Kvantno računarstvo i sigurnost podataka: koja se pravna pravila primjenjuju?

Nijedan holandski ili evropski zakon ne reguliše kvantno računarstvo kao takvo. Ono što se primjenjuje jeste postojeći zakon o sigurnosti informacija, a on postavlja jedno konkretno pitanje: hoće li sigurnosne mjere koje se danas preduzimaju i dalje biti adekvatne kada se podaci šifrirani sada mogu kasnije dešifrirati? Glavni izuzetak je kontrola izvoza i provjera investicija, koji sadrže specifična pravila za kvantnu tehnologiju.

Tri obaveze su već na snazi. Član 32. Opće uredbe o zaštiti podataka (GDPR, na holandskom AVG ) zahtijeva sigurnosne mjere koje uzimaju u obzir najnovija dostignuća tehnike. To je promjenjivi standard, a ne fiksni, i obuhvata i podatke koji moraju ostati povjerljivi godinama, kao što su medicinski kartoni, lični dosijei i pravne arhive. Holandski Zakon o kibernetičkoj sigurnosti ( Cyberbeveiligingswet ), koji implementira EU NIS2 Direktivu, zahtijeva od organizacija u određenim bitnim i važnim sektorima da upravljaju rizicima za svoje mreže i informacione sisteme i čini upravljačko tijelo odgovornim za odobravanje tih mjera. Za finansijske subjekte, Zakon o digitalnoj operativnoj otpornosti (DORA, Uredba (EU) 2022/2554) dodaje vlastite zahtjeve o kriptografskim kontrolama i riziku trećih strana.

Praktični rizik nije da neko danas dešifrira vaš saobraćaj. Radi se o tome da se šifrirani podaci presreću i pohranjuju sada, da bi se dešifrirali kada se za to uspostavi mogućnost. Za podatke s dugim periodom povjerljivosti, to čini migraciju na postkvantnu kriptografiju sadašnjim zadatkom, a ne budućim projektom. Međunarodni standardi za ove algoritme su objavljeni i usvajaju se.

Kvantna tehnologija također uvodi kontrolu izvoza i provjeru investicija. Određeni kvantni artikli su roba dvojne namjene prema evropskim pravilima kontrole izvoza, a investicije u holandske kompanije aktivne u kvantnoj tehnologiji mogu biti predmet sigurnosne provjere.

Zašto kvantno računarstvo pokreće pravna pitanja o sigurnosti podataka?

Zato što bi dovoljno moćan kvantni računar mogao probiti enkripciju na kojoj se oslanja veliki dio današnje zaštite podataka. Zakon ne imenuje kvantno računarstvo, ali zahtijeva sigurnost koja odgovara rizicima.

Ista moć stvara sigurnosni problem. Šifriranje javnim ključem koje štiti veliki dio naše digitalne komunikacije, od online bankarstva do digitalnih potpisa, oslanja se na matematičke probleme koje obični računari ne mogu riješiti u bilo kojem praktičnom vremenu. Dovoljno veliki i stabilni kvantni računar mogao bi riješiti neke od tih problema. Kada će takav računar postojati je neizvjesno, ali vlade i sigurnosne službe ozbiljno shvataju rizik.

Šta je ključni pravni izazov?

Izazov je zaštititi osjetljive podatke od budućih prijetnji pravnim alatima koji danas postoje. Ti alati su otvoreni standardi kao što su „najsavremenije tehnologije“ i „odgovarajuće mjere“.

Svaki pravni pristup mora se pozabaviti brojnim pitanjima:

• Zaštita postojećih podataka: Napadači mogu prikupljati šifrirane podatke već danas i pohranjivati ​​ih dok ih ne budu mogli dešifrirati. To se naziva 'prikupi sada, dešifriraj kasnije'.
• Novi standardi: Organizacije moraju preći na postkvantnu kriptografiju (PQC), nove metode šifriranja dizajnirane da odole napadima i običnih i kvantnih računara.
• Odgovornost: Ako dođe do kršenja podataka zbog zastarjele enkripcije, pitanje je ko je odgovoran: organizacija, njen dobavljač ili oboje.
• Inovacija: Pravila ne smiju nepotrebno ometati istraživanje i upotrebu kvantne tehnologije.

Kako kvantno računarstvo ugrožava modernu enkripciju?

