Din guide till den nya federala kvanthandlingsplanen

Key Takeaways

• Den "federala kvanthandlingsplanen" är inte ett enda dokument. Det är den kumulativa effekten av NSM-10 (2022), OMB M-23-02 (2022), Executive Order 14412 (22 juni 2026) och OMB M-26-15 (24 juni 2026), där var och en lägger till nya krav.
• Civila myndigheter måste lämna in en PQC-migreringsplan till OMB och Office of the National Cyber ​​Director senast ungefär den 22 oktober 2026, och sedan migrera värdefulla tillgångar och system med stor påverkan till post-kvantnycklarupprättande senast den 31 december 2030 och digitala signaturer senast den 31 december 2031.
• Nationella säkerhetssystem körs på ett separat, tidigare spår under CNSA 2.0 och NSM-10, administrerat av NSA snarare än OMB, med en förvärvsgräns den 1 januari 2027.
• En regel från Federal Acquisition Regulatory (FAR) Council, som ska träda i kraft ungefär 180 dagar efter EO 14412 (runt december 2026), kommer att kräva att berörda federala entreprenörer, inte bara försvarsentreprenörer, uppfyller NIST:s post-kvantum FIPS senast den 31 december 2030.
• Det finns i praktiken tre olika efterlevnadskriterier i spel samtidigt, den civila OMB-baslinjen, CNSA 2.0 för nationella säkerhetssystem och den kommande FAR-entreprenörsregeln, och de flesta leverantörer vi pratar med spårar bara en av dem.

Publicerad: augusti 2024. Uppdaterad: augusti 2026. Granskad av Encryption Consultings PQC-rådgivningsteam.

Sök på "federal quantum action plan" så landar du på en bunt med Vita husets PM, en exekutiv order och en handfull akronymer, NSM-10, OMB M-23-02, CNSA 2.0, som alla skrevs för en något annorlunda publik och utfärdades med flera års mellanrum. De flesta som förklarar detta behandlar den bunten som en kontinuerlig policy. Det är det inte. Det är fyra separata åtgärder från två olika administrationer, var och en med sin egen omfattning, deadline och verkställande myndighet, och gapet mellan dem är precis där myndigheter och entreprenörer förlorar tid. Den här guiden kartlägger hela bunten i enkla termer och övergår sedan till vår genomförandeguide för regering och försvar för den föråldrade, fas-för-fas programmodell som civila myndigheter och försvarsentreprenörer behöver bygga mot.

Vad föreskriver egentligen den federala kvanthandlingsplanen?

Den federala handlingsplanen för kvantum kräver att federala myndigheter inventerar sin kryptografi, prioriterar system efter risk och migrerar till NIST-godkända postkvantalgoritmer enligt ett fast schema, med ett parallellt, snabbare spår för nationella säkerhetssystem och ett framväxande spår för federala entreprenörer. Den är uppbyggd av fyra dokument:

• Nationellt säkerhetsmemorandum 10 (NSM-10), maj 2022: satte det policymålet att migrera sårbara nationella säkerhetssystem till kvantresistent kryptografi och skapade den myndighetsövergripande migreringsstruktur som senare riktlinjer bygger på.
• OMB-memorandum M-23-02, november 2022: instruerade civila myndigheter att inventera kvantumsårbara kryptografiska system och utveckla kostnadsuppskattningar för migreringen, utan att fastställa en egen fast migreringsdatum.
• Executive Order 14412, ”Säkring av nationen mot avancerade kryptografiska attacker”, 22 juni 2026: ordern som faktiskt satte datum för migreringen, som krävde att tillgångar med högt värde och system med stor påverkan skulle slutföra etableringen av kvantnycklar senast den 31 december 2030 och digitala signaturer senast den 31 december 2031, och som instruerade FAR-rådet att utöka efterlevnaden till federala entreprenörer.
• OMB-memorandum M-26-15, ”Genomförande av migreringen till postkvantkryptografi”, 24 juni 2026: den operativa handlingsplanen som förvandlar den verkställande ordern till ett program i fem faser, som anger vad en myndighets migreringsplan måste innehålla och när den ska vara klar.

