Criptografia pós-quântica: os prazos de 2026, 2030 e 2035 e o que é vinculativo

Porque é que as datas estão agora definidas

Desde agosto de 2024 existem algoritmos pós-quânticos normalizados. Nessa altura, o NIST norte-americano publicou o ML-KEM para o acordo de chaves e o ML-DSA e o SLH-DSA para assinaturas, como FIPS 203, 204 e 205. Desde então, «estamos à espera das normas» deixou de ser motivo para adiar a transição.

Entretanto, também há datas. Em junho de 2025, os Estados-Membros da UE, com o apoio da Comissão Europeia, publicaram um roteiro comum para a transição. Roteiro da UE Em janeiro de 2026, o BSI, o serviço federal alemão de segurança da informação, acrescentou prazos de migração à sua diretriz técnica TR-02102-1. BSI TR-02102-1 E a 12 de outubro de 2026, o BMI (Ministério Federal do Interior alemão), o BMDS (Ministério Federal alemão do Digital e da Modernização do Estado) e o BSI publicaram uma diretriz conjunta que transpõe as datas da UE para a Alemanha. BSI

Este artigo enquadra as datas destes documentos. Distingue o que é recomendado e onde isso se torna uma obrigação. Essa distinção fica muitas vezes esquecida nos resumos.

Os prazos em síntese

Final de 2026: inventário, responsabilidade e plano

O primeiro prazo não diz respeito à tecnologia, mas à organização. Para o final de 2026, o roteiro da UE indica, entre outros, estes primeiros passos: envolver as partes interessadas, criar uma gestão madura dos ativos criptográficos, identificar dependências, analisar o risco quântico, envolver a cadeia de abastecimento e elaborar um calendário e um plano de implementação. Até essa data, devem ter começado projetos-piloto para casos de utilização de risco elevado e médio. Roteiro da UE, PDF

A diretriz nacional é mais concreta para a Alemanha. Até ao final de 2026, a fase de preparação e planeamento deve estar concluída, a que a diretriz chama «PQC-Readiness». Cada organização deve designar pelo menos uma unidade responsável que conduza o plano de implementação, as prioridades e o progresso, e prever para isso recursos humanos e financeiros suficientes. Diretriz, PDF

Para o inventário, a diretriz remete para o Krypto-Kataster (o registo dos meios criptográficos) do IT-Grundschutz, a metodologia de proteção de base do BSI: requisito CON.1.A19 do módulo CON.1 Kryptokonzept. Ferramentas de inventariação, análises de repositórios de código e uma Cryptographic Bill of Materials (CBOM), por exemplo segundo a norma CycloneDX, podem ajudar. A primeira versão do inventário deve estar pronta até ao final de 2026. Dela faz também parte uma visão geral das dependências internas e externas. O exemplo da diretriz: o leitor de cartões e o cartão têm ambos de suportar algoritmos seguros face à computação quântica, caso contrário a ligação entre eles não é segura face à computação quântica.

Final de 2030: o que é um caso de utilização de risco elevado

O prazo mais importante é o final de 2030. Até lá, os casos de utilização com risco quântico elevado devem estar migrados. O roteiro da UE é claro: para estes casos de utilização, os algoritmos de chave pública vulneráveis não devem continuar a ser utilizados isoladamente após o final de 2030. Para os casos de utilização de risco médio, o mesmo aplica-se após o final de 2035.

O que significa «risco elevado» é definido por cada organização. O roteiro fornece para isso um método e regras práticas gerais. O risco quântico de um caso de utilização depende de três fatores:

• quão vulnerável é a criptografia utilizada,
• que dano resulta se for quebrada,
• quão longa e exigente é a transição para a criptografia pós-quântica.

Duas regras práticas do roteiro são particularmente úteis. Primeira: se os dados tiverem de permanecer confidenciais durante pelo menos dez anos e um ataque continuar a ter consequências significativas mesmo após dez anos, o risco é elevado. Os atacantes podem intercetar e armazenar esses dados já hoje, para os decifrar mais tarde («Store now, decrypt later»). Segunda: se a transição demorar mais de oito anos e as consequências de um ataque forem graves, o risco também é elevado. O roteiro dá como exemplo a proteção das atualizações de software.