Kvantni računari mogu efikasno riješiti matematičke probleme na kojima se zasniva šifriranje javnim ključem. Simetrično šifriranje, kao što je AES s dugim ključevima, smatra se mnogo manje ranjivim.

Zašto je kriptografija s javnim ključem ranjiva?

Kriptografija s javnim ključem oslanja se na probleme poput faktorizacije vrlo velikih brojeva. Kvantni računar bi mogao riješiti te probleme u vrlo kratkom vremenu.

Ovaj sistem je osnova sigurnih web stranica (HTTPS), VPN veza, šifriranja e-pošte i digitalnih potpisa. Njegova snaga leži u težini određenih matematičkih problema, kao što su faktorizacija vrlo velikih brojeva u proste brojeve ili problem diskretnog logaritma. Za običan računar, rješavanje ovih problema za veličine ključeva koji se koriste trajalo bi nepraktično dugo.

Dovoljno moćan kvantni računar mogao bi efikasno riješiti ove probleme. Simetrična enkripcija, poput AES-a, pogođena je u manjoj mjeri: duži ključevi, poput AES-256, općenito se smatraju adekvatnim. Pravni okvir za sigurnost podataka stoga se mora uglavnom fokusirati na sisteme s javnim ključem.

Šta je Shorov algoritam?

Shorov algoritam, objavljen 1994. godine, je kvantni algoritam koji može efikasno faktorizirati velike brojeve. Na velikom, stabilnom kvantnom računaru bi probio najčešće korištene sisteme javnog ključa, kao što su RSA i kriptografija eliptične krive.

Šta je prijetnja 'požnjeti sada, dešifrirati kasnije'?

Napadači mogu prikupljati šifrirane podatke danas i dešifrirati ih kasnije, kada kvantni računari postanu dovoljno moćni. Podaci koji moraju ostati povjerljivi dugi niz godina su stoga već u opasnosti.

Ovo uglavnom ugrožava informacije koje moraju ostati povjerljive duži vremenski period, kao što su:

• Državne i odbrambene tajne sa periodima povjerljivosti od više decenija.
• Intelektualno vlasništvo kompanija, kao što su poslovne tajne i istraživački podaci.
• Osjetljivi lični podaci, kao što su medicinski i biometrijski podaci.
• Finansijski i pravni zapisi koji se moraju čuvati na sigurnom iz pravnih i regulatornih razloga.

Kako se Holandija priprema za kvantnu tehnologiju?

Holandija investira u kvantnu tehnologiju putem nacionalnog programa i objavila je praktične smjernice za prelazak na postkvantnu kriptografiju. Specifično holandsko zakonodavstvo o kvantnom računarstvu ne postoji.

Nacionalni program Quantum Delta NL okuplja vladu, univerzitete i kompanije. Nadovezuje se na Nacionalnu agendu za kvantnu tehnologiju iz 2019. godine i dobija finansiranje, između ostalog, od Nacionalnog fonda za rast ( Nationaal Groeifonds ). Program obuhvata kvantno računarstvo, kvantne mreže i kvantno očitavanje, te obraća pažnju na društvene i etičke aspekte tehnologije. Ovo su politički izbori, a ne zakonska pravila koja obavezuju kompanije.

Šta se radi po pitanju postkvantne kriptografije?

Holandska vlada je objavila priručnik za migraciju PQC-a, a organizacijama se savjetuje da odmah počnu s pripremama. Tranzicija traje godinama, tako da čekanje povećava rizik.

Opća obavještajna i sigurnosna služba (AIVD), istraživačka organizacija TNO i Centrum Wiskunde & Informatica (CWI) objavili su 2023. godine priručnik za migraciju na PQC. On organizacijama pruža praktične korake za pripremu za tranziciju, počevši s popisom kriptografije koju koriste.

Poruka je da prelazak na PQC nije daleki, teoretski problem, već zadatak koji organizacije moraju planirati sada jer traje godinama. To se uklapa u Evropsku NIS2 direktivu, koja zahtijeva više standarde kibernetičke sigurnosti za bitne i važne subjekte, a koja je u Holandiji implementirana Zakonom o kibernetičkoj sigurnosti. Organizacije koje spadaju pod taj zakon moraju procijeniti svoje rizike, uključujući rizike za svoju kriptografiju.

Koja evropska pravila oblikuju sigurnost kvantnih podataka?

