Die kryptografische Klippe von 2026: Fünf Fristen laufen gleichzeitig zusammen

Kurz gesagt: Die kryptografische Klippe von 2026 ist das Ergebnis des Zusammenwirkens vierer regulatorischer Vorgaben innerhalb von etwa 18 Monaten: US Executive Order 14412 (Frist für die Bundesebene 2030/2031), der koordinierte PQC-Fahrplan der EU (kryptografische Inventare bis Ende 2026), der EU Cyber ​​Resilience Act (maschinenlesbare Komponenteninventare ab Dezember 2027) und NIST IR 8547 (Abschaffung von RSA und ECC nach 2030). Dies ist relevant, da alle diese Rahmenwerke dieselbe Grundvoraussetzung haben: ein vollständiges, maschinenlesbares kryptografisches Inventar. Die meisten Unternehmen verfügen jedoch lediglich über ein Zertifikatsinventar, das Kryptografie im Quellcode, fest codierte Schlüssel und inaktiven Systemen nicht berücksichtigt. Es wird empfohlen, dieses Inventar einmalig als CBOM (Cryptographic Bill of Materials) in einem Standardformat wie CycloneDX zu erstellen. Dadurch wird die Grundvoraussetzung aller vier Rahmenwerke gleichzeitig erfüllt und die Basis für alle nachfolgenden Migrations- und Prüfungsschritte geschaffen.

Vier Regulierungsbehörden, zwei Kontinente, eine Forderung. Innerhalb von achtzehn Monaten kommen die US-Executive Order 14412, unterzeichnet im Juni 2026; der EU Cyber ​​Resilience Act, der ab Dezember 2027 in Kraft tritt; die koordinierte EU-Roadmap für die Zeit nach der Quantencomputertechnologie, die kryptografische Inventare bis Ende 2026 vorsieht; und NIST IR 8547, die die Ablösung von RSA und elliptischer Kurvenkryptographie nach 2030 vorsieht, alle zu demselben Ausgangspunkt.

Bevor Sie von einem dieser Unternehmen zur Systemmigration oder zum Nachweis der Compliance aufgefordert werden, verlangen alle zunächst dasselbe: ein vollständiges, maschinenlesbares Verzeichnis der in Ihrem Unternehmen tatsächlich verwendeten Kryptografie. Die meisten Unternehmen können dies nicht leisten. Sie können zwar die TLS-Zertifikate ihrer Load Balancer auflisten, aber sie können Ihnen nicht sagen, welcher Algorithmus in einem Zahlungsdienst aus dem Jahr 2015 fest einprogrammiert ist oder welche Schlüssel Daten schützen, die noch ein Jahrzehnt lang vertraulich bleiben müssen.

Diese Kluft zwischen der sichtbaren Kryptographie und der Kryptographie , auf die man sich verlässt, ist der Kern der kryptographischen Krise von 2026.

Was ist die kryptografische Klippe von 2026?
Die sogenannte „kryptografische Klippe 2026“ bezeichnet den Zeitraum, in dem verschiedene kryptografische Herausforderungen – Post-Quanten-Vorgaben, regionale Fahrpläne, Produktsicherheitsvorschriften und die Abschaffung von Algorithmen – gleichzeitig auf Unternehmen einwirken, anstatt nacheinander. Sie alle stehen vor der gemeinsamen Aufgabe, eine kryptografische Bestandsaufnahme zu erstellen, und konkurrieren um dieselben wenigen verfügbaren Ressourcen.

Kurz gesagt, die fünf Einflussfaktoren lassen sich wie folgt zusammenfassen: Die US-Präsidialverordnung 14412 legt bundesweite Fristen für die Zeit nach der Quantenzertifizierung bis 2030 und 2031 fest und beinhaltet eine FIPS-Regel für Auftragnehmer. Der von der EU koordinierte PQC-Fahrplan sieht die Erstellung von Kryptografieinventaren bis Ende 2026, die Überprüfung von Hochrisikosystemen bis 2030 und den vollständigen Übergang bis 2035 vor.

