TL; DR
Kriptografia post-kuantike (PQC) do të thotë algoritme kriptografike të projektuara për t'i rezistuar sulmit nga një kompjuter kuantik në shkallë të gjerë në të ardhmen. Migrimi në të është tani një detyrim i vjetëruar në të gjithë Evropën, Amerikën dhe Azi-Paqësorin — nuk është më temë kërkimore.
Rezultati i parë kudo është një inventar, jo një ndryshim kodi. Çdo regjim, si p.sh. NIST IR 8547, Kalimi në Kriptografinë Post-Kuantale Standards, Udhërrëfyesi i BE-së, Spanja CCN-TEC 009 dhe të ngjashme për rajone të tjera, plus rekomandime sektoriale si p.sh. PCI DSS 12.3.3, fillon duke ju kërkuar të numëroni kriptografinë që përdorni.
Një mishërim i propozuar i një inventari të tillë për asetet kriptografike është CBOM (Lista e Materialeve Kriptografike), e cila është një listë e lexueshme nga makina e algoritmeve, çelësave, certifikatave dhe protokolleve që përdor një sistem. Është një zgjerim i listës së njohur mirë. SBOM dhe të rekomanduara standardformat i përcaktuar për atë inventar.
Kontrolloni datën më të hershme të lidhjes; mund të mos jetë viti 2035. Shumica e juridiksioneve konvergojnë në zbulim deri në vitet 2026–2028, në rrezik të lartë deri në vitet 2030–2031, dhe në përfundim deri në vitin 2035. Objektivat dihen, por ato nuk janë një zëvendësim i vetëm. ML-KEM zëvendëson shkëmbimin e çelësave, ML-DSA zëvendëson nënshkrimet për qëllime të përgjithshme, ndërsa skemat e bazuara në hash (SLH-DSA, XMSS/LMS) mbulon firmware-in dhe rrënjët jetëgjata. Vendosja e çelësave tashmë po dërgohet në shkallë interneti; certifikatat dhe nënshkrimet kanë vite që kanë kaluar — kështu që porosia urgjente dhe porosia në kohë të caktuar ndryshojnë, dhe plani juaj ka nevojë për të dyja.
Tranzicioni është një dekadë bashkëjetese, jo një ndërprerje. Deri në mesin e viteve 2030, shumica e organizatave do të përdorin kriptografinë klasike dhe post-kuantike krah për krah, dhe shpesh fjalë për fjalë të kombinuar: një ndërtim hibrid. Kripto-shkathtësi është ajo që e bën atë periudhë të mbijetueshme. Do të thotë të jesh në gjendje të ndryshosh algoritmin, parametrat ose nëse përdor një hibrid fare përmes konfigurimit dhe politikës, në vend që të rishkruash dhe ripozicionosh kodin.
Ka dy "ora" që tik-takojnë, jo një: ora rregullatore sipër, dhe "Verr tani, deshifro më vonë" (HNDL). Kjo e fundit përfshin kundërshtarët që regjistrojnë trafik të koduar sot për ta deshifruar atë sapo të ekzistojë një kompjuter kuantik. Kjo do të thotë që të dhënat me një jetë të gjatë konfidencialiteti janë tashmë të ekspozuara.
Pjesa e vështirë nuk janë algoritmet, por zbulimi. Kriptografia fshihet në kodin burimor, varësitë, certifikatat, skedarët çelës, infrastrukturën si kod, imazhet e kontejnerëve, konfigurimin e protokollit dhe produktet e palëve të treta. Një inventar i besueshëm duhet të thotë sinqerisht atë që nuk mund ta shohë.
Xygeni mund t'ju ndihmojë të përgatiteni për PQC duke prodhuar CBOM-in, duke klasifikuar çdo aset kripto sipas rrezikut kuantik, duke renditur një prapambetje të migrimit sipas ekspozimit ndaj HNDL-së, duke i lidhur rezultatet me gjashtë regjime rregullatore dhe duke raportuar mbi gatishmërinë post-kuantike të varësive tuaja. Detajet e plota: Pajtueshmëria me Quantum-Safe.
Çfarë prishet dhe çfarë nuk prishet nga një kompjuter kuantik
Ky dallim është fakti teknik më i rëndësishëm për një audiencë të GRC-së, sepse vendos nëse një gjetje është një projekt zëvendësimi ose ndryshimi i konfigurimitGabimi prodhon këshilla korrigjuese që nuk janë thjesht të padobishme, por edhe të dëmshme.
Algoritmi i Shor — një algoritëm kuantik që faktorizon numra të plotë të mëdhenj dhe llogarit logaritmet diskrete në mënyrë efikase — thyen në mënyrë strukturore kriptografinë me çelës publik të sotme: RSA, ECDSA, EdDSA, Diffie-Hellman dhe ECDH, ose DSA. Ekziston asnjë rregullim i madhësisë së çelësitNjë çelës RSA 4096-bit nuk është domethënës më i sigurt se një 2048-bit kundër një kundërshtari kuantik. Këto algoritme duhet të jenë zëvendësohetE njëjta gjë vlen edhe për variantet kombëtare të ndërtuara mbi të njëjtën matematikë - SM2 i Kinës, për shembull, bazohet në kurbë eliptike dhe për këtë arsye është i ekspozuar në mënyrë të barabartë.
Algoritmi i Groverit — një algoritëm kërkimi kuantik — dobëson shifrat simetrike dhe funksionet hash, por vetëm duke përgjysmuar afërsisht forcën e tyre efektive. Këto janë i ngurtësueshëm në vend: kalimi nga AES-128 në AES-256, nga SHA-256 në SHA-384 ose SHA-512. NIST IR 8547 e thekson drejtpërdrejt këtë pikë: simetria e NIST-it standards "janë dukshëm më pak të prekshëm ndaj sulmeve kuantike të njohura sesa kriptografia me çelës publik standards”, dhe çdo primitiv simetrik i miratuar që ofron të paktën 128 bit sigurie klasike prapëseprapë përmbush kategorinë më të ulët të sigurisë post-kuantike të NIST-it.
Makina që do ta bënte këtë quhet CRQC - a kompjuter kuantik i rëndësishëm kriptografikishtPolitika publike është e kujdesshme në lidhje me statusin e saj; memorandumi zbatues i SHBA-së e thotë qartë: “Nuk dihet ende nëse ekziston një CRQC, por përparimet e qëndrueshme në fushën e informatikës kuantike mund të japin një CRQC në dekadën e ardhshme.”
