Três autoridades, três calendários
A 12 de outubro, o Ministério Federal do Interior (BMI), o Ministério Federal dos Assuntos Digitais e da Modernização do Estado (BMDS) e o Gabinete Federal de Segurança da Informação (BSI) publicaram uma diretriz para pôr em prática na Alemanha o roteiro europeu de criptografia pós-quântica. Confirma os calendários europeus e acrescenta uma data para toda a transição.
| Autoridade | Início | Sistemas de alto risco | Todo o resto |
|---|---|---|---|
| Roteiro da UE (junho de 2025) | cada Estado-Membro começa até final de 2026 | o mais cedo possível e até final de 2030 | não indicado na página da Comissão |
| Diretriz alemã (12 de outubro de 2026) | no alto risco, o mais cedo possível | migração concluída até final de 2030, no máximo | em grande parte concluída até 2035 |
| NCSC, Reino Unido | até 2028: objetivos, levantamento completo, plano inicial | até 2031: migração precoce de maior prioridade | concluída até 2035 |
A versão alemã é uma diretriz, não uma lei. O comunicado do BSI apresenta-a como um quadro para uma transição coordenada e não menciona sanções.
O que a Alemanha pede às organizações
A diretriz dirige-se à administração federal, regional e local e a organizações e empresas, incluindo operadores de infraestruturas críticas. O BSI enumera cinco medidas: responsabilidades claras e prazos vinculativos dentro da organização, tratar a criptografia pós-quântica como estado da arte, avaliar o risco quântico de forma sistemática na gestão de riscos, envolver cedo fabricantes e cadeias de abastecimento e criar criptoagilidade.
Criptoagilidade significa conceber sistemas, compras e gestão de riscos para que os métodos criptográficos, ou definições como o comprimento das chaves, possam ser substituídos de forma rápida e controlada. O BSI diz que importa mais porque a IA acelera a investigação em segurança e, cada vez mais, os métodos de ataque à criptografia.
O levantamento é o primeiro passo com data
O Reino Unido é o mais concreto sobre a primeira tarefa. Até 2028, o NCSC quer objetivos, um exercício de levantamento completo e um plano inicial que indique atividades prioritárias, dependências de fornecedores e infraestrutura, o investimento necessário e as âncoras de confiança de hardware de longa duração. Pede às organizações que mapeiem a criptografia, os protocolos e o hardware de que dependem e esclarece que não pretende ser um registo formal de ativos.
O levantamento deve também registar durante quanto tempo os dados têm de permanecer secretos e quanto valem para um adversário. Importa porque a Comissão diz que os ataques 'store now, decrypt later' provavelmente já estão a ocorrer e que os dados que têm de permanecer confidenciais durante muito tempo podem já estar em risco.
O NCSC dirige-se sobretudo a grandes organizações, operadores de infraestruturas nacionais críticas e empresas com TI à medida. Espera que as empresas mais pequenas com TI sobretudo padrão tenham uma migração mais simples, tratada em grande parte por atualizações dos fornecedores, enquanto o software à medida segue o mesmo calendário que o de todos os outros.
Uma lista curta para este trimestre
Comece por uma lista de onde a sua organização usa criptografia de chave pública, por exemplo em certificados, túneis VPN e firmware assinado, e nomeie uma pessoa responsável. Ponha-lhe uma data, porque a diretriz alemã pede prazos vinculativos e o Reino Unido pede levantamento até 2028.
Peça depois aos fornecedores os seus roteiros pós-quânticos, uma vez que o BSI quer envolver cedo fabricantes e cadeias de abastecimento, e verifique se os seus sistemas permitem trocar algoritmos ou comprimentos de chave sem reconstrução. Ponha em primeiro lugar os dados que têm de permanecer secretos mais tempo.
Leia a seguir: Falhas de 2014 ainda abrem portas a prestador chinês | O spyware iraniano fez-se passar pelo Norton Antivirus
