tai elliptisten käyrien Diffie-Hellmania, BSI suosittelee yksinään käytettäviksi vain vuoden 2031 loppuun. Sen jälkeen niitä pitäisi käyttää vain yhdessä kvanttiturvallisen KEM-algoritmin kanssa. Syy on ”Store now, decrypt later”: siepatut tiedot ovat vaarassa heti, kun riittävän tehokas kvanttitietokone on olemassa, vaikka sieppaus olisi tapahtunut vuosia aiemmin.

Allekirjoitukset. Tässä tilanne on toinen. Klassinen allekirjoitus pysyy luotettavana niin kauan kuin kryptografisesti merkityksellistä kvanttitietokonetta ei ole. BSI noudattaa siksi EU:n tiekarttaa ja suosittelee nykytiedon mukaan klassisia allekirjoitusalgoritmeja todennäköisesti vuoden 2035 loppuun. Samalla ohje huomauttaa, että juuri PKI:n sisäisissä allekirjoituksissa on varauduttava pitkiin migraatioaikoihin.

Hybridi korvaamisen sijaan. BSI suosittelee post-kvanttialgoritmien käyttöä hybridinä eli yhdessä klassisen algoritmin kanssa. Jos toinen algoritmeista murtuu, toinen suojaa edelleen. Kansallinen ohjeistus omaksuu tämän suosituksen.

2035: NIST IR 8547 ja kansainvälinen kehys

Yhdysvalloissa NIST ehdotti marraskuussa 2024 luonnoksessa NIST IR 8547 aikataulua klassisten julkisen avaimen algoritmien käytöstä poistamiselle. NIST IR 8547 Algoritmit, joiden turvallisuustaso on 112 bittiä, mukaan lukien RSA-2048, katsottaisiin vuoden 2030 jälkeen ”deprecated”-tilaan. Vuoden 2035 jälkeen RSA, ECDSA, EdDSA ja klassinen Diffie-Hellman olisivat kaikilla turvallisuustasoilla ”disallowed”.

Kaksi varausta on tärkeitä. Asiakirja on edelleen luonnos (Initial Public Draft). Ja ”deprecated” ei NIST:llä tarkoita kiellettyä: algoritmia saa käyttää edelleen, jos organisaatio kantaa riskin tietoisesti. Lopullisesti se on poissuljettu vasta ”disallowed”-tilassa.

EU:n tiekartta on tietoisesti sitonut vuoden 2035 tähän aikatauluun. Se viittaa NIST IR 8547:ään, National Security Memorandum 10:n mukaiseen Yhdysvaltojen tavoitteeseen poistaa mahdollisimman paljon kvanttiriskiä vuoteen 2035 mennessä sekä Ison-Britannian NCSC:n aikatauluun, joka niin ikään asettaa tavoitteeksi vuoden 2035. Kansainvälisesti toimiville yrityksille tämä on hyvä uutinen: suuret aikataulut eivät ole ristiriidassa keskenään.

Mikä on velvoite ja mikä suositus

Useimmat tiivistelmät puhuvat ”deadlineista”. Oikeudellisesti EU:n tiekartan ja kansallisen ohjeistuksen päivämäärät ovat kuitenkin suosituksia. Ohjeistus sanoo tämän itse: määräajat ovat ”kiireellisiä suosituksia akuutin toimintapaineen vuoksi”. Jotta niistä tulisi sitovia, IT-Planungsratin (Saksan liittovaltion ja osavaltioiden IT-asioiden koordinaatioelin) ja UP KRITISin (Saksan kriittisen infrastruktuurin julkisen ja yksityisen sektorin kumppanuus) pitäisi mahdollisuuksien mukaan päättää niistä sitovasti vuoden 2026 loppuun mennessä.

Sitovia ovat tällä hetkellä ennen kaikkea kolme asiaa:

• Verschlusssachen (turvallisuusluokiteltu tieto). Hyväksytyille VS-IT-tietoturvatuotteille eli turvallisuusluokitellun tiedon käsittelyyn hyväksytyille IT-tietoturvatuotteille BSI on asettanut sitovat määräajat, joiden mukaan turvallisuusluokitellun tiedon alue siirretään vuoteen 2030 mennessä.
• NIS2 Saksassa. Keskeiset ja tärkeät toimijat ovat BSI-lain (BSI-Gesetz, BSIG) 30 §:n, NIS2:n riskienhallintatoimenpiteiden saksalaisen täytäntöönpanon, nojalla velvollisia noudattamaan kryptografiassa tekniikan tasoa (”Stand der Technik”). Ohjeistus mainitsee nimenomaisesti TR-02102:n tämän mittapuuna. Joka sivuuttaa TR-02102:n suositukset ilman perusteltua riskipäätöstä, joutuu epäselvissä tilanteissa vaikeuksiin osoittaessaan tekniikan tason noudattamisen.
• Toimialakohtaiset säännöt. DORAn mukainen ICT-riskienhallintaa koskeva delegoitu säädös (delegoitu asetus (EU) 2024/1774, 6 artikla) edellyttää, että finanssialan yhteisöt määräävät salausta ja kryptografisia kontrolleja koskevassa toimintaperiaatteessaan, että kryptografinen tekniikka päivitetään tai vaihdetaan kryptoanalyysin edistyessä. PCI DSS 4.0.1 edellyttää vaatimuksella 12.3.3 31. maaliskuuta 2025 alkaen dokumentoitua yleiskuvaa käytetyistä salausalgoritmikokoelmista (cipher suites) ja protokollista, joka tarkistetaan vähintään kerran vuodessa, sekä strategiaa ennakoitavissa olevia haavoittuvuuksia varten. Kumpikaan ei mainitse kiinteää post-kvanttipäivämäärää. Kvanttitietokone on kuitenkin juuri sellainen kehitys, johon niiden on tarkoitus reagoida.