Ajo që ka ndryshuar nuk është mbërritja e makinës — është se vlerësimi i asaj që do të duhej vazhdon të zvogëlohet. Në maj 2025, Craig Gidney i Google Quantum AI publikoi një vlerësim të burimeve që tregonte se RSA-2048 mund të llogaritet brenda një jave nga një kompjuter kuantik me më pak se një milion kubite të zhurmshëm. — afërsisht një ulje njëzetfish nga vlerësimi i tij i vitit 2019 prej ~20 milionë. Ky është një vlerësim inxhinierik, por një vlerësim që bie 20 herë në gjashtë vjet është pikërisht lloji i trendit për të cilin një funksion rreziku paguhet ta marrë seriozisht.
Ora që ka filluar tashmë: korrni tani, deshifroni më vonë
Mbledh tani, deshifro më vonë (HNDL) është praktika e kapjes së trafikut ose të dhënave të koduara sot dhe ruajtjes së tyre derisa një CRQC të mund ta deshifrojë atë. Ajo shndërron një aftësi të ardhshme në një ekspozim të sotëm për çdo gjë që duhet të mbetet konfidenciale për vite me radhë: të dhënat shëndetësore, dosjet ligjore, pronën intelektuale, sekretet shtetërore, kredencialet jetëgjata, provat e nënshkruara.
Rregullatorët kanë pushuar së mbrojturi këtë çështje. Propozimi i Komisionit Evropian i janarit 2026 për të ndryshuar NIS2 thotë në Recitalin 8 se “mundësia e ‘korrjes tani – deshifrimit të sulmeve të mëvonshme’, që ka të ngjarë të ndodhin tashmë, dhe rreziqet e ardhshme të shkaktuara nga sulmet kuantike ndaj falsifikimit të nënshkrimeve” justifikojnë tranzicionin.
Pasoja e planifikimit është aritmetikë e thjeshtë, një argument që Michele Mosca e ka bërë që atëherë. 2015Shtoni numrin e viteve që të dhënat tuaja duhet të mbeten konfidenciale me numrin e viteve që do të zgjasë migrimi juaj. Nëse kjo shumë arrin përtej pikës ku ekziston një CRQC në mënyrë të besueshme, jeni tashmë vonë. Për shumicën e organizatave të rregulluara, një migrim shumëvjeçar plus një dekadë ruajtjeje të të dhënave tejkalon lehtësisht çdo vlerësim të besueshëm.
NIST nxjerr përfundimin operativ në IR 8547: "pret të përparësojë migrimin në skemat e vendosjes së çelësave rezistentë ndaj kuanteve... për t'u mbrojtur nga sulmet 'korr tani, dekripto më vonë', veçanërisht në protokollet interaktive si TLS dhe IKE". Vendosja e çelësave së pari, nënshkrimet së dyti - një urdhërim i fazës federale të SHBA-së vjen fjalë për fjalë, me vendosjen e çelësave pas-kuantikë që duhet të bëhet një vit të plotë para nënshkrimeve. (IKE është protokolli i negocimit të çelësave pas VPN-ve IPsec.)
Pse ky është një problem GRC përpara se të jetë një problem kriptografie?
Ka tre arsye pse kjo përfundon në tavolinat e CISOS dhe zyrtarët e pajtueshmërisë në vend që të qëndrojnë me inxhinierët e kriptove.
Afatet vijnë nga ligji dhe rregulloret, jo nga fizika. Askush nuk e di se kur mbërrin një CRQC. Të gjithë mund të shohin se BE pret që rastet e përdorimit me rrezik të lartë të migrohen deri në fund të vitit 2030, se ASD e Australisë pret të gjithë tranzicionin. i përfunduar deri në fund të vitit 2030, dhe se NIST e zhvlerëson RSA-në dhe kriptografinë me kurbë eliptike në nivelin e sigurisë 112-bit pas vitit 2030 dhe nuk lejon të gjitha kriptografitë me çelës publik të cenueshme ndaj kuanteve pas vitit 2035. Këto data janë të auditueshme; afati kohor kuantik jo.
Rezultati i parë është një objekt i auditimit. Përpara se të ndërrohet ndonjë algoritëm, çdo regjim bën të njëjtën pyetje: Çfarë kriptografie keni dhe ku? Ky është një detyrim inventari — një produkt qeverisjeje me një pronar, një kadencë shqyrtimi dhe kërkesa për prova. PCI DSS ka kërkuar pikërisht këtë që nga marsi i vitit 2025, pavarësisht nëse ka apo jo ndonjë sasi.
Është një problem me prokurimin. Pjesa më e madhe e kriptografisë në pasurinë tuaj nuk është e juaja. Ajo është në biblioteka, platforma, pajisje, ofrues SaaS dhe terminale pagesash. Udhërrëfyesi i BE-së u kërkon subjekteve të "krijojnë harta varësie ... duke parë si varësitë e brendshme ashtu edhe varësitë e palëve të treta"; ASD publikon një listë shoqëruese me pyetje post-kuantike për t'u bërë shitësve tuaj. Të dyja janë aktivitete të menaxhimit të furnizuesve dhe të dyja kanë nevojë për prova që mund t'i paraqisni një auditori.
Rregulliebook: çfarë vlen në të vërtetë për ty
Algoritmet janë të vendosura
NIST finalizoi bazën post-kuantike standardnë gusht 2024 — ML-KEM për institucionin kryesor (FIPS 203), Dhe ML-DSA (FIPS 204), dhe SLH-DSA (FIPS 205) për nënshkrime — kështu që nuk ka më një "pritje për standardmbrojtje s”. A KEM, ose mekanizmi i enkapsulimit të çelësit, është zëvendësimi post-kuantik për shkëmbimin e çelësave: ai përcakton një sekret të përbashkët midis dy palëve dhe është pjesa që ndalon HNDL-në.
Dy të tjerë janë në fluturim: FN-DSA (FIPS 206, bazuar në Falcon) ende nuk është publikuar as si draft, dhe HQC u zgjodh në Mars 2025 si një mekanizëm enkapsulimi i çelësave rezervë të bazuar në kod, i dokumentuar në NIST IR 8545Asnjëri nuk duhet të bllokojë një plan sot, por të dyja janë arsye për të ndërtuar për kripto-shkathtësi — të qenit në gjendje të ndryshosh algoritmin me anë të konfigurimit në vend që të rishkruash kodin. Cili nga algoritmet tuaja bëhet cili është përcaktuar në harta e zëvendësimit me poshte.