En kompletterande order, Executive Order 14413, ”Ushering in the Next Frontier of Quantum Innovation”, undertecknades samma dag och driver investeringar i kvantteknologi snarare än kryptografisk migration. Den delar ett undertecknandedatum med EO 14412 men är ett annat program med ett annat syfte, och att blanda ihop de två i en efterlevnadsdiskussion är ett vanligt, undvikbart misstag.

Vilka är de nuvarande PQC-standarderna och deadlines?

De nuvarande standarderna är tre NIST Federal Information Processing Standards som slutfördes i augusti 2024: FIPS 203 (ML-KEM) för nyckelinkapsling, FIPS 204 (ML-DSA) för digitala signaturer och FIPS 205 (SLH-DSA) som en statslös hashbaserad signaturreserv. Bilaga A till M-26-15 anger alla tre som baslinjealgoritmen för migrering av civila myndigheter.

Tidsfristerna är uppdelade efter systemkategori. För civila tillgångar med högt värde och system med hög påverkan (klassade "hög" enligt FIPS 199) måste nyckelanläggningar flytta till PQC senast den 31 december 2030 och digitala signaturer senast den 31 december 2031. För nationella säkerhetssystem fastställer CNSA 2.0 sitt eget schema kategori-för-kategori, signering av programvara och firmware senast 2030, webb- och molntjänster och operativsystem senast 2033, med en förvärvsgräns den 1 januari 2027 som styr ny NSS-upphandling oavsett senare datum för exklusiv användning. Allt annat, civila system med lägre påverkan som inte utsetts till en tillgång med högt värde, har ett mjukare mål om fullständig migrering senast 2035 enligt M-26-15:s fas 5, utan någon interimistisk kontrollpunkt före dess.

Ett separat, närmare sikt datum är också viktigt här: den 21 september 2026 flyttar NIST:s Cryptographic Module Validation Program (CMVP) alla återstående FIPS 140-2-certifikat till sin historiska lista. Det datumet har inget direkt att göra med post-kvantumalgoritmer, men alla myndigheter eller leverantörer som fortfarande förlitar sig på ett aktivt FIPS 140-2-certifikat behöver en övergångsplan för det, och det inträffar innan de flesta civila migreringsplaner ens förfaller.

Vilket kryptografiskt inventeringsarbete måste ske först?

En myndighet kan inte prioritera eller migrera ett system den inte kan se, vilket är anledningen till att M-26-15:s fas 1 (2026 till 2027) helt och hållet handlar om inventering och planering innan något migreringsarbete påbörjas. PM:t kräver en automatiserad kryptografisk inventeringsmetodik, inte den manuella kalkylbladsövning som de flesta myndigheter producerade enligt det ursprungliga M-23-02-direktivet 2022 och 2023. Den skillnaden är viktig: ett kalkylblad som byggs genom att fråga systemägare vilka algoritmer de rutinmässigt använder saknar inbäddad firmware, leverantörslevererade komponenter och kryptografi som är begravd i kommersiell standardprogramvara, vilket är exakt den kryptografi som sannolikt är svårast att ersätta.

CISA förväntas separat publicera riktlinjer för minimikrav på en kryptografisk materiallista (CBOM) inom ungefär 270 dagar efter EO 14412, runt mars 2027. Myndigheter och entreprenörer som bygger upp en inventering nu, istället för att vänta på att riktlinjerna ska träda i kraft, undviker en omarbetningscykel när formatet är standardiserat. Detta är den enskilt högsta förutsättningen i hela planen, och det är där CBOM Secure är byggt för att hjälpa till, genom att producera en automatiserad, kontinuerligt uppdaterad inventering snarare än en tidpunktsundersökning.

Vilka varningar gällande algoritmer och interoperabilitet bör du vara uppmärksam på?

Den största praktiska nackdelen är att det finns tre olika efterlevnadsstandarder i det federala ekosystemet just nu, och att blanda ihop dem är det enskilt vanligaste misstaget vi ser i planeringssamtal mellan myndigheter och leverantörer.