Daqui decorre um segundo requisito para 2030: as atualizações de software e firmware seguras face à computação quântica devem estar ativadas por predefinição. Os produtos colocados no mercado com uma vida útil prevista para além de 2030 devem poder ser atualizados para algoritmos pós-quânticos. Para isso, o próprio mecanismo de atualização deve utilizar assinaturas pós-quânticas.

Na TR-02102-1, o BSI fixa a mesma data para aplicações com necessidade de proteção muito elevada: a sua transição para algoritmos seguros face à computação quântica deve ocorrer até ao final de 2030.

Final de 2031 e 2035: o que recomenda a BSI TR-02102-1

A TR-02102-1, na versão 2026-01 de 23 de janeiro de 2026, é a recomendação central do BSI sobre algoritmos criptográficos e comprimentos de chave. Distingue entre acordo de chaves e assinaturas. BSI TR-02102-1, PDF

Acordo de chaves. O BSI só recomenda algoritmos clássicos como o RSA ou o Diffie-Hellman sobre curvas elípticas, usados isoladamente, até ao final de 2031. Depois disso, só devem ser utilizados em conjunto com um algoritmo KEM seguro face à computação quântica. A razão é o «Store now, decrypt later»: os dados intercetados ficam em risco assim que exista um computador quântico suficientemente potente, mesmo que a interceção tenha ocorrido anos antes.

Assinaturas. Aqui a situação é diferente. Uma assinatura clássica continua fiável enquanto não existir um computador quântico criptograficamente relevante. Por isso, o BSI segue o roteiro da UE e, no estado atual, recomenda os algoritmos de assinatura clássicos previsivelmente até ao final de 2035. Ao mesmo tempo, a diretriz alerta que é precisamente nas assinaturas dentro de uma PKI que se devem esperar tempos de migração longos.

Híbrido em vez de substituição. O BSI recomenda utilizar os algoritmos pós-quânticos em modo híbrido, ou seja, em combinação com um algoritmo clássico. Se um dos dois falhar, o outro continua a proteger. A diretriz nacional adota esta recomendação.

2035: NIST IR 8547 e o enquadramento internacional

Nos Estados Unidos, o NIST propôs em novembro de 2024, com o projeto NIST IR 8547, um calendário para a descontinuação dos algoritmos clássicos de chave pública. NIST IR 8547 Os algoritmos com nível de segurança de 112 bits, entre eles o RSA-2048, passam a ser «deprecated» após 2030. Após 2035, o RSA, o ECDSA, o EdDSA e o Diffie-Hellman clássico devem ser «disallowed» em todos os níveis de segurança.

Há duas ressalvas importantes. O documento continua a ser um projeto (Initial Public Draft). E «deprecated» não significa proibido no NIST: um algoritmo pode continuar a ser utilizado se a organização assumir conscientemente o risco. Só fica definitivamente excluído quando passa a «disallowed».

O roteiro da UE alinhou deliberadamente 2035 com este calendário. Remete para o NIST IR 8547, para o objetivo norte-americano do National Security Memorandum 10 de eliminar até 2035 o máximo possível de risco quântico e para o calendário do NCSC britânico, que também aponta 2035 como objetivo. Para as empresas com atividade internacional, é uma boa notícia: os grandes calendários não se contradizem.

O que é obrigatório e o que é recomendação

A maioria dos resumos fala de «prazos». Juridicamente, porém, as datas do roteiro da UE e da diretriz nacional são recomendações. A própria diretriz o diz: os prazos são «recomendações urgentes devido à necessidade premente de agir». Para se tornarem vinculativos, o IT-Planungsrat (o conselho de planeamento de TI da federação e dos estados federados alemães) e o UP KRITIS (a parceria público-privada alemã para a proteção de infraestruturas críticas) devem aprová-los, se possível com caráter vinculativo, até ao final de 2026.

Hoje, são vinculativos sobretudo três aspetos:

