PQC säkerhetsmognadsmodell: Från nybörjare till motståndskraftig

Snabbt svar: Encryption Consultings PQC Maturity Model definierar fem nivåer, från nivå 0 till nivå 4: PQC Beginner (ingen synlighet, 100 % riskexponering), PQC Latent (informell medvetenhet utan samordnad åtgärd, 80 % risk), PQC Starter (formell bekräftelse och aktiv riskbedömning, 70 % risk), PQC Pilot (kontrollerade pilotprojekt i verkliga system, 40 % risk) och PQC Resilient (fullständig företagsintegration och kontinuerlig kryptoagilitet, 10 % risk). Varje nivå bedöms utifrån sex domäner: styrning och ledarskap, kryptografisk upptäckt och inventering, riskkonsekvensanalys, leverantörs- och leveranskedjehantering, utbildning och medvetenhet samt pilotprojekt. En Capgemini-rapport från 2025 fann att medan 70 % av organisationerna utforskar kvantsäkra åtgärder, kvalificerar endast 15 % för mogen styrning och starkt tekniskt genomförande, det gap som denna modell är byggd för att täcka.

En studie från Ponemon Institute fann att 74 % av organisationerna inte är redo för säkerhetskonsekvenserna av kvantberäkning, och grundorsaken är oftast densamma: brist på grundläggande insyn i var kryptografi faktiskt finns i företaget. Denna modell ger den luckan en struktur, så "hur redo är vi" får en specifik, evidensbaserad nivå snarare än en gissning.

Key Takeaways

• Modellen går från nivå 0 (PQC Nybörjare, 100 % risk) till nivå 4 (PQC Motståndskraftig, 10 % risk), där varje nivå är knuten till en specifik, fallande riskprocent.
• Sex bedömningsområden – styrning, kryptografisk identifiering, riskkonsekvensanalys, leverantörshantering, utbildning och pilotprojekt – avgör en organisations faktiska nivå, inte ett enda mätvärde.
• En Capgemini-rapport från 2025 fann att 70 % av organisationerna utforskade kvantsäkra åtgärder, men endast 15 % kvalificerade sig för mogen styrning och starkt tekniskt genomförande.
• NIST slutförde ML-KEM, ML-DSA och SLH-DSA som federala standarder i augusti 2024 och slutförde HQC som reservalgoritm för ML-KEM 2025, vilket ger varje nivå en konkret referenspunkt för standarder.
• Verkliga användare, inklusive HSBC och Banco Sabadell, kör redan PQC-pilotprojekt, vilket visar att nivå 3 är uppnåelig nu, inte en avlägsen strävan.

Varför denna skillnad behöver en mognadsmodell

NIST har varit tydliga med vad som står på spel: om kvantdatorer kan byggas i en skala av tusentals logiska qubits, kommer nästan all kryptografi med publika nyckelr som används idag att bli föråldrad. Det svårare problemet för de flesta organisationer är inte att bestrida det påståendet, det är att veta var de faktiskt står emot det. Vanliga brister inkluderar ingen centraliserad karta över var kryptografiska algoritmer används, ingen tydlig förståelse för vilka system som är mest exponerade, ingen proaktiv konsekvensbedömning av kvantumsdata för kritiska tillgångar och en säkerhetsgrund som helt enkelt aldrig har testats mot just detta hot. En mognadsmodell förvandlar dessa öppna frågor till en strukturerad självbedömning av styrning, teknik, människor och processer.

De sex bedömningsområdena

Mognad mäts över sex sammankopplade domäner, inte en enda poäng:

• Styrning och ledarskap: en verkställande sponsor, en tvärfunktionell styrkommitté som spänner över säkerhet, juridik, infrastruktur och affärsfrågor, samt dedikerad budget och ägarskap för PQC.
• Kryptografisk upptäckt och inventering: en centraliserad, regelbundet uppdaterad inventering av var kryptografi finns, från TLS-certifikat och SSH-nycklar till IoT-enheter och API:er, i både IT- och OT-miljöer.
• Riskkonsekvensanalys: vilka system som skulle orsaka mest skada om de komprometterades, med hänsyn till ekonomisk, juridisk och anseendemässig påverkan, och med uttrycklig hänsyn till exponeringen "skörda-nu-dekryptera-senare" för långlivade känsliga data.
• Leverantörs- och leveranskedjehantering: om viktiga leverantörer har engagerats i sina PQC-planer, och om PQC-krav finns med i offerter, servicenivåavtal och kontrakt.
• Utbildning och medvetenhet: om utvecklare och säkerhetsteam förstår vad PQC är och varför det är viktigt, med en kontinuerlig inlärningsväg i takt med att NIST-standarder utvecklas.
• Pilotprojekt: huruvida hybridmetoder och NIST-godkända algoritmer faktiskt har testats i verkliga system, inte bara diskuterats.

