När kommer Q-Day? Vad forskningen visar 2025 och 2026

Vad som menas med Q-Day

”Q-Day” betecknar den dag då en kvantdator kan bryta den kryptografi med publik nyckel som är utbredd i dag. Det handlar framför allt om RSA och algoritmer baserade på elliptiska kurvor, som TLS, VPN:er, kodsignaturer, PKI:er och digitala identiteter bygger på. Experter talar om en kryptografiskt relevant kvantdator, förkortat CRQC.

Att en sådan dator skulle kunna bryta dessa algoritmer har varit känt sedan 1994, då Peter Shor publicerade motsvarande kvantalgoritmer. Den öppna frågan är när en maskin som är tillräckligt stor och tillräckligt felfri kan byggas. I den frågan har forskningen rört sig markant under 2025 och 2026. Den här artikeln sammanfattar de viktigaste arbetena och bedömer vad de belägger och vad de inte belägger.

Ett begrepp i förväg: Dagens kvantdatorer arbetar med fysiska qubits, som är felbenägna. Genom kvantfelkorrigering slås många fysiska qubits samman till en stabilare logisk qubit. Resursuppskattningar anger därför oftast båda talen. För frågan om hur långt bort hårdvaran fortfarande är, är det antalet fysiska qubits som räknas.

Vad experter förväntar sig: Quantum Threat Timeline Report

Den mest kända långtidsenkäten är Quantum Threat Timeline Report från Global Risk Institute. Michele Mosca och Marco Piani från evolutionQ frågar varje år experter från forskning och industri. Den sjunde utgåvan, daterad den 9 mars 2026, bygger på svar från 26 experter. Global Risk Institute

Resultatet: De tillfrågade anser att en kryptografiskt relevant kvantdator inom de närmaste tio åren är ”fullt möjlig”, med en sannolikhet på 28 till 49 procent. Inom 15 år anser de den vara ”sannolik”, med 51 till 70 procent. Rapportserien definierar en sådan dator som en maskin som kan bryta RSA-2048 inom 24 timmar.

En enkät bland 26 personer är ingen mätning. Dess värde ligger i tidsserien: Samma fråga har ställts i flera år, och bedömningarna har flyttats framåt från utgåva till utgåva.

Vad BSI förväntar sig

BSI, Tysklands federala myndighet för informationssäkerhet, har sedan 2017 låtit bedöma kvantdatorernas utvecklingsläge i en egen studie, senast uppdaterad 2025. Den tyska nationella riktlinjen för postkvantmigrering sammanfattar resultatet så här: Det är sannolikt att en sådan kvantdator kan realiseras inom högst 15 år, alltså till 2040 eller tidigare. Grundantagandena för kvantfelkorrigering verifierades fullständigt 2024, och ytterligare framsteg kan förkorta perioden avsevärt. Riktlinje, PDF

För högsäkerhetsområdet är den tyska förbundsregeringen försiktigare. Där arbetar den utifrån hypotesen att kryptografiskt relevanta kvantdatorer finns tillgängliga i början av 2030-talet. Riktlinjen citerar i detta sammanhang ett förbundsdagstryck (Bundestagsdrucksache) från februari 2025.

BSI:s och experternas bedömningar ligger därmed nära varandra: inget genombrott i morgon, men en realistisk möjlighet inom livslängden för system som planeras i dag.

Hårdvaruuppskattningarna sjunker

Det som framför allt har rört sig är uppskattningarna av hur stor en kvantdator skulle behöva vara för en attack. Tre arbeten från 2025 och 2026 står i centrum.

RSA-2048 med under en miljon qubits. I maj 2025 uppskattade Craig Gidney från Google Quantum AI att en kvantdator med färre än en miljon brusiga qubits skulle kunna faktorisera ett 2048-bitars RSA-tal på mindre än en vecka. arXiv:2505.15917 År 2019 låg hans uppskattning tillsammans med Martin Ekerå fortfarande på 20 miljoner qubits. arXiv:1905.09749 Hårdvaruantagandena är desamma: ett kvadratiskt rutnät med förbindelser endast till grannar, en felfrekvens på 0,1 procent per grind och en felkorrigeringscykel på en mikrosekund. Besparingen kommer från bättre algoritmer och effektivare felkorrigering, inte från bättre hårdvara. Priset är en längre körtid.

RSA-2048 med omkring 100 000 qubits. I februari 2026 presenterade det australiska företaget Iceberg Quantum arkitekturen ”Pinnacle”. Den ersätter den hittills vanliga felkorrigeringen med så kallade qLDPC-koder. Under samma antaganden om felfrekvens och klockning uppskattar Iceberg omkring 98 000 fysiska qubits vid cirka en månads körtid, eller omkring 471 000 qubits för cirka en dag. arXiv:2602.11457 Arkitekturen har hittills bara prövats i simuleringar. Den kräver förbindelser mellan qubits som ligger långt från varandra och en mycket snabb felavkodning; inget av detta har ännu visats i denna storleksordning.