Molemmat asiakirjat, EU:n tiekartta ja ohjeistus, sisältävät lisäksi saman lauseen sitä tilannetta varten, että päivämäärää ei voida noudattaa: silloin yksilöllinen riski on arvioitava. Se ei ole porsaanreikä vaan dokumentointivelvoite. Joka ei ehdi vuoteen 2030 mennessä, pitäisi pystyä perustelemaan, miksi, ja millä korvaavilla toimenpiteillä.

Mitä aikajana merkitsee suunnittelulle

EU:n tiekartta perustelee päivämääriään myös siirtymän kestolla. Kaikkien olennaisten järjestelmien täydellinen siirtäminen voi helposti kestää viidestä kymmeneen vuotta. Ohjeistus viittaa aiempiin kryptografisiin siirtymiin, jotka nekin kestivät vuosia.

Sen, kuinka hyvin yritykset ovat valmistautuneet, osoittaa markkinakysely, jonka KPMG toteutti BSI:n toimeksiannosta vuonna 2023: lähes 90 prosenttia vastaajista arvioi, etteivät he pysty vastaamaan kvanttitietokoneiden kryptografialle aiheuttamaan uhkaan ajoissa. BSI:n markkinakysely

Laskelma on yksinkertainen. Jos korkean riskin käyttötapausten pitää olla siirretty vuoden 2030 loppuun mennessä ja siihen tarvitaan viisi vuotta, olisi pitänyt aloittaa vuonna 2025. Kaikille muille pätee: vuoden 2026 lopun määräaika inventaariolle, vastuille ja suunnitelmalle on ensimmäinen, jonka voi realistisesti vielä saavuttaa. Ja se vaatii ennen kaikkea työtä, tuskin lainkaan investointeja.

Samalla EU:n tiekartta ja ohjeistus varoittavat toisesta ääripäästä. Aikataululla halutaan välttää kaoottinen siirtymä, joka luo uusia haavoittuvuuksia riittämättömästi testattujen ratkaisujen kautta. Nopea kokonaisvaihto ei siis ole tavoite. Tarvitaan priorisoitu, testattu ja dokumentoitu siirtymä.

Mitä me Secanilla otamme tästä mukaan

Ohjeistus edellyttää, että kvanttiriski integroidaan tavanomaiseen riskienhallintaan ja että käsittelyn määräajat kiinnitetään sinne. ISMS:lle tämä tarkoittaa: kvanttiriskistä ei tule rekisterin rinnalla kulkevaa erillisprojektia, vaan riski muiden joukossa, linkitettynä asianomaisiin omaisuuseriin, sovelluksiin ja toimittajiin, vastuuhenkilön ja päivämäärän kera. Näin pysyy jäljitettävänä, mitkä käyttötapaukset luokiteltiin korkean riskin käyttötapauksiksi, miksi ja milloin niiden pitäisi olla siirretty.

Sitä, miten riskejä hallitaan niin, että niistä syntyy päätöksiä, kuvaamme kirjoituksessa Rakenna riskirekisteri, joka muuttaa päätöksiä. Miten salausta ja avaintenhallintaa kokonaisuutena arvioidaan, voit lukea kirjoituksesta Salaus ja avaintenhallinta: varmista suojausketju. Sen, mitä tutkimus sanoo ajankohdasta, jolloin kvanttitietokone voisi murtaa RSA:n, tiivistämme kirjoituksessa Milloin Q-Day koittaa? Mitä tutkimus kertoo vuosina 2025 ja 2026.

Yhteenveto

Post-kvanttimigraation päivämäärät ovat selvillä, ja EU:n, Saksan, Yhdysvaltojen ja Ison-Britannian suuret aikataulut sopivat yhteen: inventaario ja suunnitelma vuoden 2026 loppuun mennessä, korkean riskin käyttötapaukset vuoden 2030 loppuun mennessä, loput vuonna 2035. Sitovia ne ovat toistaiseksi lähinnä turvallisuusluokitellun tiedon osalta. Saksan NIS2-toimijoille niistä tulee BSIG:n 30 §:n mukaisen tekniikan tason kautta käytännössä mittapuu. Nyt aloittavan ei siksi pidä aloittaa tekniikasta, vaan vastuutahosta, inventaariosta ja omien käyttötapausten perustellusta luokittelusta.

Lähteet

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (NIS-yhteistyöryhmän EU PQC Workstream, Part 1, versio 1.1, 11.6.2025, julkaistu 23.6.2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (BMDS:n, BMI:n ja BSI:n yhteinen ohjeistus, julkaistu 12.10.2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, lehdistötiedote, 12.10.2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (versio 2026-01, 23.1.2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG BSI:n toimeksiannosta, huhtikuu 2023)