Nemčija konkretizira svoj postkvantni načrt. Kaj mora storiti slovenski dobavitelj?

Izdaja 16 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za vodstva podjetij in interne IT-oddelke.

Dodatek z dne 25. 10. 2026: nemška nacionalna smernica je izšla 12. 10. 2026, teden dni po tej izdaji. Kaj vsebuje in kaj se zaradi nje spremeni pri trditvah tega članka, je opisano v dodatku na koncu.

V Nemčiji se pripravlja nacionalni načrt za prehod na postkvantno kriptografijo. Ko bo objavljen, bodo vaši nemški naročniki o njem brali, ga povzemali in vam pošiljali. Nekateri bodo zapisali: »Po nemškem načrtu morate do leta 2030 …« Preden kar koli podpišete, morate vedeti, kaj od tega je zakon, kaj priporočilo, kaj naročnikova zahteva in kaj vaša tehnična zmožnost. To so štiri različne stvari.

V tem članku: Kaj je znano danes · Štiri ravni · Kaj vas doseže in kako · Če ste sami zavezanec · Zakaj se načrti spreminjajo · Primer · Kaj storiti zdaj · Vprašanje za naročnika · Priloga: časovnica in matrika · Dodatek z dne 25. 10. 2026

Stanje 5. oktobra 2026:

• EU: načrt skupine za sodelovanje NIS iz junija 2025 državam članicam priporoča, da do konca leta 2026 začnejo nacionalno strategijo prehoda in prve korake, primere uporabe z visokim tveganjem prenesejo najpozneje do konca leta 2030, do leta 2035 pa čim več sistemov. To je usklajeno priporočilo, ne pravni akt.
• Nemčija: zvezna vlada si je že leta 2023 v akcijskem načrtu za kvantne tehnologije za leto 2026 zastavila cilj strategije za prehod na postkvantno kriptografijo. Nacionalna smernica, ki bo prenesla evropsko časovnico, se pričakuje; na ta dan še ni objavljena.
• Slovenija: URSIV je 20. aprila 2026 objavil priporočilo, naj zavezanci po ZInfV-1 in druge organizacije začnejo prehod, 25. maja 2026 pa slovensko različico pogostih vprašanj o evropskem načrtu. 31. avgusta 2026 je objavil še priporočila za upravljanje tveganj dobavnih verig, z vzorcem vprašalnika za dobavitelje, orodjem za oceno tveganj, registrom dobaviteljev in kontrolnim seznamom za pogodbe. Niso predpis, namenjena pa so zavezancem po ZInfV-1. Podobna vprašanja kot od nemških naročnikov lahko torej dobite tudi od slovenskih. Slovenskega nacionalnega načrta s časovnico po naši vednosti še ni.
• Zakonodaja: nemški zakon o prenosu direktive NIS2 velja od 6. decembra 2025; pomembni in bistveni subjekti morajo po § 30 BSIG obvladovati tveganja po stanju tehnike, tudi na področju kriptografije in dobavne verige. Zakon ne določa roka za postkvantne postopke. Akt o kibernetski odpornosti (CRA) proizvajalcem od 11. septembra 2026 nalaga obveznosti poročanja, glavne obveznosti pa od 11. decembra 2027. Uredba o postkvantni kriptografiji CRA ni.

Kdor vam danes omenja »zakonski rok za PQC«, se sklicuje na nekaj, česar ni.

Nemški načrt vas kot slovenskega dobavitelja ne zavezuje neposredno. Zavezuje vas tisto, kar naročnik iz njega naredi in s čimer se v pogodbi strinjate. Zato je pomembno, kaj podpišete.

Pričakujte, da bodo naročniki z visokim tveganjem, na primer v avtomobilski industriji, energetiki ali medicinski tehniki, po objavi smernice pospešili vprašalnike in pogodbene dopolnitve. Dobri naročniki bodo zahteve prevedli na vaš del: katera povezava, kateri podatki, kateri rok. Manj pripravljeni bodo poslali splošno izjavo.