Elliptiska kurvor på minuter. I slutet av mars 2026 publicerade Google Quantum AI tillsammans med forskare från Ethereum Foundation och Stanford University resursuppskattningar för 256-bitarskurvor, som bland annat skyddar Bitcoin och Ethereum. Två optimerade kretsar klarar sig med under 1 200 logiska qubits och under 90 miljoner Toffoli-grindar eller under 1 450 logiska qubits och under 70 miljoner Toffoli-grindar. På supraledande hårdvara med en felfrekvens på 0,1 procent motsvarar det färre än 500 000 fysiska qubits och en körtid på några minuter. Google anger detta som en ungefär 20-faldig minskning jämfört med den hittills bästa uppskattningen. Google Research, arXiv:2603.28846

Anmärkningsvärt är också hur Google har publicerat. Själva kretsarna publicerades inte, för att inte ge angripare en instruktion. I stället belägger ett nollkunskapsbevis att uppskattningarna stämmer. För företag är det en signal: Forskningen behandlar numera själv ämnet som säkerhetsrelevant.

Vad siffrorna inte säger

Hur imponerande kurvan än är har arbetena tydliga begränsningar.

• Maskinen finns inte. Googles Willow-chip hade när den presenterades i december 2024 105 qubits och visade felkorrigering under den kritiska tröskeln. Google Hårdvaran är långt ifrån hundratusentals qubits som räknar felkorrigerat under dagar eller veckor.
• Antagandena är optimistiska men inte exotiska. Alla nämnda uppskattningar förutsätter en felfrekvens på 0,1 procent och cykeltider i mikrosekundsområdet. Enskilda plattformar når sådana värden i dag, men inte i denna storlek och inte varaktigt.
• De flesta arbeten är preprints. De är ännu inte referentgranskade. För Icebergs del tillkommer att resultaten enbart kommer från simuleringar.
• Framstegen kommer från algoritmer. Det är samtidigt den oroande sidan. Varje minskning under de senaste åren kom från bättre matematik och bättre felkorrigering. Sådana framsteg är svåra att förutsäga och kan komma plötsligt.

Den som härleder ett exakt datum ur detta läser in mer än arbetena ger stöd för. Det hållbara påståendet är ett annat: Tröskeln har på sju år sjunkit med mer än en storleksordning, utan att hårdvaruantagandena har ändrats.

Varför osäkerheten inte är ett skäl att vänta

För planeringen hjälper en enkel överläggning som går tillbaka på Michele Mosca. Tre tidsperioder ska jämföras:

• hur länge data måste förbli konfidentiella,
• hur lång tid övergången till postkvantkryptografi tar,
• hur lång tid det tar tills en kryptografiskt relevant kvantdator finns.

Är summan av de två första större än den tredje perioden kommer övergången för sent. Data som fångas upp och lagras i dag kan då dekrypteras senare (”Store now, decrypt later”).

EU:s färdplan för postkvantmigrering bygger just på detta. Den klassar användningsfall som hög risk om data måste förbli konfidentiella i minst tio år, och uppskattar tiden för en fullständig övergång till fem till tio år. EU:s färdplan, PDF Även den som förväntar sig Q-Day först 2040 kommer med tio års konfidentialitet och fem års övergång fram till en start senast 2025.

För signaturer är trycket mindre, eftersom en signatur bara måste hålla tills kvantdatorn finns. Däremot är övergångstiderna där längst: PKI:er, firmwareuppdateringar och enheter med lång livslängd kan inte byggas om på ett år. Därför kräver EU:s färdplan att programvaru- och firmwareuppdateringar som standard signeras kvantsäkert till 2030.

Slutsats

Forskningen ger inget datum för Q-Day, men en tydlig riktning. Experter anser att en kryptografiskt relevant kvantdator inom tio år är fullt möjlig, BSI anser den sannolik till 2040, och de uppskattade hårdvarukraven har sjunkit kraftigt under 2025 och 2026. För företag är det exakta årtalet ändå inte den avgörande frågan. Det avgörande är om de egna data måste förbli konfidentiella längre än övergången ger tid till. Vilka datum myndigheterna härleder ur detta och vad som är bindande kan du läsa i Postkvantkryptografi: tidsfristerna 2026, 2030 och 2035 och vad som är bindande.

Källor

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 2026-03-09)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (Gemensam riktlinje från BMDS, BMI och BSI, 2026-10-12)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 2025-05-21)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, publicerad i Quantum 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, februari 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney m.fl., arXiv, 2026-03-30)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 2026-03-31)
• Meet Willow, our state-of-the-art quantum chip (Google, 2024-12-09)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream inom NIS-samarbetsgruppen, juni 2025)