Cos'è la crittografia quantum-safe nel 2026 e quali dati migrare prima

Cos’è la crittografia quantum-safe e cosa rischiano i dati a valore pluriennale

Il consiglio di amministrazione si chiede sempre la stessa cosa: quando arriverà il computer quantistico? Però è la domanda sbagliata, e porta a rinviare il problema. Quella giusta la pone chi ha in mano l’architettura: per quanti anni i dati che gestiamo oggi devono restare illeggibili a chi non è autorizzato a vederli?

Il Rapporto Clusit 03-2026 colloca fra il 2030 e il 2035 l’orizzonte di obsolescenza degli algoritmi di cifratura e firma attualmente in uso, e segnala che il rischio pesa già oggi anche in assenza di computer quantistici operativi, perché un avversario può accumulare dati cifrati fin da subito per decrittografarli quando la tecnologia sarà matura. Chi firma un contratto di fornitura decennale, conserva un fascicolo KYC o deposita un brevetto sta già producendo dati che quell’orizzonte lo attraversano per intero.

Key takeaways

• La crittografia quantum-safe è l’insieme degli algoritmi standardizzati per resistere a un calcolatore quantistico. Il NIST ne ha finalizzati i primi ad agosto 2024: ML-KEM (FIPS 203, derivato da CRYSTALS-Kyber) per lo scambio di chiavi, FIPS 204 e FIPS 205 per le firme digitali.
• Harvest now, decrypt later è un attacco differito: si esfiltrano oggi dati cifrati per decifrarli quando la crittografia classica sarà attaccabile. Il Rapporto Clusit 03-2026 lo considera un rischio già attivo.
• La variabile che ordina la migrazione è la durata di riservatezza del dato, non la data di arrivo del quantum computing.
• Il primo deliverable non è un algoritmo, è un cryptographic risk assessment: inventario delle operazioni crittografiche, mappa delle dipendenze, supply chain inclusa.
• Le tappe europee sono fissate. La Raccomandazione (UE) 2024/1101 e la roadmap del gruppo di cooperazione NIS indicano avvio entro fine 2026, casi ad alto rischio entro il 2030, transizione ampia entro il 2035.
• L’agilità crittografica dipende da dove vive la cifratura. Se è una proprietà del file e non del canale, il prossimo cambio di algoritmo è un’operazione di piattaforma invece che un cantiere applicazione per applicazione.

Che cos’è la crittografia quantum-safe?

La crittografia quantum-safe, chiamata anche post-quantistica, è l’insieme degli algoritmi progettati per restare sicuri anche contro un calcolatore quantistico sufficientemente potente. Non è materia di ricerca: è materia di standard. Ad agosto 2024, dopo anni di valutazione pubblica, il NIST ha finalizzato i primi tre. FIPS 203 specifica ML-KEM, un meccanismo di incapsulamento delle chiavi derivato dall’algoritmo CRYSTALS-Kyber, destinato a sostituire gli schemi di scambio chiavi come RSA e Diffie-Hellman. FIPS 204 e FIPS 205 coprono le firme digitali, con ML-DSA (dal progetto CRYSTALS-Dilithium) e SLH-DSA (da SPHINCS+). La loro sicurezza poggia su problemi matematici, come quelli sui reticoli, ritenuti difficili anche per una macchina quantistica.

Un chiarimento di terminologia, perché nei capitolati fa la differenza. Quantum-safe e post-quantistico indicano una resistenza attesa sulla base delle conoscenze attuali, non una garanzia permanente. Chi scrive “quantum-proof” in una scheda prodotto sta promettendo una certezza che la matematica non ha rilasciato. ENISA raccomanda, dove possibile, un approccio ibrido che affianca algoritmi classici e post-quantistici, così da non dipendere da un solo schema mentre le nuove primitive vengono messe alla prova sul campo. Sul versante applicativo la transizione tocca per prima la condivisione dei file, e l’abbiamo descritta in dettaglio nella guida 2026 al post-quantum encrypted file sharing.

Perché “harvest now, decrypt later” è già un problema di oggi?

Il meccanismo è semplice e cambia il calcolo del rischio. Un attaccante copia flussi di traffico cifrato, mette da parte volumi di backup, conserva il dump di un database che oggi non riesce a leggere. Non gli serve la chiave adesso. Gli basta la ragionevole certezza che entro qualche anno esisterà uno strumento capace di rompere gli algoritmi a chiave pubblica su cui poggia gran parte dell’infrastruttura attuale.