Der EU Cyber ​​Resilience Act schreibt ab Dezember 2027 maschinenlesbare Komponenteninventare vor, wobei CBOM als Mechanismus dient. NIST IR 8547 erklärt quantenanfällige Algorithmen nach 2030 für veraltet. Der erste Schritt in jedem dieser Schritte ist ein kryptografisches Inventar.

Wichtige Erkenntnisse

• Die Abgabetermine überschneiden sich, sodass man eine Aufgabe nicht vor dem Ende der nächsten abschließen kann. Das Problem liegt in der zeitlichen Überschneidung, nicht in einem einzelnen Termin.
• Bei langlebigen Geheimnissen liegt die Migrationsfrist praktisch in der Vergangenheit, denn alles, was Sie heute verschlüsseln, kann jetzt gesammelt und später entschlüsselt werden.
• Jedes Framework beginnt mit derselben Anfrage: einem kryptografischen Inventar. Erstellen Sie es einmal, und Sie beantworten die erste Frage in allen Frameworks.
• Die meisten Organisationen verfügen bereits über ein Inventar. Es handelt sich dabei um ein Zertifikatsinventar, das die in Quellcode, Schlüsseln und ruhenden Systemen verborgene Kryptografie außer Acht lässt.
• Die Zeitpläne der USA und der EU unterscheiden sich. EO 14412 nennt die Jahre 2030 und 2031; die EU nennt Ende 2026, Dezember 2027, 2030 und 2035.
• Dies ist mittlerweile ein Risiko auf Vorstandsebene, keine Laborkuriosität mehr. Apple, Google, Cloudflare und Signal setzen bereits Post-Quanten-Kryptographie ein, und Expertenumfragen gehen davon aus, dass ein kryptografisch relevanter Quantencomputer zwischen 2033 und 2037 verfügbar sein wird.

Warum „Cliff“ und nicht „Ramp“?

Eine Rampe ist wie etwas, das man in seinem eigenen Tempo erklimmt. Man erledigt eine Aufgabe, holt kurz Luft und beginnt die nächste. Regulierungsbehörden haben jahrelang auf diese Weise Kryptografie-Anforderungen nach und nach festgelegt, und Sicherheitsteams haben gelernt, sie in einem stetigen Rhythmus zu verinnerlichen.

Das Jahr 2026 bringt den gewohnten Rhythmus durcheinander. Vier Verpflichtungen rücken nun so nah beieinander, dass eine reibungslose Abfolge nicht mehr möglich ist, und sie beanspruchen dieselben Ressourcen. Die Person, die Ihren Migrationsplan für die Zeit nach der Quantenmigration gemäß Executive Order 14412 erstellt, ist dieselbe, die das maschinenlesbare Inventar für den Cyber ​​Resilience Act erstellen muss und die Ihre Wirtschaftsprüfer zu NIST IR 8547 befragen werden. Ein multinationales Unternehmen, das sowohl in den USA als auch in der EU tätig ist, steht nicht vor vier Projekten, sondern vor vier Deadlines, die von einem einzigen Team erfüllt werden müssen.

Die Klippe ist nicht einfach ein einzelnes Datum im Kalender. Es sind vier, die gleichzeitig eintreffen, während man nur genug Personal hat, um eine davon zu besteigen.

Die bereits verstrichene Frist

Hier kommt der Teil ins Spiel, der in den meisten Berichten über diese Vorschriften ausgelassen wird, weil er nicht in einen Compliance-Kalender passt.

Hinter jeder dieser Fristen läuft ein Countdown, der ohne Vorwarnung gestartet wurde. Angreifer können Ihren verschlüsselten Datenverkehr bereits heute kopieren und speichern, bis ein kryptografisch geeigneter Quantencomputer existiert, der ihn entschlüsseln kann. In der Branche wird dies als „ Erfassen und späteres Entschlüsseln “ bezeichnet, und es verändert die grundlegende Bedeutung von Fristen.

Führen Sie die Berechnung mit Ihren eigenen Daten durch. Wählen Sie etwas, das zehn Jahre lang vertraulich bleiben muss: eine Patientenakte, einen versiegelten Vertrag, einen langfristigen Signaturschlüssel. Nehmen Sie nun an, dass ein leistungsfähiger Quantencomputer etwa Anfang der 2030er-Jahre verfügbar sein wird, was im mittleren Bereich der meisten öffentlichen Schätzungen liegt.