Nivå 0: PQC-nybörjaren (Risk: 100 %)

Den lägsta mognadsnivån: kryptografi är hårdkodad i applikationer och infrastruktur utan tydligt ägarskap eller dokumentation, det finns ingen process för att spåra eller uppdatera kryptografiska tillgångar, och kvantrisk behandlas som morgondagens problem, eller diskuteras inte alls. System som kör RSA, ECC eller DSA är fullt exponerade för "harvest now-decrypt later"-attacker utan insyn i var dessa algoritmer faktiskt finns. Vägen framåt börjar med kvantkunskap för IT-, säkerhets- och ledningsgrupper, en repetitionskurs i kryptografins grunder (RSA, ECC, DSA, AES, SHA-2/3) och att involvera "harvest now-decrypt later"-risk i ett styrelserumssamtal baserat på NIST:s faktiska PQC-färdplan.

Nivå 1: Latent PQC (Risk: 80 %)

Framväxande, ofta informell medvetenhet: kvantrisk tas upp i möten, men det finns ingen PQC-arbetsgrupp, ingen budget och inga samordnade åtgärder. Kryptoupptäckten må ha påbörjats men är fortfarande ojämn och på hög nivå, och compliance- och juridiska team förblir vanligtvis oengagerade. Att utvecklas från Latent till Starter innebär att säkra formellt ledarskapsstöd för en migreringsbudget, genomföra en verklig post-kvantriskbedömning över högrisksystem, engagera juridik och compliance tidigt, bedöma leverantörernas PQC-ställning och påbörja fullständig kryptografisk upptäckt med automatiserad skanning och revisioner snarare än manuella stickprovskontroller.

Nivå 2: PQC-startaren (Risk: 70 %)

Formellt erkännande av hotet: en omfattande kryptografisk inventering pågår, riskbedömningar för kvantum har identifierat de mest sårbara systemen, och tidiga utvärderingar av hybridmetoder och leverantörssamtal om kvantsäkra färdplaner är igång. Kvantberedskap erkänns som en affärsomfattande fråga som rör reglering, integritet och förtroende, inte bara en angelägenhet för säkerhetsteam. Att utvecklas till pilotprojekt innebär att formellt godkänna en etappvis PQC-övergångsplan med tydliga roller och nyckeltal, köra en första verklig PQC-distribution i ett verkligt kritiskt system, utbilda utvecklare och driftsteam tvärfunktionellt och bygga in kvantsäker design i standard CI/CD-praxis.

Nivå 3: PQC-piloten (Risk: 40 %)

Organisationer går från strategi till praktisk testning: pilotprojekt som använder NIST-godkända algoritmer, ofta hybridscheman som ML-KEM i kombination med klassisk ECC i TLS-handskakningar, körs i icke-produktionsmiljöer eller noggrant avgränsade produktionsmiljöer för att utvärdera latens, äldre integration och kompatibilitet med HSM- och TLS-stackar. Verkliga användare, inklusive HSBC och Banco Sabadell, kör redan exakt denna typ av pilotprojekt, vilket bevisar att denna nivå är uppnåelig nu snarare än teoretisk. Att utvecklas till motståndskraftigt innebär att centralisera nyckelrotation och algoritmövergångar genom en företagsplattform för kryptoagilitet, vilket kräver kvantsäker kapacitet i varje anbudsförfrågan, granskar PQC-nyckeltal kvartalsvis genom en dedikerad styrkommitté och utformar varje nytt system med NIST-godkänd PQC- eller hybridkryptografi från starten.

Nivå 4: PQC:ns motståndskraft (Risk: 10 %)

Den högsta mognadsnivån: postkvantkryptografi är inbäddad i infrastruktur, policy och arbetsflöde. Alla kritiska system kör PQC- eller hybridkryptering, algoritm- och nyckeluppdateringar flödar genom programvarupipelines utan att störa tjänster, live kryptografiska inventeringar och kontinuerlig nyckelrotation är standardpraxis, och juridik, efterlevnad och ledarskap förblir aktivt engagerade snarare än att behandla PQC som ett färdigt projekt. Detta är genuin kryptoagilitet: organisationen kan absorbera en framtida algoritmförändring som en operativ uppdatering, inte en flerårig omarkitektur, samtidigt som den fortsätter att övervaka nya standarder från NIST, ETSI och NSA.

