Naročnik zahteva postkvantno varnost. Kaj ga morate najprej vprašati?

Izdaja 06 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstvo dobaviteljev, prodajo in IT-izvajalce, ki morajo na takšno zahtevo pripraviti ponudbo.

V nabiralniku je pismo nemškega naročnika: „Bitte bestätigen Sie bis zum 31.12., dass Ihre Lösungen quantensicher sind.“ Prosimo, potrdite do 31. 12., da so vaše rešitve kvantno varne. Najlažje bi bilo odgovoriti »ja«. Najdražje tudi.

V tem članku: Kaj pomeni potrditi nedoločeno · Osem vprašanj pred ponudbo · Kaj morate vedeti sami · Primer · Kako sestaviti ponudbo · Česa ne obljubljajte · Kaj, če naročnik ne odgovori · Od vprašanja do dogovora · Vprašanje za naročnika · Priloga: obrazec

»Kvantno varno« ni lastnost, ki jo ima izdelek ali podjetje. Je lastnost posameznega mehanizma, za določen namen, pri določenih predpostavkah. Postkvantni postopki, ki jih je ameriški NIST standardiziral avgusta 2024, so nadomestilo za dogovor o ključih in za digitalne podpise. Ne odpravljajo drugih ranljivosti, ne nadomeščajo posodobitev in ne pomagajo, če je ključ na prenosniku. Kdor potrdi, da je »kvantno varen«, potrjuje nekaj, česar nihče ne zna preveriti.

Pri tem ne tvegate samo ugleda. Potrditev postane zaveza. Ko bo naročnik čez dve leti ugotovil, da povezava z vami uporablja klasični dogovor o ključu, bo v rokah imel vaš podpis.

Takšno pismo ni nujno izraz nezaupanja. Naročnik mora tveganja v svoji dobavni verigi oceniti sam (izdaja 03) in pogosto še ne ve natančno, kaj od vas potrebuje. Prav zato je najbolj strokovni odgovor vprašanje.

1. Kaj točno zajema zahteva? Katere povezave, izdelki, podatkovni tokovi? »Vse rešitve« ni obseg.
2. Kaj je cilj zaščite? Zaupnost, verodostojnost ali oboje? Prenos podatkov ali tudi podpisi na dokumentih in posodobitvah?
3. Kako dolgo mora zaščita veljati? Čas zaupnosti in čas verodostojnosti določata, ali gre po evropskem načrtu za visoko tveganje.
4. Kakšno je ciljno stanje? Kaj naj na koncu velja, opisano kot rezultat? Na primer hibridni dogovor o ključu po stanju tehnike.
5. Kaj je na drugi strani povezave? Kdaj bo naročnik svojo stran pripravil? Brez tega vaša sprememba ne bo delovala.
6. Kakšen je časovni okvir? Do kdaj informacija, do kdaj načrt, do kdaj izvedba?
7. Kakšno dokazilo pričakuje? Izvleček nastavitev, zapis skupnega preizkusa, izjavo proizvajalca?
8. Kdo nosi stroške? Zlasti za del, ki ni posledica vaših obveznosti, ampak naročnikove nove zahteve.

Vsa ta vprašanja so legitimna. Nemški naročnik, ki se je s temo resno ukvarjal, bo na večino odgovoril v nekaj dneh. Tisti, ki se ni, bo ob vprašanjih to šele začel. Oboje je dobro za vas.

Obstaja pa meja. Naročnika lahko vprašate, kaj potrebuje. Ne morete pa ga vprašati, kaj imate vi.

Če na zahtevo odgovorite »povejte nam, katere sisteme imate v mislih in kakšne postopke uporabljamo«, ste naročniku sporočili, da svojega podjetja ne poznate. Kateri postopki ščitijo vaše povezave, kdo jih lahko spremeni in od katerih proizvajalcev ste odvisni, morate vedeti, preden vprašate karkoli. Register iz izdaje 04 in matrika odgovornosti iz izdaje 05 sta prav za ta trenutek.

Razmejitev je preprosta: naročnik pove kaj in do kdaj, vi poveste kako in koliko. Naročnik ne more vedeti vašega »kako«. Vi ne morete ugibati njegovega »kaj«.

Recimo, da štajersko podjetje za nemškega naročnika sestavlja in preizkuša elektronske krmilne enote. Prejema proizvodne podatke in preizkusne programe, vrača poročila o preizkusih in enote z že naloženo vdelano programsko opremo.

Prispe zahteva: »Izvajalec uporablja izključno kvantno varne kriptografske postopke in to letno dokazuje.«

Namesto potrditve podjetje pošlje osem vprašanj. Direktor je ob tem malce nervozno pogledal koledar. Odgovori pridejo v dveh tednih:

• obseg: prenos proizvodnih podatkov in preizkusnih programov ter podpis poročil o preizkusih;
• čas zaupnosti proizvodnih podatkov: več kot deset let; poročila: verodostojnost do konca življenjske dobe naprave;
• ciljno stanje za prenos: hibridni dogovor o ključu; za podpis poročil: najprej samo informacija o možnostih;
• naročnikova stran: njegov strežnik SFTP bo novi postopek podpiral do konca leta 2026;
• dokazilo: zapis skupnega preizkusa;
• stroški: naročnik krije prilagoditev na svoji strani, podjetje pripravi ponudbo za svojo.