Afati kohor i referencës: NIST IR 8547
NIST IR 8547, Kalimi në Kriptografinë Post-Kuantike Standards, është dokumenti kundër të cilit shumica e udhërrëfyesve të tjerë kalibrojnë, sepse përcakton datat e daljes në pension të kriptografisë klasike me çelës publik:
Një shënim mbi njësitë: Shtetet e NIST-it forca e sigurisë, jo gjatësia e çelësit. Për SP 800-57 Pjesa 1 Rev. 5, Tabela 2, niveli i forcës 112-bit është RSA-2048 dhe kurba eliptike me një rend 224–255-bit (P-224); niveli 128-bit është RSA-3072 dhe kurba prej 256–383 bitësh (P-256). Pra, "RSA 112-bit" nuk është një çelës 112-bitësh - është RSA-2048 që ende përfundon një pjesë të madhe të TLS-së së prodhimit. Dhe çiftëzimi i kudondodhur P-256 / RSA-3072 është nuk në kovën e çregjistrimit të vitit 2030; është në kovën e moslejimit të vitit 2035. Të dy kovat përfundojnë në të njëjtin vend: pas vitit 2035 nuk miratohet asnjë algoritëm me çelës publik të cenueshëm ndaj kuanteve në asnjë madhësi parametri.
Një paralajmërim që ia vlen ta dini përpara se ta përmendni në një drejtim committee: IR 8547 është ende një draft fillestar publik. — botuar në nëntor 2024, periudha e komenteve u mbyll në janar 2025, nuk ka version përfundimtar në kohën e shkrimit. Kjo nuk e ka penguar atë të bëhet referencë; harta rrugore kombëtare dhe produkte shitësish, Xygeni përfshirë, kalibroni kundrejt tij. Vini re gjithashtu se çfarë është nuk ështëNuk thotë asgjë për inventarët, zbulimin apo kripto-shkathtësinë. Këto detyrime vijnë nga diku tjetër.
Harta globale: kush thotë çfarë dhe deri kur
Kjo tabelë përmbledh kuadrin rregullator sipas rajonit:
Tre divergjenca vlejnë më shumë se një rresht në tabelë.
- Australia është pesë vjet përpara të gjithëve të tjerë. Udhëzimi i ASD nuk është "të zhvlerësojë parametrat e dobët deri në vitin 2030" - por është "të ketë përfunduar tranzicionin deri në fund të vitit 2030", dhe ISM rekomandon ndërprerjen e përdorimit të kriptografisë tradicionale asimetrike, "duke përfshirë algoritmet kriptografike si primitivët Rivest-Shamir-Adleman (RSA), Diffie-Hellman (DH), Elliptic Curve Diffie-Hellman (ECDH) dhe Elliptic Curve Digital Signature Algorithm (ECDSA)", deri në atë datë. Nëse operoni në Australi ose shisni në zinxhirët e furnizimit të qeverisë australiane, kjo është data juaj e detyrueshme, jo 2035.
- Kina po ndjek një rrugë sovrane. Nuk ka miratuar ML-KEM dhe ML-DSA; instituti i Administratës Shtetërore të Kriptografisë ka drejtuar thirrjen e vet për algoritme komerciale të gjeneratës së ardhshme, me dorëzimet që mbyllen në qershor 2026 dhe standardpër t'u ndjekur. Për një kompani shumëkombëshe kjo do të thotë planifikim për dy familjet e algoritmeve post-kuantike në të njëjtën shtresë, me SM2 — të bazuar në kurbë eliptike, pra po aq të shkurtër-thyer — si personi që do të migrojë. Kripto-shkathtësia nuk është më një abstraksion këtu.
- Pjesa më e madhe e botës nuk ka asnjë mandat kombëtar për PQC-në — dhe kjo ndryshon pak. Në pjesën më të madhe të Amerikës Latine dhe në pjesën më të madhe të Lindjes së Mesme dhe Azi-Paqësorit, nuk është publikuar asnjë afat kohor për PQC-në. Detyrimet ende mbërrijnë, përmes tre kanaleve që injorojnë kufijtë: rregullatorëve të sektorit (një këshillim në stilin e Singaporit për institucionet financiare; pritjet e një banke qendrore), horizontalëve. standardqë tashmë kërkojnë një inventar kriptografik (PCI DSS, grupe kontrolli ISO/IEC 27001) dhe klientët. Një furnizues për një blerës federal të BE-së, Australisë ose SHBA-së trashëgon afatin e tyre përmes kontratës.
Çfarë e lidh në fund të fundit një organizatë private
Lërini mënjanë për një moment udhërrëfyesit kombëtarë. Për shumicën e organizatave private, detyrimet e zbatueshme vijnë nga katër vende, asnjëra prej të cilave nuk është shkruar për kuantum:
- NIS2 (Direktiva (BE) 2022/2555) kërkon, në Nenin 21(2)(h), "politika dhe procedura në lidhje me përdorimin e kriptografisë dhe, kur është e përshtatshme, të enkriptimit" si një masë bazë për menaxhimin e riskut. COM(2026) 13 do ta bënte dimensionin kuantik të qartë duke shtuar kalimin PQC në Nenin 7(2).
- DORA - Akti i Rezistencës Operacionale Dixhitale dhe teknik i saj standards, Rregullorja e Deleguar e Komisionit (BE) 2024/1774Neni 6 kërkon që subjektet financiare të përfshijnë në politikën e tyre të enkriptimit "dispozita për përditësimin ose ndryshimin, kur është e nevojshme, të teknologjisë kriptografike në bazë të zhvillimeve në kriptanalizë", dhe aty ku ato nuk mund të përditësohen, të "miratojnë masa zbutëse dhe monitoruese që sigurojnë rezistencë ndaj kërcënimeve kibernetike". Ky është një detyrim i kripto-shkathtësisë me një mbikëqyrës të bashkangjitur, dhe recitalet e tij përmendin në mënyrë të qartë përparimet kuantike.
- Kërkesa 12.3.3 e PCI DSS v4.0 — ajo që shumica e organizatave dështojnë tashmë pa e kuptuar është një kërkesë e maskuar e PQC. PCI SSC e përshkruan atë si një "kërkesë të re për të dokumentuar dhe shqyrtuar suitat dhe protokollet e shifrave kriptografike në përdorim të paktën një herë në 12 muaj", dhe pushoi së qeni një praktikë e mirë në 31 mars 2025Asnjë afat PQC, asnjë listë algoritmesh kuantike - por inventari vjetor kriptografik dhe plani i dokumentuar për t'iu përgjigjur ndryshimeve kriptografike janë të paracaktuara.cisvetëm kontrollet që i nevojiten një programi PQC, tashmë në fuqi dhe të audituara tashmë.