La conseguenza è controintuitiva. Un dato che deve restare riservato sei mesi non corre quasi nessun rischio quantistico: quando la capacità di decifrarlo diventerà reale, avrà smesso di contare. Un dato che deve restare riservato dieci o vent’anni si trova nella posizione opposta, perché l’attaccante ha tutto il tempo di aspettare mentre il valore dell’informazione resta intatto.

C’è poi una differenza di scala che in sala riunioni viene quasi sempre confusa. Il ciclo di vita di una violazione, cioè il tempo tra compromissione e contenimento, il report IBM Cost of a Data Breach 2025 lo quantifica in 241 giorni di media, il valore più basso degli ultimi nove anni; le violazioni che superano i 200 giorni restano le più costose, con una media di 5,01 milioni di dollari contro un costo medio globale di 4,44 milioni. Quei numeri misurano la reattività delle difese. Il ciclo di vita del dato si misura invece in anni, e un archivio esfiltrato oggi e decifrato nel 2032 non ha una data di chiusura dell’incidente: la compromissione si manifesta quando ogni contromisura perimetrale ha smesso da tempo di essere rilevante.

Approfondimento: Il perimetro è già caduto

Come si imposta un cryptographic risk assessment?

Prima dell’algoritmo viene l’inventario. È anche la prima cosa che le indicazioni europee chiedono di fare, e nella pratica è l’unica che permette di stimare costi e tempi con un margine credibile.

Un assessment crittografico utile risponde a quattro domande, in quest’ordine:

1. Dove avvengono operazioni crittografiche? Applicazioni, database, VPN, firme, HSM, certificati, token, backup, integrazioni con terze parti.
2. Con quali algoritmi e quali lunghezze di chiave? La risposta va cercata anche nelle librerie di terze parti e nel firmware, non solo nel codice proprietario.
3. Quali dati proteggono e per quanti anni devono restare protetti? Questa è la classificazione che conta per la migrazione, ed è diversa dalla classificazione per sensibilità che la maggior parte delle organizzazioni ha già.
4. Da chi dipendiamo? Fornitori cloud, piattaforme SaaS, integratori. Una migrazione post-quantistica è un progetto di supply chain almeno quanto è un progetto interno.

Il risultato è una mappa delle dipendenze tra applicazioni, prodotti, piattaforme e operazioni crittografiche, e l’ingresso formale della minaccia quantistica nel registro dei rischi. Senza questa base, qualsiasi piano di migrazione è una stima a occhio.

Quali dati vanno migrati per primi?

La transizione non si affronta a tappeto. L’ordine nasce dall’incrocio tra due variabili: quanto a lungo un dato deve restare riservato e quanto grave sarebbe la sua compromissione. La tabella di marcia europea offre una soglia operativa: vanno trattati come alto rischio i dati che devono restare riservati per almeno dieci anni e i prodotti con una vita attesa oltre il 2030.

Con questa lente la lista delle priorità resta stabile tra i settori:

• Proprietà intellettuale e segreti industriali: progetti, formule, codice sorgente e ricerca che definiscono il vantaggio competitivo per un decennio o più.
• Dati clinici e sanitari: legati all’identità e alla salute della persona, soggetti a obblighi di conservazione lunghi e privi di qualsiasi scadenza naturale.
• Contratti, accordi e documentazione legale di lungo periodo: clausole e strategie negoziali vincolanti e riservate per molti anni.
• Dati finanziari e di adeguata verifica della clientela: i fascicoli KYC e antiriciclaggio, che la normativa impone di conservare a lungo, sono il bersaglio ideale di un attacco differito.
• Credenziali, chiavi e segreti a lunga persistenza: quelli che, decifrati domani, aprono le porte a molto altro.

Quali scadenze fissa l’Europa per la transizione post-quantistica?