Alles, was heute noch mit RSA- oder elliptischer Kurvenkryptographie ein zehnjähriges Geheimnis schützt, ist bereits angreifbar, da der Chiffretext jetzt erfasst und am ersten Betriebstag des Rechners entschlüsselt werden kann. Für Daten mit langer Speicherdauer ist der sinnvolle Stichtag für die Migration nicht 2030, sondern der Tag der ersten Verschlüsselung.

Diese Neubewertung ist der Grund, warum die Regulierungsbehörden ihre Ziele so festgelegt haben, und warum es die kostspieligste Interpretation der Situation ist, das Jahr 2030 als noch in weiter Ferne zu betrachten. Die Systeme, die Ihre sensibelsten und langlebigsten Daten schützen, mussten als Erstes angepasst werden, und diese Systeme reagieren in der Regel am langsamsten.

Die Migration hat bereits begonnen, mit oder ohne dich.

Falls Ihnen die drohende Abklingzeit noch abstrakt erscheint, betrachten Sie, was die Infrastruktur Ihres Unternehmens bereits leistet. Der Übergang nach der Quantencomputertechnologie war ab August 2024 kein reines Forschungsthema mehr, als das NIST seine ersten Standards finalisierte: FIPS 203 (ML-KEM) für die Schlüsselerzeugung sowie FIPS 204 ( ML-DSA ) und FIPS 205 ( SLH-DSA ) für digitale Signaturen. Mit diesen konkreten Standards in der Hand stellten die größten Betreiber um.

Google integriert nun standardisiertes ML-KEM in Chrome und hat sich zum Ziel gesetzt, seine Systeme bis 2029 für das Quantenzeitalter abzusichern. Cloudflare wickelt einen wachsenden Anteil seines TLS-Datenverkehrs über einen hybriden Post-Quanten-Schlüsselaustausch ab und weitet diesen auf sein gesamtes Netzwerk aus. Apple hat den iMessage-Schlüsselaustausch auf Basis eines Post-Quanten-Protokolls namens PQ3 neu entwickelt, und Signal hat ML-KEM in seinen Handshake mit PQXDH integriert.

Das Muster ist konsistent und sollte auf Führungsebene verstanden werden: hybrider Schlüsselaustausch, ein klassischer Algorithmus wie X25519 in Kombination mit ML-KEM-768, sodass eine Schwäche in einem der beiden Algorithmen allein die Sitzung nicht unterbricht. Die grundlegende Infrastruktur des Internets wird grundlegend modernisiert, und zwar Jahre vor den Fristen für die Einhaltung der Vorschriften.

Die Bedrohungslage hat sich parallel dazu verschärft. Laut der jüngsten Expertenumfrage des Global Risk Institute ist mit dem wahrscheinlichen Aufkommen eines kryptografisch relevanten Quantencomputers – definiert als ein Computer, der RSA in etwa einem Tag knacken könnte – im Zeitraum von 2033 bis 2037 zu rechnen. Die Zehnjahreswahrscheinlichkeit dafür liegt damit auf dem höchsten Stand in der Geschichte der Umfrage.

Finanzinstitute und das Weltwirtschaftsforum stufen die Bereitschaft zur Quantenintegration mittlerweile als Risiko auf Vorstandsebene ein. Keiner dieser Termine ist sicher, und genau das ist das Problem, mit dem Sie sich auseinandersetzen müssen: eine mehrjährige Migration, budgetiert auf einen unbestimmten Stichtag, bei der ein verspäteter Start der einzige Fehler ist, den man nicht mehr rückgängig machen kann.

Die Schwierigkeit liegt nicht in den Algorithmen. Die hat das NIST bereits veröffentlicht. Die Schwierigkeit besteht darin, in der eigenen IT-Infrastruktur alle Stellen zu finden, an denen die alten Algorithmen noch laufen.

Die fünf konvergierenden Kräfte (Die Karte)

Liest man die Rahmenwerke nebeneinander, wird die Konvergenz deutlich. Vier von ihnen beginnen mit einer nahezu identischen Anforderung, und das fünfte gibt den technischen Takt vor, an dem sich die anderen orientieren.

