Vaš nemški naročnik se pripravlja na postkvantno prihodnost. Vi tudi?

Izdaja 01 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstvo slovenskih podjetij, ki dobavljajo nemškim naročnikom, tudi kadar ne prodajajo informacijskih rešitev.

Izdelujete orodja, ulitke, elektroniko ali opravljate storitve. Programske opreme ne prodajate. Zakaj bi vas torej zanimal evropski načrt za prehod na postkvantno kriptografijo? Ker vsak dan prejemate nemške risbe, pošiljate dobavnice in se morda prek VPN povezujete na naročnikove stroje. Na drugem koncu vseh teh povezav ste vi.

O čem pišemo: zakaj evropski prehod na postkvantno kriptografijo zadeva tudi slovenska podjetja, ki z informacijsko tehnologijo nimajo poslovnega opravka. Česa ne obravnavamo: posameznih algoritmov, pogodb in tega, katero podjetje je zakonski zavezanec. Ti vprašanji dobita svoje izdaje.

V tem članku: Kaj se je zgodilo junija · Kaj je vaše in kaj ne · Primer · Kaj to pomeni za vodstvo · Prvi koraki · Vprašanje za nemškega naročnika · Priloga: 12 vprašanj

Kvantni računalniki so dolgo veljali za temo raziskovalnih laboratorijev in poljudnih predavanj, po katerih je bil vsak malo bolj zmeden kot pred njimi. Da bi lahko zlomili danes razširjeno kriptografijo z javnimi ključi (RSA in postopke na eliptičnih krivuljah), je znano že od leta 1994. Prav s temi postopki se povezave dogovarjajo o ključih, z njimi se podpisujejo programi, dokumenti in digitalna potrdila. Novost ni nevarnost. Novost je, da obstajajo nadomestni postopki in časovnica.

• Standardi so tu. Ameriški inštitut NIST je avgusta 2024 objavil prve tri standarde postkvantne kriptografije (PQC): ML-KEM za dogovor o ključih ter ML-DSA in SLH-DSA za digitalne podpise.
• Evropa ima načrt. Države članice EU so 23. junija 2025 ob podpori Evropske komisije objavile usklajeni načrt prehoda na postkvantno kriptografijo. Do konca leta 2026 naj bi stekli prvi koraki in nastali nacionalni načrti, do konca leta 2030 naj bo prehod končan za primere uporabe z visokim tveganjem, do konca leta 2035 za tiste s srednjim.
• Dobavna veriga je v načrtu izrecno omenjena. Med prvimi koraki: popisati odvisnosti, tudi od tretjih oseb, in začeti pogovor z dobavitelji izdelkov in storitev, ker je prehod odvisen od njih.

Zadnja točka je razlog, da to berete. Vaš nemški naročnik bo v prihodnjih letih popisoval svoje povezave z zunanjimi partnerji. Na seznamu boste vi.

Pomembno razlikovanje, ki ga bomo v seriji dosledno upoštevali: evropski načrt ni zakon za vaše podjetje. Je priporočilo državam članicam, kaj naj zajamejo nacionalni načrti. Ločeno od njega v Sloveniji od 19. junija 2025 velja novi Zakon o informacijski varnosti (ZInfV-1), ki prenaša direktivo NIS 2 in med ukrepi za obvladovanje tveganj navaja tudi uporabo kriptografije. Ali ste zavezanec po tem zakonu, je posebno vprašanje. Tudi če niste, vaš naročnik morda je, ali pa ima svoje zahteve. Če imate te tedne polne roke z novim zakonom, ta serija ne prinaša še ene obveznosti. Popis povezav in odgovornosti, ki ga opisuje, je delo, ki ga potrebujete tudi za ZInfV-1.

Kako nujno je vse skupaj, je odvisno od ocene, ki je nihče ne more natančno postaviti. Študija, ki jo je naročil nemški zvezni urad za informacijsko varnost (BSI), ocenjuje, da je kvantni računalnik, ki bi zlomil današnjo kriptografijo, verjeten v največ 16 letih, torej do leta 2040 ali prej. Danes ni dokazov, da tak računalnik že obstaja. Kljub temu sta pomembna dva scenarija:

1. Shrani danes, dešifriraj kasneje. Kdor danes prestreže in shrani šifriran promet, ga bo prebral, ko bo računalnik na voljo. To zadeva podatke, ki morajo dolgo ostati zaupni.
2. Dolg prehod. Zapleteni sistemi, infrastrukture javnih ključev in naprave z dolgo življenjsko dobo potrebujejo leta. Kdor začne prepozno, ne bo pravočasno končal.

Ena napačnih predstav je, da bo vse uredil naročnik. Druga, da bo vse uredil vaš IT-izvajalec. Obe sta nevarni, ker vsaka ustvari prazen prostor, za katerega ni odgovoren nihče.

Druga in tretja vrstica sta brez izgovora vaši. Nemški naročnik ne more vedeti, s katerim usmerjevalnikom se njegov VPN konča v vaši hali, kdo vzdržuje vaš strežnik SFTP in ali vaš ERP podpisuje elektronske račune. Teh odgovorov vam nihče od zunaj ne more dati. Naročnik jih bo prej ali slej vprašal vas.

