Tre myndigheter, tre kalendrar
Den 12 oktober publicerade det tyska inrikesministeriet (BMI), ministeriet för digitala frågor och statens modernisering (BMDS) och Federala kontoret för informationssäkerhet (BSI) en riktlinje för att genomföra EU:s färdplan för postkvantkryptografi i Tyskland. Den bekräftar de europeiska tidslinjerna och lägger till ett datum för hela omställningen.
| Myndighet | Start | Högriskssystem | Allt annat |
|---|---|---|---|
| EU:s färdplan (juni 2025) | varje medlemsstat börjar senast vid utgången av 2026 | så snart som möjligt, senast vid utgången av 2030 | anges inte på kommissionens sida |
| Tysk riktlinje (12 oktober 2026) | vid hög risk så tidigt som möjligt | migrering klar senast vid utgången av 2030 | i stort sett klar 2035 |
| NCSC, Storbritannien | till 2028: mål, fullständig kartläggning, första plan | till 2031: tidig migrering med högsta prioritet | klar till 2035 |
Den tyska texten är en riktlinje, inte en lag. BSI:s meddelande presenterar den som ett ramverk för en samordnad omställning och nämner inga sanktioner.
Vad Tyskland ber organisationer göra
Riktlinjen riktar sig till förbundsstat, delstater och kommuner samt till organisationer och företag, bland dem operatörer av kritisk infrastruktur. BSI räknar upp fem åtgärder: tydliga ansvar och bindande tidsfrister i organisationen, postkvantkryptografi som state of the art, en systematisk bedömning av kvantrisken i riskhanteringen, tidigt inbegripande av tillverkare och leveranskedjor samt kryptoagilitet.
Kryptoagilitet innebär att utforma system, inköp och riskhantering så att kryptografiska metoder, eller inställningar som nyckellängder, kan bytas snabbt och kontrollerat. BSI säger att det blir viktigare eftersom AI påskyndar säkerhetsforskningen och i allt högre grad också metoderna för att angripa kryptografi.
Kartläggningen är det första steget med datum
Storbritannien är mest konkret om den första uppgiften. Till 2028 vill NCSC ha mål, en fullständig kartläggning och en första plan som anger prioriterade aktiviteter, beroenden av leverantörer och infrastruktur, nödvändig investering och långlivade hårdvarubaserade förtroendeankare. Det ber organisationer kartlägga den kryptografi, de protokoll och den hårdvara de är beroende av, och säger att detta inte är tänkt som ett formellt tillgångsregister.
Kartläggningen ska också registrera hur länge data måste förbli hemliga och vad de är värda för en motståndare. Det är viktigt eftersom kommissionen säger att 'store now, decrypt later'-attacker sannolikt redan pågår och att data som länge måste förbli konfidentiella kanske redan är hotade.
NCSC riktar sig främst till stora organisationer, operatörer av kritisk nationell infrastruktur och företag med skräddarsydd it. Det räknar med att mindre företag med mest standard-it får en enklare migrering som till stor del sköts via leverantörsuppdateringar, medan skräddarsydd programvara följer samma tidtabell som allas.
En kort lista för det här kvartalet
Börja med en lista över var er organisation använder kryptografi med publika nycklar, till exempel i certifikat, VPN-tunnlar och signerad firmware, och utse en person som ansvarar. Sätt ett datum, för den tyska riktlinjen ber om bindande tidsfrister och Storbritannien om kartläggning till 2028.
Be sedan leverantörerna om deras postkvantfärdplaner, eftersom BSI vill involvera tillverkare och leveranskedjor tidigt, och kontrollera om era system kan byta algoritmer eller nyckellängder utan ombyggnad. Sätt de data överst som måste förbli hemliga längst.
Läs vidare: Fel från 2014 ger fortfarande kinesisk firma ingång | Iransk spionprogramvara utgav sig för att vara Norton Antivirus