Il tema è uscito dal perimetro tecnico ed è entrato in quello regolatorio, con date. La Raccomandazione (UE) 2024/1101 dell’11 aprile 2024 ha istituito una tabella di marcia per l’attuazione coordinata della transizione verso la crittografia post-quantistica, poi dettagliata dal gruppo di cooperazione NIS nella roadmap europea per la transizione alla PQC. Le tappe sono tre. Entro la fine del 2026 tutti gli Stati membri dovrebbero aver avviato la transizione, a partire da inventario e consapevolezza. Entro la fine del 2030 vanno messi in sicurezza i casi d’uso ad alto rischio e le infrastrutture critiche, con l’indicazione esplicita che i meccanismi a chiave pubblica vulnerabili non andranno più usati da soli oltre quella data. Entro la fine del 2035 la transizione dovrebbe estendersi ai casi a rischio medio e completarsi per quanti più sistemi possibile.

Le norme trasversali spingono nella stessa direzione senza nominare una tecnologia specifica. L’articolo 32 del GDPR chiede misure adeguate “tenendo conto dello stato dell’arte” e cita espressamente la cifratura: man mano che gli algoritmi post-quantistici diventano lo stato dell’arte, la soglia di ciò che è considerato adeguato si sposta. Nel settore finanziario, l’articolo 9 del Regolamento (UE) 2022/2554 (DORA) e le relative norme tecniche impongono controlli crittografici tarati sulla classificazione dei dati e sul rischio. La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, colloca all’articolo 21 le politiche sull’uso della crittografia tra le misure minime di gestione del rischio.

Approfondimento: Scadenza NIS2 31 ottobre 2026: cosa deve essere operativo

Perché l’agilità crittografica dipende da dove vive la cifratura?

Qui si decide se la migrazione del 2030 sarà un progetto o un aggiornamento. Se la cifratura è una proprietà del canale o dell’ambiente, sostituire un algoritmo significa rimettere mano a ogni applicazione, ogni integrazione, ogni flusso. Se è una proprietà del dato, gestita in modo centralizzato, la sostituzione diventa un’operazione di piattaforma.

C’è un secondo effetto, più immediato. Un file cifrato in transito torna leggibile appena il canale viene decifrato a destinazione. Un archivio protetto a riposo perde ogni difesa nel momento in cui viene copiato altrove, e la copia è esattamente ciò che un attacco harvest now, decrypt later vuole ottenere. È lo stesso meccanismo che si vede nei breach di Booking, Eataly e Trenitalia: i dati erano protetti finché restavano dove erano previsti.

La protezione che regge nel tempo è quella che appartiene al dato e lo accompagna. Se un documento resta cifrato anche fuori dal perimetro, un’eventuale sottrazione consegna all’attaccante byte inutilizzabili, oggi come nel 2032.

Che cosa fa FileGrant per i dati a valore pluriennale?

FileGrant, la piattaforma file-centric di CyberGrant, cifra ogni documento alla creazione con algoritmi quantum-safe basati su CRYSTALS-Kyber (NIST FIPS 203) e mantiene la protezione attaccata al file per tutto il suo ciclo di vita, dentro e fuori la rete aziendale. È l’impianto che chiamiamo DLP file-centric, e per un CIO la conseguenza architetturale è questa: la cifratura smette di essere una proprietà di ciascuna applicazione e diventa un servizio di piattaforma, con chiavi a conoscenza zero, audit trail e revoca degli accessi che continuano a valere dopo che il file è stato condiviso con un fornitore o un consulente. Il deployment on-premise mantiene chiavi e dati sotto controllo diretto, che è il requisito con cui di solito si apre un capitolato sulla sovranità del dato.

Per i documenti che vivono già in Microsoft 365, Connector di CyberGrant è l’estensione che porta la stessa cifratura quantum-safe dentro SharePoint e OneDrive senza migrazione: i file restano dove sono, gli utenti mantengono login e abitudini Microsoft, e la cifratura copre anche i formati non Office che Microsoft Purview lascia scoperti. Connector si affianca allo stack Microsoft, non lo sostituisce.

Approfondimento: Come cifrare i file su SharePoint senza sostituirlo né migrare nulla

Da dove parte un piano a dodici mesi

Cinque passi, nell’ordine in cui conviene metterli a budget.