Vzemimo orodjarno, kakršnih je med slovenskimi dobavitelji veliko: petdeset zaposlenih, orodja za brizganje plastike za nemškega dobavitelja avtomobilske industrije. Programske opreme ne razvija. Pa vendar:

1. Risbe in 3D-modeli prihajajo prek naročnikovega portala, do katerega dostopate z brskalnikom.
2. Naročila in dobavnice tečejo prek EDI. Povezavo je pred leti nastavil zunanji izvajalec.
3. Oddaljeni dostop: vaš tehnik se prek VPN povezuje na stroje pri naročniku, ko je treba prilagoditi parametre orodja.
4. Elektronski računi so podpisani s kvalificiranim potrdilom.

Nobena od teh povezav ni »vaš IT-projekt«, vse pa uporabljajo kriptografijo z javnimi ključi. Ko bo naročnik začel popisovati svoje povezave z dobavitelji, bo pri vsaki vprašal isto: kaj je na vaši strani, kdo to upravlja in ali se da spremeniti.

Če odgovor na tretje vprašanje pri VPN-usmerjevalniku, ki že tri leta nima posodobitev in ga v podjetju vsi poznajo predvsem po tem, da se ga ne sme izklopiti, glasi »ne vemo«, to danes še ni problem. Leta 2029 pa bo.

Postkvantna kriptografija ni projekt, ki bi ga lahko predali IT-oddelku in nanj pozabili. Za vodstvo dobavitelja pomeni troje:

• Pripravljenost bo merilo. Ne danes in ne nujno kot zakonska zahteva, vendar je povsem verjetno, da bodo nemški naročniki pri obnovi okvirnih pogodb spraševali, kako daleč ste. To je naša ocena, ne zapisana zahteva.
• Odgovor zahteva znanje o lastnem podjetju. Kdor ve, kje ima kriptografijo in kdo jo upravlja, bo odgovoril hitro. Kdor ne ve, bo moral to najprej ugotoviti, morda s svetovalcem.
• Nakupi danes določajo leto 2030. Usmerjevalnik, stroj s krmilnikom ali poslovna aplikacija, ki jo kupite letos, bo v uporabi še dolgo po letu 2030. Evropski načrt priporoča, da se izdelki s tako življenjsko dobo dajo nadgraditi na PQC. Vprašajte po tem ob nakupu.

Česar ne pomeni: da morate jutri zamenjati opremo. Nihče od vas tega ne pričakuje. Pričakuje se, da veste, kje ste.

1. Določite odgovorno osebo. Nekoga, ki temo drži in ima dostop do vodstva. Rezultat: ime.
2. Popišite povezave z nemškimi naročniki. Portali, EDI, VPN, e-pošta s šifriranjem, podpisani dokumenti. Rezultat: tabela.
3. Za vsako povezavo zapišite, kdo jo upravlja. Vi, izvajalec, naročnik, proizvajalec opreme. Rezultat: stolpec v isti tabeli.
4. Preverite, kaj je zastarelo. Naprave in programi brez posodobitev so prvi kandidati za težave. Rezultat: kratek seznam.
5. Izpolnite samooceno v prilogi. Rezultat: točke in seznam vrzeli.

Ta seznam ni postkvantna migracija. Je pogoj, da bo nekoč lahko stekla brez panike.

Vi ne morete vedeti, kako dolgo mora naročnikova risba ostati skrivnost. On ne more vedeti, kaj je na vaši strani povezave. Zato vprašajte:

„Welche der Daten, die Sie uns übermitteln, müssen länger als zehn Jahre vertraulich bleiben?“

Prevod: Kateri podatki, ki nam jih pošiljate, morajo ostati zaupni več kot deset let?

Zakaj prav to vprašanje? Ker je po evropskem načrtu prav desetletna zaupnost meja, nad katero gre za visoko tveganje. Z odgovorom boste vedeli, katere povezave so nujne in katere počakajo. Hkrati boste naročniku pokazali, da razumete, o čem govori, še preden je on začel govoriti.

Nemška izdaja te serije se obrača na naročnike: „Quantenrisiken in der Lieferkette: Warum deutsche Auftraggeber jetzt handeln müssen“ (v nemščini).

Prva samoocena za vaše podjetje. Ne nadomešča presoje, pokaže pa, kje se delo začne. Vprašanja so v obeh jezikovnih različicah te izdaje vsebinsko enaka, da lahko naročnik in dobavitelj rezultate primerjata.

Ocena za vsako vprašanje: 0 = ne ali ne vemo · 1 = delno ali brez dokazila · 2 = da, z dokazilom

Vrednotenje:

• 0–8 točk: ste na začetku. Začnite z vprašanji 2, 3 in 6: stanejo malo in omogočijo vse ostalo.
• 9–16 točk: temelji so delno postavljeni. Če so vrzeli pri vprašanjih 3, 4 in 9, manjka znanje o tem, kje kriptografija sploh je. Tam začnite.
• 17–24 točk: z naročnikom lahko načrtujete enakovredno. Preverite, ali vaše »2« zdrži pogled od zunaj.

Opomba: visoko število točk ne pomeni, da so vaši sistemi kvantno varni. Pomeni, da veste, kaj je treba narediti in kdo to lahko naredi.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (4. 8. 2025): »Kako dolgo morajo vaši podatki ostati skrivnost?«

Viri (stanje 7. 7. 2025): NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1, objavljena 23. 6. 2025; NIST FIPS 203, 204, 205 (avgust 2024); BSI, »Status of quantum computer development«, različica 2.1 (2024); Zakon o informacijski varnosti (ZInfV-1), Uradni list RS, št. 40/2025.

Če želite svoje povezave z nemškimi naročniki enkrat pregledati skupaj z nekom od zunaj, nam pišite.