Zwingen	Das Erste, was es von dir verlangt	Nächstgelegenes Datum
US-Executive Order 14412	Bestandsaufnahme, anschließend Migration der Bundessysteme; Auftragnehmer erfüllen die FIPS-Anforderungen mit PQC	2030 / 2031
EU-PQC-Roadmap	Nationale Strategie plus ein kryptografisches Inventar als erster Schritt	Ende 2026
EU-Rechtsakt zur Cyber-Resilienz	Ein maschinenlesbares Komponenteninventar; das CBOM ist die Kryptoschicht.	Ab 2027. Dez
Durchführungsverordnung 2024/2690 NIS2	Dokumentieren Sie Hardware- und Softwarekomponenten für die betroffenen Einheiten.	In voller Stärke
NIST IR 8547	Informieren Sie sich über Ihre veralteten Algorithmen und stellen Sie diese dann ein.	Nach 2030, 2035 nicht mehr zulässig

Die Exekutivanordnung 14412 mit dem Titel „Schutz der Nation vor fortgeschrittenen kryptografischen Angriffen“ wurde am 22. Juni 2026 unterzeichnet. Sie teilt den Übergang auf Bundesebene in zwei Phasen auf: die Einführung der Post-Quanten-Schlüsselaustauschtechnologie bis zum 31. Dezember 2030 und die Post-Quanten-Authentifizierung bis zum 31. Dezember 2031. Zudem beauftragt sie den Federal Acquisition Regulatory Council (FARC), eine Regelung zu erlassen, die von den betroffenen Auftragnehmern verlangt, die NIST FIPS-Standards, einschließlich der PQC-Standards, bis Ende 2030 zu erfüllen. Wenn Sie an die Bundesregierung verkaufen, sind Sie von dieser Regelung betroffen.

Der 2025 veröffentlichte EU-Fahrplan sieht die Erstellung eines kryptografischen Inventars als erste Handlungsempfehlung vor und empfiehlt ein standardisiertes Format wie das CBOM für dessen Aufbau und Aktualisierung. Das Cyber ​​Resilience Act trat im Dezember 2024 in Kraft, seine wichtigsten Verpflichtungen gelten ab dem 11. Dezember 2027. Es fordert eine maschinenlesbare Stückliste für Produkte mit digitalen Elementen, und das CBOM ist die kryptografische Schicht, die diese Anforderung erfüllt.

NIST IR 8547 ist der Standard, auf dem alle anderen basieren. Nach 2030 gelten Algorithmen wie RSA, ECDH, ECDSA, DSA und das Diffie-Hellman-Verfahren für endliche Körper als veraltet. Ihre weitere Verwendung muss daher schriftlich begründet und dokumentiert werden. Nach 2035 sind sie gänzlich verboten, ohne dass das damit verbundene Risiko akzeptiert werden kann – auch nicht in Altsystemen, die man lieber nicht wieder in Betrieb nehmen möchte.

Wer ist eigentlich der Leidtragende?

Die Schlagzeilen nennen Bundesbehörden und EU-Mitgliedstaaten, was viele Unternehmen fälschlicherweise annehmen lässt, das Problem liege nicht bei anderen. Dem ist aber nicht so, und der Grund dafür ist die Lieferkette.

Wenn Sie Software, Hardware oder Dienstleistungen auf dem US-amerikanischen Bundesmarkt oder in der EU verkaufen, gehen die Verpflichtungen Ihrer Kunden ab dem Zeitpunkt, an dem diese Ihnen einen Fragebogen zusenden, auch auf Sie über. Ein Käufer, der nun ein kryptografisches Inventar melden muss, kann keinen Anbieter akzeptieren, der kein solches vorlegen kann. Viele Unternehmen spüren die drohende Gefahr nicht durch ein Schreiben der Aufsichtsbehörde, sondern durch ein Beschaffungsformular, das sie nicht ausfüllen können und das ihnen die Verlängerung ihres Vertrags verwehrt.

Der praktische Anwendungsbereich ist also größer als der rechtliche. Betroffen sind Bundesbehörden und Auftragnehmer in den USA, Mitgliedstaaten und Hersteller, die unter den Cyber ​​Resilience Act fallen, in der EU sowie im Grunde alle Lieferanten, die weiterhin in einem der beiden Märkte verkaufen wollen.