GDPR, NIS2 direktiva, DORA i Zakon o kibernetičkoj otpornosti zahtijevaju sigurnost koja odgovara rizicima i najsavremenijim dostignućima. Zajedno s planom EU za PQC, oni potiču organizacije prema kvantno sigurnom šifriranju.

Kako se GDPR primjenjuje u kvantnom svijetu?

GDPR ne spominje kvantno računarstvo, ali je tehnološki neutralno. Obaveza preduzimanja odgovarajućih sigurnosnih mjera koje odražavaju najsavremenije tehnologije također pokriva kvantni rizik.

Dvije odredbe su ključne. Član 25. GDPR-a zahtijeva zaštitu podataka po dizajnu i po zadanim postavkama : organizacije moraju od samog početka ugraditi tehničke mjere zaštite ličnih podataka u nove procese. Član 32. GDPR-a zahtijeva odgovarajuće tehničke i organizacijske mjere, uzimajući u obzir najsavremenije tehnologije, troškove i rizike. Kako postkvantni standardi sazrijevaju, „najsavremenije tehnologije“ će sve više značiti korištenje kvantno sigurne enkripcije za lične podatke koji moraju ostati povjerljivi dugo vremena. Organizacija koja ne planira ovu tranziciju riskira da se njena sigurnost više neće smatrati adekvatnom. Pročitajte više o ovim principima u našem vodiču kroz Opću uredbu o zaštiti podataka.

Ako nedovoljna sigurnost dovede do kršenja podataka, organizacija će možda morati to prijaviti holandskoj agenciji za zaštitu podataka u roku od 72 sata (član 33. GDPR-a). Tijelo može izreći kazne do 20 miliona eura ili 4% svjetskog godišnjeg prometa, a pogođene osobe mogu tražiti odštetu prema članu 82. GDPR-a.

Koja nova pravila EU podstiču organizacije ka kvantnoj spremnosti?

Direktiva NIS2, DORA i Zakon o kibernetičkoj otpornosti nameću šire dužnosti u oblasti kibernetičke sigurnosti. Nijedan od njih ne propisuje specifične kvantno sigurne algoritme, ali svi zahtijevaju sigurnost zasnovanu na riziku koja uzima u obzir najsavremenije tehnologije.

Pored GDPR-a, tri instrumenta EU jačaju obaveze u oblasti sajber sigurnosti bez imenovanja standarda kvantne sigurnosti:

• Zakon o kibernetičkoj otpornosti (CRA, Uredba (EU) 2024/2847): Ova uredba postavlja zahtjeve za kibernetičku sigurnost za proizvode s digitalnim elementima, kao što su povezani uređaji i softver. Proizvođači moraju ugraditi sigurnost u svoje proizvode i upravljati ranjivostima. Obaveze izvještavanja primjenjuju se od 11. septembra 2026. godine, a većina ostalih obaveza od 11. decembra 2027. godine. CRA ne propisuje kvantno sigurnu enkripciju, ali zahtijeva sigurnost primjerenu rizicima.
• Direktiva NIS2: Ova direktiva proširuje dužnosti kibernetičke sigurnosti na širok spektar bitnih i važnih subjekata, kao što su energetika, zdravstvo i digitalna infrastruktura. Zahtijeva upravljanje rizicima, uključujući politike o kriptografiji i šifriranju (Član 21), te prijavljivanje značajnih incidenata. U Nizozemskoj se provodi Zakonom o kibernetičkoj sigurnosti.
• DORA: Od 17. januara 2025. godine, finansijski subjekti moraju imati okvir za upravljanje IKT rizicima koji uključuje politike o šifriranju i kriptografskim kontrolama, te moraju upravljati rizicima svojih IKT dobavljača.

Ova pravila pokazuju jasan smjer. Prelazak na kvantno sigurno šifriranje još nije eksplicitni zakonski zahtjev, ali za organizacije s dugoročnim povjerljivim podacima to sve više proizlazi iz opće dužnosti poduzimanja odgovarajućih, najsavremenijih mjera.

Kako se trenutni i očekivani standardi usklađenosti porede?

Tabela upoređuje trenutni pristup sa onim što se vjerovatno očekuje nakon uspostavljanja postkvantnih standarda. Desna kolona opisuje očekivani razvoj događaja, a ne važeći zakon.

Kakav je evropski pristup kvantno sigurnoj sigurnosti?

EU koordinira prelazak na PQC Preporukom Komisije od 11. aprila 2024. i planom iz juna 2025. Cilj plana je zaštita visokorizičnih sistema najkasnije do 2030. godine.

