Nemški vprašalnik o postkvantni varnosti: kaj lahko dokažete?

Izdaja 17 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za dobavitelje in IT-izvajalce, ki odgovarjajo na vprašalnike nemških naročnikov.

Vprašalnik pride v petek popoldne, v nemščini, z rokom deset dni. Vprašanje 14: »Ist Ihre Lösung quantensicher? Ja / Nein / Teilweise.« V prodaji, kamor je prišel, vprašajo v IT. Tam rečejo: »Odvisno, kaj misli s tem.« V prodaji odkljukajo »Ja«, ker »Nein« zveni slabo, »Teilweise« pa kot izgovor. Čez dve leti bo to okence del pogodbe.

O čem pišemo: kako pripraviti odgovore na vprašalnike o postkvantni varnosti, ki navajajo dejanske zmožnosti, omejitve, načrt in preverljiva dokazila, in kako to pripraviti enkrat za vse naročnike. V prilogi je dvojezični vprašalnik (nemško/slovensko) s polji za dokazila in odgovorne osebe. Česa ne obravnavamo: presoj na kraju samem. Vprašalnik ni presoja; je pa pogosto odločitev, ali bo presoja potrebna.

V tem članku: Kaj vas bodo vprašali · Štiri vrste odgovorov · Zakaj »da« ni varen odgovor · Mapa dokazil · Primer · Kako zapisati omejitev · Ko vprašalnik zahteva preveč · Odgovori se starajo · Kdo odgovarja · Vprašanje za naročnika · Priloga: vprašalnik DE/SL

Nemška zvezna ministrstva in BSI so oktobra 2026 objavili skupno smernico za prehod na postkvantno kriptografijo. V poglavju o dobavni verigi priporoča zgodnje usklajevanje s proizvajalci in IT-izvajalci ter navaja, da se lahko zagotavljanje kriptografskega popisa (CBOM) zapiše v pogodbo. To je priporočilo, ne zakon. A naročniki, ki morajo po nemškem zakonu obvladovati tveganja v dobavni verigi, ga bodo uporabili kot podlago za vprašalnike. Podobno pot ubira URSIV: njegova priporočila za upravljanje tveganj dobavnih verig iz avgusta 2026 vsebujejo vzorec vprašalnika za dobavitelje. Mapa dokazil, ki jo pripravite za nemške naročnike, vam bo koristila tudi pri slovenskih.

Pričakujte dve vrsti vprašalnikov. Slabi sprašujejo po lastnostih: »kvantno varno«, »kriptografsko prilagodljivo«, »po stanju tehnike«. Dobri sprašujejo po dejstvih: kateri postopek se dogovori, kje je popis, kdo je odgovoren. Na obe vrsti lahko odgovorite z dejstvi. Pri slabih je to še pomembneje.

Na vsako vprašanje lahko odgovorite na štiri načine:

1. Zaveza: »Da, izpolnjujemo.« Brez vsebine in brez dokaza.
2. Opis: »Uporabljamo OpenSSL 3.5 s hibridnim dogovorom o ključu.« Konkretno, a nedokazano.
3. Dokaz: »V prilogi je izpis dnevnika z dne 14. 10., dogovorjena skupina X25519MLKEM768.« Preverljivo.
4. Načrt z mejo: »Danes klasično; prehod s posodobitvijo marca; odvisno od proizvajalca X.« Pošteno in preverljivo skozi čas.

Dobro pripravljen naročnik bo zaveze ocenil najslabše, dokaze in načrte z mejami pa najbolje. Tudi slabo pripravljen naročnik bo prej ali slej vprašal, kaj ste z »da« mislili.

Odgovor na vprašalnik se pogosto znajde v pogodbi ali v prilogi k njej. Kar ste potrdili, lahko naročnik zahteva. Če ste odkljukali »quantensicher«, ne da bi bilo jasno, kaj to pomeni, ste prevzeli zavezo, katere vsebine nihče ne pozna, in jo bo kasneje določil tisti, ki bo z vami v sporu (izdaja 08).

Odgovor »Teilweise« brez pojasnila ni boljši. Pove, da nekaj manjka, ne pa kaj. Če vprašalnik dovoli samo okenca, odkljukajte najbližjega in dodajte pojasnilo v polju za opombe ali v spremnem dopisu. Pojasnilo ima možnost, da ga kdo prebere; okence brez pojasnila je nima.

Ne pripravljajte odgovora za vsak vprašalnik posebej. Pripravite enkrat mapo dokazil in jo vzdržujte:

• Popis kriptografije za sisteme, ki obdelujejo podatke naročnikov (izdaji 04 in 09), z datumom stanja.
• Meritve dogovorjenih postopkov za vsako povezavo do naročnikov (izdaja 11), z datumom.
• Kratek opis arhitekture kriptografskega dela: kje se postopek določi, kako se zamenja (izdaja 13).
• Seznam omejitev: sistemi, ki jih ni mogoče prenesti, z razlogom in načrtom (izdaja 15).
• Načrt prehoda z roki in odvisnostmi.
• Kontaktne osebe s funkcijo.

Mapa v nemščini, z eno stranjo povzetka. Ko pride vprašalnik, iz nje sestavite odgovor v urah, ne v tednih. In vsi naročniki dobijo skladne odgovore.

