Kryptografia postkwantowa: terminy 2026, 2030 i 2035 i co z nich jest wiążące

Dlaczego terminy są już ustalone

Od sierpnia 2024 r. istnieją ustandaryzowane algorytmy postkwantowe. Amerykański NIST opublikował wtedy ML-KEM do uzgadniania kluczy oraz ML-DSA i SLH-DSA do podpisów jako FIPS 203, 204 i 205. Od tego czasu „czekamy na standardy” nie jest już powodem, by odkładać przejście.

Teraz istnieją też terminy. W czerwcu 2025 r. państwa członkowskie UE przy wsparciu Komisji Europejskiej opublikowały wspólną mapę drogową przejścia. Unijna mapa drogowa BSI, niemiecki federalny urząd ds. bezpieczeństwa informacji, uzupełnił w styczniu 2026 r. swoją wytyczną techniczną TR-02102-1 o terminy migracji. BSI TR-02102-1 A 12 października 2026 r. BMI (niemieckie federalne ministerstwo spraw wewnętrznych), BMDS (niemieckie federalne ministerstwo ds. cyfryzacji i modernizacji państwa) oraz BSI opublikowały wspólne wytyczne, które przenoszą terminy unijne na grunt niemiecki. BSI

Ten artykuł porządkuje terminy z tych dokumentów. Oddziela przy tym to, co jest rekomendowane, od tego, gdzie staje się to obowiązkiem. W wielu podsumowaniach to rozróżnienie jest pomijane.

Terminy w skrócie

Koniec 2026 r.: inwentaryzacja, odpowiedzialność i plan

Pierwszy termin nie dotyczy technologii, lecz organizacji. Unijna mapa drogowa wymienia na koniec 2026 r. m.in. następujące pierwsze kroki: zaangażowanie interesariuszy, zbudowanie dojrzałego zarządzania zasobami kryptograficznymi, zidentyfikowanie zależności, analizę ryzyka kwantowego, uwzględnienie łańcucha dostaw oraz opracowanie harmonogramu i planu wdrożenia. Do tego czasu powinny też ruszyć projekty pilotażowe dla przypadków użycia wysokiego i średniego ryzyka. Unijna mapa drogowa, PDF

Wytyczne krajowe są dla Niemiec bardziej konkretne. Do końca 2026 r. ma zostać zakończona faza przygotowań i planowania, którą wytyczne nazywają „PQC-Readiness”. Każda organizacja powinna wyznaczyć co najmniej jedną jednostkę odpowiedzialną, która steruje planem wdrożenia, priorytetami i postępami, oraz zaplanować na to wystarczające zasoby kadrowe i finansowe. Wytyczne, PDF

W kwestii inwentaryzacji wytyczne odsyłają do Krypto-Kataster (rejestru środków kryptograficznych) z IT-Grundschutz, metodyki ochrony podstawowej BSI: wymaganie CON.1.A19 w module CON.1 Kryptokonzept. Pomóc mogą w tym narzędzia do inwentaryzacji, skany repozytoriów kodu oraz Cryptographic Bill of Materials (CBOM), np. według standardu CycloneDX. Pierwsza wersja inwentaryzacji powinna być gotowa do końca 2026 r. Należy do niej także przegląd zależności wewnętrznych i zewnętrznych. Przykład z wytycznych: zarówno czytnik kart, jak i karta muszą obsługiwać algorytmy odporne na ataki kwantowe, w przeciwnym razie połączenie między nimi nie jest odporne na ataki kwantowe.

Koniec 2030 r.: czym jest przypadek użycia wysokiego ryzyka

Najważniejszy termin to koniec 2030 r. Do tego czasu przypadki użycia o wysokim ryzyku kwantowym powinny zostać zmigrowane. Unijna mapa drogowa formułuje to jednoznacznie: w tych przypadkach użycia podatne algorytmy klucza publicznego nie powinny być po końcu 2030 r. stosowane samodzielnie. Dla przypadków użycia średniego ryzyka to samo obowiązuje po końcu 2035 r.