Warum Ihr „Krypto-Inventar“ wahrscheinlich eine Zertifikatsliste ist

Die meisten Organisationen, die glauben, bereits über ein kryptografisches Inventar zu verfügen, besitzen auch ein Zertifikatsinventar. Sie können Ihnen genau sagen, welche TLS-Zertifikate auf ihren Load Balancern gespeichert sind und welche Schlüssel in ihrem Cloud-Schlüsselspeicher abgelegt sind, denn diese Zertifikate laufen ab und können zu Problemen führen, wenn sie ignoriert werden.

Diese Sichtweise endet am Netzwerkrand, und die Kryptographie, die eine Anwendung tatsächlich definiert, existiert darüber hinaus: ein RSA-2048-Aufruf, der vor Jahren in eine Authentifizierungsbibliothek fest einprogrammiert und nie wieder überprüft wurde, ein Initialisierungsvektor, der über verschiedene Bereitstellungen hinweg wiederverwendet wird, ein Schlüssel, der von einem schwachen Zufallszahlengenerator erzeugt wurde, ein quantenanfälliger Algorithmus, der in einem Dienst schlummert, der immer noch echte Daten verarbeitet.

Nichts davon erscheint in einem Zertifikatsmanager oder einer Konfigurationsdatenbank. Genau diese Informationen müssen Sie jedoch gemäß NIST IR 8547 ermitteln und gemäß dem Cyber ​​Resilience Act angeben.

CBOM Secure wurde entwickelt , um diese Lücke zu schließen . Es dringt über die Zertifikatsebene hinaus in Quellcode, Binärdateien, Container, Schlüsselspeicher, Datenbanken und die Hardware-Sicherheitsmodule ein, in denen die Schlüssel gespeichert sind, und normalisiert alles in einem einzigen Inventar. Jedes Asset wird hinsichtlich seines Risikos bewertet, quantenanfällige Kryptografie wird für die Migration markiert, und das Inventar wird als CBOM im CycloneDX-Format exportiert – demselben maschinenlesbaren Format, das mittlerweile als ECMA-424 standardisiert ist und auf das sich alle diese Vorschriften konzentrieren.

Ihre Zertifikate sind selten das Problem. Meistens liegt es an dem fest codierten RSA-Schlüssel in einer Bibliothek, deren Auslieferung Sie vergessen haben.

Wie die Klippe vom Sitzungssaal aus aussieht

Für die Führungsebene ist die Konvergenz eigentlich kein Problem der Kryptographie. Es handelt sich vielmehr um ein Problem der Unternehmensführung, der Haftung und des Budgets, das zufällig mit Kryptographie zu tun hat, und es ist zunehmend eine Frage, die der Vorstand lautstark stellt.

Drei Faktoren drängen dieses Thema aus dem Bereich der Entwicklungsabteilung auf die Agenda der Führungsebene. Erstens die Rechenschaftspflicht. Offenlegungspflichten und Aufsichtsbehörden erwarten heute von namentlich genannten Führungskräften, dass sie für den Status ihrer Sicherheitsmaßnahmen einstehen, und kein CISO kann eine kryptografische Sicherheitslage bestätigen, die das Unternehmen nicht einsehen kann. Zweitens die Lieferkette.

Kunden fordern zunehmend Quantencomputing-Fähigkeiten und maschinenlesbare Bestandsdaten als Voraussetzung für Vertragsverlängerungen. Das bedeutet, dass die Lücken Ihrer Lieferanten unbemerkt zu Ihren eigenen werden. Drittens ist der Migrationszeitraum entscheidend. Umfangreiche kryptografische Umstellungen haben in der Vergangenheit viele Jahre gedauert, und Signaturen und Authentifizierung sind schwieriger zu migrieren als Verschlüsselung. Genau deshalb trennt die Executive Order 14412 die Frist für die Verschlüsselung (2030) von der Frist für die Authentifizierung (2031). All dies lässt sich nicht in dem Quartal vor der Wirtschaftsprüfung bewältigen.

