Compliance für die Post-Quanten-Ära

Bestandsaufnahme und Planung

• Ziele und Umfang der Migration festlegen
• Vollständige kryptografische Bestandsaufnahme abschließen
• Abhängigkeiten von Lieferanten und Infrastruktur bewerten
• Einen ersten Migrationsplan veröffentlichen

Vorrangige Migration

• Migrationsschritte mit höchster Priorität abschließen
• Kritische Assets zuerst schützen
• Roadmap für die vollständige Umstellung verfeinern

Ziel: vollständige Umstellung

• Migration von Systemen, Diensten und Produkten auf PQC abschließen
• Verbleibende quantenanfällige Public-Key-Verfahren im Geltungsbereich ablösen

Erste nationale Schritte

• Nationale Umstellungsstrategien starten
• Mit Identifizierung, Inventarisierung und Sensibilisierung beginnen
• Erste Umsetzungsschritte zwischen den Mitgliedstaaten abstimmen

Von der Empfehlung zur Pflicht

• Ein Vorschlag der Kommission nimmt die PQC-Umstellung als ausdrückliche Anforderung in die NIS2-Richtlinie auf (Artikel 7 Absatz 2 Buchstabe k)
• Nach Annahme und Umsetzung sind NIS2-Einrichtungen gesetzlich dazu verpflichtet, nicht mehr nur per Empfehlung

Anwendungsfälle mit hohem Risiko

• Anwendungsfälle mit hohem Risiko und in kritischer Infrastruktur umstellen
• Priorisierte Upgrades und Pilotprojekte ausweiten
• PQC als Standard für neue Einsätze mit hoher Tragweite festlegen

Horizont für den breiten Abschluss

• Umstellung der verbleibenden Systeme abschließen, soweit machbar
• Dauerhafte Krypto-Agilität und Governance nachweisen

Standardbasis festgelegt

• NIST hat FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) final veröffentlicht
• Das Ökosystem für PQC-Implementierung und -Validierung hat Fahrt aufgenommen

Migration wird verbindlich

• Executive Order 14412 macht die Umstellung auf Bundesebene zur rechtlichen Pflicht statt zu einer reinen Bestandsaufnahme
• OMB M-26-15 ersetzt die Regelung nach M-23-02 durch einen fünfstufigen Migrationszeitplan bis 2035
• Jede Bundesbehörde benennt eine verantwortliche Person für die Post-Quanten-Migration und reicht einen Migrationsplan ein

Regeln für Auftragnehmer

• Der FAR Council soll einen Regelentwurf veröffentlichen, nach dem betroffene Auftragnehmer die FIPS mit PQC-Algorithmen erfüllen müssen
• Lieferanten von Bundesbehörden sollten damit rechnen, dass die Anforderung sie über ihre Verträge erreicht

Schlüsselvereinbarung

• Besonders wertvolle Assets und Systeme mit hoher Auswirkung nutzen Post-Quanten-Schlüsselvereinbarung
• Betroffene Auftragnehmer des Bundes erfüllen dieselben Standards

Digitale Signaturen

• Post-Quanten-Signaturen in denselben Systemen im Einsatz
• Verbleibende quantenanfällige Public-Key-Verfahren werden auf dem Pfad von NIST IR 8547 bis 2035 abgelöst

Vorbereitung des Bundes und Branchenplanung

• Leitlinien zur Bundes-PKI betonen die Vorbereitung auf die Post-Quanten-Umstellung
• Teams im öffentlichen Sektor planen Anpassungen bei Schlüssellängen, Vertrauensketten und Algorithmen
• Die Maßnahmenplanung im Finanzsektor geht unter Leitung des SIF weiter

FINMA-Aufsichtsmitteilung zu Quantum Computing

• Die FINMA veröffentlicht die Aufsichtsmitteilung 05/2026 nach einer Umfrage bei 60 Schweizer Finanzinstituten
• Nur 8 % der Befragten hatten eine konkrete Roadmap für quantensichere Verschlüsselung
• Die FINMA sieht Handlungsbedarf bei den Anforderungen an operationelle Risiken und Resilienz

Frist für die PQC-Roadmap

• Die FINMA empfiehlt, spätestens bis Mitte 2027 eine PQC-Roadmap zu erstellen
• Vom Verwaltungsrat verabschiedete Strategie mit einem Umsetzungsplan, der Meilensteine und Prioritäten festlegt
• Zieltermine für die vollständige Migration und für die Migration kritischer Geschäftsprozesse festgelegt