Co oznacza „wysokie ryzyko”, każda organizacja ustala sama. Mapa drogowa podaje do tego metodę i ogólne reguły praktyczne. Ryzyko kwantowe przypadku użycia zależy od trzech czynników:

• jak podatna jest stosowana kryptografia,
• jaka szkoda powstanie, jeśli zostanie złamana,
• jak długie i pracochłonne jest przejście na kryptografię postkwantową.

Dwie reguły praktyczne z mapy drogowej są szczególnie użyteczne. Po pierwsze: jeśli dane muszą pozostać poufne przez co najmniej dziesięć lat, a atak nawet po dziesięciu latach miałby poważne skutki, ryzyko jest wysokie. Takie dane atakujący mogą przechwycić i zapisać już dziś, aby odszyfrować je później („Store now, decrypt later”). Po drugie: jeśli przejście trwa dłużej niż osiem lat, a skutki ataku byłyby poważne, ryzyko również jest wysokie. Jako przykład mapa drogowa podaje zabezpieczenie aktualizacji oprogramowania.

Wynika z tego drugi wymóg na 2030 r.: aktualizacje oprogramowania i firmware'u odporne na ataki kwantowe powinny być domyślnie włączone. Produkty wprowadzane na rynek z przewidywanym okresem eksploatacji wykraczającym poza 2030 r. powinny dawać się zaktualizować do algorytmów postkwantowych. Sam mechanizm aktualizacji powinien w tym celu korzystać z podpisów postkwantowych.

BSI wyznacza w TR-02102-1 ten sam termin dla zastosowań o bardzo wysokich wymaganiach ochrony: ich przejście na algorytmy odporne na ataki kwantowe powinno nastąpić do końca 2030 r.

Koniec 2031 i 2035 r.: co rekomenduje BSI TR-02102-1

TR-02102-1 w wersji 2026-01 z 23 stycznia 2026 r. to główna rekomendacja BSI dotycząca algorytmów kryptograficznych i długości kluczy. Rozróżnia ona uzgadnianie kluczy i podpisy. BSI TR-02102-1, PDF

Uzgadnianie kluczy. Klasyczne algorytmy, takie jak RSA czy Diffie-Hellman na krzywych eliptycznych, stosowane samodzielnie BSI rekomenduje już tylko do końca 2031 r. Później powinny być używane wyłącznie razem z odpornym na ataki kwantowe algorytmem KEM. Powodem jest „Store now, decrypt later”: przechwycone dane są zagrożone, gdy tylko powstanie wystarczająco wydajny komputer kwantowy, nawet jeśli przechwycenie nastąpiło przed laty.

Podpisy. Tu sytuacja jest inna. Klasyczny podpis pozostaje wiarygodny, dopóki nie istnieje kryptograficznie istotny komputer kwantowy. Dlatego BSI idzie za unijną mapą drogową i według obecnego stanu wiedzy rekomenduje klasyczne algorytmy podpisu prawdopodobnie do końca 2035 r. Jednocześnie wytyczna zwraca uwagę, że właśnie w przypadku podpisów w ramach PKI należy liczyć się z długim czasem migracji.

Hybryda zamiast wymiany. BSI rekomenduje stosowanie algorytmów postkwantowych w trybie hybrydowym, czyli w połączeniu z algorytmem klasycznym. Jeśli jeden z nich zawiedzie, drugi nadal chroni. Wytyczne krajowe przejmują tę rekomendację.

2035 r.: NIST IR 8547 i ramy międzynarodowe

W USA NIST zaproponował w listopadzie 2024 r. w projekcie NIST IR 8547 harmonogram wycofywania klasycznych algorytmów klucza publicznego. NIST IR 8547 Algorytmy o poziomie bezpieczeństwa 112 bitów, w tym RSA-2048, mają po 2030 r. zostać uznane za „deprecated”. Po 2035 r. RSA, ECDSA, EdDSA oraz klasyczny Diffie-Hellman mają być „disallowed” na wszystkich poziomach bezpieczeństwa.