Kako bi se spriječio fragmentiran pristup, EU radi na koordiniranoj tranziciji. Dana 11. aprila 2024. godine, Evropska komisija je usvojila Preporuku o koordiniranoj implementacijskoj mapi puta za prelazak na postkvantnu kriptografiju. Na toj osnovi, države članice, uz podršku Komisije, objavile su mapu puta 23. juna 2025. godine. Ona predviđa da države članice započnu tranziciju do kraja 2026. godine, da se visokorizični sistemi, poput kritične infrastrukture, zaštite PQC-om najkasnije do kraja 2030. godine i da se što više sistema, koliko je to praktično izvodljivo, primjeni do 2035. godine.

Plan je politička obaveza, a ne obavezujući zakon. Ali pokazuje šta će regulatori i nadzorna tijela očekivati ​​i vjerovatno će uticati na to kako se tumače otvoreni standardi u GDPR-u, NIS2 i DORA-i.

U julu 2025. godine, Komisija je također usvojila Strategiju za kvantnu Evropu, a njen program rada za 2026. godinu najavljuje zakonodavni prijedlog za Kvantni zakon. U vrijeme pisanja ovog teksta, takav zakon nije zakon EU; provjerite trenutni status prije nego što se na njega oslonite.

Kako se pripremate za usklađenost s kvantno sigurnim propisima?

Počnite s popisom vaše kriptografije, zatim procijenite koji su podaci i sistemi najviše ugroženi i migrirajte u fazama. Cilj je kriptoagilnost: mogućnost brze zamjene algoritama.

Cilj je kriptoagilnost : sposobnost brze zamjene kriptografskih metoda kada se pojave nove prijetnje ili standardi. Proces počinje jednim pitanjem: gdje ste najranjiviji? Koristite zahtjeve GDPR-a i, gdje je primjenjivo, NIS2 i DORA kao svoj okvir.

Faza 1: kako napraviti kriptografski inventar?

Mapirate svu kriptografiju koju vaša organizacija koristi, uključujući i kriptografiju u softveru i uređajima dobavljača. Bez tog pregleda ne možete postaviti prioritete.

Pogledajte dalje od svojih glavnih servera. Inventar bi trebao pokriti:

• Podaci u tranzitu: Kako su osigurane vaše e-mail, VPN i cloud veze?
• Podaci u mirovanju: Koja enkripcija štiti vaše baze podataka, sigurnosne kopije i laptope?
• Ugrađeni sistemi: kriptografija u softveru trećih strana, povezanim uređajima i mrežnoj opremi.
• Naslijeđeni sistemi: Stare aplikacije često sadrže zastarjelu i ranjivu enkripciju.

Također provjerite svoje ugovore. Sporazumi s IT dobavljačima i pružateljima usluga u oblaku trebali bi ih obvezati da pruže informacije o kriptografiji koju koriste, da podrže ažuriranja i da surađuju pri migraciji. Prema članu 28. GDPR-a, obrađivač također mora ponuditi dovoljne garancije za odgovarajuću sigurnost.

Faza 2: kako procjenjujete rizike i postavljate prioritete?

Procijenite svoje sisteme prema osjetljivosti podataka i koliko dugo moraju ostati povjerljivi. Podaci koji moraju biti zaštićeni duže od deset godina su na prvom mjestu.

Koristite ova pitanja da biste odredili prioritete:

1. Koji podaci moraju ostati povjerljivi duže od deset godina? Razmislite o intelektualnom vlasništvu, dugoročnim finansijskim zapisima i osjetljivim ličnim podacima. Ovo je glavna meta napada tipa "prikupi sada, dešifriraj kasnije".
2. Koji su sistemi najizloženiji vanjskim prijetnjama? Javno dostupne aplikacije i protokoli za prijenos podataka su u prvom planu.
3. Koje su vaše zakonske i ugovorne obaveze? GDPR, sektorska pravila i ugovori s klijentima određuju koji nivo sigurnosti morate ispuniti za određene podatke i koliko dugo ih morate čuvati.

Faza 3: kako preći na postkvantnu kriptografiju?

Ranjive algoritme zamjenjujete u fazama, počevši od onih s najvećim rizikom, i pažljivo ih testirate. Gdje je to moguće, kombinujte klasične i postkvantne metode tokom tranzicije.

