Trzy instytucje, trzy kalendarze
12 października niemieckie Federalne Ministerstwo Spraw Wewnętrznych (BMI), Federalne Ministerstwo ds. Cyfryzacji i Modernizacji Państwa (BMDS) oraz Federalny Urząd Bezpieczeństwa Informacji (BSI) opublikowały wytyczną wdrażającą w Niemczech unijną mapę drogową kryptografii postkwantowej. Potwierdza ona europejskie terminy i dodaje datę dla całej transformacji.
| Instytucja | Start | Systemy wysokiego ryzyka | Wszystko inne |
|---|---|---|---|
| Mapa drogowa UE (czerwiec 2025) | każde państwo członkowskie startuje do końca 2026 | jak najszybciej, najpóźniej do końca 2030 | nie podano na stronie Komisji |
| Niemiecka wytyczna (12 października 2026) | przy wysokim ryzyku jak najwcześniej | migracja zakończona najpóźniej do końca 2030 | w dużej mierze zakończona do 2035 |
| NCSC, Wielka Brytania | do 2028: cele, pełne rozpoznanie, wstępny plan | do 2031: wczesna migracja o najwyższym priorytecie | zakończona do 2035 |
Niemiecki tekst to wytyczna, nie ustawa. Komunikat BSI przedstawia ją jako ramy skoordynowanej transformacji i nie wspomina o sankcjach.
Czego Niemcy oczekują od organizacji
Wytyczna jest skierowana do administracji federalnej, krajowej i lokalnej oraz do organizacji i firm, w tym operatorów infrastruktury krytycznej. BSI wymienia pięć środków: jasne odpowiedzialności i wiążące terminy w organizacji, traktowanie kryptografii postkwantowej jako stanu techniki, systematyczną ocenę ryzyka kwantowego w zarządzaniu ryzykiem, wczesne włączenie producentów i łańcuchów dostaw oraz kryptozwinność.
Kryptozwinność oznacza projektowanie systemów, zakupów i zarządzania ryzykiem tak, by metody kryptograficzne lub ustawienia, jak długość kluczy, dało się szybko i w kontrolowany sposób wymienić. BSI mówi, że ma ona większe znaczenie, bo AI przyspiesza badania nad bezpieczeństwem i coraz częściej także metody ataków na kryptografię.
Rozpoznanie to pierwszy krok z datą
Wielka Brytania jest najbardziej konkretna w sprawie pierwszego zadania. Do 2028 NCSC chce celów, pełnego rozpoznania i wstępnego planu wskazującego priorytetowe działania, zależności od dostawców i infrastruktury, wymagane inwestycje i długowieczne sprzętowe punkty zaufania. Prosi organizacje o zmapowanie kryptografii, protokołów i sprzętu, od których zależą, i zaznacza, że nie ma to być formalny rejestr aktywów.
Rozpoznanie powinno też zapisać, jak długo dane muszą pozostać tajne i ile są warte dla przeciwnika. To ważne, bo Komisja mówi, że ataki typu 'store now, decrypt later' najpewniej już się odbywają, a dane, które mają długo pozostać poufne, mogą być już zagrożone.
NCSC kieruje się głównie do dużych organizacji, operatorów krytycznej infrastruktury krajowej i firm z indywidualnym IT. Spodziewa się, że mniejsze firmy z głównie standardowym IT przejdą migrację łatwiej, w dużej mierze dzięki aktualizacjom dostawców, podczas gdy oprogramowanie na zamówienie podlega temu samemu harmonogramowi co u innych.
Krótka lista na ten kwartał
Zacznij od listy miejsc, w których Twoja organizacja używa kryptografii klucza publicznego, na przykład w certyfikatach, tunelach VPN i podpisanym oprogramowaniu sprzętowym, i wskaż jedną osobę odpowiedzialną. Wyznacz termin, bo niemiecka wytyczna wymaga wiążących terminów, a Wielka Brytania rozpoznania do 2028.
Zapytaj potem dostawców o ich mapy drogowe postkwantowe, skoro BSI chce wcześnie włączać producentów i łańcuchy dostaw, i sprawdź, czy Twoje systemy pozwalają zmienić algorytmy lub długości kluczy bez przebudowy. Na początek uporządkuj dane, które muszą pozostać tajne najdłużej.
Czytaj dalej: Luki z 2014 nadal otwierają drzwi chińskiemu wykonawcy | Irański spyware podszywał się pod Norton Antivirus
