Tre autorità, tre calendari
Il 12 ottobre il Ministero federale dell'Interno (BMI), il Ministero federale per gli Affari digitali e la Modernizzazione dello Stato (BMDS) e l'Ufficio federale per la sicurezza informatica (BSI) hanno pubblicato una linea guida per applicare in Germania la roadmap europea sulla crittografia post-quantistica. Conferma i calendari europei e aggiunge una data per l'intera transizione.
| Autorità | Avvio | Sistemi ad alto rischio | Tutto il resto |
|---|---|---|---|
| Roadmap UE (giugno 2025) | ogni Stato membro avvia entro fine 2026 | il prima possibile e al più tardi entro fine 2030 | non indicato nella pagina della Commissione |
| Linea guida tedesca (12 ottobre 2026) | per l'alto rischio il prima possibile | migrazione conclusa al più tardi entro fine 2030 | in gran parte conclusa entro il 2035 |
| NCSC, Regno Unito | entro il 2028: obiettivi, scoperta completa, piano iniziale | entro il 2031: migrazione precoce a priorità massima | conclusa entro il 2035 |
La versione tedesca è una linea guida, non una legge. Il comunicato del BSI la presenta come un quadro per una transizione coordinata e non menziona sanzioni.
Cosa chiede la Germania alle organizzazioni
La linea guida si rivolge ad amministrazioni federali, regionali e locali e a organizzazioni e imprese, compresi gli operatori di infrastrutture critiche. Il BSI elenca cinque misure: responsabilità chiare e scadenze vincolanti nell'organizzazione, la crittografia post-quantistica come stato dell'arte, una valutazione sistematica del rischio quantistico nella gestione del rischio, il coinvolgimento precoce di produttori e filiere e la crittoagilità.
Crittoagilità significa progettare sistemi, acquisti e gestione del rischio in modo che i metodi crittografici, o impostazioni come la lunghezza delle chiavi, possano essere sostituiti in modo rapido e controllato. Il BSI dice che conta di più perché l'IA accelera la ricerca sulla sicurezza e, sempre più, i metodi per attaccare la crittografia.
La mappatura è il primo passo con una data
Il Regno Unito è il più preciso sul primo compito. Entro il 2028 l'NCSC vuole obiettivi, un'attività di scoperta completa e un piano iniziale che indichi le attività prioritarie, le dipendenze da fornitori e infrastrutture, gli investimenti necessari e le radici di fiducia hardware di lunga durata. Chiede alle organizzazioni di mappare la crittografia, i protocolli e l'hardware da cui dipendono e precisa che non deve essere un registro formale degli asset.
La scoperta deve anche registrare per quanto tempo i dati devono restare segreti e quanto valgono per un avversario. È importante perché la Commissione dice che gli attacchi 'store now, decrypt later' probabilmente sono già in corso e che i dati che devono restare riservati a lungo potrebbero essere già a rischio.
L'NCSC si rivolge soprattutto a grandi organizzazioni, operatori di infrastrutture nazionali critiche e aziende con IT su misura. Prevede che le imprese più piccole con IT prevalentemente standard abbiano una migrazione più semplice, in gran parte gestita dagli aggiornamenti dei fornitori, mentre il software su misura segue lo stesso calendario di tutti gli altri.
Un breve elenco per questo trimestre
Cominciate con un elenco di dove la vostra organizzazione usa la crittografia a chiave pubblica, per esempio in certificati, tunnel VPN e firmware firmato, e indicate una persona che ne risponda. Mettete una data, perché la linea guida tedesca chiede scadenze vincolanti e il Regno Unito la mappatura entro il 2028.
Chiedete poi ai fornitori le loro roadmap post-quantistiche, visto che il BSI vuole coinvolgere presto produttori e filiere, e verificate se i vostri sistemi permettono di cambiare algoritmi o lunghezze delle chiavi senza ricostruirli. Mettete in cima i dati che devono restare segreti più a lungo.
Da leggere ora: Bug del 2014 aprono ancora porte a un'azienda cinese | Lo spyware iraniano si è finto Norton Antivirus