• Den civila OMB-baslinjen (EO 14412, M-26-15) accepterar standard NIST-parameteruppsättningar för FIPS 203, 204 och 205, och behandlar hybrida klassiska plus PQC-distributioner som ett acceptabelt övergångssteg.
• CNSA 2.0, för nationella säkerhetssystem, kräver specifika, större parameteruppsättningar, ML-KEM-1024 och ML-DSA-87, inte de allmänna FIPS-standardinställningarna, plus NIAP Protection Profile-validering utöver FIPS 140-3, och den exkluderar uttryckligen SLH-DSA (FIPS 205) från sin godkända svit trots att NIST slutförde den.
• Den kommande FAR-entreprenörsregeln förväntas kräva att berörda entreprenörer uppfyller NIST:s PQC-inkorporerande FIPS, men från och med publiceringen är regeln endast ett förslag, inte slutgiltigt, så entreprenörer har ett efterlevnadsdatum utan regleringstext att bygga mot.

En produkt som uppfyller kraven för den civila baslinjen uppfyller inte automatiskt kraven för ett NSS-omfattande kontrakt, och en leverantörs marknadsföringspåstående om "FIPS 203/204/205-stöd" säger ingenting om huruvida stödet är validerat. FIPS 140-3-validering via CMVP pågår i över ett år från inlämning till ett aktivt certifikat från och med 2026, så algoritmstöd i ett datablad och algoritmstöd i ett aktivt, numrerat certifikat är två olika påståenden, och upphandlingsspråket efterfrågar alltmer det andra specifikt.

M-26-15 behandlar även hybridarkitekturer, klassiska och postkvantalgoritmer som körs sida vid sida, som avsiktligt övergångsbaserade snarare än permanenta, och beskriver dem som komplicerade och resurskrävande att driva. Myndigheter som utformar kring obestämd hybriddistribution bör förvänta sig att den ramen kommer att motarbeta dem i senare granskningsfaser.

Hur ser en realistisk etappvis migration ut?

M-26-15 beskriver fem faser som löper från 2026 till 2035. De är kartlagda över vad en myndighet eller entreprenör faktiskt behöver göra, i följande ordning:

1. Utse en PQC-migreringsansvarig på ledarskapsnivå, ett krav som ska vara klart inom 30 dagar efter EO 14412, omkring juli 2026, och en M-26-15-ram utöver en delegerad CISO-uppgift.
2. Bygg ett automatiserat kryptografiskt lager av tillgångar med högt värde och system med stor påverkan, fas 1, 2026 till 2027, prioriterade efter FIPS 199-påverkansnivå och HVA-status.
3. Skicka in migreringsplanen till OMB och Office of the National Cyber ​​Director senast ungefär den 22 oktober 2026, inklusive riskbaserad prioritering, en kryptoagilitetsarkitektur, samordning med tredjeparts- och FedRAMP-leverantörer samt resursuppskattningar.
4. Kör piloter på prioriterade system med validerade FIPS 203-, 204- och 205-implementeringar, fas 2, 2027 till 2028.
5. Migrera nyckeletablering för tillgångar med högt värde och system med stor påverkan, fas 3, med målsättning att avslutas den 31 december 2030.
6. Migrera digitala signaturer för samma system, fas 4, med målsättningen den 31 december 2031.
7. Utöka migreringen till återstående system per risknivå, fas 5, fram till 2035.

Datumen ovan ser sekventiella och bekväma ut på pappret. De är mindre bekväma med tanke på den federala budgetcykeln. EO 14412 trädde i kraft i juni 2026, efter att de flesta myndigheters budgetförfrågningar för räkenskapsåret 2027 redan var i stort sett färdigställda och inlämnade. Det innebär att den första budgetcykeln där en myndighet realistiskt sett kan begära dedikerad finansiering för PQC-migrering som en namngiven post är räkenskapsåret 2028, som inte börjar förrän i oktober 2027, ungefär ett och ett halvt år efter den exekutiva ordern, och bara två år före 2030 års tidsfrist för att etablera viktiga HVA-enheter. Myndigheter som behandlar 2030 som ett avlägset datum och väntar på ett dedikerat anslag innan de påbörjar inventeringsarbetet komprimerar sin egen löpbana innan klockan ens börjar för upphandling.