S jasnim prioritetima, možete započeti faznu migraciju na postkvantnu kriptografiju (PQC) . Ovo nije jednostavna zamjena. Zahtijeva planiranje, testiranje i pažljivu implementaciju, kako se poslovne operacije ne bi poremetile. Uobičajeni pristup tokom tranzicije je hibridno rješenje u kojem se klasične i postkvantne metode koriste zajedno.

Zabilježite svoje izbore, procjenu rizika i planiranje. Ako regulator ili sud kasnije pitaju da li je vaša sigurnost bila adekvatna, ta dokumentacija služi kao vaš dokaz.

Koja pravna pitanja ostaju otvorena?

Pored šifriranja, kvantna tehnologija postavlja pitanja o odgovornosti, intelektualnom vlasništvu, privatnosti i kontroli izvoza. Na neka od njih se može odgovoriti prema postojećem zakonu; druga će biti u nadležnosti sudova i zakonodavca.

Jedno od glavnih pitanja je odgovornost. Ako kompanija pretrpi povredu podataka jer je njena enkripcija bila zastarjela, ko je odgovoran? Prema holandskom zakonu, odgovor počinje s postojećim pravilima. Prema osobama čiji su podaci pogođeni, organizacija je odgovorna prema GDPR-u i možda će morati platiti odštetu (Član 82 GDPR-a). Prema klijentima, može biti odgovorna za neizvršenje ugovora (Član 6:74 holandskog Građanskog zakonika). Da li može nadoknaditi štetu od dobavljača softvera koji nije obezbijedio kvantno sigurna ažuriranja zavisi od ugovora i od toga šta se razumno moglo očekivati ​​u to vrijeme. Sudovi će morati utvrditi kako se „najsavremenije tehnologije“ razvija tokom vremena.

Ko je vlasnik izuma napravljenih kvantnim računarima?

Prema važećem zakonu o patentima, samo fizička osoba može biti imenovana izumiteljem. Izum razvijen uz pomoć kvantnog računara može biti patentiran, ali izumitelj mora biti čovjek.

Kvantni računari mogu pomoći u dizajniranju molekula, materijala i algoritama koji se danas ne mogu dizajnirati. To postavlja pitanje ko je vlasnik takvih izuma. Odbor za žalbe Evropskog patentnog zavoda je 2021. godine (predmet J 8/20) odlučio da izumitelj imenovan u patentnoj prijavi mora biti fizička osoba, a ne mašina. Izumi napravljeni računarskim alatima i dalje se mogu patentirati, a čovjek koji je vodio rad bit će izumitelj. Ugovori bi trebali jasno navesti ko je vlasnik rezultata stvorenih uslugama kvantnog računarstva, posebno kada koristite računarski kapacitet treće strane.

Kvantno računarstvo može također povećati sposobnost analize velikih količina podataka. Principi GDPR-a o ograničenju svrhe, minimizaciji podataka i proporcionalnosti u potpunosti se primjenjuju na takve analize, a procjena utjecaja na zaštitu podataka (Član 35 GDPR-a) potrebna je tamo gdje je vjerojatno da će obrada rezultirati visokim rizikom za pojedince.

Koja pravila izvoza i ulaganja se primjenjuju na kvantnu tehnologiju?

Određeni kvantni artikli su roba dvojne namjene prema pravilima EU o kontroli izvoza. Ulaganja u holandske kompanije aktivne u kvantnoj tehnologiji mogu biti predmet sigurnosne provjere u skladu sa Wet Vifo procedurom.

Kvantna tehnologija je strateški osjetljiva. Uredba EU o robi s dvojnom namjenom (Uredba (EU) 2021/821) i nacionalne mjere mogu zahtijevati dozvolu za izvoz određenih kvantnih računara, komponenti i srodnog softvera i tehnologije. Liste se redovno mijenjaju, stoga provjerite trenutnu verziju prije nego što izvezete ili podijelite tehnologiju sa stranama izvan EU.

U Holandiji se Zakon o sigurnosnoj provjeri investicija, spajanja i akvizicija ( Wet veiligheidstoets investeringen, fusies en overnames , Wet Vifo) primjenjuje od 1. juna 2023. godine. Akvizicije i određena ulaganja u kompanije koje se bave osjetljivom tehnologijom, što može uključivati ​​kvantne artikle na listama robe dvojne namjene, moraju se prijaviti Birou za provjeru investicija ( Bureau Toetsing Investeringen , BTI) i ne smiju se završiti prije odobrenja. Start-up kompanije i investitori u kvantnu tehnologiju stoga bi trebali u ranoj fazi provjeriti da li transakcija podliježe obavještavanju.

