Milloin Q-Day koittaa? Mitä tutkimus kertoo vuosina 2025 ja 2026

Mitä Q-Daylla tarkoitetaan

”Q-Day” tarkoittaa päivää, jona kvanttitietokone pystyy murtamaan nykyään laajalti käytetyn julkisen avaimen kryptografian. Kyse on ennen kaikkea RSA:sta ja elliptisiin käyriin perustuvista algoritmeista, joiden varassa TLS, VPN:t, koodin allekirjoitukset, PKI:t ja digitaaliset identiteetit toimivat. Asiantuntijat puhuvat kryptografisesti merkityksellisestä kvanttitietokoneesta, lyhyesti CRQC.

Sen, että tällainen tietokone voisi murtaa nämä algoritmit, on tiedetty vuodesta 1994, jolloin Peter Shor julkaisi vastaavat kvanttialgoritmit. Avoinna on, milloin voidaan rakentaa riittävän suuri ja riittävän virheetön kone. Tässä kysymyksessä tutkimus on liikkunut selvästi vuosina 2025 ja 2026. Tämä kirjoitus tiivistää tärkeimmät tutkimukset ja arvioi, mitä ne osoittavat ja mitä eivät.

Yksi käsite etukäteen: nykyiset kvanttitietokoneet toimivat fyysisillä kubiteilla, jotka ovat virhealttiita. Kvanttivirheenkorjauksella monta fyysistä kubittia yhdistetään yhdeksi vakaammaksi loogiseksi kubitiksi. Resurssiarvioissa mainitaan siksi yleensä molemmat luvut. Kun kysytään, kuinka kaukana laitteisto vielä on, ratkaisevaa on fyysisten kubittien määrä.

Mitä asiantuntijat odottavat: Quantum Threat Timeline Report

Tunnetuin pitkäaikainen kysely on Global Risk Instituten Quantum Threat Timeline Report. Michele Mosca ja Marco Piani evolutionQ:sta haastattelevat sitä varten vuosittain tutkimuksen ja teollisuuden asiantuntijoita. Seitsemäs laitos, päivätty 9. maaliskuuta 2026, perustuu 26 asiantuntijan vastauksiin. Global Risk Institute

Tulos: vastaajat pitävät kryptografisesti merkityksellistä kvanttitietokonetta seuraavan kymmenen vuoden kuluessa ”täysin mahdollisena” 28–49 prosentin todennäköisyydellä. 15 vuoden kuluessa he pitävät sitä ”todennäköisenä” 51–70 prosentin todennäköisyydellä. Raporttisarja määrittelee tällaisen tietokoneen koneeksi, joka pystyy murtamaan RSA-2048:n 24 tunnin kuluessa.

26 henkilön kysely ei ole mittaus. Sen arvo on aikasarjassa: samaa kysymystä on esitetty vuosia, ja arviot ovat aikaistuneet laitoksesta toiseen.

Mitä BSI odottaa

BSI, Saksan liittovaltion tietoturvavirasto, on vuodesta 2017 lähtien arvioituttanut kvanttitietokoneiden kehitystilannetta omassa tutkimuksessaan, joka päivitettiin viimeksi vuonna 2025. Saksan kansallinen post-kvanttimigraation ohjeistus tiivistää tuloksen näin: on todennäköistä, että tällainen kvanttitietokone voidaan toteuttaa enintään 15 vuodessa eli vuoteen 2040 mennessä tai aiemmin. Kvanttivirheenkorjauksen perusoletukset todennettiin täysin vuonna 2024, ja lisäedistysaskeleet voisivat lyhentää aikaa merkittävästi. Ohjeistus, PDF

Korkean turvallisuustason alueella Saksan liittohallitus on varovaisempi. Siellä se toimii oletuksella, että kryptografisesti merkityksellisiä kvanttitietokoneita on käytettävissä 2030-luvun alussa. Ohjeistus viittaa tässä yhteydessä liittopäivien asiakirjaan (Bundestagsdrucksache) helmikuulta 2025.

BSI:n ja asiantuntijoiden arviot ovat siten lähellä toisiaan: ei läpimurtoa huomenna, mutta realistinen mahdollisuus tänään suunniteltavien järjestelmien elinkaaren aikana.

