02 Le scadenze
Le scadenze sono già definite
Non si tratta soltanto di previsioni: negli Stati Uniti e nell'Unione europea, enti di normazione e istituzioni pubbliche hanno pubblicato indicazioni e requisiti con scadenze precise per la sostituzione della crittografia vulnerabile.
-
13 agosto 2024
Il NIST pubblica i nuovi standard
L'istituto statunitense per la standardizzazione pubblica tre nuovi standard: FIPS 203 (ML-KEM), per stabilire le chiavi utilizzate nella cifratura dei dati, e FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), per le firme digitali. Le alternative agli algoritmi attuali sono quindi disponibili.
-
Novembre 2024
Il NIST propone le scadenze per dismettere gli algoritmi attuali
Nella prima bozza pubblica del documento NIST IR 8547, tutti gli algoritmi a chiave pubblica vulnerabili agli attacchi quantistici, compreso P-256, sono indicati come non più consentiti dopo il 2035.
-
22 giugno 2026
Ordine esecutivo 14412
L'ordine affronta il rischio noto come “harvest now, decrypt later”. Per gli asset di alto valore e i sistemi ad alto impatto, fissa al 31 dicembre 2030 la scadenza per lo scambio di chiavi post-quantum e al 31 dicembre 2031 quella per le firme digitali.
-
24 giugno 2026
OMB M-26-15: migrazione federale per fasi
Le agenzie federali dovranno creare un inventario automatizzato, i cui dati dovrebbero confluire in un inventario centrale dei componenti crittografici (CBOM, Cryptographic Bill of Materials). I piani delle agenzie dovranno essere presentati entro il 22 ottobre 2026. La migrazione è articolata in cinque fasi, dal 2026 al 2035.
-
Dicembre 2026 circa
Una proposta normativa per i contraenti federali
L'EO 14412 assegna al FAR Council 180 giorni, fino a circa il 19 dicembre 2026, per presentare una proposta di norma nell'ambito della Federal Acquisition Regulation (FAR). La norma dovrebbe richiedere ai contraenti interessati di adottare entro il 31 dicembre 2030 gli standard FIPS del NIST, compresi quelli basati su algoritmi post-quantum.
-
Marzo 2027 circa
Indicazioni sui contenuti della CBOM
Entro 270 giorni dall'EO 14412, indicativamente a marzo 2027, la CISA, in coordinamento con il NIST, dovrebbe pubblicare indicazioni sugli elementi minimi da includere in una CBOM.
-
Dal 2030 al 2035
Le scadenze per la migrazione
In base all'EO 14412, lo scambio di chiavi post-quantum dovrà essere adottato entro il 31 dicembre 2030 e le firme digitali entro il 31 dicembre 2031 per gli asset di alto valore e i sistemi ad alto impatto. Se verrà adottata la norma FAR prevista dall'ordine, i contraenti interessati dovranno adeguarsi entro il 31 dicembre 2030. Il programma NSA CNSA 2.0 prevede scadenze per l'uso esclusivo comprese tra il 2030 e il 2033, a seconda della categoria. Nell'UE, la roadmap del Gruppo di cooperazione NIS del 23 giugno 2025 — una raccomandazione — invita gli Stati membri a definire strategie nazionali entro la fine del 2026, a intervenire sui casi d'uso ad alto rischio entro la fine del 2030 e a migrare il maggior numero possibile di sistemi entro il 2035.
Fonti: EO 14412; EO 14412 nel Federal Register; OMB M-26-15; NIST IR 8547; CISA Post-Quantum Cryptography Initiative; NSA CNSA 2.0; NIST FIPS 203; roadmap del Gruppo di cooperazione NIS dell'UE.