Postkvantna kriptografija: roki 2026, 2030 in 2035 ter kaj od tega je zavezujoče

Zakaj so roki določeni prav zdaj

Od avgusta 2024 obstajajo standardizirani postkvantni algoritmi. Ameriški NIST je takrat objavil ML-KEM za dogovor o ključu ter ML-DSA in SLH-DSA za podpise kot FIPS 203, 204 in 205. Od takrat „čakamo na standarde“ ni več razlog za odlašanje s prehodom.

Medtem obstajajo tudi roki. Junija 2025 so države članice EU s podporo Evropske komisije objavile skupni načrt prehoda. Načrt EU Nemški Zvezni urad za informacijsko varnost (BSI) je januarja 2026 svojo tehnično smernico TR-02102-1 dopolnil z roki za selitev. BSI TR-02102-1 In 12. oktobra 2026 so nemško Zvezno ministrstvo za notranje zadeve (BMI), Zvezno ministrstvo za digitalizacijo in posodobitev države (BMDS) ter BSI objavili skupne smernice, ki roke EU prevzemajo za Nemčijo. BSI

Ta prispevek roke iz teh dokumentov postavi v kontekst. Pri tem loči, kaj se priporoča in kje to postane obveznost. To razlikovanje v mnogih povzetkih ostane preveč v ozadju.

Pregled rokov

Konec 2026: popis, odgovornost in načrt

Prvi rok ne zadeva tehnike, temveč organizacije. Načrt EU za konec leta 2026 med drugim navaja te prve korake: vključiti deležnike, vzpostaviti zrelo upravljanje kriptografskih sredstev, popisati odvisnosti, analizirati kvantno tveganje, vključiti dobavno verigo ter pripraviti časovni in izvedbeni načrt. Pilotni projekti za primere uporabe z visokim in srednjim tveganjem naj bi se do takrat že začeli. Načrt EU, PDF

Nacionalne smernice so za Nemčijo konkretnejše. Do konca leta 2026 naj bi bila faza priprave in načrtovanja zaključena, smernice to imenujejo „PQC-Readiness“. Vsaka organizacija naj bi imenovala vsaj eno odgovorno službo, ki usmerja izvedbeni načrt, prednostne naloge in napredek, ter za to načrtovala zadostne kadrovske in finančne vire. Smernice, PDF

Za popis se smernice sklicujejo na „Krypto-Kataster“, torej register kriptografije iz IT-Grundschutz (BSI-jeve metodologije osnovne zaščite), zahtevo CON.1.A19 v modulu CON.1 Koncept kriptografije. Pri tem lahko pomagajo orodja za popis, pregledi repozitorijev kode in Cryptographic Bill of Materials (CBOM), na primer po standardu CycloneDX. Prva različica popisa naj bi bila pripravljena do konca leta 2026. Vanjo sodi tudi pregled notranjih in zunanjih odvisnosti. Primer iz smernic: tako čitalnik kartic kot kartica morata obvladati kvantno varne algoritme, sicer povezava med njima ni kvantno varna.

Konec 2030: kaj je primer uporabe z visokim tveganjem

Najpomembnejši rok je konec leta 2030. Do takrat naj bi bili preklopljeni primeri uporabe z visokim kvantnim tveganjem. Načrt EU to jasno zapiše: pri teh primerih uporabe ranljivi algoritmi z javnim ključem po koncu leta 2030 ne smejo biti več uporabljeni samostojno. Za primere uporabe s srednjim tveganjem enako velja po koncu leta 2035.

Kaj pomeni „visoko tveganje“, določi vsaka organizacija sama. Načrt za to podaja metodo in groba pravila. Kvantno tveganje primera uporabe je odvisno od treh dejavnikov:

• kako ranljiva je uporabljena kriptografija,
• kakšna škoda nastane, če je zlomljena,
• kako dolg in zahteven je prehod na postkvantno kriptografijo.

Dve pravili iz načrta sta še posebej uporabni. Prvič: če morajo podatki ostati zaupni vsaj deset let in bi imel napad tudi po desetih letih še znatne posledice, je tveganje visoko. Takšne podatke lahko napadalci prestrežejo in shranijo že danes, da jih pozneje dešifrirajo („Store now, decrypt later“). Drugič: če prehod traja več kot osem let in bi bile posledice napada hude, je tveganje prav tako visoko. Načrt kot primer navaja zaščito posodobitev programske opreme.