Vzemimo dva slovenska dobavitelja istega nemškega proizvajalca železniške opreme; takšnih parov je več, kot bi si mislili. Dobita enak vprašalnik z dvanajstimi vprašanji. Odgovora na tri ključna vprašanja:

Na papirju je A videti bolje. Naročnik pa o A ne ve ničesar in o B skoraj vse. A dobi vabilo na pogovor z vprašanjem, kaj je mislil. B dobi dogovor o kontroli poleti 2027 in, kar je za prodajo pomembno, ugled dobavitelja, ki ve, o čem govori.

Omejitev zapišite v štirih delih:

• kaj ne velja (sistem, povezava, postopek);
• zakaj (platforma, proizvajalec, druga stran);
• kaj ste storili ali boste (izolacija, načrt, rok);
• od koga je odvisno (proizvajalec, naročnik, tretji).

Primer: »Strežnik SFTP za izmenjavo dobavnic se danes dogovarja klasično, ker trenutna različica programske opreme hibridnih postopkov ne podpira. Posodobitev je načrtovana za marec 2027. Hibridni dogovor bo deloval, ko ga bo podpiral tudi vaš strežnik.« Trije stavki, ki naročniku povedo več kot deset okenc. Pomembno je, da v omejitvi ne obljubite tistega, kar ni v vaših rokah: rok posodobitve lahko navedete, delovanje hibridnega dogovora pa je odvisno tudi od naročnika, in to tudi zapišite.

Nekateri vprašalniki bodo nesorazmerni: sto vprašanj za dobavitelja, ki naročniku pošilja dobavnice po e-pošti, ali zahteva po CBOM za programsko opremo, ki je ne razvijate. To ni zloba, ampak posledica tega, da je naročnik isti vprašalnik poslal vsem.

Odgovorite na tisto, kar velja za vas, in jasno označite, kar ne velja: »Ne velja: z vami ne izmenjujemo podatkov prek lastnih sistemov; dobavnice pošiljamo po e-pošti.« Nato vprašajte, ali naročnik vaše razmerje uvršča med tvegana in katera vprašanja so zanj bistvena. Takšno pojasnilo nabavi prihrani delo pri ocenjevanju.

Česar ne storite: ne izmišljujte si odgovorov, da bi bil vprašalnik videti poln. Prazno polje z razlago je boljše od polnega polja brez vsebine.

Odgovor, ki je bil pravilen ob oddaji, ni nujno pravilen leto pozneje. Nova različica programske opreme, nov izvajalec, nov strežnik. Če se spremeni nekaj, kar ste naročniku potrdili, mu to sporočite sami, preden vpraša. Na primer: »Strežnik SFTP smo posodobili; hibridni dogovor o ključu je zdaj podprt. Nova meritev v prilogi.«

Takšno sporočilo stane pet minut in naročniku pove, da je vaša mapa dokazil živa. Za dobavitelja, ki ga naročnik ocenjuje, je to ena najcenejših poti do zaupanja.

Vprašalnik naj ne odgovarja tisti, ki ga je prejel, ampak tisti, ki ve. Določite postopek: prodaja ali kakovost vprašalnik prejme, IT ali zunanji izvajalec pripravi vsebino iz mape dokazil, vodstvo odobri zaveze, ki gredo čez opis stanja. Pri majhnih podjetjih so to lahko iste osebe; pomembno je, da je jasno, kdo je za vsebino odgovoren in da to piše v vprašalniku.

„Wir beantworten Ihren Fragebogen mit Belegen und kennzeichnen Pläne und Grenzen. Dürfen wir bei Ja/Nein-Fragen eine Erläuterung beifügen, und an wen dürfen wir uns bei technischen Rückfragen wenden?“

Prevod: Na vaš vprašalnik bomo odgovorili z dokazili in označili načrte ter meje. Ali lahko pri vprašanjih z da/ne priložimo pojasnilo in na koga se lahko obrnemo s tehničnimi vprašanji?

Zakaj tako? Ker si izborite prostor za pojasnilo in tehnično kontaktno osebo na naročnikovi strani. Oboje bo prihranilo nesporazume.

Nemška izdaja te teme se obrača na nabavo in upravljanje dobaviteljev pri naročnikih: „PQC-Lieferantenfragebögen: Fragen Sie nach Nachweisen, nicht nach Schlagwörtern.“ (v nemščini). Prejšnja izdaja: Nemčija konkretizira svoj postkvantni načrt. Kaj mora storiti slovenski dobavitelj?

Skupni vprašalnik nemško/slovensko s polji za odgovor, dokazilo in odgovorno osebo. V nemški izdaji je enak. Vrsta odgovora: Z = Zusage/zaveza, B = Beschreibung/opis, N = Nachweis/dokaz, P = Plan z mejo.

Kako uporabiti: če naročnik pošlje lasten vprašalnik, ta preglednica služi kot kontrolni seznam, ali imate v mapi dokazil odgovor na vsako vprašanje.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (7. 12. 2026): »Postkvantna rešitev deluje. Kako to dokažemo naročniku?«

Viri (uredniško stanje 25. 10. 2026): BMDS, BMI, BSI, »Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie« (11. 9. 2026, objavljeno 12. 10. 2026), poglavje 4.6; NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025); CycloneDX 1.6 (ECMA-424) in 1.7; URSIV, »Priporočila za upravljanje tveganj dobavnih verig na področju informacijske in kibernetske varnosti« (31. 8. 2026).

Če je vaš zadnji odgovor na nemški vprašalnik vseboval več okenc kot dokazil, nam pišite.