EU legt klaren Fahrplan für den Übergang zur Post-Quanten-Kryptografie bis 2035 fest 

Kurz gesagt: Der Koordinierte Umsetzungsfahrplan der Europäischen Kommission sieht drei Fristen für die EU-Mitgliedstaaten vor, um auf Post-Quanten-Kryptographie umzusteigen: erste Schritte und Pilotprojekte bis 2026, die vollständige Migration von Hochrisikosystemen bis 2030 und die vollständige Migration von Systemen mit mittlerem und niedrigem Risiko bis 2035. Dies ist wichtig, da der Fahrplan Organisationen in der EU konkrete Planungstermine vorgibt, die an ein Risikoklassifizierungsmodell und nicht an eine pauschale Frist gekoppelt sind. Empfohlen wird, jetzt ein Inventar kryptografischer Assets zu erstellen, Systeme nach Risiko zu klassifizieren und Pilotprogramme auf den Meilenstein 2026 auszurichten.

Wichtige Erkenntnisse

• Der EU-Fahrplan sieht drei Meilensteine ​​vor: erste Schritte und Pilotprojekte bis 2026, Abschluss der Migration von Hochrisikosystemen bis 2030 und Abschluss der Migration von Systemen mit mittlerem/niedrigem Risiko bis 2035.
• Als Hochrisikosysteme gelten Systeme, die Daten schützen, die mindestens 10 Jahre lang vertraulich behandelt werden müssen, oder Systeme, deren Kompromittierung erhebliche Auswirkungen haben könnte.
• Für den Meilenstein 2026 müssen die Erstellung von Inventaren kryptografischer Assets, die Abbildung von Abhängigkeiten, die Bewertung des Quantenrisikos und die Einbindung von Interessengruppen bereits im Gange sein.
• Kryptografische Agilität, also die Entwicklung von Systemen mit Upgrade-Pfaden zu Post-Quanten-Algorithmen, ist eine wiederkehrende Anforderung in allen drei Meilensteinen.
• Der Zeitplan der EU stimmt weitgehend mit den Vorgaben des NIST und des britischen NCSC überein, die ebenfalls die Abschaffung anfälliger Kryptographie bis 2035 anstreben.

Die Europäische Kommission hat kürzlich einen „Fahrplan für die koordinierte Umsetzung des Übergangs zur Post-Quanten-Kryptographie “ veröffentlicht, der eine einheitliche Strategie zur Vorbereitung der digitalen Infrastruktur Europas auf die Herausforderungen des Quantencomputings skizziert.

Dieser Fahrplan legt klare Erwartungen und Zeitpläne für die Mitgliedstaaten fest, um mit der Migration weg von anfälligen klassischen kryptografischen Algorithmen hin zu quantenresistenten Lösungen zu beginnen und diese voranzutreiben. 

Drei Meilensteine ​​definieren den Zeitplan für den Übergang 

Das Dokument gliedert die PQC-Migration in drei wichtige Meilensteine ​​und bietet damit einen klaren Rahmen für koordiniertes Vorgehen in ganz Europa:

Bis 2026: Erste Schritte abschließen und Pilotprojekte für Anwendungsfälle mit hohem und mittlerem Risiko starten 

Von den Mitgliedstaaten wird erwartet, dass sie nationale PQC-Übergangspläne einleiten oder aktualisieren, die mehrere grundlegende Aktivitäten umfassen:

• Einbeziehung relevanter Interessengruppen, darunter CTOs, CISOs der Regierung, Cybersicherheitsbehörden und Forschungseinrichtungen.
• Entwicklung detaillierter Inventare kryptografischer Vermögenswerte unter Verwendung standardisierter Formate.
• Zuordnung von Abhängigkeiten über Anwendungen, Plattformen und Lieferketten hinweg.
• Durchführen von Quantenrisikobewertungen, um Systeme basierend auf Anfälligkeit und Auswirkung zu priorisieren.
• Einbeziehung von Lieferkettenpartnern zur Abstimmung von Produkt- und Service-Roadmaps.
• Einführung von Sensibilisierungs- und Kommunikationsprogrammen, die auf verschiedene Interessengruppen zugeschnitten sind.
• Wissensaustausch und Koordinierung über EU-Cybersicherheitsgruppen.
• Erstellen von Umsetzungsplänen mit Zeitplänen, die die nationalen Prioritäten widerspiegeln.

Bis zu diesem Meilenstein sollten Pilotprojekte für Anwendungsfälle mit hohem und mittlerem Risiko im Gange sein, die praktische Tests von PQC-Lösungen ermöglichen.

Bis 2030: Umsetzung der nächsten Schritte und Abschluss der Umstellung für risikoreiche Anwendungsfälle 

Der Fahrplan sieht vor, dass die Mitgliedstaaten bis 2030 die PQC-Migration für alle Hochrisikosysteme abgeschlossen haben. Zu den wichtigsten Maßnahmen gehören:

• Gewährleisten kryptografische Agilität in allen neuen Produkten, mit Upgrade-Pfaden, die Post-Quanten-Algorithmen unterstützen.
• Bereitstellung angemessener finanzieller und personeller Ressourcen zur Unterstützung des Übergangs.
• Aktualisierung der Zertifizierungs- und Regulierungsrahmen zur Einbeziehung der PQC-Standards.
• Überarbeitung nationaler Gesetze und Beschaffungsrichtlinien zur Durchsetzung quantensichere Kryptographie.
• Zusammenarbeit mit Interessenvertretern des privaten Sektors, Schulungsprogramme und Finanzierungsinitiativen zur Stärkung des PQC-Ökosystems.
• Teilnahme an von der EU geförderten Testzentren und Pilotprojekten zur Validierung der Interoperabilität.

