Crittografia post-quantistica: le scadenze del 2026, 2030 e 2035 e cosa è vincolante

Perché ora le date sono fissate

Dall'agosto 2024 esistono algoritmi post-quantistici standardizzati. In quel mese il NIST statunitense ha pubblicato ML-KEM per lo scambio di chiavi e ML-DSA e SLH-DSA per le firme come FIPS 203, 204 e 205. Da allora «stiamo aspettando gli standard» non è più un motivo per rimandare la migrazione.

Nel frattempo ci sono anche delle date. Nel giugno 2025 gli Stati membri dell'UE, con il sostegno della Commissione europea, hanno pubblicato una roadmap comune per la transizione. Roadmap UE Nel gennaio 2026 il BSI, l'Ufficio federale tedesco per la sicurezza informatica, ha integrato la sua direttiva tecnica TR-02102-1 con scadenze di migrazione. BSI TR-02102-1 E il 12 ottobre 2026 il BMI (Ministero federale dell'Interno), il BMDS (Ministero federale per il Digitale e la Modernizzazione dello Stato) e il BSI hanno pubblicato una linea guida comune che recepisce le date UE per la Germania. BSI

Questo articolo inquadra le date contenute in questi documenti. Distingue ciò che viene raccomandato dal punto in cui ne deriva un obbligo. Molte sintesi trascurano questa distinzione.

Le scadenze in sintesi

Fine 2026: inventario, responsabilità e piano

La prima scadenza non riguarda la tecnologia, ma l'organizzazione. Per la fine del 2026 la roadmap UE indica, tra gli altri, questi primi passi: coinvolgere le parti interessate, costruire una gestione matura degli asset crittografici, rilevare le dipendenze, analizzare il rischio quantistico, includere la catena di fornitura e redigere un calendario e un piano di attuazione. Entro allora dovrebbero essere stati avviati progetti pilota per i casi d'uso a rischio elevato e medio. Roadmap UE, PDF

La linea guida nazionale è più concreta per la Germania. Entro la fine del 2026 deve essere conclusa la fase di preparazione e pianificazione, che la linea guida chiama «PQC-Readiness». Ogni organizzazione dovrebbe nominare almeno una funzione responsabile che guidi piano di attuazione, priorità e avanzamento, e prevedere a tal fine risorse umane e finanziarie sufficienti. Linea guida, PDF

Per l'inventario la linea guida rimanda al Krypto-Kataster (inventario crittografico) dell'IT-Grundschutz, la metodologia di protezione di base del BSI: requisito CON.1.A19 nel modulo CON.1 Concetto crittografico. Strumenti di inventario, scansioni dei repository di codice e una Cryptographic Bill of Materials (CBOM), ad esempio secondo lo standard CycloneDX, possono essere d'aiuto. La prima versione dell'inventario deve essere pronta entro la fine del 2026. Ne fa parte anche una panoramica delle dipendenze interne ed esterne. L'esempio della linea guida: lettore di carte e carta devono entrambi supportare algoritmi resistenti ai computer quantistici, altrimenti il collegamento tra loro non è resistente ai computer quantistici.

Fine 2030: che cos'è un caso d'uso ad alto rischio

La scadenza più importante è la fine del 2030. Entro allora i casi d'uso con rischio quantistico elevato devono essere migrati. La roadmap UE lo formula chiaramente: per questi casi d'uso, gli algoritmi a chiave pubblica vulnerabili non dovrebbero più essere usati da soli dopo la fine del 2030. Lo stesso vale per i casi d'uso a rischio medio dopo la fine del 2035.

Che cosa significhi «rischio elevato» lo stabilisce ogni organizzazione. La roadmap fornisce a tal fine un metodo e alcune regole pratiche di massima. Il rischio quantistico di un caso d'uso dipende da tre fattori:

• quanto è vulnerabile la crittografia utilizzata,
• quale danno si produce se viene violata,
• quanto sono lunghi e onerosi i tempi della migrazione alla crittografia post-quantistica.

Due regole pratiche della roadmap sono particolarmente utili. Primo: se i dati devono restare riservati per almeno dieci anni e un attacco avrebbe conseguenze rilevanti anche dopo dieci anni, il rischio è elevato. Gli attaccanti possono intercettare e conservare questi dati già oggi per decifrarli in seguito («Store now, decrypt later»). Secondo: se la migrazione richiede più di otto anni e le conseguenze di un attacco sarebbero gravi, il rischio è ugualmente elevato. La roadmap cita come esempio la protezione degli aggiornamenti software.