Laitteistoarviot laskevat

Eniten ovat muuttuneet arviot siitä, kuinka suuri kvanttitietokoneen pitäisi olla hyökkäystä varten. Keskiössä on kolme tutkimusta vuosilta 2025 ja 2026.

RSA-2048 alle miljoonalla kubitilla. Toukokuussa 2025 Craig Gidney Google Quantum AI:sta arvioi, että alle miljoonan kohinaisen kubitin kvanttitietokone voisi jakaa tekijöihin 2048-bittisen RSA-luvun alle viikossa. arXiv:2505.15917 Vuonna 2019 hänen ja Martin Ekerån arvio oli vielä 20 miljoonaa kubittia. arXiv:1905.09749 Laitteisto-oletukset ovat pysyneet samoina: neliöhila, jossa yhteydet vain naapureihin, 0,1 prosentin virhetaso porttia kohden ja yhden mikrosekunnin virheenkorjaussykli. Säästö syntyy paremmista algoritmeista ja tehokkaammasta virheenkorjauksesta, ei paremmasta laitteistosta. Hintana on pidempi ajoaika.

RSA-2048 noin 100 000 kubitilla. Helmikuussa 2026 australialainen yritys Iceberg Quantum esitteli ”Pinnacle”-arkkitehtuurin. Se korvaa tähän asti tavanomaisen virheenkorjauksen niin sanotuilla qLDPC-koodeilla. Samoilla virhetasoa ja kellotusta koskevilla oletuksilla Iceberg arvioi tarpeeksi noin 98 000 fyysistä kubittia noin kuukauden ajoajalla tai noin 471 000 kubittia noin päivän ajoajalla. arXiv:2602.11457 Arkkitehtuuria on toistaiseksi testattu vain simulaatioissa. Se edellyttää yhteyksiä kaukana toisistaan olevien kubittien välillä ja erittäin nopeaa virheiden dekoodausta; kumpaakaan ei ole vielä osoitettu tässä mittakaavassa.

Elliptiset käyrät minuuteissa. Maaliskuun 2026 lopussa Google Quantum AI julkaisi yhdessä Ethereum Foundationin ja Stanfordin yliopiston tutkijoiden kanssa resurssiarviot 256-bittisille käyrille, jotka suojaavat muun muassa Bitcoinia ja Ethereumia. Kaksi optimoitua piiriä selviää alle 1 200 loogisella kubitilla ja alle 90 miljoonalla Toffoli-portilla tai alle 1 450 loogisella kubitilla ja alle 70 miljoonalla Toffoli-portilla. Suprajohtavalla laitteistolla, jonka virhetaso on 0,1 prosenttia, tämä vastaa alle 500 000 fyysistä kubittia ja muutaman minuutin ajoaikaa. Google arvioi tämän noin 20-kertaiseksi vähennykseksi aiempaan parhaaseen arvioon verrattuna. Google Research, arXiv:2603.28846

Huomionarvoista on myös se, miten Google julkaisi tuloksensa. Itse piirejä ei julkaistu, jotta hyökkääjät eivät saisi ohjetta. Sen sijaan nollatietotodistus osoittaa, että arviot pitävät paikkansa. Yrityksille tämä on signaali: tutkimus käsittelee aihetta nykyään itsekin tietoturvan kannalta merkityksellisenä.

Mitä luvut eivät kerro

Niin vaikuttava kuin käyrä onkin, tutkimuksilla on selvät rajat.