Migrationsvägen: Åtta steg från nybörjare till motståndskraftig

Övergången följer åtta konsekventa faser på alla fem nivåer: etablering av styrning och ägarskap med chefssponsring och en tvärfunktionell styrkommitté; uppbyggnad av en centraliserad kryptografisk tillgångsupptäckt och inventering, komplett med en kryptografisk materiallista; riskbedömning och prioritering för att rangordna tillgångar efter känslighet, exponering och livslängd i en kvantriskmatris; utformning av själva PQC-migreringsstrategin, val mellan hybridutrullning och ett fullständigt skifte samtidigt som kryptoagilitet bygger in; pilottester i sandlådemiljöer före produktionsutrullning; samordning av leveranskedjans och leverantörernas engagemang, inklusive CBOM-granskning och uppdaterade SLA:er; implementering av en genuint kryptoagil arkitektur som frikopplar kryptografiska funktioner från affärslogik; och slutligen utbildning och övervakning, spårning av standarduppdateringar från NIST, IETF och tillsynsmyndigheter på en kontinuerlig basis snarare än att behandla migreringen som ett engångsprojekt.

Vad vi egentligen skulle rekommendera

Bedöm din organisation ärligt utifrån alla sex domäner, inte bara den där du känner dig mest säker, eftersom styrning, identifiering, riskanalys, leverantörshantering, utbildning och pilotprojekt måste avancera tillsammans för att en nivå ska vara trovärdig. Behandla övergångarna från nybörjare till latent och latent till startande som det högst prioriterade arbetet på kort sikt om du inte har klarat dem, eftersom kryptografisk identifiering är grunden som varje senare domän är beroende av. Använd verklig pilotaktivitet, som de användare som redan kör hybridscheman i produktionsanslutna system, som bevis på att nivå 3 är ett realistiskt mål på kort sikt, inte ett avlägset.

Hur krypteringskonsulting kan hjälpa

Våra PQC-rådgivningstjänster erbjuder strukturerad vägledning genom varje fas av denna mognadsmodell, från kryptografisk upptäckt och riskbedömningar till hybridpilotimplementeringar, kryptoagilitetsplattformsdesign och fullskalig migreringsplanering, vilket hjälper organisationer att medvetet gå från var de än befinner sig mot nivå 4.

CBOM Secure är vad de flesta organisationer behöver för att avancera från nybörjar- och latentnivåerna, vilket skapar den centraliserade, kontinuerligt uppdaterade kryptografiska inventeringen som styrning och riskanalys på varje senare nivå är beroende av.

En lins för motståndskraft, inte bara en poängtavla

Medan den exakta tidslinjen för en kryptografiskt relevant kvantdator fortfarande är osäker, är risken som "harvest now-decrypt-late"-attacker utgör redan verklig idag. Denna femnivåmodell är en strategisk lins för att bedöma kryptografisk motståndskraft, hotexponering och långsiktig anpassningsförmåga, inte bara en teknisk checklista. Att gå från nybörjare till motståndskraftig kräver kryptoagilitet, tvärfunktionell styrning och en kultur där kryptografisk hälsa aktivt övervakas och mognar, inte ett enda migreringsprojekt med ett definierat slutdatum.

Vanliga frågor om partihandel med mat och dryck

Vilka är de fem nivåerna i Encryption Consultings PQC-mognadsmodell?

Nivå 0, PQC-nybörjare (100 % risk); Nivå 1, PQC Latent (80 % risk); Nivå 2, PQC Starter (70 % risk); Nivå 3, PQC Pilot (40 % risk); och Nivå 4, PQC Resilient (10 % risk), var och en definierad av specifika styrnings-, upptäckts- och tekniska kriterier.

Vilken andel av organisationerna är faktiskt förberedda för post-kvantmigrering idag?

En Capgemini-rapport från 2025 visade att medan 70 % av organisationerna utforskar kvantsäkra åtgärder, kvalificerar endast 15 % för mogen styrning och starkt tekniskt genomförande, vilket återspeglar hur få organisationer som har kommit längre än de tidigaste mognadsnivåerna.

Vilka domäner avgör en organisations PQC-mognadsnivå?

Sex domäner: styrning och ledarskap, kryptografisk upptäckt och inventering, riskkonsekvensanalys, leverantörs- och leveranskedjehantering, utbildning och medvetenhet samt pilotprojekt. En trovärdig nivå kräver framsteg inom alla sex områden, inte styrka inom bara ett.

Kör några organisationer faktiskt PQC-pilotprojekt idag?

Ja. Verkliga användare, inklusive HSBC och Banco Sabadell, pilottestar redan hybridmetoder med klassiska och PQC-metoder, vilket visar att nivå 3 (PQC-pilotprojektet) är ett uppnåeligt mål på kort sikt snarare än ett teoretiskt stadium.

Vad skiljer nivå 4 (Resilient) från att bara slutföra en PQC-migrering?

Nivå 4 definieras av kontinuerlig kryptoagilitet, kryptografiska inventeringar i realtid, pågående nyckelrotation och kontinuerligt engagemang med föränderliga standarder, inte en engångsmigreringshändelse. En organisation på denna nivå kan absorbera en framtida algoritmförändring som en rutinmässig operativ uppdatering snarare än ett nytt flerårigt projekt.