1. Inventario crittografico e mappa delle dipendenze, supply chain inclusa. È il deliverable che l’Europa chiede entro fine 2026.
2. Classificazione per durata di riservatezza, non per sensibilità generica: quanti anni quell’informazione resta compromettente.
3. Lista dei casi ad alto rischio secondo la soglia dei dieci anni, con stima di impatto e dipendenze esterne.
4. Adozione ibrida classico più post-quantistico dove le piattaforme la supportano, a partire dai casi della lista.
5. Spostamento della protezione sul file, così che la sostituzione successiva degli algoritmi sia un cambio di piattaforma e non un progetto da rifare.

L’orizzonte 2030-2035 non è una scadenza di calendario. È il momento in cui si scoprirà che cosa è stato copiato negli anni precedenti.

Domande frequenti

Che cos’è la crittografia quantum-safe?

La crittografia quantum-safe, detta anche post-quantistica, è l’insieme degli algoritmi progettati per restare sicuri anche di fronte a un calcolatore quantistico. Il NIST ne ha finalizzati i primi standard ad agosto 2024: FIPS 203 (ML-KEM, derivato da CRYSTALS-Kyber) per lo scambio di chiavi, FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA) per le firme digitali. Il termine indica una resistenza attesa sulla base delle conoscenze attuali, non una garanzia assoluta.

Qual è la differenza tra crittografia post-quantistica e crittografia quantistica?

La crittografia post-quantistica usa algoritmi classici, eseguibili su hardware ordinario, costruiti su problemi matematici che si ritengono difficili anche per un calcolatore quantistico: è il percorso standardizzato dal NIST con FIPS 203, 204 e 205. La crittografia quantistica, come la distribuzione quantistica delle chiavi, richiede invece hardware dedicato e infrastruttura ottica. Per una migrazione aziendale a dodici o ventiquattro mesi il riferimento praticabile è la crittografia post-quantistica.

Che cos’è un cryptographic risk assessment e da dove si parte?

È l’inventario delle operazioni crittografiche di un’organizzazione, unito alla mappa delle dipendenze tra applicazioni, piattaforme, fornitori e dati protetti. Si parte individuando dove avvengono cifratura e firma, con quali algoritmi, su quali dati e per quanti anni quei dati devono restare riservati, includendo librerie di terze parti, firmware e supply chain. È il presupposto di ogni piano di migrazione post-quantistica e la prima azione che le indicazioni europee chiedono di completare.

Quali dati vanno migrati per primi agli algoritmi post-quantistici?

Vanno migrati per primi i dati che devono restare riservati per almeno dieci anni: proprietà intellettuale e segreti industriali, dati clinici e sanitari, contratti e documentazione legale di lungo periodo, fascicoli KYC e antiriciclaggio, credenziali e chiavi a lunga persistenza. La tabella di marcia europea usa proprio la soglia dei dieci anni di riservatezza, insieme ai prodotti con vita attesa oltre il 2030, per definire i casi ad alto rischio.

Entro quando le organizzazioni europee devono completare la transizione post-quantistica?

La Raccomandazione (UE) 2024/1101 e la roadmap del gruppo di cooperazione NIS indicano tre tappe: avvio della transizione entro la fine del 2026, messa in sicurezza dei casi d’uso ad alto rischio entro la fine del 2030, estensione ai casi a rischio medio e completamento per quanti più sistemi possibile entro la fine del 2035. Dopo il 2030 i meccanismi a chiave pubblica vulnerabili non andrebbero più usati da soli.

Che cos’è l’agilità crittografica e perché conta nella migrazione?

L’agilità crittografica è la capacità di sostituire un algoritmo senza riprogettare le applicazioni che lo usano. Conta perché la transizione post-quantistica non è un passaggio unico: gli standard evolveranno ancora. Se la cifratura è una proprietà del canale, ogni cambio di algoritmo tocca ogni integrazione; se è una proprietà del dato, come in FileGrant, la piattaforma file-centric di CyberGrant, la sostituzione diventa un’operazione centralizzata di piattaforma.

Come si applica la cifratura quantum-safe ai file già presenti in SharePoint e OneDrive?

Connector di CyberGrant è l’estensione di FileGrant che cifra automaticamente i documenti dentro SharePoint e OneDrive senza migrazione: i file restano dove sono, gli utenti mantengono login e abitudini Microsoft, la cifratura è a conoscenza zero e copre anche i formati non Office che Microsoft Purview lascia scoperti. Connector si affianca a Microsoft 365, non lo sostituisce.