Quadro normativo
La crittografia resistente ai computer quantistici non è ancora un obbligo, ma il calendario europeo è scritto. E le regole in vigore chiedono già di cifrare bene i collegamenti.
NIS2 e DORA chiedono già la crittografia
Le regole in vigore non indicano algoritmi. Chiedono di cifrare i dati scambiati, di gestire le chiavi e di tenere la crittografia allo stato dell’arte.
2024
NIS2 in Italia
Il decreto legislativo 138/2024 recepisce la direttiva NIS2: fra le misure di sicurezza dei soggetti essenziali e importanti ci sono politiche e procedure sull’uso della crittografia e, dove serve, della cifratura.
2025
DORA, settore finanziario
Dal 17 gennaio 2025 il regolamento DORA e le sue norme tecniche chiedono regole di cifratura per i dati in transito, la gestione delle chiavi per tutta la loro vita e l’aggiornamento della crittografia quando la crittoanalisi avanza.
2026
ACN, linee guida TLS
Da maggio 2026 l’Agenzia per la cybersicurezza nazionale raccomanda per il TLS lo scambio di chiavi ibrido X25519 più ML-KEM-768, contro chi registra oggi per decifrare domani.
Il calendario europeo dei nuovi algoritmi
Sono tempi di riferimento: la Commissione europea li indica agli Stati membri, il NIST ai sistemi federali degli Stati Uniti.
2024
NIST
Pubblicati i primi standard resistenti ai computer quantistici: FIPS 203 per le chiavi e FIPS 204 per le firme.
2024
Raccomandazione UE
La Commissione chiede agli Stati membri una tabella di marcia coordinata per il passaggio ai nuovi algoritmi.
Fine 2026
Unione europea
Gli Stati membri avviano la transizione e preparano i primi piani nazionali.
Fine 2030
Unione europea
Passano ai nuovi algoritmi gli usi ad alto rischio, come i dati da tenere riservati dieci anni o più. Gli apparati in uso oltre il 2030 dovrebbero poterli adottare.
2035
UE e NIST
Traguardo europeo per quanti più sistemi possibile. Per il NIST, RSA e curve ellittiche sono deprecati dopo il 2030 e non più ammessi dopo il 2035.
La raccomandazione e la tabella di marcia europea sono atti non vincolanti, rivolti agli Stati membri.
Solo standard pubbliciIl rischio può essere già qui
La Commissione europea osserva che i dati da tenere riservati a lungo possono essere già a rischio, se oggi non sono protetti in modo adeguato. Per capirlo bastano tre durate.
Fonte: Commissione europea ↗Le tre durate
-
Per quanto tempo il dato deve restare riservato
Per molti dati, a lungo
-
Quanto tempo richiede il passaggio ai nuovi algoritmi
Da pianificare per tempo
-
Quando arriverà il Q-Day
Non si sa
Se la prima durata più la seconda supera la terza, il rischio è già presente.
Schema illustrativo: le lunghezze non indicano valori.
Impianti che restano in servizio per decenni
Reti, impianti e sistemi di controllo durano decenni e non si sostituiscono in blocco. Per questo il passaggio si pianifica prima delle date di riferimento, un collegamento alla volta.
Le date di riferimento, rispetto alla vita utile dei sistemi
- 2024 Standard NIST e Raccomandazione UE
- 2026 Avvio negli Stati membri
- 2030 Usi ad alto rischio
- 2035 Quanti più sistemi possibile
Infrastrutture critiche in esercizio: decenni. Schema illustrativo. Date di riferimento: Commissione europea e NIST.
ContattaciContattaci
Bastano due righe sul tuo contesto: ti ricontattiamo per un primo incontro.
Grazie.
Abbiamo ricevuto la tua richiesta.
Ti ricontattiamo per un primo incontro.
Il modulo usa JavaScript. Puoi scriverci direttamente a info@crystallis.eu