För den daterade, fas-för-fas-exekveringsmodellen med fullständig analys av valideringseftersläpning, läs vår guide för PQC för myndigheter och försvar . Om din organisation är en försvarsentreprenör eller en del av den försvarsindustriella basen har CNSA 2.0-spåret sin egen, tidigare förvärvsgrind, som behandlas i vår CNSA 2.0-efterlevnadsguide för försvarsentreprenörer.

Vilka testbevis och dokumentation för efterlevnad behöver du?

Myndigheter och entreprenörer måste presentera bevis i varje fas, inte bara en plan som lämnats in en gång och arkiverats. Räkna med att som ett minimum upprätthålla:

• En automatiserad kryptografisk inventering, som hålls aktuell snarare än uppdateras årligen, mappad till NIST:s CSWP 48-riktlinjer som kopplar PQC-migreringsaktivitet till Cybersecurity Framework 2.0 och SP 800-53 Rev. 5-kontroller.
• Aktiva FIPS 140-3-valideringscertifikat, med certifikatnummer, för kryptografiska moduler som används, eller en daterad prognos där validering fortfarande väntar.
• För alla system som berör nationella säkerhetssystem krävs valideringsbevis för NIAP-skyddsprofilen utöver FIPS 140-3, eftersom de två processerna är oberoende och ingen ersätter den andra.
• Resultat från interoperabilitetstester för hybriddistributioner av klassisk plus PQC körs under övergångsfönstret, dokumenterade mot produktionsförhållanden, inte endast labbförhållanden.
• En stegvis statusuppdatering till OMB och ONCD allt eftersom migreringsplanens milstolpar nås, inte bara vid den första inlämningen.

Checklista för implementering av den federala kvanthandlingsplanen

• Utse en PQC-migreringsansvarig på ledarskapsnivå och dokumentera tilldelningen.
• Starta en automatiserad kryptografisk inventering nu, före deadline för planinlämning, snarare än efter.
• Klassificera system mot FIPS 199-påverkansnivå och status som tillgång med högt värde.
• Utarbeta migreringsplanens obligatoriska element: prioritering, kryptoagil arkitektur, tredjepartssamordning, resurser.
• Bekräfta vilken av de tre efterlevnadskraven, civil OMB, CNSA 2.0 eller den kommande FAR-regeln, som gäller för varje system eller produktlinje.
• Kontrollera aktuell FIPS 140-3-valideringsstatus för kryptografiska moduler som används eller planeras, och skicka in tidigt mot den aktuella valideringstidslinjen, inte en antagen accelererad tidslinje.
• Planera för FIPS 140-2-nedgången den 21 september 2026 som en separat, mer kortsiktig punkt från den bredare tidslinjen för PQC-migrering.
• Följ FAR-rådets föreslagna entreprenörsregel allt eftersom den utvecklas, vilket förväntas vara klart runt december 2026.
• Budgetera för PQC-migrering som en namngiven post för räkenskapsåret 2028 nu istället för att vänta på att ett särskilt anslag ska visas.

Federala kvantpolicykrav i korthet

Krav	Styrande dokument	Deadline	Vem det gäller
Kryptografiskt lager (automatiserat)	OMB M-26-15, fas 1	2026 till 2027	Civila federala myndigheter
PQC-migreringsplan inlämnad till OMB/ONCD	OMB M-26-15	Runt den 22 oktober 2026	Civila federala myndigheter
FIPS 140-2-certifikat flyttas till CMVP:s historiska lista	NIST CMVP	September 21, 2026	Byråer och leverantörer på FIPS 140-2
Nyckelinstitution migrerad till PQC	Executive Order 14412	December 31, 2030	Tillgångar med högt värde, FIPS 199-system med hög påverkan
Digitala signaturer migrerade till PQC	Executive Order 14412	December 31, 2031	Samma system som ovan
CNSA 2.0-förvärvsgrind	NSM-10 / CNSA 2.0	Januari 1, 2027	Upphandling av nationella säkerhetssystem
FAR-entreprenörsregel föreslagen	FAR-rådet, enligt EO 14412	Runt december 2026	Täckta federala entreprenörer
Entreprenörens efterlevnad av PQC-inkorporerande FIPS	FAR-rådets regel, enligt EO 14412	December 31, 2030	Täckta entreprenörer och underentreprenörer
Återstående civila system har migrerats helt	OMB M-26-15, fas 5	2035	Civila system med lägre påverkan

Vilka är begränsningarna med den nuvarande planen?