Ważne są dwa zastrzeżenia. Dokument jest do dziś projektem (Initial Public Draft). A „deprecated” nie oznacza w NIST zakazu: algorytm może być nadal używany, jeśli organizacja świadomie ponosi ryzyko. Ostatecznie wykluczony jest dopiero jako „disallowed”.

Unijna mapa drogowa celowo oparła rok 2035 na tym harmonogramie. Odwołuje się do NIST IR 8547, do amerykańskiego celu z National Security Memorandum 10, by do 2035 r. wyeliminować jak najwięcej ryzyka kwantowego, oraz do harmonogramu brytyjskiego NCSC, który również wskazuje 2035 r. jako cel. Dla firm działających międzynarodowo to dobra wiadomość: główne harmonogramy nie są ze sobą sprzeczne.

Co jest obowiązkiem, a co rekomendacją

Większość podsumowań mówi o „deadline'ach”. Prawnie jednak terminy z unijnej mapy drogowej i wytycznych krajowych są rekomendacjami. Wytyczne same to przyznają: terminy są „pilnymi rekomendacjami wynikającymi z naglącej potrzeby działania”. Aby stały się wiążące, IT-Planungsrat (niemiecka rada ds. planowania IT federacji i krajów związkowych) oraz UP KRITIS (niemieckie partnerstwo publiczno-prywatne na rzecz ochrony infrastruktury krytycznej) mają je do końca 2026 r. przyjąć w możliwie wiążącej formie.

Wiążące są dziś przede wszystkim trzy kwestie:

• Verschlusssachen (informacje niejawne). Dla dopuszczonych produktów bezpieczeństwa IT do informacji niejawnych (VS-IT) BSI ustalił wiążące terminy, aby do 2030 r. przestawić obszar informacji niejawnych.
• NIS2 w Niemczech. Podmioty ważne i szczególnie ważne są zobowiązane na podstawie § 30 BSI-Gesetz (BSIG, niemieckiej ustawy wdrażającej NIS2) do przestrzegania w zakresie kryptografii aktualnego stanu techniki. Wytyczne wprost wskazują jako miarę TR-02102. Kto ignoruje rekomendacje TR-02102 bez uzasadnionej decyzji dotyczącej ryzyka, w razie wątpliwości będzie miał trudności z wykazaniem stanu techniki.
• Regulacje sektorowe. Akt delegowany dotyczący zarządzania ryzykiem ICT w ramach DORA (rozporządzenie delegowane (UE) 2024/1774, art. 6) wymaga od podmiotów finansowych, aby ich polityka szyfrowania i zabezpieczeń kryptograficznych przewidywała aktualizację lub wymianę technologii kryptograficznej w razie postępów kryptoanalizy. PCI DSS 4.0.1 wymaga w wymaganiu 12.3.3 od 31 marca 2025 r. udokumentowanego zestawienia stosowanych zestawów szyfrów (cipher suites) i protokołów, przeglądanego co najmniej raz w roku, oraz strategii na wypadek przewidywalnych podatności. Żaden z nich nie podaje sztywnego terminu postkwantowego. Komputer kwantowy jest jednak dokładnie tym rodzajem rozwoju, na który mają reagować.

Oba dokumenty, unijna mapa drogowa i wytyczne, zawierają ponadto to samo zdanie na wypadek, gdyby termin nie był możliwy do dotrzymania: wówczas należy ocenić indywidualne ryzyko. To nie furtka, lecz obowiązek dokumentacyjny. Kto nie zdąży do 2030 r., powinien umieć uzasadnić, dlaczego i jakie środki zastępcze stosuje.