Als Hochrisikosysteme gelten Systeme, die Daten schützen, die mindestens 10 Jahre lang vertraulich behandelt werden müssen, oder Systeme, bei denen im Falle einer Kompromittierung erhebliche potenzielle Auswirkungen bestehen.

Bis 2035: Vollständige Umstellung für Anwendungsfälle mit mittlerem und geringem Risiko 

Der letzte Meilenstein zielt auf den Abschluss der PQC-Umstellung für Anwendungsfälle mit mittlerem Risiko und möglichst viele Systeme mit niedrigem Risiko ab. Dies entspricht den internationalen Zielen von Institutionen wie dem NIST und dem britischen NCSC, die die Abschaffung anfälliger Kryptografie bis zu diesem Zeitpunkt vorsehen.

Quantenrisiken und Priorisierung verstehen 

Die Roadmap führt einen Rahmen für die Risikoklassifizierung ein, der die Priorisierung erleichtern soll:

• Hohes Risiko: Anwendungsfälle mit langfristigem Vertraulichkeitsbedarf und kritischen Auswirkungen.
• Mittleres Risiko: Wichtige Anwendungsfälle mit mittlerer Dringlichkeit.
• Niedriges Risiko: Systeme mit geringerer Auswirkung oder kürzeren Vertraulichkeitsanforderungen.

Organisationen werden ermutigt, die Quantenrisikoanalyse in bestehende Prozesse des Cybersicherheitsrisikomanagements zu integrieren.

Schlüsselthemen für einen erfolgreichen PQC-Übergang 

• Kryptografische Agilität: Produkte und Systeme sollten nahtlose Upgrades auf quantenresistente Algorithmen unterstützen.
• Zusammenarbeit der Stakeholder: Eine grenz- und sektorübergreifende Zusammenarbeit ist unerlässlich.
• Regulierungsangleichung: Gesetze, Zertifizierungen und Beschaffung müssen weiterentwickelt werden, um die Einführung von PQC zu unterstützen.
• Sensibilisierung und Schulung: Maßgeschneiderte Bildungsinitiativen sollten alle Organisationsebenen einbeziehen.
• Ressourcenplanung: Für die Übergangsbemühungen müssen Budget und Personal bereitgestellt werden.
• Prüfung und Validierung: Koordinierte Pilotprogramme und Interoperabilitätstests sind unerlässlich.

Wie Verschlüsselungsberatung Sie auf Ihrem Weg zur Post-Quanten-Kryptographie unterstützen kann 

Encryption Consulting bietet spezialisierte Beratungsleistungen im Bereich der Post-Quanten-Kryptographie an , die Organisationen dabei helfen sollen, ihr Quantenrisiko einzuschätzen, maßgeschneiderte Übergangsstrategien zu entwickeln und kryptographische Agilität im Einklang mit globalen und EU-Standards zu implementieren.

Unser Expertenteam unterstützt Sie bei Risikobewertungen, der Entwicklung von Roadmaps, der Evaluierung von Anbietern und Machbarkeitsstudien, um eine reibungslose und regelkonforme Migration zu quantensicherer Kryptographie zu ermöglichen.

Mehr dazu: https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography

Häufig gestellte Fragen

Was sind die drei Meilensteine ​​im PQC-Übergangsfahrplan der EU?

Bis 2026 sollten die Mitgliedstaaten erste Schritte wie die Erstellung von Kryptografie-Inventaren und Risikobewertungen abschließen und Pilotprojekte für Anwendungsfälle mit hohem und mittlerem Risiko starten. Bis 2030 sollte die Migration für alle Systeme mit hohem Risiko abgeschlossen sein. Bis 2035 sollte die Migration für Systeme mit mittlerem Risiko und möglichst viele Systeme mit niedrigem Risiko abgeschlossen sein.

Was gilt im Rahmen des EU-Fahrplans als „Hochrisiko“-System?

Systeme, die Daten schützen, die mindestens 10 Jahre lang vertraulich bleiben müssen, oder Systeme, bei denen eine Kompromittierung erhebliche Auswirkungen hätte, werden für die frühestmögliche Migrationsfrist 2030 priorisiert.

Was sollten Organisationen bis zum Meilenstein 2026 umgesetzt haben?

Eine detaillierte Bestandsaufnahme kryptografischer Assets, eine Abhängigkeitsanalyse über Anwendungen und Lieferketten hinweg, abgeschlossene Quantenrisikobewertungen, die Einbindung von Stakeholdern, darunter CISOs und Partner in der Lieferkette, sowie bereits laufende Pilotprogramme für Anwendungsfälle mit hohem und mittlerem Risiko.

Stimmt der EU-Fahrplan mit den Zeitplänen von NIST und dem britischen NCSC überein?

Ja. Das Ziel, den Übergang für Systeme mit mittlerem und niedrigem Risiko bis 2035 abzuschließen, stimmt mit den internationalen Zielen des NIST und des britischen NCSC überein, die beide die Abschaffung anfälliger klassischer Kryptographie bis zu diesem Zeitpunkt vorsehen.

Was versteht man unter kryptografischer Agilität, und warum wird sie in der Roadmap so stark betont?

Kryptografische Agilität bezeichnet die Fähigkeit, kryptografische Algorithmen in einem System ohne vollständige Neuentwicklung zu aktualisieren. Die Roadmap sieht vor, dass alle neuen Produkte ab dem Jahr 2030 kryptografische Agilität unterstützen müssen, da Systeme ohne diese Fähigkeit deutlich teurer und langsamer zu migrieren sind, wenn sich Standards weiterentwickeln.