Planen är mer specifik än något som den federala regeringen har publicerat i detta ämne tidigare, men den har fortfarande verkliga luckor som är värda att ärligt nämna.

• System på lägre nivå har en mjuk deadline. Allt som inte klassificeras som en tillgång med högt värde eller ett system med stor påverkan har endast målet för fas 5 för 2035, utan någon interimistisk kontrollpunkt, vilket gör det enkelt att nedprioritera bakom system med högre synlighet i åratal.
• De civila spåren och NSS-spåren är inte helt avstämda. M-26-15 utesluter uttryckligen nationella säkerhetssystem, men många civila system är sammankopplade med NSS-miljöer, och planen anger inte hur ett civilt system hanterar ett gränsfall.
• Entreprenörsregeln är inte slutgiltig. Från och med publiceringen är FAR-rådets regel som krävs enligt EO 14412 endast föreslagen, så entreprenörer har ett efterlevnadsdatum, den 31 december 2030, utan den faktiska regeltexten att planera mot.
• Finansiering är styrd, inte anslagen. EO 14412 och M-26-15 kräver resursuppskattningar i varje myndighets migreringsplan, men ingetdera dokumentet anslår nya pengar, så migreringsarbetet konkurrerar med befintliga IT-moderniseringsbudgetar tills kongressen agerar separat.
• Leverantörsberedskapen är ojämn. Vissa HSM-, PKI- och nätverksleverantörer har levererat validerat FIPS 203/204/205-stöd; andra har bara en färdplan. En myndighets realistiska tidslinje begränsas av dess långsammaste kritiska leverantör, inte av policyns egna datum.

Vad skulle krypteringskonsulter rekommendera?

Myndigheter med en befintlig CNSA 2.0-skyldighet, försvarskomponenter och underrättelsetjänsten, ligger längst fram helt enkelt för att NSM-10 gav dem ett försprång på flera år och en enda administrerande myndighet, NSA, satte otvetydiga parameterkrav. De flesta civila myndigheter befinner sig fortfarande i inventerings- och planeringsstadiet vid denna uppdatering, vilket inte är en kritik. Oktober 2026 är den första riktiga deadline de har ställts inför. De organisationer som kommer att få kämpa är de som behandlar inlämningen av migrationsplanen som mållinjen snarare än startskottet för fas två till fem.

För en myndighet eller entreprenör som inte har påbörjat arbetet skulle vi dela upp arbetet i två spår som löper parallellt snarare än sekventiellt. För det första, en CBOM Secure -driven automatiserad kryptografisk inventering av tillgångar med högt värde och system med stor påverkan, byggd för att slutföras långt före er nästa OMB-rapporteringskontrollpunkt snarare än veckan innan den ska vara klar. För det andra, ett PQC- rådgivningsengagemang strukturerat kring vår niofasiga färdplan för kvantumberedskap, explicit mappad efter M-26-15:s fem faser, så att den leverans som ert ledarskap godkänner är samma dokument som OMB förväntar sig att se, inte en parallell intern plan som behöver översättas senare. Där den öppna frågan är regulatorisk snarare än teknisk, spårning av FAR-rådets regel, tolkning av FIPS 199-kategoriseringstvister, förlikning av civila och CNSA 2.0-skyldigheter för sammankopplade system, arbetar vårt Compliance Advisory- team separat så att den tekniska migreringen inte stoppas.

Encryption Consulting har ISO/IEC 27001:2022- och SOC 2-certifieringar och är ett certifierat minoritetsägt företag i Texas, meriter som spelar direkt roll i federala och statliga utvärderingskriterier för upphandling, inte bara som allmänna förtroendesignaler.