- Kaskada e prokurimit. Dy klauzola do të shkojnë më tej se çdo plan kombëtar rrugor. Akti i Rezistencës Kibernetike (Rregullorja (BE) 2024/2847) zbatohet nga 11 2027 dhjetor dhe tashmë bën një SBOM një detyrim i prodhuesit për produktet me elementë dixhitalë — nuk detyron një CBOM, por përcakton listat e materialeve të lexueshme nga makinat si artefakte të përputhshmërisë së produktit. Dhe në SHBA, OE 14412 udhëzon Këshillin e Rregullores Federale të Blerjeve (FAR) që të propozojë një rregull që kërkon kontraktorët e mbuluar për t'u pajtuar me NIST FIPS që përfshin algoritmet PQC deri më 31 dhjetor 2030, dhe — klauzola me shtrirjen më të gjerë — urdhërat CISA dhe NIST do të publikojnë, brenda 270 ditëve (rreth 19 mars 2027), “udhëzime publike që përshkruajnë pikëpamjen e konsideruar të agjencive në lidhje me elementët minimalë për një listë materialesh kriptografike. Këta elementë duhet të mundësojnë vlerësimin automatik të aseteve kriptografike të përdorura nga një element hardueri ose softueri.”
Kjo e fundit ka rëndësi shumë më tepër se Uashingtoni. “Elementet minimale për një SBOM"është paracissi lista e materialeve të softuerit kaloi nga një ide e mirë në një artefakt kontraktual në mbarë botën. CBOM tani është në të njëjtën rrugë, me vlerësim i automatizuar e shkruar në kërkesë - një spreadsheet manual nuk do ta plotësojë atë.
Formati: CycloneDX CBOM
CiklonDX është standard që i jep CBOM-it një formë betoni. Versioni. 1.7, i lëshuar më 21 tetor 2025 dhe i ratifikuar si Edicioni i 2-të ECMA-424, është rishikimi aktual i fokusuar në kripto: shton një standardlistë e licencuar e kriptografisë familjet e algoritmeve dhe një listë gjithëpërfshirëse e kthesa eliptike, në mënyrë të qartë për të mbështetur "auditimet, rishikimet e pajtueshmërisë dhe vlerësimet e gatishmërisë së PQC". Një CBOM i CycloneDX përshkruan katër lloje të aseteve kriptografike - algoritme, protokolle, certifikata dhe materiale të lidhura si çelësa, IV dhe kripëra - plus komponentët e softuerit që i zbatojnë ato.
Çështja është e ngushtë, por e dobishme: kur publikohen elementët minimalë të CBOM, CycloneDX është formati për të cilin tregu do të flasë tashmë.
Kronologjia e konsoliduar
Modeli është pothuajse kudo i njëjti formë: zbulim deri në vitet 2026–2028, migrim me rrezik të lartë deri në vitet 2030–2031, gjithçka tjetër deri në vitin 2035. Planifikoni kundër asaj forme dhe jeni në përputhje të plotë me të gjitha ato. Pastaj gjeni datën e vetme që lidhet. ju së pari — rrallë është viti 2035, dhe për këdo që është në fushëveprimin e PCI DSS detyrimi i inventarit filloi në vitin 2025.
Vetë migrimi: çfarë zëvendëson atë që
Afatet janë vetëm gjysma e informimit. Gjysma tjetër është ajo që po migroni në të vërtetë. në — dhe përgjigjja nuk është një zëvendësim, por disa, me pjekuri të ndryshme, madhësi të ndryshme dhe kohë shumë të ndryshme përgatitjeje.
Harta e zëvendësimit
Hibrid — kombinimi i një algoritmi post-kuantik me një klasik në mënyrë që një sulmues duhet t'i prishë të dy — është qëndrimi i parazgjedhur gjatë tranzicionit, dhe RFC9794 (Qershor 2025) më në fund standarde ka përcaktuar fjalorin për të ("hibrid PQ/T"). Politikat ndryshojnë këtu, kështu që është një çështje juridiksioni, jo një preferencë inxhinierike: CCN e Spanjës rekomandon hibridizimin e nënshkrimeve të bazuara në rrjetë (ML-DSA, FN-DSA) ndërsa deklaron se skemat e bazuara në hash (XMSS, SLH-DSA) nuk kanë nevojë për të, dhe qëndrimi i BE-së është gjerësisht miqësor ndaj hibrideve; CNSA 2.0, në të kundërt, dëshiron PQC të pastër për sistemet e sigurisë kombëtare. Një shumëkombëshe do të ketë nevojë për të dy konfigurimet, gjë që është një argument për zgjedhjen e algoritmit të konfigurimit në vend të kodit.
Çfarë nuk ka zëvendësim të menjëhershëm
NIST ka standardidentifikoi saktësisht dy gjëra: enkapsulimin e çelësave dhe nënshkrimet dixhitale. Kjo është e mjaftueshme për pjesën më të madhe të një pasurie, dhe asgjë për pjesën tjetër. Nëse sistemet tuaja mbështeten në ndërtime të bazuara në çiftëzim, enkriptim të bazuar në identitet ose atribut, prag, nënshkrime të verbëra ose në grup, ose kriptografi tjetër të avancuar në nivel protokolli, nuk ka ekuivalent të miratuar post-kuantik për të migruar sot - përgjigjja e ndershme është të identifikohen ato përdorime tani, t'i shënohen si të pazgjidhura dhe të hartohet një dalje në vend që të pritet për një standardE njëjta gjë vlen edhe për rrënjët e besimit të harduerit: HSM-të (modulet e sigurisë së harduerit), TPM-të dhe kartat inteligjente lëvizin sipas cikleve të rifreskimit të silikonit që janë më të gjata se dritarja rregullatore.
Jo një migrim, por disa me kohë të ndryshme përgatitjeje
Këtu është vendi ku harta e zëvendësimit ndryshon afatin kohor të gatishmërisë. Rendi i urgjencës dhe rendi i kohës së përgatitjes nuk janë të njëjta, dhe një plan i ndërtuar vetëm mbi njërën prej tyre do të humbasë një afat kohor.