Šta biste trebali provjeriti kao organizacija koja posjeduje osjetljive podatke?

Prema Članu 32 GDPR-a i, gdje se primjenjuje, Zakona o kibernetičkoj sigurnosti, ostajete odgovorni za sigurnost svojih podataka, čak i kada dobavljači upravljaju vašim sistemima. Provjerite ove tačke:

• Identifikujte podatke koji moraju ostati povjerljivi duže od deset godina, kao što su lični dosijei, medicinski podaci i poslovne tajne.
• Provjerite da li vaša organizacija potpada pod Zakon o kibernetičkoj sigurnosti ili DORA, i da li je upravljačko tijelo odobrilo mjere rizika.
• Pismeno pitajte svoje IT i cloud dobavljače koju kriptografiju koriste i kada će podržavati postkvantne metode.
• Provjerite da li vaši ugovori o obradi podataka prema članu 28. GDPR-a obavezuju obrađivače da ažuriraju svoje sigurnosne mjere prema najnovijim dostignućima tehnologije.
• Zabilježite svoj inventar, procjenu rizika i planiranje migracije kako biste mogli pokazati regulatoru ili sudu šta ste uradili.

Šta biste trebali provjeriti kao dobavljač softvera ili uređaja?

Vaši klijenti će vam ugovorom prenijeti svoje sigurnosne dužnosti, a Zakon o kibernetičkoj otpornosti dodaje direktne dužnosti u vezi s proizvodom od 11. septembra 2026. Provjerite ove tačke:

• Provjerite da li vaši proizvodi s digitalnim elementima spadaju pod CRA i koje obaveze se primjenjuju od 11. septembra 2026. i 11. decembra 2027.
• Pregledajte klauzule o sigurnosti, ažuriranju i odgovornosti u ugovorima i općim uvjetima s klijentima.
• Definišite period podrške tokom kojeg isporučujete sigurnosna ažuriranja, uključujući kriptografska ažuriranja.
• Provjerite da li vaš kvantni hardver, softver ili tehnologija zahtijeva izvoznu dozvolu prema Uredbi (EU) 2021/821.
• Provjerite da li se investicija u vašu kompaniju mora prijaviti BTI-ju u okviru Wet Vifo sistema.

Šta možemo učiniti za vas u vezi sa sigurnošću podataka vezanom za kvantnu tehnologiju?

Naši IT advokati savjetuju preduzeća o zaštiti podataka, obavezama u oblasti sajber sigurnosti i ugovorima sa IT dobavljačima:

• Procjenjujemo da li vaša organizacija potpada pod Zakon o sajber sigurnosti, DORA ili CRA, i šta to od vas zahtijeva.
• Pregledavamo i izrađujemo klauzule o sigurnosti, ažuriranju i odgovornosti u IT, cloud i ugovorima o obradi podataka.
• Pomažemo vam da dokumentujete svoju procjenu rizika i plan migracije kako bi bio prihvatljiv za regulatora.
• Savjetujemo o obavještavanju o povredi podataka holandskoj Agenciji za zaštitu podataka u roku od 72 sata.
• Provjeravamo da li se transakcija mora prijaviti u skladu sa Wet Vifo zakonom ili je za izvoz potrebna dozvola.

rezime

• Nijedan zakon ne reguliše kvantno računarstvo kao takvo; GDPR, Zakon o sajber sigurnosti (NIS2) i DORA zahtijevaju sigurnost koja odgovara najsavremenijim dostignućima i rizicima.
• 'Prikupi sada, dešifriraj kasnije' znači da su podaci s dugim periodom povjerljivosti već u opasnosti.
• Prema planu EU iz juna 2025. godine, visokorizični sistemi će koristiti postkvantnu kriptografiju najkasnije do kraja 2030. godine; to je politička obaveza, a ne obavezujući zakon.
• Započnite s kriptografskim inventarom, odredite prioritete prema osjetljivosti i periodu zadržavanja, te migrirajte u fazama s kriptoagilnošću kao ciljem.
• Kvantna tehnologija također podliježe kontroli izvoza, a za investicije u holandske kompanije moguće je i provjeri u okviru Wet Vifo postupka.

Često Postavljena Pitanja