Iz tega izhaja druga zahteva za leto 2030: kvantno varne posodobitve programske in strojne programske opreme (firmvera) naj bodo privzeto omogočene. Izdelke, ki prihajajo na trg s pričakovano življenjsko dobo po letu 2030, naj bi bilo mogoče posodobiti na postkvantne algoritme. Sam mehanizem posodabljanja naj za to uporablja postkvantne podpise.

BSI v TR-02102-1 določa enak rok za aplikacije z zelo visoko potrebo po zaščiti: njihov prehod na kvantno varne algoritme naj bi bil izveden do konca leta 2030.

Konec 2031 in 2035: kaj priporoča BSI TR-02102-1

TR-02102-1 v različici 2026-01 z dne 23. januarja 2026 je osrednje priporočilo BSI glede kriptografskih algoritmov in dolžin ključev. Razlikuje med dogovorom o ključu in podpisi. BSI TR-02102-1, PDF

Dogovor o ključu. Klasične algoritme, kot sta RSA ali Diffie-Hellman na eliptičnih krivuljah, BSI samostojno priporoča le še do konca leta 2031. Nato naj bi se uporabljali le še skupaj s kvantno varnim algoritmom KEM. Razlog je „Store now, decrypt later“: prestreženi podatki so ogroženi, takoj ko obstaja dovolj zmogljiv kvantni računalnik, tudi če so bili prestreženi pred leti.

Podpisi. Tu je položaj drugačen. Klasični podpis ostane zaupanja vreden, dokler ne obstaja kriptografsko relevanten kvantni računalnik. BSI zato sledi načrtu EU in klasične podpisne algoritme po trenutnem stanju priporoča predvidoma do konca leta 2035. Hkrati TR-02102-1 opozarja, da je prav pri podpisih znotraj PKI treba računati z dolgimi časi selitve.

Hibridno namesto zamenjave. BSI priporoča hibridno uporabo postkvantnih algoritmov, torej v kombinaciji s klasičnim algoritmom. Če eden od obeh pade, drugi še naprej ščiti. Nacionalne smernice to priporočilo prevzemajo.

2035: NIST IR 8547 in mednarodni okvir

V ZDA je NIST novembra 2024 z osnutkom NIST IR 8547 predlagal časovnico za postopno opuščanje klasičnih algoritmov z javnim ključem. NIST IR 8547 Algoritmi z varnostno ravnjo 112 bitov, med njimi RSA-2048, naj bi po letu 2030 veljali za „deprecated“. Po letu 2035 naj bi bili RSA, ECDSA, EdDSA in klasični Diffie-Hellman na vseh varnostnih ravneh „disallowed“.

Pomembni sta dve omejitvi. Dokument je do danes osnutek (Initial Public Draft). In „deprecated“ pri NIST ne pomeni prepovedano: algoritem se sme še naprej uporabljati, če organizacija zavestno nosi tveganje. Dokončno izključen je šele kot „disallowed“.

Načrt EU je leto 2035 namenoma naslonil na to časovnico. Sklicuje se na NIST IR 8547, na cilj ZDA iz National Security Memorandum 10, da se do leta 2035 odpravi čim več kvantnega tveganja, in na časovnico britanskega NCSC, ki prav tako navaja leto 2035 kot cilj. Za mednarodno dejavna podjetja je to dobra novica: velike časovnice si ne nasprotujejo.

Kaj od tega je obveznost in kaj priporočilo

Večina povzetkov govori o „deadlines“. Pravno pa so roki iz načrta EU in nacionalnih smernic priporočila. Smernice to povedo same: roki so „nujna priporočila zaradi akutnega pritiska za ukrepanje“. Da bi postali zavezujoči, naj bi jih IT-Planungsrat (usklajevalni organ zvezne vlade in zveznih dežel za IT) in UP KRITIS (javno-zasebno partnerstvo za zaščito kritične infrastrukture) do konca leta 2026 po možnosti sprejela kot zavezujoče.

Danes so zavezujoče predvsem tri stvari:

• Tajni podatki (Verschlusssachen). Za odobrene varnostne IT-izdelke za tajne podatke (VS-IT) je BSI določil zavezujoče roke, da se področje tajnih podatkov preklopi do leta 2030.
• NIS2 v Nemčiji. Pomembni in bistveni subjekti morajo po § 30 nemškega zakona o BSI (BSI-Gesetz, BSIG), s katerim Nemčija prenaša NIS2, pri kriptografiji upoštevati najnovejše stanje tehnike. Smernice kot merilo izrecno navajajo TR-02102. Kdor priporočila TR-02102 prezre brez utemeljene odločitve o tveganju, bo v dvomu težko dokazal, da upošteva stanje tehnike.
• Panožna pravila. Delegirani akt o obvladovanju tveganj IKT v okviru DORA (Delegirana uredba (EU) 2024/1774, člen 6) od finančnih subjektov zahteva, da v svoji politiki šifriranja in kriptografskih kontrol predvidijo posodobitev ali zamenjavo kriptografske tehnologije ob napredku kriptoanalize. PCI DSS 4.0.1 z zahtevo 12.3.3 od 31. marca 2025 zahteva dokumentiran pregled uporabljenih šifrirnih nizov (cipher suites) in protokolov, ki se pregleda vsaj enkrat letno, ter strategijo za predvidljive ranljivosti. Fiksnega postkvantnega roka ne navaja nobeden od njiju. Kvantni računalnik pa je prav takšen razvoj, na katerega naj bi se odzvali.