- Të dhëna në tranzit — institucioni kryesor. Urgjenca më e lartë (është sipërfaqja HNDL) dhe më e shkurtër koha e përgatitjes: për shumicën e rafteve është një përmirësim i bibliotekës dhe një ndryshim konfigurimi. Është gjithashtu dukshëm i menaxhueshëm — Cloudflare raportoi në tetor 2025 se mbi gjysma e trafikut të iniciuar nga njeriu në rrjetin e saj tashmë ka përdorur marrëveshjen post-kuantike të çelësit. Boshllëku është në anën tuaj të lidhjes: vetëm ~39% e 100,000 serverëve kryesorë publikë të internetit e mbështesin atë, dhe 3.7% e serverëve origjinalë janë pas Cloudflare. Shifrat aktuale janë në Radari Cloudflare. Filloni këtu, mbaroni herët.
- Kod, firmware dhe nënshkrim i nisjes së sigurt. Urgjencë e ulët e HNDL - askush nuk mbledh një nënshkrim - por një kohë e gjatë përgatitore dhe një afat i hershëm, sepse një pajisje e dërguar në vitin 2027 duhet të verifikojë ende nënshkrimet në vitin 2040, dhe rrënjët e nënshkrimit kanë jetëgjatësi mbi një dekadë. standardjanë gati (SP 800-208, SLH-DSA); CNSA 2.0 dhe CCN i Spanjës e vendosin nënshkrimin e firmware-it në krye të radhës pikërisht për këtë arsye. Filloni tani pavarësisht urgjencës së ulët.
- PKI dhe certifikatat. Ju nuk e kontrolloni këtë orar. Certifikatat post-kuantike nuk pritej të ishin gjerësisht të disponueshme dhe të besueshme në të gjithë shfletuesit para vitit 2027, formatet e certifikatave hibride ishin ende të pazgjidhura në IETF që nga fundi i vitit 2025, dhe madhësitë e zinxhirëve rriten disa herë. Piloti dhe buxheti; mos premtoni një datë që nuk e keni për detyrë.
- Të dhënat në qetësi dhe arkivat jetëgjatë. Enkriptimi në masë është në rregull — AES-256 është një ndryshim parametri. Ekspozimi është në hierarkinë e çelësave sipër tij: mbështjellja e çelësave dhe transporti i çelësave që përdorin RSA ose ECDH. Fushatat e ri-enkriptimit janë të ngadalta dhe prekin kopjet rezervë, arkivat dhe depozitën.
- Sisteme të integruara, OT (teknologji operacionale - sisteme industriale dhe kontrolli) dhe sisteme të palëve të treta. Ciklet e rifreskimit zgjasin më shumë se dritarja e punës, dhe disa asete që thjesht nuk mund të migrohen. Për këto, përgjigjja është zëvendësimi, kompensimi i kontrolleve ose një rrezik i dokumentuar dhe i pranuar - dhe sa më herët t'i përmendni, aq më e lirë është secila prej këtyre opsioneve.
Dy pasoja praktike për një plan GRC. Së pari, planifikoni prapa nga data juaj më e hershme e lidhjes sipas kohës së përgatitjes, jo vetëm sipas pikëve të riskut: prapambetja e renditur ju tregon se çfarë duhet të rregulloni së pari midis gjërave që mund rregullojeni shpejt; lista e afatit të përgatitjes ju tregon se çfarë duhet të bëni Fillimi së pari pavarësisht. Së dyti, Inventari duhet të regjistrojë rastin e përdorimit, jo vetëm algoritmin“RSA-2048 në këtë depo” nuk është e zbatueshme; “RSA-2048 është përdorur për transportin e çelësave në një shërbim publik” dhe “RSA-2048 është përdorur për të nënshkruar firmware” janë dy projekte të ndryshme me dy objektiva të ndryshëm, dy afate të ndryshme dhe dy pronarë të ndryshëm. Kjo është arsyeja pse një inventar duhet të kapë klasën primitive dhe sipërfaqen në të cilën u gjet kriptografia, jo vetëm një emër algoritmi - dhe pse ndërtimi i një të tille rezulton të jetë më i vështirë nga sa duket.
Pse gatishmëria për PQC është e vështirë: kriptografia është vërtet kudo
Çdo regjim kërkon inventarin së pari sepse inventari është pjesa e vështirë. Organizatat e zbulojnë këtë në momentin që përpiqen.
Ku fshihet në të vërtetë kriptografia
- Faqet e thirrjeve në burimin tuaj — një shifër e ndërtuar në një shërbim, një hash i zgjedhur në një klasë dobie, një kurbë e emëruar në një rutinë nënshkrimi. Tetë gjuhë në një monorepo do të thotë tetë grupe idiomash.
- Dependencies — pjesa më e madhe e kriptovalutave në shumicën e aplikacioneve ekzekutohet nga librari që ekipi nuk i ka zgjedhur kurrë qëllimisht: BouncyCastle, OpenSSL, libsodium, node-forge, PyCryptodome, Tink. Se cili algoritëm ekzekutohet në të vërtetë është një veti e librarisë, jo e kodit tuaj.
- Certifikata dhe materiale kryesore — Certifikatat X.509 të kontrolluara në depo, skedarët e çelësave PEM në drejtoritë e konfigurimit, ruajtësit e çelësave të ruajtur në imazhe.
- Konfigurimi i infrastrukturës si kod dhe protokollit — një version minimal TLS në një modul Terraform, një listë suite shifrash në një kontrollues hyrjeje, një konfigurim SSH në një imazh bazë.
- Imazhet e kontejnerëve dhe skedarët binare të kompiluar — bibliotekat e kriptove të lidhura në shtresa që skanimi i burimit të askujt nuk i lexon kurrë.
- Produkte të palëve të treta dhe SaaS — kripton nuk mund ta shihni dhe as ta ndryshoni, vetëm pyesni për të.
- HSM-të, shërbimet e menaxhimit të çelësave dhe pajisjet e rrjetit — kriptovaluta që jeton tërësisht jashtë softuerit.
Katër gjërat që e bëjnë këtë një program, jo një skanim
Mbulim i sinqertë. Një inventar është provë vetëm nëse përcakton kufijtë e vet. "Ne skanuam burimin, varësitë, certifikatat, skedarët kryesorë dhe IaC konfigurim; ne nuk skanuam trafikun në kohën e ekzekutimit, lidhjet TLS, përmbajtjen HSM, skedarët binarë të kompiluar ose shtresat e kontejnerëve” është një pozicion i mbrojtshëm. Një numër pa emërues nuk është.