Der entscheidende Umdenkensprozess für Führungskräfte sieht folgendermaßen aus: Die zentrale Frage im Vorstand lautet nicht: „Sind wir bereits quantensicher?“, eine Frage, die 2026 niemand eindeutig beantworten kann. Vielmehr lautet sie: „Verfügen wir über ein vollständiges, aktuelles und exportierbares Inventar unserer Kryptografie und einen priorisierten Plan für deren Umsetzung?“ Dieses eine Dokument verwandelt eine vage Befürchtung in ein planbares Programm, erfüllt die Anforderungen des Auditors, beantwortet die Fragen der Kunden und bietet dem Migrationsteam einen Ausgangspunkt. Genau das ist es aber auch, was die meisten Organisationen noch nicht vorweisen können.

Der eine Zug, der sich auszahlt

Überlagert man die vier Frameworks, so taucht immer wieder eine einzige Aktion unter ihnen auf. Bevor eines von ihnen Sie auffordert, einen Algorithmus zu migrieren oder die Konformität nachzuweisen, stellt jedes die gleiche Eingangsfrage: Welche Kryptografie verwenden Sie, und wo ist sie gespeichert?

Ein aktuelles kryptografisches Inventar, dargestellt als CBOM (Cryptographic Bias Inventory), beantwortet diese Frage ein für alle Mal. Der EU-Fahrplan benennt es explizit. Der Cyber ​​Resilience Act fordert maschinenlesbare Daten. NIST IR 8547 kann erst umgesetzt werden, wenn bekannt ist, welche veralteten Algorithmen produktiv eingesetzt werden. Die Migrationsplanung gemäß Executive Order 14412 beginnt ebenfalls mit dieser Grundlage. Ein Dokument, vier Verpflichtungen erfüllt.

Alles, was als Nächstes sinnvoll ist, baut darauf auf. Krypto-Agilität , also die Fähigkeit, einen Algorithmus auszutauschen, ohne das System komplett neu zu strukturieren, funktioniert nur, wenn man weiß, wo der alte Algorithmus gespeichert ist. Für die Migrationsplanung muss man wissen, welche Systeme ein hohes Risiko bergen und welche inaktiv sind. Prüfnachweise müssen bei Bedarf exportierbar sein und dürfen nicht in jedem Zyklus neu aus Tabellenkalkulationen erstellt werden müssen. Die Bestandsaufnahme ist nicht das Ziel, aber sie ist der entscheidende Schritt, der alle weiteren Schritte kostengünstiger macht.

Eine praktische Sequenz bis 2026

Sie müssen nicht vier Frameworks gleichzeitig lösen. Sie arbeiten der Reihe nach an der Grundlage, die allen dient, und lassen jeden Schritt den nächsten aufbauen.

1. Inventar: Entdecken Sie jeden Schlüssel, jedes Zertifikat, jeden Algorithmus und jedes Protokoll in der Cloud. HSMsDatenbanken, Quellcode und Truststores. Erfassen Sie diese als CBOM in einem Standardformat, nicht als Tabellenkalkulation.
2. Klassifizieren: Kennzeichnen Sie, was quantenanfällig ist, was gemäß NIST IR 8547 veraltet ist und was bereits den Richtlinien entspricht. Trennen Sie tatsächlich verwendete Kryptografie von lediglich vorhandener Kryptografie.
3. Priorisierung nach Haltbarkeit: Die Daten werden danach sortiert, wie lange sie geheim bleiben müssen, nicht nach dem Ablaufdatum des Zertifikats. Langfristig geheime Daten werden zuerst berücksichtigt, da ihre Gültigkeitsdauer bereits vor Jahren begonnen hat.
4. Planen Sie eine hybride Migration: Gehen Sie schrittweise in Richtung Post-Quanten-Algorithmen, indem Sie klassische Algorithmen und PQC oft parallel einsetzen, damit Sie nicht alles auf eine einzige Umstellung setzen.
5. Agilität aufbauen: Es sollten Kontrollmechanismen eingerichtet werden, um Algorithmen erneut ändern zu können, ohne von vorne beginnen zu müssen, da sich die zugrunde liegenden Standards ständig weiterentwickeln werden.
6. Die Beweismittel müssen weiterhin verfügbar sein: Pflegen Sie das Inventar so, dass die Prüfungsnachweise und die Einreichung gemäß dem Cyber ​​Resilience Act eine Anfrage darstellen und nicht ein Viertel der manuellen Arbeit ausmachen.