Oba dokumenta, načrt EU in smernice, vsebujeta poleg tega enak stavek za primer, da roka ni mogoče doseči: takrat je treba oceniti posamezno tveganje. To ni izhod v sili, temveč obveznost dokumentiranja. Kdor zamudi leto 2030, mora znati utemeljiti, zakaj in s katerimi nadomestnimi ukrepi.

Kaj časovnica pomeni za načrtovanje

Načrt EU svoje roke utemeljuje tudi s trajanjem prehoda. Popoln prehod vseh relevantnih sistemov lahko zlahka traja pet do deset let. Smernice se sklicujejo na prejšnje kriptografske prehode, ki so prav tako trajali leta.

Kako dobro so podjetja pripravljena, kaže tržna raziskava, ki jo je leta 2023 po naročilu BSI izvedel KPMG: skoraj 90 odstotkov sodelujočih je ocenilo, da grožnjam kvantnih računalnikov za kriptografijo ne bodo mogli pravočasno kljubovati. Tržna raziskava BSI

Račun je preprost. Kdor mora primere uporabe z visokim tveganjem preklopiti do konca leta 2030 in za to potrebuje pet let, bi moral začeti leta 2025. Za vse druge velja: rok konec leta 2026 za popis, odgovornost in načrt je prvi, ki ga je še realno mogoče doseči. In zahteva predvsem delo, skoraj nič naložb.

Hkrati načrt EU in smernice svarijo pred drugo skrajnostjo. Časovnica naj prepreči kaotičen prehod, ki bi z nezadostno preizkušenimi rešitvami ustvaril nove ranljivosti. Hitra popolna zamenjava torej ni cilj. Potreben je prehod, ki je prednostno razvrščen, preizkušen in dokumentiran.

Kaj iz tega odnesemo pri Secani

Smernice zahtevajo, da se kvantno tveganje vključi v redno upravljanje tveganj in da se tam zasidrajo roki za njegovo obravnavo. Za ISMS to pomeni: kvantno tveganje ni poseben projekt ob registru, temveč tveganje kot vsako drugo, povezano s prizadetimi sredstvi, aplikacijami in dobavitelji, z odgovorno osebo in rokom. Tako ostane sledljivo, kateri primeri uporabe so bili razvrščeni kot visoko tvegani, zakaj in kdaj naj bodo preklopljeni.

Kako tveganja voditi tako, da iz njih nastanejo odločitve, opisujemo v prispevku Zgradite register tveganj, ki spreminja odločitve. Kako celovito preveriti šifriranje in upravljanje ključev, preberite v prispevku Šifriranje in upravljanje ključev: preverite verigo zaščite. Kaj raziskave pravijo o trenutku, ko bi kvantni računalnik lahko zlomil RSA, povzemamo v prispevku Kdaj bo prišel Q-Day? Kaj kažejo raziskave v letih 2025 in 2026.

Sklep

Roki za postkvantno selitev so določeni in velike časovnice EU, Nemčije, ZDA in Združenega kraljestva se ujemajo: do konca leta 2026 popis in načrt, do konca leta 2030 primeri uporabe z visokim tveganjem, do leta 2035 preostalo. Zavezujoči so zaenkrat predvsem za tajne podatke. Za subjekte NIS2 v Nemčiji prek stanja tehnike po § 30 BSIG dejansko postajajo merilo. Kdor začne danes, zato ne bi smel začeti s tehniko, temveč z odgovorno službo, popisom in utemeljeno razvrstitvijo lastnih primerov uporabe.

Viri

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupine za sodelovanje NIS, del 1, različica 1.1, 11. junij 2025, objavljeno 23. junija 2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (skupne smernice BMDS, BMI in BSI, objavljeno 12. oktobra 2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, sporočilo za javnost, 12. oktober 2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (različica 2026-01, 23. januar 2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12. november 2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG po naročilu BSI, april 2023)