Co oś czasu oznacza dla planowania

Unijna mapa drogowa uzasadnia swoje terminy także czasem trwania przejścia. Pełne przestawienie wszystkich istotnych systemów może łatwo zająć od pięciu do dziesięciu lat. Wytyczne odwołują się do wcześniejszych zmian kryptograficznych, które również trwały latami.

Jak dobrze przygotowane są firmy, pokazuje badanie rynku przeprowadzone przez KPMG na zlecenie BSI w 2023 r.: prawie 90 procent uczestników oceniło, że nie zdąży na czas przeciwdziałać zagrożeniom, jakie komputery kwantowe stwarzają dla kryptografii. Badanie rynku BSI

Rachunek jest prosty. Kto ma zmigrować przypadki użycia wysokiego ryzyka do końca 2030 r. i potrzebuje na to pięciu lat, powinien był zacząć w 2025 r. Dla wszystkich pozostałych: termin końca 2026 r. na inwentaryzację, odpowiedzialność i plan jest pierwszym, który realnie da się jeszcze dotrzymać. I kosztuje on przede wszystkim pracę, a nie inwestycje.

Jednocześnie unijna mapa drogowa i wytyczne ostrzegają przed drugą skrajnością. Harmonogram ma zapobiec chaotycznemu przejściu, które przez niedostatecznie przetestowane rozwiązania tworzy nowe podatności. Szybka całkowita wymiana nie jest więc celem. Potrzebne jest przejście priorytetyzowane, przetestowane i udokumentowane.

Co wynosimy z tego w Secani

Wytyczne wymagają zintegrowania ryzyka kwantowego ze zwykłym zarządzaniem ryzykiem i zakotwiczenia tam terminów postępowania z nim. Dla SZBI oznacza to, że ryzyko kwantowe nie staje się osobnym projektem obok rejestru, lecz ryzykiem jak każde inne, powiązanym z dotkniętymi aktywami, aplikacjami i dostawcami, z osobą odpowiedzialną i terminem. Dzięki temu pozostaje jasne, które przypadki użycia zostały sklasyfikowane jako wysokiego ryzyka, dlaczego i kiedy mają zostać zmigrowane.

Jak prowadzić ryzyka tak, by prowadziły do decyzji, opisujemy w artykule Zbuduj rejestr ryzyk, który zmienia decyzje. Jak całościowo weryfikować szyfrowanie i zarządzanie kluczami, przeczytasz w artykule Szyfrowanie i zarządzanie kluczami: zweryfikuj łańcuch ochrony. Co badania mówią o momencie, w którym komputer kwantowy mógłby złamać RSA, podsumowujemy w artykule Kiedy nadejdzie Q-Day? Co pokazują badania z 2025 i 2026 roku.

Podsumowanie

Terminy migracji postkwantowej są ustalone, a główne harmonogramy UE, Niemiec, USA i Wielkiej Brytanii są ze sobą spójne: do końca 2026 r. inwentaryzacja i plan, do końca 2030 r. przypadki użycia wysokiego ryzyka, do 2035 r. reszta. Wiążące są one dotąd przede wszystkim dla informacji niejawnych. Dla podmiotów NIS2 w Niemczech stają się faktycznym punktem odniesienia poprzez stan techniki zgodnie z § 30 BSIG. Kto zaczyna dziś, nie powinien więc zaczynać od technologii, lecz od jednostki odpowiedzialnej, inwentaryzacji i uzasadnionej klasyfikacji własnych przypadków użycia.

Źródła

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream w ramach NIS Cooperation Group, Part 1, wersja 1.1, 11 czerwca 2025 r., opublikowano 23 czerwca 2025 r.)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (wspólne wytyczne BMDS, BMI i BSI, opublikowano 12 października 2026 r.)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, komunikat prasowy, 12 października 2026 r.)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (wersja 2026-01, 23 stycznia 2026 r.)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 listopada 2024 r.)
• Marktumfrage Kryptografie und Quantencomputing (KPMG na zlecenie BSI, kwiecień 2023 r.)