Tre myndigheder, tre kalendere
Den 12. oktober offentliggjorde det tyske indenrigsministerium (BMI), ministeriet for digitale anliggender og statsmodernisering (BMDS) og Forbundskontoret for Informationssikkerhed (BSI) en vejledning til at omsætte EU's køreplan for post-kvantekryptografi i Tyskland. Den bekræfter de europæiske tidslinjer og tilføjer en dato for hele omstillingen.
| Myndighed | Start | Højrisikosystemer | Alt andet |
|---|---|---|---|
| EU's køreplan (juni 2025) | hver medlemsstat starter inden udgangen af 2026 | så hurtigt som muligt, senest ved udgangen af 2030 | ikke oplyst på Kommissionens side |
| Tysk vejledning (12. oktober 2026) | ved høj risiko så tidligt som muligt | migration afsluttet senest ved udgangen af 2030 | stort set afsluttet i 2035 |
| NCSC, Storbritannien | inden 2028: mål, fuld kortlægning, første plan | inden 2031: tidlig migration med højeste prioritet | afsluttet inden 2035 |
Den tyske tekst er en vejledning, ikke en lov. BSI's meddelelse præsenterer den som en ramme for en koordineret omstilling og nævner ingen sanktioner.
Hvad Tyskland beder organisationer om
Vejledningen henvender sig til forbundsstat, delstater og kommuner samt til organisationer og virksomheder, herunder operatører af kritisk infrastruktur. BSI nævner fem tiltag: klare ansvarsområder og bindende frister i organisationen, post-kvantekryptografi som det aktuelle tekniske niveau, en systematisk vurdering af kvanterisikoen i risikostyringen, tidlig inddragelse af producenter og forsyningskæder og kryptoagilitet.
Kryptoagilitet betyder at udforme systemer, indkøb og risikostyring, så kryptografiske metoder eller indstillinger som nøglelængder kan skiftes hurtigt og under kontrol. BSI siger, at det bliver vigtigere, fordi AI fremskynder sikkerhedsforskningen og i stigende grad også metoderne til at angribe kryptografi.
Kortlægning er det første skridt med en dato
Storbritannien er mest konkret om den første opgave. Inden 2028 vil NCSC have mål, en fuld kortlægning og en første plan, der nævner prioriterede aktiviteter, afhængigheder af leverandører og infrastruktur, det nødvendige investeringsbehov og langlivede hardware-tillidsankre. Det beder organisationer om at kortlægge den kryptografi, de protokoller og den hardware, de afhænger af, og siger, at det ikke skal være et formelt aktivregister.
Kortlægningen skal også registrere, hvor længe data skal holdes hemmelige, og hvad de er værd for en modstander. Det er vigtigt, fordi Kommissionen siger, at 'store now, decrypt later'-angreb sandsynligvis allerede finder sted, og at data, der skal forblive fortrolige længe, måske allerede er i fare.
NCSC retter sig mest mod store organisationer, operatører af kritisk national infrastruktur og virksomheder med skræddersyet it. Det venter, at mindre virksomheder med mest standard-it får en lettere migration, der for en stor del klares med leverandøropdateringer, mens skræddersyet software følger samme tidsplan som alle andres.
En kort liste for dette kvartal
Begynd med en liste over, hvor jeres organisation bruger public key-kryptografi, for eksempel i certifikater, VPN-tunneler og signeret firmware, og udpeg én person, der er ansvarlig. Sæt en dato på, for den tyske vejledning beder om bindende frister, og Storbritannien om kortlægning inden 2028.
Bed derefter jeres leverandører om deres post-kvante-køreplaner, da BSI vil inddrage producenter og forsyningskæder tidligt, og tjek, om jeres systemer kan skifte algoritmer eller nøglelængder uden at blive bygget om. Sæt de data øverst, der skal forblive hemmelige længst.
Læs videre: Fejl fra 2014 giver stadig kinesisk leverandør adgang | Iransk spyware udgav sig for at være Norton Antivirus