So betrachtet, verwandelt sich die Klippe wieder in eine Rampe – ganz nach Ihren Vorstellungen. Sie erklimmen sie einmal, am Fundament, und dieselbe Arbeit beantwortet jede Kontrollstelle oben.

Wie Verschlüsselungsberatung hilft

Alles oben Genannte deutet auf eine einzige Aufgabe hin, und genau für diese Aufgabe haben wir CBOM Secure entwickelt. Encryption Consulting agiert als ein einziges Programm und nicht als vier separate Notfallmaßnahmen, und CBOM Secure ist die treibende Kraft dahinter.

Erstellen Sie das Inventar einmalig mit CBOM Secure, und Sie haben die erste Frage beantwortet, die sich bei jeder dieser Fristen stellt.

CBOM Secure ist eine Plattform für das kryptografische Sicherheitsmanagement, die alle kryptografischen Assets in Ihrer Umgebung erkennt, korreliert und verwaltet und diese Informationen stets aktuell hält. Das Modell lautet: Erkennen, Korrelieren, Verwalten.

• Entdecken Sie: Ein umfassendes Set an Erkennungssensoren inventarisiert Schlüssel, Zertifikate, Algorithmen und Protokolle in Cloud-Schlüsselspeichern, Hardware-Sicherheitsmodulen, Datenbanken, Betriebssystem-Vertrauensspeichern und dem Quellcode von Anwendungen selbst. Es erfasst kryptografische Elemente, die Zertifikatstools nicht sehen, und kennzeichnet fest codierte und schwache Komponenten, wo immer sie auftreten, unabhängig davon, wie stark der umgebende Algorithmus erscheint.
• Korrelat: Es verknüpft Zertifikate mit Schlüsseln, verfolgt dienstübergreifende Abhängigkeiten, erkennt die Wiederverwendung von Schlüsseln und trennt tatsächlich produktiv eingesetzte Kryptografie von lediglich vorhandener Kryptografie, sodass Sie sich zuerst um das Wesentliche kümmern können, anstatt sich mit Nebensächlichkeiten zu beschäftigen.
• Regieren: Jedes Asset wird hinsichtlich seines Risikos von 0 bis 100 bewertet, quantenanfällige Algorithmen werden zur Migration gekennzeichnet, und die Richtlinien werden kontinuierlich anhand von Standards wie NIST und FIPS 140-3 durchgesetzt. CNSA 2.0und CMMC, mit Prüfberichten auf Anfrage und der Möglichkeit, das gesamte Inventar als CBOM im CycloneDX-Format zu exportieren.

Im Vergleich zu den auf dieser Seite angegebenen Fristen übernimmt die Plattform die Last für jede einzelne:

Frist	Was CBOM Secure dagegen unternimmt
EU-PQC-Roadmap (Ende 2026)	Erstellt das im Fahrplan geforderte kryptografische Inventar im empfohlenen CBOM-Format.
Cyber ​​Resilience Act (ab Dezember 2027)	Exportiert ein maschinenlesbares CBOM im CycloneDX-Format, das der von der CRA für kryptografische Komponenten erwarteten Form entspricht.
EO 14412 (2030 / 2031)	Identifiziert quantenanfällige Assets und priorisiert den Migrationsfahrplan für Bundesbehörden und Auftragnehmer.
NIST IR 8547 (nach 2030)	Kennzeichnet veraltete Algorithmen, die in der Produktion laufen, damit Sie diese planmäßig außer Betrieb nehmen können.
NIS2-Verordnung 2024/2690 (in Kraft)	Dokumentiert die kryptografischen Komponenten der betroffenen Systeme und speichert einen manipulationssicheren Prüfpfad.