• Konetta ei ole olemassa. Googlen Willow-sirussa oli esittelyhetkellä joulukuussa 2024 105 kubittia, ja se osoitti virheenkorjauksen kriittisen kynnyksen alapuolella. Google Laitteisto on kaukana sadoistatuhansista kubiteista, jotka laskevat virheenkorjattuina päiviä tai viikkoja.
• Oletukset ovat optimistisia mutta eivät eksoottisia. Kaikki mainitut arviot edellyttävät 0,1 prosentin virhetasoa ja mikrosekuntiluokan sykliaikoja. Yksittäiset alustat saavuttavat tällaisia arvoja jo nyt, mutta eivät tässä mittakaavassa eivätkä pysyvästi.
• Useimmat tutkimukset ovat preprinttejä. Niitä ei ole vielä vertaisarvioitu. Icebergin osalta lisäksi tulokset perustuvat pelkästään simulaatioihin.
• Edistys tulee algoritmeista. Tämä on samalla huolestuttava puoli. Jokainen viime vuosien vähennys on syntynyt paremmasta matematiikasta ja paremmasta virheenkorjauksesta. Tällaista edistystä on vaikea ennustaa, ja se voi tulla yllättäen.

Joka johtaa tästä tarkan päivämäärän, lukee tutkimuksiin enemmän kuin niistä voi päätellä. Kestävä johtopäätös on toinen: kynnys on laskenut seitsemässä vuodessa yli kertaluokalla ilman, että laitteisto-oletukset olisivat muuttuneet.

Miksi epävarmuus ei ole syy odottaa

Suunnittelussa auttaa yksinkertainen päättely, joka on peräisin Michele Moscalta. Verrattavana on kolme ajanjaksoa:

• kuinka kauan tietojen on pysyttävä luottamuksellisina,
• kuinka kauan siirtymä post-kvanttikryptografiaan kestää,
• kuinka kauan kestää, kunnes kryptografisesti merkityksellinen kvanttitietokone on olemassa.

Jos kahden ensimmäisen summa on suurempi kuin kolmas ajanjakso, siirtymä tulee liian myöhään. Tänään siepatut ja tallennetut tiedot voidaan silloin purkaa myöhemmin (”Store now, decrypt later”).

EU:n post-kvanttimigraation tiekartta perustuu juuri tähän. Se luokittelee käyttötapaukset korkean riskin käyttötapauksiksi, jos tietojen on pysyttävä luottamuksellisina vähintään kymmenen vuotta, ja arvioi täydellisen siirtymän kestoksi viidestä kymmeneen vuotta. EU:n tiekartta, PDF Vaikka Q-Dayta odottaisi vasta vuonna 2040, kymmenen vuoden luottamuksellisuudella ja viiden vuoden siirtymällä aloitus olisi pitänyt tehdä viimeistään vuonna 2025.

Allekirjoituksissa paine on pienempi, koska allekirjoituksen tarvitsee kestää vain siihen asti, kunnes kvanttitietokone on olemassa. Toisaalta siirtymäajat ovat niissä pisimpiä: PKI:itä, laiteohjelmistopäivityksiä ja pitkäikäisiä laitteita ei voi uudistaa vuodessa. Siksi EU:n tiekartta edellyttää, että ohjelmisto- ja laiteohjelmistopäivitykset allekirjoitetaan oletuksena kvanttiturvallisesti vuoteen 2030 mennessä.

Yhteenveto

Tutkimus ei anna Q-Daylle päivämäärää, mutta selvän suunnan. Asiantuntijat pitävät kryptografisesti merkityksellistä kvanttitietokonetta kymmenen vuoden kuluessa täysin mahdollisena, BSI pitää sitä todennäköisenä vuoteen 2040 mennessä, ja arvioidut laitteistovaatimukset ovat laskeneet voimakkaasti vuosina 2025 ja 2026. Yrityksille tarkka vuosiluku ei joka tapauksessa ole ratkaiseva kysymys. Ratkaisevaa on, täytyykö omien tietojen pysyä luottamuksellisina pidempään kuin siirtymä antaa aikaa. Mitä päivämääriä viranomaiset tästä johtavat ja mikä niistä on sitovaa, voit lukea kirjoituksesta Post-kvanttikryptografia: määräajat 2026, 2030 ja 2035 ja mikä niistä on sitovaa.

Lähteet

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9.3.2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (BMDS:n, BMI:n ja BSI:n yhteinen ohjeistus, 12.10.2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21.5.2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, julkaistu Quantum-lehdessä 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, helmikuu 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney ym., arXiv, 30.3.2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31.3.2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9.12.2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (NIS-yhteistyöryhmän EU PQC Workstream, kesäkuu 2025)