Përcaktim i përparësive, jo numërim. Një pasuri e madhe prodhon mijëra gjetje kriptovalutash. Një listë e sheshtë është e papërdorshme. Renditja që ka rëndësi kombinon katër gjëra: a është algoritmi i thyer sipas parimit Shor apo thjesht i dobësuar sipas parimit Grover; për sa kohë duhet të qëndrojnë konfidenciale të dhënat që ai mbron (faktori HNDL); a është i ekspozuar ndaj një rrjeti; dhe a është realisht i arritshëm në kodin që ekzekutohet në vend që të qëndrojë në një pajisje testimi ose në një mostër të shitësit. Çdo plan rrugor që thotë "rastet e përdorimit me rrezik të lartë të parat" lëshon një udhëzim përparësie dhe nuk mund t'i përgjigjeni nga një listë alfabetike.
Shkathtësi, jo vetëm zëvendësim. Siç tregoi harta e zëvendësimit, grupi i objektivave është ende në lëvizje dhe rregullat hibride ndryshojnë sipas rajonit - ndërrimi që bëni në vitin 2027 nuk do të jetë i fundit. Emrat e algoritmeve të koduara fort, suitat e shifrave të fiksuara, pa abstraksion ofruesi dhe versionet e protokolleve të panegociueshme janë ato që e kthejnë tjetër të ndërrohet në një projekt tjetër shumëvjeçar. Këto janë gjetje më vete, të lira për t'u rregulluar tani dhe të kushtueshme për t'u rregulluar më vonë.
Zinxhiri i furnizimit. Nuk mund të migroni më shpejt se rrjedha juaj më e ngadaltë në rrjedhën e sipërme. Cila nga varësitë tuaja mbështet PQC, cilat ofrojnë mënyra hibride, cilat kanë publikuar një plan veprimi, cilat publikojnë një CBOM fare — kjo përcakton rrugën tuaj kritike, dhe është gjithashtu prova që një ekip prokurimi i duhet sipas detyrimeve të riskut të furnizuesit NIS2 dhe DORA.
Një kurth tjetër: inventari është një kontroll, jo një projekt
Instinkti është të kryesh një ushtrim zbulimicise., krijoni një spreadsheet dhe arkivojeni atë. PCI DSS e përjashton tashmë këtë me ciklin e saj të shqyrtimit dymbëdhjetëmujor; CCN i Spanjës e mbyll listën e saj të kontrollit të migrimit me "përditësimin e inventarit të aseteve kriptografike dhe varësive të tyre"; dhe memorandumi zbatues i SHBA-së është edhe më i drejtpërdrejtë:
Duke pasur parasysh shkallën dhe kompleksitetin e mjediseve federale të IT-së, qasjet manuale për zbulimin dhe menaxhimin e kriptografisë shpesh janë të pamjaftueshme. Agjencitë duhet të përdorin automatizimin kur është e mundur dhe e përshtatshme për të arritur një kuptim gjithëpërfshirës dhe të përditësuar vazhdimisht të pozicionit të tyre kriptografik. Automatizimi është kritik për menaxhimin e inventarit, zbatimin e politikave dhe raportimin e pajtueshmërisë.
Devijime në kriptografi: një zhvillues shton një bibliotekë, një imazh bazë ndryshon, një shërbim i ri vjen me një suitë të parazgjedhur shifrash. Një inventar që rigjenerohet në çdo ndërtim është një kontroll; një inventar që rigjenerohet çdo vit manualisht është një projekt arkeologjik që do ta përsërisni përgjithmonë.
Çfarë do të thotë "gatishmëria PQC" në praktikë
Hiqni gjuhën e shitësit dhe gatishmëria PQC është aftësia për të prodhuar gjashtë gjëra sipas kërkesës:
- Një inventar kriptografik në një standard format i lexueshëm nga makina, që mbulon sipërfaqet që mund të shihni, i rigjeneruar automatikisht.
- Një klasifikim rreziku e çdo aseti në të: duhet të zëvendësohet (i thyer nga shkurt), mund të ngurtësohet në vend (i dobësuar nga Grover) ose është tashmë i sigurt për sa i përket sigurisë kuantike.
- Një prapambetje e renditur e migracionit që pasqyron jetëgjatësinë, ekspozimin dhe arritshmërinë e të dhënave — kështu që "rastet e përdorimit me rrezik të lartë të parat" janë përgjegjëse.
- Një deklaratë mbulimi që i emërton në mënyrë të qartë pikat e tua të verbëra.
- Dëshmi për pajtueshmërinë të hartuara me regjimet që në të vërtetë ju lidhin, me datat e tyre.
- Një pamje e gatishmërisë së zinxhirit të furnizimit duke ju treguar se cilat rrjedha të sipërme bllokojnë migrimin tuaj.
Çdo gjë tjetër — rrotullimi i çelësave, cikli jetësor i certifikatave, orkestrimi i HSM-së, zbulimi i rrjetit — ka rëndësi, por është në vijim të këtyre gjashtë. Nuk mund të rrotullosh atë që nuk e ke gjetur.
Si ndihmon Xygeni
Xygeni's Pajtueshmëria me Quantum-Safe aftësia prodhon të gjashtë nga skanimi që tashmë funksionon në tuajin pipelineAsnjë produkt i veçantë kripto-pasurie, asnjë agjent, asnjë ndryshim në mënyrën e ndërtimit — zbulimi i kripto-valutave funksionon paralelisht me SCA (analiza e përbërjes së softuerit — skanimi i varësisë), SAST (testimi statik i sigurisë së aplikacionit — skanimi i kodit burimor) dhe IaC analiza që keni tashmë.
1 · CBOM-i. Xygeni lëshon një CBOM CycloneDX që mbulon katër llojet e aseteve kripto - algoritme, protokolle, certifikata dhe materiale të lidhura si çelësa dhe kripto - në Java, Kotlin, JavaScript/TypeScript, Python, Go, C#, PHP dhe Swift, dhe lidh çdo algoritëm me bibliotekën që e zbaton atë. Asetet kripto janë objekte inventari të klasit të parë në platformë, së bashku me komponentët, dobësitë, sekretet dhe IaC gjetje, kështu që ato kanë të njëjtën origjinë dhe histori. Materiali kyç nuk përfshihet kurrë në inventar — vetëm prania, lloji dhe vendndodhja e tij.