CBOM Secure lässt sich lokal, in der Cloud, hybrid oder als SaaS, agentenlos oder agentenbasiert bereitstellen und passt sich so Ihrer bestehenden IT-Umgebung an. Dank des CycloneDX-Exports besteht keine Abhängigkeit von einem bestimmten Anbieter. Ergänzend zur Plattform analysiert Compliance Advisory Ihre Verpflichtungen in Frameworks wie DORA, NIS2 und dem NIST Cybersecurity Framework. PQC Advisory entwickelt daraus einen schrittweisen, hybriden Migrationsplan mit der nötigen Krypto-Agilität, um mit den sich ändernden Standards Schritt zu halten.

Der Ausgangspunkt ist für fast alle derselbe: Inventar mit CBOM Secure einrichten, dann den Rest der Karte automatisch abarbeiten lassen.

Fazit

Die drohende Kryptografiekrise 2026 ist nicht nur ein einzelner Stichtag, sondern gleich vier, die so nah beieinander liegen, dass sie ein kleines Team gleichzeitig beanspruchen. Die US-Präsidialverordnung 14412, der koordinierte Fahrplan der EU für PQC (Project Quality Control), der Cyber ​​Resilience Act und NIST IR 8547 fordern alle dasselbe: ein vollständiges, maschinenlesbares kryptografisches Inventar. Für Daten, die jahrelang vertraulich bleiben müssen, ist diese Inventarisierung längst überfällig, da alles, was heute mit RSA oder ECC verschlüsselt ist, bereits jetzt erfasst und mit einem leistungsfähigen Quantencomputer entschlüsselt werden kann.

Organisationen, die dies als ein grundlegendes Programm und nicht als vier separate Compliance-Aktionsübungen behandeln, werden alle Fristen problemlos einhalten. Erstellen Sie das kryptografische Inventar einmalig, bilden Sie es als CBOM ab, und alle nachfolgenden Schritte – Klassifizierung, Priorisierung, Migration und Auditnachweise – werden dadurch kostengünstiger und schneller.

Häufig gestellte Fragen

Was ist die kryptografische Klippe von 2026?

Es ist die Zeit, in der mehrere kryptografische Anforderungen gleichzeitig auf Organisationen einwirken: Migrationsauflagen nach der Quantencomputer-Ära, regionale Fahrpläne, Produktsicherheitsvorschriften und die Abschaffung veralteter Algorithmen. Da sich die Fristen überschneiden und nicht nacheinander eintreten, können Teams ein Projekt nicht abschließen, bevor das nächste beginnt, und alle greifen auf dieselben Mitarbeiter zurück.

Was fordert der EU-PQC-Fahrplan bis 2026?

Es fordert die EU-Mitgliedstaaten auf, den Übergang bis Ende 2026 mit der Festlegung nationaler Strategien und der Einleitung erster Schritte, einschließlich des Aufbaus kryptografischer Inventare, zu beginnen. Hochrisikosysteme sollen bis 2030 und ein umfassender Übergang bis 2035 erfolgen.

Ist gemäß dem Cyber ​​Resilience Act ein CBOM erforderlich?

Der Cyber ​​Resilience Act schreibt ab Dezember 2027 ein maschinenlesbares Komponenteninventar für Produkte mit digitalen Elementen vor. Das CBOM wird im Gesetzestext nicht namentlich genannt, aber das CBOM, üblicherweise in CycloneDX ausgedrückt, ist der praktische Mechanismus, der die Anforderung an kryptografische Komponenten erfüllt.

Gilt für die USA die gleiche Frist wie für die EU?

Nein. In den USA legt die Executive Order 14412 bundesweite Fristen für die Post-Quanten-Verschlüsselung bis 2030 und für die Authentifizierung bis 2031 fest; eine FIPS-Regel für Auftragnehmer sieht einen ähnlichen Zeitplan vor. In der EU werden kryptografische Inventare bis Ende 2026 erwartet, der Cyber ​​Resilience Act gilt ab Dezember 2027, Hochrisikosysteme sollen bis 2030 umgestellt werden, und der vollständige Übergang ist bis 2035 geplant.

Was sollten wir zuerst tun?

Erstellen Sie ein kryptografisches Inventar. Dies ist die erste Voraussetzung in nahezu jedem Framework und die Grundlage, auf der Klassifizierung, Migrationsplanung und Prüfnachweise beruhen.