Ne deriva un secondo requisito per il 2030: gli aggiornamenti software e firmware resistenti ai computer quantistici devono essere attivati per impostazione predefinita. I prodotti immessi sul mercato con una durata di vita prevista oltre il 2030 devono poter essere aggiornati ad algoritmi post-quantistici. A tal fine il meccanismo di aggiornamento stesso deve utilizzare firme post-quantistiche.

Nella TR-02102-1 il BSI fissa la stessa data per le applicazioni con esigenza di protezione molto elevata: la loro migrazione verso algoritmi resistenti ai computer quantistici dovrebbe avvenire entro la fine del 2030.

Fine 2031 e 2035: che cosa raccomanda la BSI TR-02102-1

La TR-02102-1, nella versione 2026-01 del 23 gennaio 2026, è la raccomandazione centrale del BSI su algoritmi crittografici e lunghezze delle chiavi. Distingue tra scambio di chiavi e firme. BSI TR-02102-1, PDF

Scambio di chiavi. Il BSI raccomanda algoritmi classici come RSA o Diffie-Hellman su curve ellittiche usati da soli solo fino alla fine del 2031. In seguito dovrebbero essere impiegati solo insieme a un KEM resistente ai computer quantistici. Il motivo è «Store now, decrypt later»: i dati intercettati sono a rischio non appena esiste un computer quantistico sufficientemente potente, anche se l'intercettazione risale ad anni prima.

Firme. Qui la situazione è diversa. Una firma classica resta affidabile finché non esiste un computer quantistico crittograficamente rilevante. Il BSI segue quindi la roadmap UE e, allo stato attuale, raccomanda presumibilmente gli algoritmi di firma classici fino alla fine del 2035. Allo stesso tempo la direttiva sottolinea che proprio per le firme all'interno di una PKI occorre prevedere tempi di migrazione lunghi.

Ibrido anziché sostituzione. Il BSI raccomanda di utilizzare gli algoritmi post-quantistici in modalità ibrida, cioè in combinazione con un algoritmo classico. Se uno dei due cade, l'altro continua a proteggere. La linea guida nazionale recepisce questa raccomandazione.

2035: NIST IR 8547 e il quadro internazionale

Negli Stati Uniti il NIST ha proposto nel novembre 2024, con la bozza NIST IR 8547, un calendario per la dismissione degli algoritmi classici a chiave pubblica. NIST IR 8547 Gli algoritmi con livello di sicurezza di 112 bit, tra cui RSA-2048, saranno considerati «deprecated» dopo il 2030. Dopo il 2035 RSA, ECDSA, EdDSA e Diffie-Hellman classico saranno «disallowed» a tutti i livelli di sicurezza.

Due precisazioni sono importanti. Il documento è ancora oggi una bozza (Initial Public Draft). E per il NIST «deprecated» non significa vietato: un algoritmo può continuare a essere usato se l'organizzazione si assume consapevolmente il rischio. È definitivamente escluso solo quando diventa «disallowed».

La roadmap UE ha allineato deliberatamente il 2035 a questo calendario. Rimanda al NIST IR 8547, all'obiettivo statunitense del National Security Memorandum 10 di eliminare quanto più rischio quantistico possibile entro il 2035 e al calendario dell'NCSC britannico, che indica anch'esso il 2035 come obiettivo. Per le aziende attive a livello internazionale è una buona notizia: i grandi calendari non si contraddicono.

Che cosa è obbligatorio e che cosa è raccomandazione

La maggior parte delle sintesi parla di «deadline». Dal punto di vista giuridico, però, le date della roadmap UE e della linea guida nazionale sono raccomandazioni. Lo dice la linea guida stessa: le scadenze sono «raccomandazioni urgenti dovute all'acuta pressione ad agire». Perché diventino vincolanti, l'IT-Planungsrat (il consiglio di pianificazione IT di Federazione e Länder) e l'UP KRITIS (il partenariato pubblico-privato tedesco per la protezione delle infrastrutture critiche) dovranno adottarle in forma il più possibile vincolante entro la fine del 2026.