Na splošno izjavo ne odgovarjajte z »da«. Odgovorite s tremi deli (izdaja 06 in 08): kaj velja za vaše sisteme danes, kaj lahko zagotovite sami in do kdaj, kaj je odvisno od naročnika ali tretjih. Vprašajte, kateri primeri uporabe naročnika so označeni kot visoko tvegani in ali so vaši sistemi med njimi. Le tako veste, ali vas rok 2030 sploh zadeva.

Nekateri slovenski dobavitelji niso le dobavitelji nemških zavezancev, ampak so tudi sami zavezanci po ZInfV-1, na primer zaradi dejavnosti v energetiki, prometu, proizvodnji določenih izdelkov ali digitalni infrastrukturi. Ali ste med njimi, preverite s svojim pravnikom ali pri URSIV. Zanje velja dvoje hkrati:

• Lastne obveznosti po ZInfV-1, ki prenaša direktivo NIS 2: ukrepi za obvladovanje tveganj, med katerimi sta tudi uporaba kriptografije in varnost dobavne verige. Te veljajo ne glede na nemške naročnike.
• Zahteve naročnikov, ki izhajajo iz njihovih obveznosti in priporočil.

V praksi se to dobro dopolnjuje. Popis kriptografije, razvrstitev tveganj in načrt prehoda, ki jih pripravite za lastne obveznosti, so hkrati najboljša podlaga za odgovor nemškemu naročniku. Delo opravite enkrat in ga uporabite dvakrat. URSIV-ovo priporočilo iz aprila 2026 in pogosta vprašanja iz maja 2026 so dober slovenski izhodiščni dokument za ta del.

Nemški urad za informacijsko varnost (BSI) je 1. oktobra 2026 odsvetoval uporabo postkvantnega postopka Classic McEliece v novih razvojih in pri načrtovanju novih kriptografskih aplikacij. Razlog so znatni napredki v kriptoanalizi postopka, ki kažejo na nižjo raven varnosti, kot se je predpostavljalo.

Za večino dobaviteljev postopek ni pomemben; ML-KEM ni prizadet. Nauk je drug: priporočila o postopkih se lahko spremenijo v nekaj mesecih. Če v pogodbi podpišete točno določen postopek, podpišete tudi prihodnjo spremembo pogodbe. Bolje je, da se zavežete k veljavni različici priporočila in k prilagodljivosti (izdaja 13).

Predstavljajte si proizvajalca elektronskih sklopov iz Kranja s tremi nemškimi naročniki. Po objavi nemške smernice pričakuje tri vrste dopisov:

Najtežji je dopis A, ker je najkrajši. Podpis splošne izjave pomeni zavezo, katere vsebine nihče ne pozna. Opis stanja s tremi deli je daljši, a ga lahko izpolnite.

• Ugotovite, ali ste zavezanec po ZInfV-1 ali proizvajalec po CRA. To so vaše obveznosti, neodvisno od Nemčije.
• Dokončajte popis povezav do naročnikov (izdaje 04, 09 in 11). Brez njega ne morete odgovoriti na noben vprašalnik.
• Pripravite standardni opis stanja v treh delih, v nemščini, ki ga prilagodite za vsakega naročnika.
• Vprašajte naročnike po njihovi razvrstitvi tveganj, preden pošljejo zahteve.
• Določite, kdo v podjetju podpisuje izjave o informacijski varnosti in kdo jih prej strokovno preveri. Tako splošna izjava ne pride na mizo direktorja brez mnenja IT.

„Sobald die nationale Leitlinie vorliegt: Welche Ihrer Anwendungsfälle stufen Sie als hohes Risiko ein, sind unsere Systeme daran beteiligt, und welche Anforderung leiten Sie daraus konkret für unsere Verbindungen ab?“

Prevod: Ko bo nacionalna smernica na voljo: katere svoje primere uporabe uvrščate med visoko tvegane, ali so naši sistemi vključeni vanje in katero konkretno zahtevo iz tega izpeljete za naše povezave?

