Postkvantna migracija bo stala. Nepripravljenost lahko stane več.

Izdaja 12 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstva podjetij in zunanje IT-izvajalce, ki morajo prehod načrtovati in plačati.

Direktor dobi od nemškega naročnika vprašalnik o postkvantni kriptografiji in vpraša svojega IT-izvajalca, koliko bo to stalo. Izvajalec reče: »Težko rečem, najprej moramo pogledati, kaj sploh imate.« Direktor sklene, da se bo s tem ukvarjal, ko bo naročnik zahteval. Leto pozneje naročnik zahteva, z rokom šest mesecev. Zdaj je isto delo dražje, ker ga je treba narediti naenkrat in pod pritiskom.

V tem članku: Pet vrst stroškov · Kaj stane nepripravljenost · Vrstni red pred proračunom · Kaj lahko zaračunate · Majhen proračun · Zunanji izvajalec · Primer · Evropski načrt in URSIV · Vprašanje za naročnika · Priloga: matrika in predloga

Ko vodstvo vpraša »koliko bo stalo«, običajno misli na nakup: novo napravo, novo licenco. Ta del ni nujno največji. Postkvantni prehod je sestavljen iz petih vrst stroškov:

Popis in preizkušanje se zlahka podcenita. Popis je delo, ki ga nihče ne more kupiti v škatli. Preizkušanje pa zahteva čas obeh strani, tudi naročnikovega.

Strošek prehoda je mogoče oceniti. Strošek nepripravljenosti je težje izmeriti, a ga je mogoče opisati:

• Delo pod rokom. Popis, ki bi ga lahko naredili postopoma, morate narediti v nekaj tednih, z zunanjo pomočjo po višji ceni.
• Vprašalnik brez odgovora. Pri nemških naročnikih, ki so po nemškem zakonu o NIS2 dolžni obvladovati tveganja v dobavni verigi, odgovor »ne vemo« lahko pomeni nižjo oceno dobavitelja. Ali in kako to vpliva na naročila, odloča naročnik.
• Preveč obljubljeno. Kdor pod pritiskom podpiše zavezo, ki je ne more izpolniti, tvega pogodbene posledice (izdaja 08).
• Zamujena priložnost. Če letos zamenjate požarni zid ali sistem ERP brez zahteve po postkvantni podpori, boste naslednjo priložnost imeli čez pet do deset let.

Nobena od teh posledic ni gotova. Vsaka pa je, če nastopi, dražja od postopne priprave.

Preden ocenite stroške, določite vrstni red. Za vsako točko v popisu odgovorite na pet vprašanj:

1. Življenjska doba zaščite: kako dolgo morajo podatki ostati zaupni ali podpisi veljavni?
2. Škoda: kaj bi pomenilo razkritje ali ponaredba?
3. Zahtevnost: nastavitev, posodobitev, sprememba kode ali zamenjava opreme?
4. Odvisnost: ali je odvisna od proizvajalca ali naročnika, ki še ni pripravljen?
5. Priložnost: ali je sistem že tako ali tako predviden za zamenjavo?

Prvi dve vprašanji določata nujnost, zadnja tri izvedljivost. Najprej pride tisto, kar je nujno in izvedljivo. Kar je nujno, a blokirano, potrebuje takojšen pogovor s proizvajalcem ali naročnikom.

Če ste IT-izvajalec ali razvijalec za nemškega naročnika, je ločevanje ključno:

• Kar je del vzdrževanja, ne morete zaračunati posebej. Če pogodba vključuje varnostne posodobitve in proizvajalec izda posodobitev s hibridnimi postopki, je namestitev del vzdrževanja.
• Kar je nova zahteva, je sprememba. Če naročnik zahteva spremembo kode v programski opremi, ki deluje po pogodbi, je to dodatno naročilo, tudi če je namenjeno varnosti.
• Kar zadeva naročnikovo infrastrukturo, je njegovo. Vaša stran povezave je posodobljena; njegov strežnik ni vaš strošek.

Zato zahtevajte natančno zahtevo (izdaja 06). Nejasna zahteva »vaš izdelek mora biti kvantno varen« se ne da uvrstiti ne med vzdrževanje ne med spremembe. Natančna zahteva z odsekom, postopkom, rokom in dokazom se da oceniti in zaračunati.