• Verschlusssachen (informação classificada). Para os produtos de segurança de TI aprovados para informação classificada (VS-IT), o BSI fixou prazos vinculativos para migrar o domínio da informação classificada até 2030.
• NIS2 na Alemanha. As entidades importantes e as entidades especialmente importantes estão obrigadas, nos termos do § 30 da BSI-Gesetz (BSIG, a lei alemã que transpõe a NIS2), a respeitar o estado da técnica em matéria de criptografia. A diretriz indica expressamente a TR-02102 como referência. Quem ignorar as recomendações da TR-02102 sem uma decisão de risco fundamentada terá, em caso de dúvida, dificuldade em demonstrar o estado da técnica.
• Regras setoriais. O ato delegado relativo à gestão do risco das TIC ao abrigo do DORA (Regulamento Delegado (UE) 2024/1774, artigo 6.º) exige que as entidades financeiras prevejam, na sua política de cifragem e de controlos criptográficos, que a técnica criptográfica seja atualizada ou substituída em função dos avanços da criptanálise. O PCI DSS 4.0.1 exige, com o requisito 12.3.3, desde 31 de março de 2025, um inventário documentado dos cipher suites e protocolos utilizados, revisto pelo menos anualmente, e uma estratégia para vulnerabilidades previsíveis. Nenhum dos dois fixa uma data pós-quântica. Mas um computador quântico é precisamente o tipo de evolução a que devem dar resposta.

Ambos os documentos, o roteiro da UE e a diretriz, contêm ainda a mesma frase para o caso de uma data não poder ser cumprida: nesse caso, o risco individual tem de ser avaliado. Não se trata de uma saída, mas de uma obrigação de documentação. Quem falhar 2030 deve poder justificar porquê e com que medidas compensatórias.

O que o calendário significa para o planeamento

O roteiro da UE justifica também as suas datas com a duração da transição. Pode facilmente demorar cinco a dez anos a migrar por completo todos os sistemas relevantes. A diretriz remete para transições criptográficas anteriores, que também demoraram anos.

Um inquérito de mercado realizado pela KPMG em 2023 por encomenda do BSI mostra até que ponto as empresas estão preparadas: quase 90 % dos participantes consideraram que não conseguiriam fazer face a tempo às ameaças dos computadores quânticos à criptografia. Inquérito de mercado do BSI

A conta é simples. Quem tiver de migrar os casos de utilização de risco elevado até ao final de 2030 e precisar de cinco anos para isso, deveria ter começado em 2025. Para todos os outros: o prazo do final de 2026 para inventário, responsabilidade e plano é o primeiro que ainda se pode cumprir de forma realista. E custa sobretudo trabalho, quase nenhum investimento.

Ao mesmo tempo, o roteiro da UE e a diretriz alertam para o extremo oposto. O calendário pretende evitar uma transição caótica que crie novas vulnerabilidades através de soluções insuficientemente testadas. Uma substituição completa e rápida não é, portanto, o objetivo. O que se pede é uma transição priorizada, testada e documentada.

O que retiramos disto na Secani

A diretriz exige que o risco quântico seja integrado na gestão de riscos corrente e que os prazos para o seu tratamento fiquem aí ancorados. Para um SGSI, isto significa que o risco quântico não se torna um projeto à parte do registo, mas um risco como os outros, ligado aos ativos, aplicações e fornecedores afetados, com uma pessoa responsável e uma data. Assim, fica rastreável que casos de utilização foram classificados como de risco elevado, porquê e quando devem estar migrados.

Descrevemos como gerir riscos de forma a que resultem em decisões em Construir um registo de riscos que muda decisões. Como verificar a cifragem e a gestão de chaves no seu conjunto pode ler em Cifragem e gestão de chaves: verificar a cadeia de proteção. O que a investigação diz sobre o momento em que um computador quântico poderá quebrar o RSA resumimos em Quando chega o Q-Day? O que a investigação mostra em 2025 e 2026.

Conclusão

As datas da migração pós-quântica estão definidas, e os grandes calendários da UE, da Alemanha, dos EUA e do Reino Unido encaixam entre si: até ao final de 2026, inventário e plano; até ao final de 2030, os casos de utilização de risco elevado; até 2035, o resto. Até agora, são vinculativas sobretudo para a informação classificada. Para as entidades NIS2 na Alemanha, tornam-se de facto a referência através do estado da técnica nos termos do § 30 da BSIG. Quem começa hoje não deve, por isso, começar pela tecnologia, mas por uma unidade responsável, um inventário e uma classificação fundamentada dos seus próprios casos de utilização.

Fontes

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream do NIS Cooperation Group, Part 1, versão 1.1, 11 de junho de 2025, publicado a 23 de junho de 2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (diretriz conjunta do BMDS, do BMI e do BSI, publicada a 12 de outubro de 2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, comunicado de imprensa, 12 de outubro de 2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (versão 2026-01, 23 de janeiro de 2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 de novembro de 2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG por encomenda do BSI, abril de 2023)