Zakaj tako? Ker razvrstitev tveganj lahko naredi samo naročnik in ker brez nje ne veste, ali vas rok 2030 sploh zadeva. Vprašanje vas varuje pred splošnimi izjavami.

Nemška izdaja te teme se obrača na upravljanje tveganj in IT-strategijo pri naročnikih: „Die deutsche PQC-Roadmap kommt. Was bedeutet sie für Ihre slowenischen Lieferanten?“ (v nemščini). Prejšnja izdaja: Deset let stara aplikacija in postkvantna prihodnost: kaj sploh lahko spremenimo?

Vse roke z virom in statusom sproti posodabljamo na strani BSI TR-02102 in postkvantni roki.

Časovnica EU/DE/SI (stanje 5. 10. 2026; dopolnitve iz dodatka so označene). V nemški izdaji je vsebinsko enaka, brez slovenskih vrstic.

Matrika učinkov po vrstah dobaviteljskih razmerij:

Nemška zvezna ministrstva BMDS in BMI ter BSI so 12. oktobra 2026 objavili skupno smernico »Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie« (z datumom 11. 9. 2026, stanje avgust 2026). Za to temo so bistvene naslednje točke:

• Narava: smernica daje priporočila; roke označuje kot nujna priporočila. Organi, kot sta IT-Planungsrat in UP KRITIS, naj jih do konca leta 2026 čim bolj zavezujoče sprejmejo.
• Časovnica: prevzema evropsko: priprava in načrtovanje (vključno s prvim kriptografskim popisom) do konca leta 2026, primeri z visokim tveganjem do konca leta 2030, s srednjim do konca leta 2035.
• Naslovniki: uprave, organizacije in podjetja, zlasti upravljavci kritične infrastrukture.
• Zakonska navezava: smernica opozarja, da morajo pomembni in bistveni subjekti po § 30 BSIG pri kriptografiji upoštevati stanje tehnike v skladu s svojim obvladovanjem tveganj, in priporoča hibridne postopke.
• Dobavna veriga: zgodnje usklajevanje s proizvajalci, IT-izvajalci in komunikacijskimi partnerji je po smernici nujno. Zagotavljanje CBOM poenostavi primerjavo kriptografskih zmožnosti v dobavni verigi in se lahko zapiše v pogodbo. Pri nabavi naj se zahteve glede PQC in prilagodljivosti po TR-02102 upoštevajo kot standard.

Kaj se pri tem članku spremeni: ločitev ravni ostaja pravilna in jo smernica potrjuje: je priporočilo, ne zakonski rok, do dobaviteljev pa pride prek pogodb in nabave. Pričakovane stopnje tveganja in roki so takšni, kot smo jih opisali. Novo in za vas pomembno je izrecno omenjanje CBOM kot možnega predmeta pogodbe. Če ga še nimate, je izdaja 09 dober začetek.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (2. 11. 2026): »Nemški vprašalnik o postkvantni varnosti: kaj lahko dokažete?«

Viri (stanje 5. 10. 2026): NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025); Bundesregierung, Handlungskonzept Quantentechnologien (april 2023); Gesetz zur Umsetzung der NIS-2-Richtlinie (v veljavi od 6. 12. 2025), § 30 BSIG; Uredba (EU) 2024/2847 (CRA), člena 14 in 71; Zakon o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/2025); URSIV, objave z dne 20. 4. 2026, 25. 5. 2026 in 31. 8. 2026; BSI, obvestilo o Classic McEliece (1. 10. 2026). Vir dodatka: BMDS, BMI, BSI, »Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie« (11. 9. 2026, objavljeno 12. 10. 2026), poglavja 2, 3 in 4.

Če ste od naročnika dobili izjavo o »nemškem načrtu PQC« in ne veste, ali jo smete podpisati, nam pišite.