Iz nedoločene zahteve sta nastali dve konkretni nalogi z rokom in merilom. Ponudbo je mogoče izračunati.

• Ločite fiksni in odvisni del. Popis in oceno lahko ponudite po fiksni ceni. Izvedba je pogosto odvisna od proizvajalca, ki mora izdati novo različico. Ta del ponudite z zapisanimi predpostavkami.
• Zapišite predpostavke. »Pod pogojem, da proizvajalec programske opreme za preizkuševalnik izda različico s podporo do …« ni izgovor, je informacija.
• Ponudite stopnje. Prvo: informacija in načrt. Drugo: izvedba za povezave z visokim tveganjem. Tretje: ostalo. Naročnik se lahko odloči po korakih.
• Navedite, česa ne pokrivate. Če zahteva zajema tudi naročnikove sisteme ali tuje izdelke, to povejte.

• »Kvantne varnosti« kot splošne lastnosti.
• Rokov, ki so odvisni od proizvajalcev, s katerimi nimate dogovora.
• Brezplačnega usklajevanja z »vsakokratnim stanjem tehnike«, kadar se stanje tehnike spremeni zaradi naročnikovih novih zahtev.
• Popolne migracije vseh sistemov. Evropski načrt sam predvideva prehod po tveganju in do leta 2035, ne naenkrat.

Zavrniti nekaj, česar ne morete izpolniti, ni nesposobnost. Je strokovnost, ki jo nemški naročnik prepozna, ker jo tudi sam pričakuje od svojih dobaviteljev.

Zgodi se, da naročnik na vprašanja ne odgovori, rok za potrditev pa ostane. Takrat ne potrjujte nedoločenega, ampak odgovorite pogojno in natančno. Primer odgovora v nemščini, ki ga lahko prilagodite:

„Für die Verbindungen X und Y setzen wir derzeit folgende Verfahren ein: … Eine Umstellung auf hybride Verfahren planen wir, sobald Ihre Seite sie unterstützt und unser Hersteller die Version … liefert. Für eine verbindliche Zusage benötigen wir Ihre Angaben zu Geltungsbereich und Schutzdauer; unsere Fragen vom … liegen Ihnen vor.“

Prevod: Za povezavi X in Y trenutno uporabljamo naslednje postopke: … Prehod na hibridne postopke načrtujemo, ko jih bo podpirala vaša stran in ko bo naš proizvajalec izdal različico … Za zavezujočo potrditev potrebujemo vaše podatke o obsegu in času zaščite; naša vprašanja z dne … ste že prejeli.

Tak odgovor je pošten, preverljiv in pokaže, da ste svoje delo opravili. Zapišite si datum, ko ste vprašanja poslali. Če bo kdaj prišlo do spora, boste imeli dokaz, da ste želeli zahtevo razumeti, preden ste jo sprejeli.

Obrazec v prilogi je narejen tako, da ga lahko pošljete naročniku. Del A izpolni naročnik, del B vi, del C skupaj. Je dvojezičen, da nihče ne izgublja časa s prevajanjem in da se pojmi ne izgubijo med jezikoma. Ko je izpolnjen, je to osnova za tehnično prilogo k pogodbi.

Če obrazec pošljete, preden vas kdo vpraša, ste naročniku prihranili delo. To si bo zapomnil.

„Damit wir Ihnen ein belastbares Angebot machen können: Für welche Verbindungen und Daten gilt Ihre Anforderung, und welche Schutzdauer setzen Sie an?“

Prevod: Da vam lahko pripravimo utemeljeno ponudbo: za katere povezave in podatke velja vaša zahteva in kakšen čas zaščite predvidevate?

Zakaj tako? Ker zahtevo vzamete resno in jo hkrati prizemljite. Ne zavrnete je in ne potrdite slepo. Izraz belastbares Angebot (utemeljena, vzdržna ponudba) je v nemški nabavi znan in zveni kot to, kar je: ponudba, za katero boste lahko odgovarjali.

Nemška izdaja te teme se obrača na nabavo in informacijsko varnost pri naročnikih: „PQC-Anforderungen an Lieferanten: Ohne Zielvorgaben entsteht nur Bürokratie“ (v nemščini). Prejšnja izdaja: To ureja naš IT-izvajalec. Ali res?

Skupni obrazec za naročnika in dobavitelja, v nemščini in slovenščini (Anforderungsklärung). Za vsako zahtevo en obrazec. Naročnik izpolni del A, dobavitelj del B, del C dogovorita skupaj. V nemški izdaji je enak.

Meja predloge: obrazec razjasni zahtevo, ni pogodba. Kar se dogovorite, nato spada v tehnično prilogo.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (5. 1. 2026): »Kdo sme spremeniti kriptografijo v vašem sistemu?«

Viri (stanje 1. 12. 2025): NIST FIPS 203, 204, 205 (avgust 2024); NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025), poglavji 4 in 6.

Če ste prejeli zahtevo, ki je ne znate umestiti, jo lahko pregledamo skupaj.