Slutsats

Den federala handlingsplanen för kvantum är inte längre ett ambitiöst strategidokument. Mellan juni 2026 års Executive Order 14412 och OMB Memorandum M-26-15 är det nu ett daterat program med en deadline för inlämning av plan, migreringsfaser och en verkställighetsstruktur, som läggs ovanpå NSM-10 och M-23-02:s tidigare grundarbete. De myndigheter och entreprenörer som kommer att klara deadlines för 2030 och 2031 utan problem är de som behandlar detta som tre parallella efterlevnadsskyldigheter, civil OMB, CNSA 2.0 och den kommande FAR-regeln, och bygger den automatiserade inventering som var och en av dessa skyldigheter är beroende av nu, snarare än efter att nästa deadline har löpt ut.

Vanliga frågor om partihandel med mat och dryck

Är min myndighet skyldig att följa Executive Order 14412 om vi inte är en försvars- eller underrättelsetjänst?

Ja. EO 14412 och OMB M-26-15 gäller alla federala verkställande departement och myndigheter. Nationella säkerhetssystem följer ett separat, snabbare spår under CNSA 2.0 som administreras av NSA, men civila myndigheter är bundna av samma order, bara enligt OMB M-26-15-tidslinjen snarare än CNSA 2.0-tidslinjen.

Vad är skillnaden mellan OMB M-23-02 och OMB M-26-15?

M-23-02 (november 2022) instruerade myndigheter att inventera kvantumsårbar kryptografi och uppskatta migreringskostnader, utan en fast migreringsdeadline. M-26-15 (juni 2026) ersätter funktionellt detta inventeringskrav med ett migreringsprogram i fem faser, ett obligatoriskt planinlämningsdatum runt den 22 oktober 2026, och fasta migreringsdeadlines 2030 och 2031 för tillgångar med högt värde och system med stor påverkan.

Måste federala entreprenörer följa samma tidsfrister som federala myndigheter?

Entreprenörer står inför ett relaterat men separat krav. EO 14412 uppmanar FAR-rådet att föreslå en regel, förväntad runt december 2026, som kräver att berörda entreprenörer ska följa NIST:s PQC-inkorporerande FIPS senast den 31 december 2030, samma datum som myndighetens tidsfrist för etablering av nyckelfunktioner. Försvarsentreprenörer som levererar till National Security Systems står istället inför den tidigare CNSA 2.0-förvärvsgränsen den 1 januari 2027.

Vad händer om ett myndighetssystem inte kan migreras till postkvantkryptografi senast 2030?

M-26-15 beskriver inte en generell process för undantag i offentliga riktlinjer, och det praktiska svaret beror på varför systemet inte kan migreras: ett äldre eller inbyggt system utan kryptoagil uppgraderingsväg behöver vanligtvis en dokumenterad ersättningsplan och riskacceptans genom myndighetens egen styrningsprocess, eftersom promemorians tidslinje för fas 5 redan förlänger icke-prioriterade system till 2035.

Omfattas ägare av kritisk infrastruktur av den federala handlingsplanen för kvantum?

Ägare och operatörer av kritisk infrastruktur hanteras på ett annat sätt än federala myndigheter. EO 14412 uppmanar federala myndigheter att ge stöd till ägare och operatörer av kritisk infrastruktur vid post-kvantummigrering snarare än att införa en direkt regulatorisk tidsfrist för dem på samma sätt som den gör för myndigheter och, genom FAR-regeln, för entreprenörer. I praktiken kommer enheter av kritisk infrastruktur som också har federala kontrakt sannolikt att känna av entreprenörsregelns tidsfrist oavsett.

Referensprojekt

• Executive Order 14412, ”Säkring av nationen mot avancerade kryptografiska attacker”, 22 juni 2026. Det amerikanska presidentskapsprojektet
• OMB-memorandum M-26-15, ”Genomförande av migreringen till postkvantkryptografi”, 24 juni 2026. whitehouse.gov
• Nationellt säkerhetsmemorandum 10 om att främja USA:s ledarskap inom kvantberäkning samtidigt som riskerna för sårbara kryptografiska system minskas, 4 maj 2022. whitehouse.gov-arkiv
• OMB-memorandum M-23-02, ”Migrering till postkvantkryptografi”, 18 november 2022. whitehouse.gov
• NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) och FIPS 205 (SLH-DSA), slutförda i augusti 2024. csrc.nist.gov