2 · Klasifikimi i rrezikut kuantik. Çdo aset është etiketuar i thyer shkurt (çelësi publik, duhet të zëvendësohet), i dobësuar nga grover (simetrik ose i prerë, i ngurtësueshëm në vend) ose pqc-i sigurt, dhe të shënuara për ekspozim ndaj HNDL. I njëjti dallim nxit SAST Këshilla për korrigjim, e cila degëzohet në klasën primitive: RSA dhe ECC "migrojnë në ML-KEM ose ML-DSA, me një ndërtim hibrid gjatë tranzicionit", ndërsa AES-128 dhe SHA-256 "rrisin madhësinë e çelësit ose të përmbledhjes". Kjo është e qëllimshme - këshillimi i një çelësi më të madh RSA kundër një kundërshtari kuantik është më keq sesa të mos thuash asgjë, dhe çdo mjet që i ngatërron të dy rastet do ta bëjë pikërisht këtë.
3 · Numri i migrantëve të prapambetur të renditur. Në vend të një liste të sheshtë, Xygeni vlerëson çdo aset të cenueshëm ndaj aspektit kuantik me nga 0-100 nga cenueshmëria kuantike, jetëgjatësia dhe ndjeshmëria e të dhënave, ekspozimi ndaj rrjetit, arritshmëria dhe vlera e biznesit, dhe lëshon një listë të punëve të prapambetura të renditura. Kjo është ajo që i kthen "rastet e përdorimit me risk të lartë deri në vitin 2030" nga një slogan në një radhë pune.
4 · Harta e mbulimit. Xygeni raporton se çfarë ka parë dhe çfarë jo: kodin burimor, certifikatat, atribuimin e varësisë, skedarët me çelës privat dhe IaC konfigurimet renditen si të mbuluara, të pjesshme ose të paskanuara, me trafikun e kohës së ekzekutimit dhe të rrjetit, lidhjet TLS, përmbajtjet HSM dhe KMS, skedarët binare të kompiluar dhe bibliotekat e shtresave të kontejnerëve të emëruara në mënyrë eksplicite si pika të verbëra. Auditorët i përgjigjen mirë një mjeti që përcakton kufijtë e vet; kështu, në përvojën tonë, CISJu.
5 · Dëshmi për pajtueshmërinë. Motori i pajtueshmërisë vlerëson inventarin e kriptovalutave kundrejt gjashtë regjimeve dhe kthen vendime kalimi, pjesore ose dështimi kundrejt afateve të tyre aktuale: NIST IR 8547, NSA CNSA 2.0, Udhërrëfyesi i BE-së për PQC-në, dhe nëngrupet post-kuantike të PCI DSS 4.0, DORA NIS2Kjo ndodhet në të njëjtin skaner përputhshmërie si CIS Pika referuese e Zinxhirit të Furnizimit të Softuerit, OWASP SCVS dhe OpenSSF standards, kështu që raportet e pozicionit të PQC-së kalojnë përmes të njëjtit kanal si pjesa tjetër e pajtueshmërisë së zinxhirit tuaj të furnizimit me softuer. Organizatat, afati i detyrueshëm i të cilave vjen nga vende të tjera - ASD, CCCS, CCN - mund të punojnë nga të njëjtat prova, pasi këto udhërrëfyes qëndrojnë në të njëjtin skelet 2030/2035; vetëm data e përfundimit të Australisë në fund të vitit 2030 duhet të gjurmohet veçmas.
6 · Gatishmëria për zinxhirin e furnizimit. Çdo varësi mbart një atribut gatishmërie post-kuantike — a mbështet PQC, a ofron mënyra hibride, a ka një plan veprimi të publikuar — në mënyrë që të shihni se cilat rrjedha të sipërme ndodhen në rrugën tuaj kritike dhe të krijoni një pamje të gatishmërisë së shitësit për prokurimin.
Përtej gjashtë: gjetjet e kripto-shkathtësisë. Xygeni gjithashtu identifikon modelet që e bëjnë tjetër migrimi dhe rishkrimi — algoritmi i koduar dhe zgjedhjet e kurbës, mungesa e abstraksionit të ofruesit, suitat e kodit të trashëguar të fiksuar, versionet e protokolleve të panegociueshme. Kriptoja e dobët dhe e cenueshme ndaj kuantit është e zbatueshme përmes të njëjtës shtresë politikash si pjesa tjetër e gjetjeve tuaja, kështu që një algoritëm i ri i thyer Shor mund të kapet në pull request në vend që të bëhet në auditimin e vitit të ardhshëm.
Përtypjet kryesore
- Gjeni datën më të hershme të lidhjes përpara se të planifikoni ndonjë gjë. Shumica e planeve bashkohen në vitin 2030 për vendet me rrezik të lartë dhe në vitin 2035 për pjesën tjetër - por Australia pret që gjithë tranzicioni u krye deri në fund të vitit 2030, dhe PCI DSS filloi të kërkonte inventarin në vitin 2025.
- Planifikoni kundër formës, jo kundër juridiksionit. Zbulimi deri në vitet 2026–2028, migrimi me risk të lartë deri në vitet 2030–2031, përfundimi deri në vitin 2035. Vendosni një herë në një pozicion dhe i plotësoni shumicën e tyre; gjurmoni përjashtimet veçmas.
- Filloni me inventarin, sepse të gjithë e kërkojnë të parët — BE-ja, Spanja, Kanadaja, Australia, MAS dhe PCI DSS e Singaporit janë të gjitha të hapura me të njëjtin rezultat.
- Përdorni CBOM si format. Udhërrëfyesi i BE-së e rekomandon atë me emër; udhëzimet e SHBA-së mbi elementët minimalë të CBOM-së pritet të dorëzohen rreth marsit 2027 dhe kërkojnë shprehimisht automatizuar vlerësimi.
- Mos i ngatërroni kurrë Shorin dhe Groverin. Çelësi publik duhet të zëvendësohet; çelësi simetrik dhe hash-i mund të forcohen në vend. Këshillat për korrigjim që i përziejnë këto janë më të këqija se mungesa e asnjë këshille.
- HNDL përcakton afatin tuaj të vërtetë. Të dhënat që duhet të mbeten konfidenciale pas vitit 2035 janë ekspozuar sot. Jepini përparësi krijimit të të dhënave kyçe - TLS, IKE, çdo gjëje që mbron të dhënat gjatë transportit - mbi nënshkrimet.
- Planifikoni sipas kohës së përgatitjes, jo vetëm sipas riskut. Vendosja e çelësit është urgjente, por e shpejtë; nënshkrimi i firmware-it dhe PKI nuk janë urgjente, por të ngadalta, dhe artikujt e ngadaltë duhet të fillojnë të parët. Çdo gjë që nuk mund të migroni - harduer i vjetër, produkte të ngrira të palëve të treta - duhet të emërohet këtë vit, sepse zëvendësimi është e vetmja mundësi e mbetur dhe ka nevojë për një cikël buxheti.
