ドイツは、ポスト量子暗号の新たな期限がまだ一律に法的拘束力を持たないにもかかわらず、2026年末を迎える前に組織が量子時代のサイバーセキュリティ脅威への備えを始めることを求めている。
連邦内務省（BMI）、連邦デジタル問題・国家近代化省（BMDS）、連邦情報セキュリティ庁（BSI）は、ガイドラインで、EUのポスト量子暗号（PQC）ロードマップをドイツに適用したものを共同で発表した。
高リスクシステムは遅くとも2030年末までに移行し、全体の移行は2035年までにほぼ完了すべきだと、BSIによるという。
このガイドラインは、連邦、州、自治体の行政機関に加え、企業や重要インフラ事業者を対象とする。日付は勧告だが、文書はそれらに重みを持たせ得る既存法にも言及している。
ドイツの工程はEUと一致し、米国の動きにも沿っている
| マイルストーン | ドイツ | 米国の連邦機関 |
| 初期段階 | 2026年末：初回目録を作成し、担当者を指名、移行を開始 | 2026年10月22日：OMBへの移行計画提出期限 |
| 高リスクシステム | 2030年末までに移行 | 2030年12月31日までに鍵の確立、2031年12月31日までに署名 |
| 広範な移行 | 2035年までにほぼ完了 | 2035年まで段階的に実施 |
| 法的地位 | 緊急の勧告、2026年末までに拘束力のある採用を要請 | 民間機関を拘束 |
出典：BMI、BMDS、BSIのガイドライン（2026年10月12日）、大統領令14412号、OMB覚書M-26-15
多国籍組織にとって、2030年と2035年という重なるマイルストーンは、長期計画を簡素化する可能性がある。ただし、ドイツと米国の枠組みは対象となるシステムや組織が異なるため、コンプライアンス要件を同じものとして扱うことはできない。
ガイドラインが組織にまず求めること
第1段階の中心は、計画策定と可視化だ。
- 責任体制：担当部署を指定し、移行に向けた社内の拘束力ある期限を設定する。
- 目録：BSIのIT-Grundschutz要件CON.1.A19における暗号レジスターを手本に、初回の暗号資産目録を作成する。
- リスク：量子リスクを通常のリスク登録簿に加え、ユースケースをリスクレベル別に順位付けする。
- サプライヤー：メーカーやサプライチェーンを早期に巻き込み、暗号アジリティを考慮した調達を設計する。
BSIは、従来型アルゴリズムとポスト量子アルゴリズムを組み合わせるハイブリッド方式を推奨している。同庁のプレスリリースは、暗号アジリティの理由としてAIも挙げ、AIによって暗号手法への攻撃研究が加速していると説明している。
eWeekが分かったこと：ソフトなガイドラインを裏付ける強力な法的根拠
最も重要な点は、日付ではないかもしれない。このガイドラインは期限を緊急の勧告と位置付けているが、暗号をEUのNIS2指令を実施するBSI法第30条と結び付けている。同条は、対象事業者に対し、セキュリティ対策（暗号処理を含む）について最新の技術水準を満たすよう求めている。
ガイドラインは、ポスト量子暗号をこの「最新の技術水準」に位置付けている。PostQuantum.comとQuentirによる文書分析によれば、PQCを導入していないシステムがすでに基準を下回るとは明言していない。それでも、将来インシデントを調査する規制当局や監査人が、このガイドラインを判断の基準として利用する可能性はある。
州政府と地方自治体に対する拘束力は、別の手続きに左右される。ガイドラインは、ドイツの連邦・州IT計画評議会であるIT-Planungsratと、重要インフラの連携組織であるUP KRITISに対し、2026年末までに日付を拘束力のあるものとして採用するよう求めている。
目録作成の期限が、短期的な試金石となる。米国の経験からは、これは見た目より難しいことが分かる。24の連邦機関を対象としたGAOの監査では、優先システムの目録作成を完全に終えていたのは1機関だけだった。
ドイツのロードマップは、1つの点を明確にしている。ポスト量子暗号への移行は、もはや遠い将来の技術的懸念にとどまらない。期限が依然として勧告に過ぎない場合でも、組織には将来のコンプライアンス要件を待つのではなく、今すぐ準備することが促されている。
その他のニュース：ORCA ComputingがPT-3フォトニック量子コンピューターを導入し、Digital RealtyのロンドンデータセンターでNvidia GPUと併用している。