Za majhno podjetje ni treba začeti s projektom. Začnite z delom, ki je poceni in ima največji učinek:

• Popis povezav do naročnikov. Nekaj dni dela, ki odgovori na večino vprašalnikov.
• Zahteva v vsakem novem nakupu. Pri vsaki ponudbi za opremo ali programsko opremo vprašajte po podpori postkvantnim postopkom in načrtu proizvajalca. Strošek: eno vprašanje.
• Ločitev namenov ključev (izdaja 10). Malo dela, velika razlika pri poznejši zamenjavi.
• Letna točka na seji vodstva. Pregled stanja, novih zahtev naročnikov in prihodnjih zamenjav opreme.

Če nimate lastnega IT-oddelka, mora vodstvo stroške dogovoriti z izvajalcem, preden jih ta zaračuna. Izvajalec pozna vaše naprave in licence, ne pozna pa vaših naročnikov, podatkov in pogodb (izdaja 05).

Pred naročilom izvajalcu vprašajte tri stvari:

• Kaj je že v pogodbi o vzdrževanju? Posodobitve opreme in programske opreme so pogosto že plačane. Postkvantna podpora pride z njimi, ko jo proizvajalec izda.
• Kaj bi bilo dodatno delo? Popis, arhitektura, preizkusi z naročniki. Zahtevajte oceno obsega v dnevih, ne pavšala.
• Česa izvajalec ne more narediti brez vas? Seznama naročnikov, roka hrambe podatkov, pogodbenih zavez. To pripravi vodstvo.

Tako postane prehod naročilo z jasnim obsegom, ne odprt račun.

Vzemimo proizvajalca plastičnih delov s 60 zaposlenimi, ki dobavlja dvema nemškima naročnikoma. Ocene obsega dela so ponazoritev, ne priporočilo; konkretnih cen ne navajamo, ker so odvisne od vaših sistemov in bi bila vsaka pavšalna številka zavajajoča. IT vzdržuje zunanji izvajalec. Ob vprašalniku prvega naročnika se vodstvo odloči za postopen pristop:

Skupaj približno teden dni dela izvajalca v prvem letu. Večina drugih stroškov je bila že v proračunu, samo z drugo zahtevo.

Evropski načrt za prehod na postkvantno kriptografijo (NIS Cooperation Group, junij 2025) državam članicam priporoča prve korake do konca leta 2026, prehod primerov uporabe z visokim tveganjem do konca leta 2030 in čim več drugih sistemov do leta 2035. To je priporočilo državam, ne obveznost za vaše podjetje.

Urad Vlade RS za informacijsko varnost je 25. maja 2026 objavil slovensko različico dokumenta »Načrt Evropske unije za postkvantno kriptografijo – pogosta vprašanja«. Dokument pojasnjuje med drugim ocenjevanje kvantnega tveganja, določanje prednostnih nalog pri prehodu, pripravo popisa kriptografskih sredstev in vključevanje dobavne verige. Za vodstvo, ki prvič razmišlja o tej temi, je dober uvod v slovenščini.

„Welche Umstellungen erwarten Sie von uns bis wann, und sollen wir sie als Teil der bestehenden Wartung oder als gesondertes Angebot behandeln?“

Prevod: Katere spremembe pričakujete od nas in do kdaj ter ali naj jih obravnavamo kot del obstoječega vzdrževanja ali kot ločeno ponudbo?

Zakaj tako? Ker vprašanje o denarju postavite, preden je delo opravljeno, in ker naročnika prisili, da zahtevo konkretizira. Brez odgovora ne morete ne načrtovati ne zaračunati.

Nemška izdaja te teme se obrača na vodstva IT in upravljanje tveganj pri naročnikih: „PQC-Migration: Welche Systeme zuerst – und wer bezahlt?“ (v nemščini). Prejšnja izdaja: TLS, VPN, API Gateway: kje se vaša kriptografska zaščita dejansko konča?

Matrika prioritet. Ocena po merilu od 1 do 3. Nujnost = življenjska doba zaščite + škoda (2–6). Izvedljivost = zahtevnost + odvisnost + priložnost (3–9; povsod 3 = ugodno). V nemški izdaji je vsebinsko enaka.

Predloga za oceno stroškov po sistemu:

Opomba: najpomembnejši stolpec je »Podlaga«. Znesek brez pogodbe ali ponudbe je ocena in naj bo tako tudi označen.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (6. 7. 2026): »Če je vaš kriptografski algoritem del poslovne logike, imate problem.«

Viri (stanje 1. 6. 2026): NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025); URSIV, »Pogosta vprašanja o načrtu Evropske unije za postkvantno kriptografijo«, gov.si, 25. 5. 2026; Gesetz zur Umsetzung der NIS-2-Richtlinie (v veljavi od 6. 12. 2025), § 30 BSIG.

Če ste dobili vprašalnik in ne veste, koliko bo odgovor stal, nam pišite.