- Regjistroni rastin e përdorimit, jo vetëm algoritmin. Mbrojtja RSA e një handshake TLS dhe firmware-i i nënshkrimit RSA janë dy projekte të ndryshme, me objektiva, afate dhe pronarë të ndryshëm. Një inventar që rendit vetëm emrat e algoritmeve nuk mund të nxisë një migrim.
- Kërkoni një hartë të ndershme të mbulimit. Çdo mjet që pretendon dukshmëri të plotë kriptografike nga një skanim burimi është tepër i ekzagjeruar. Ajo që nuk mund të shohë ka rëndësi për auditorin po aq sa ajo që mund të shohë.
- Ndërto për migrimin e dytë. FIPS 206 nuk është përfundimtar, HQC nuk është standardtë izuara, dhe Kina dhe Koreja janë standardduke i pajisur familjet e tyre. Një pronë shumëkombëshe do të mbajë më shumë se një grup algoritmash post-kuantik; gjetjet e kripto-shkathtësisë janë të lira tani dhe të shtrenjta në vitin 2031.
- Automatizoni ose përsëriteni. Një inventar kriptografik i rigjeneruar në çdo ndërtim është një kontroll. Një spreadsheet është një pamje e çastit që fillon të ndryshojë ditën kur nënshkruhet.
Për të lexuar më shumë
Detajet e plota teknike — çfarë zbulohet, si funksionon klasifikimi i rrezikut kuantik dhe vlerësimi i përparësive, me çfarë vlerësohet secili regjim i pajtueshmërisë dhe si të merren raportet — janë në dokumentacionin e Xygeni-t:
- Xygeni: “Pajtueshmëria me Quantum-Safe“. Dokumentet e Xygeni-t.
- Xygeni: “Gjeneroni një CBOM me Xygeni CLI“. Dokumentet e Xygeni-t.
- Xygeni: “Pajtueshmëri e mbështetur standards“. Dokumentet e Xygeni-t.
Standards dhe algoritmet:
- NIST: “IR 8547 (Draft Publik Fillestar): Kalimi në Kriptografinë Post-Kuantale Standards“. Nëntor 2024.
- NIST: “FIPS 203 (ML-KEM)","FIPS 204 (ML-DSA)","FIPS 205 (SLH-DSA)“. Gusht 2024.
- NIST: “IR 8545: Raporti i Statusit mbi Raundin e Katërt të NIST PQC StandardProcesi i izimit“. Mars 2025.
- NIST: “SP 800-57 Pjesa 1 Rev. 5: Rekomandim për Menaxhimin e Çelësave"— Tabela 2, pikat e forta të krahasueshme të sigurisë."
- NIST: “SP 800-208: Rekomandim për Skemat e Nënshkrimeve të Bazuara në Hash-in Shtetëror"(LMS, HSS, XMSS, XMSS^MT). Tetor 2020.
- IETF: “RFC 9794: Terminologjia për Skemat Hibride Tradicionale Post-Kuantale“. Qershor 2025.
- Cloudflare: “Gjendja e internetit post-kuantik në vitin 2025"dhe të dhëna të drejtpërdrejta të birësimit në"Radari Cloudflare".
- CycloneDX: “Lista e Materialeve të Kriptografisë (CBOM)"Dhe"Publikimi i CycloneDX v1.7“. Tetor 2025.
Planet kombëtare dhe rajonale:
- ASD (Australi): “Planifikimi për kriptografinë post-kuantike“. Shtator 2025.
- Grupi i Bashkëpunimit NIS:Një Udhërrëfyes i Koordinuar për Implementimin për Kalimin në Kriptografinë Post-Kuantale“. Qershor 2025.
- CCN (Spanjë):CCN-TEC 009 / BP-37 — Rekomandimet për një transición postcuántica segura“. Korrik 2026.
- Komisioni Evropian: “Rekomandimi i Komisionit (BE) 2024/1101"(11 Prill 2024) dhe"COM(2026) 13 — Propozim për ndryshimin e Direktivës (BE) 2022/2555 (NIS2)"(20 janar 2026)."
- NCSC (MB):Afatet kohore për migrimin në kriptografinë post-kuantike“. Mars 2025.
- Qendra Kanadeze për Sigurinë Kibernetike:Plani i veprimit për migrimin në kriptografinë post-kuantike për Qeverinë e Kanadasë (ITSM.40.001)“. Qershor 2025.
- Shtëpia e Bardhë: “Urdhri Ekzekutiv 14412 — Sigurimi i Kombit Kundër Sulmeve të Avancuara Kriptografike"(22 qershor 2026) dhe OMB"M-26-15"(24 qershor 2026)."
- NSA: “Burimet e Sigurisë Kibernetike Post-Kuantale (CNSA 2.0)".
- CRYPTREC (Japoni): “KRIPTREK"— ML-KEM u shtua në Listën e Shifrave të Rekomanduara, Mars 2026."
- MAS (Singapor): “Këshilla mbi Adresimin e Rreziqeve të Sigurisë Kibernetike të Lidhura me Teknologjinë Kuantike“. Shkurt 2024.
- NZISM (Zelanda e Re): “Përgatitja për Kriptografinë Post-Kuantale".
- ICCS (Kinë): “Instituti i Kriptografisë Tregtare Standards"— program algoritmesh kriptografike komerciale të gjeneratës së ardhshme."
- ITI (Brazil):ITI publika Instrução Normativa que incorpora algoritmos pós-quânticos à ICP-Brasil“. Zhaneiro 2026.
Detyrimet sektoriale dhe horizontale:
- BE: “Direktiva (BE) 2022/2555 (NIS2)"; "Rregullorja (BE) 2022/2554 (DORA)"; "Rregullorja e Deleguar e Komisionit (BE) 2024/1774 (DORA ICT RTS për menaxhimin e riskut)"; "Rregullorja (BE) 2024/2847 (Akti për Rezistencën Kibernetike)".
- Siguria PCI StandardKëshilli: “Përmbledhje e ndryshimeve nga PCI DSS v3.2.1 në v4.0"(kërkesa 12.3.3)."
Sfondi:
- Craig Gidney: “Si të faktorizohen numrat e plotë RSA 2048 bit me më pak se një milion kubit të zhurmshëm“. Google Quantum AI, maj 2025.
- Michele Mosca: “Siguria kibernetike në një epokë me kompjuterë kuantikë: a do të jemi gati?". IACRprint 2015/1075.