Oggi sono vincolanti soprattutto tre aspetti:

• Verschlusssachen (informazioni classificate). Per i prodotti di sicurezza IT approvati per le informazioni classificate, il BSI ha fissato scadenze vincolanti per migrare l'ambito delle informazioni classificate entro il 2030.
• NIS2 in Germania. Ai sensi del § 30 della legge sul BSI (BSIG), i soggetti importanti ed essenziali sono tenuti a rispettare lo stato dell'arte in materia di crittografia. La linea guida indica espressamente la TR-02102 come riferimento. Chi ignora le raccomandazioni della TR-02102 senza una decisione motivata sul rischio avrà, in caso di dubbio, difficoltà a dimostrare lo stato dell'arte.
• Regole di settore. L'atto delegato sulla gestione dei rischi informatici ai sensi del DORA (Regolamento delegato (UE) 2024/1774, articolo 6) richiede alle entità finanziarie di prevedere, nella loro politica di cifratura e di controlli crittografici, che la tecnologia crittografica sia aggiornata o sostituita in base ai progressi della crittoanalisi. Dal 31 marzo 2025 PCI DSS 4.0.1, con il requisito 12.3.3, richiede un inventario documentato delle cipher suite e dei protocolli in uso, riesaminato almeno una volta l'anno, e una strategia per le vulnerabilità prevedibili. Nessuno dei due fissa una data post-quantistica precisa. Ma un computer quantistico è esattamente il tipo di sviluppo a cui devono reagire.

Entrambi i documenti, roadmap UE e linea guida, contengono inoltre la stessa frase per il caso in cui una data non possa essere rispettata: va allora valutato il rischio individuale. Non è una scappatoia, ma un obbligo di documentazione. Chi manca il 2030 dovrebbe poter motivare perché e con quali misure compensative.

Che cosa significa la tempistica per la pianificazione

La roadmap UE giustifica le sue date anche con la durata della migrazione. Migrare completamente tutti i sistemi rilevanti potrebbe richiedere facilmente da cinque a dieci anni. La linea guida rimanda a precedenti migrazioni crittografiche che hanno anch'esse richiesto anni.

Quanto siano preparate le aziende lo mostra un'indagine di mercato condotta da KPMG per conto del BSI nel 2023: quasi il 90% dei partecipanti riteneva di non poter far fronte in tempo alle minacce che i computer quantistici pongono alla crittografia. Indagine di mercato del BSI

Il calcolo è semplice. Chi deve aver migrato i casi d'uso ad alto rischio entro la fine del 2030 e ha bisogno di cinque anni per farlo avrebbe dovuto iniziare nel 2025. Per tutti gli altri vale: la scadenza di fine 2026 per inventario, responsabilità e piano è la prima che si può ancora realisticamente rispettare. E costa soprattutto lavoro, pochissimi investimenti.

Allo stesso tempo roadmap UE e linea guida mettono in guardia dall'estremo opposto. Il calendario intende evitare una transizione caotica che crei nuove vulnerabilità con soluzioni non sufficientemente testate. Una sostituzione rapida e completa non è quindi l'obiettivo. Serve una migrazione prioritizzata, testata e documentata.

Che cosa ne ricaviamo in Secani

La linea guida chiede di integrare il rischio quantistico nella normale gestione dei rischi e di ancorarvi le scadenze di trattamento. Per un SGSI questo significa che il rischio quantistico non diventa un progetto speciale accanto al registro, ma un rischio come gli altri, collegato agli asset, alle applicazioni e ai fornitori interessati, con una persona responsabile e una scadenza. Così resta tracciabile quali casi d'uso sono stati classificati ad alto rischio, perché e quando devono essere migrati.

Come gestire i rischi in modo che ne derivino decisioni lo descriviamo in Costruire un registro dei rischi che cambia le decisioni. Come verificare nel complesso cifratura e gestione delle chiavi lo trovate in Cifratura e gestione delle chiavi: verificare la catena di protezione. Che cosa dice la ricerca sul momento in cui un computer quantistico potrebbe violare RSA lo riassumiamo in Quando arriverà il Q-Day? Cosa mostra la ricerca del 2025 e del 2026.

Conclusione

Le date della migrazione post-quantistica sono fissate e i grandi calendari di UE, Germania, Stati Uniti e Regno Unito sono coerenti tra loro: entro fine 2026 inventario e piano, entro fine 2030 i casi d'uso ad alto rischio, entro il 2035 il resto. Finora sono vincolanti soprattutto per le informazioni classificate. Per i soggetti NIS2 in Germania diventano di fatto il riferimento attraverso lo stato dell'arte ai sensi del § 30 BSIG. Chi inizia oggi non dovrebbe quindi partire dalla tecnologia, ma da una funzione responsabile, un inventario e una classificazione motivata dei propri casi d'uso.

Fonti

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream del gruppo di cooperazione NIS (NIS Cooperation Group), parte 1, versione 1.1, 11 giugno 2025, pubblicata il 23 giugno 2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (linea guida comune di BMDS, BMI e BSI, pubblicata il 12 ottobre 2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, comunicato stampa, 12 ottobre 2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (versione 2026-01, 23 gennaio 2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 novembre 2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG per conto del BSI, aprile 2023)