Il consiglio di amministrazione si chiede sempre la stessa cosa: quando arriverà il computer quantistico? Però è la domanda sbagliata, e porta a rinviare il problema. Quella giusta la pone chi ha in mano l’architettura: per quanti anni i dati che gestiamo oggi devono restare illeggibili a chi non è autorizzato a vederli?
Il Rapporto Clusit 03-2026 colloca fra il 2030 e il 2035 l’orizzonte di obsolescenza degli algoritmi di cifratura e firma attualmente in uso, e segnala che il rischio pesa già oggi anche in assenza di computer quantistici operativi, perché un avversario può accumulare dati cifrati fin da subito per decrittografarli quando la tecnologia sarà matura. Chi firma un contratto di fornitura decennale, conserva un fascicolo KYC o deposita un brevetto sta già producendo dati che quell’orizzonte lo attraversano per intero.
La crittografia quantum-safe, chiamata anche post-quantistica, è l’insieme degli algoritmi progettati per restare sicuri anche contro un calcolatore quantistico sufficientemente potente. Non è materia di ricerca: è materia di standard. Ad agosto 2024, dopo anni di valutazione pubblica, il NIST ha finalizzato i primi tre. FIPS 203 specifica ML-KEM, un meccanismo di incapsulamento delle chiavi derivato dall’algoritmo CRYSTALS-Kyber, destinato a sostituire gli schemi di scambio chiavi come RSA e Diffie-Hellman. FIPS 204 e FIPS 205 coprono le firme digitali, con ML-DSA (dal progetto CRYSTALS-Dilithium) e SLH-DSA (da SPHINCS+). La loro sicurezza poggia su problemi matematici, come quelli sui reticoli, ritenuti difficili anche per una macchina quantistica.
Un chiarimento di terminologia, perché nei capitolati fa la differenza. Quantum-safe e post-quantistico indicano una resistenza attesa sulla base delle conoscenze attuali, non una garanzia permanente. Chi scrive “quantum-proof” in una scheda prodotto sta promettendo una certezza che la matematica non ha rilasciato. ENISA raccomanda, dove possibile, un approccio ibrido che affianca algoritmi classici e post-quantistici, così da non dipendere da un solo schema mentre le nuove primitive vengono messe alla prova sul campo. Sul versante applicativo la transizione tocca per prima la condivisione dei file, e l’abbiamo descritta in dettaglio nella guida 2026 al post-quantum encrypted file sharing.
Il meccanismo è semplice e cambia il calcolo del rischio. Un attaccante copia flussi di traffico cifrato, mette da parte volumi di backup, conserva il dump di un database che oggi non riesce a leggere. Non gli serve la chiave adesso. Gli basta la ragionevole certezza che entro qualche anno esisterà uno strumento capace di rompere gli algoritmi a chiave pubblica su cui poggia gran parte dell’infrastruttura attuale.
La conseguenza è controintuitiva. Un dato che deve restare riservato sei mesi non corre quasi nessun rischio quantistico: quando la capacità di decifrarlo diventerà reale, avrà smesso di contare. Un dato che deve restare riservato dieci o vent’anni si trova nella posizione opposta, perché l’attaccante ha tutto il tempo di aspettare mentre il valore dell’informazione resta intatto.
C’è poi una differenza di scala che in sala riunioni viene quasi sempre confusa. Il ciclo di vita di una violazione, cioè il tempo tra compromissione e contenimento, il report IBM Cost of a Data Breach 2025 lo quantifica in 241 giorni di media, il valore più basso degli ultimi nove anni; le violazioni che superano i 200 giorni restano le più costose, con una media di 5,01 milioni di dollari contro un costo medio globale di 4,44 milioni. Quei numeri misurano la reattività delle difese. Il ciclo di vita del dato si misura invece in anni, e un archivio esfiltrato oggi e decifrato nel 2032 non ha una data di chiusura dell’incidente: la compromissione si manifesta quando ogni contromisura perimetrale ha smesso da tempo di essere rilevante.
Approfondimento: Il perimetro è già caduto
Prima dell’algoritmo viene l’inventario. È anche la prima cosa che le indicazioni europee chiedono di fare, e nella pratica è l’unica che permette di stimare costi e tempi con un margine credibile.
Un assessment crittografico utile risponde a quattro domande, in quest’ordine:
Il risultato è una mappa delle dipendenze tra applicazioni, prodotti, piattaforme e operazioni crittografiche, e l’ingresso formale della minaccia quantistica nel registro dei rischi. Senza questa base, qualsiasi piano di migrazione è una stima a occhio.
La transizione non si affronta a tappeto. L’ordine nasce dall’incrocio tra due variabili: quanto a lungo un dato deve restare riservato e quanto grave sarebbe la sua compromissione. La tabella di marcia europea offre una soglia operativa: vanno trattati come alto rischio i dati che devono restare riservati per almeno dieci anni e i prodotti con una vita attesa oltre il 2030.
Con questa lente la lista delle priorità resta stabile tra i settori:
Il tema è uscito dal perimetro tecnico ed è entrato in quello regolatorio, con date. La Raccomandazione (UE) 2024/1101 dell’11 aprile 2024 ha istituito una tabella di marcia per l’attuazione coordinata della transizione verso la crittografia post-quantistica, poi dettagliata dal gruppo di cooperazione NIS nella roadmap europea per la transizione alla PQC. Le tappe sono tre. Entro la fine del 2026 tutti gli Stati membri dovrebbero aver avviato la transizione, a partire da inventario e consapevolezza. Entro la fine del 2030 vanno messi in sicurezza i casi d’uso ad alto rischio e le infrastrutture critiche, con l’indicazione esplicita che i meccanismi a chiave pubblica vulnerabili non andranno più usati da soli oltre quella data. Entro la fine del 2035 la transizione dovrebbe estendersi ai casi a rischio medio e completarsi per quanti più sistemi possibile.
Le norme trasversali spingono nella stessa direzione senza nominare una tecnologia specifica. L’articolo 32 del GDPR chiede misure adeguate “tenendo conto dello stato dell’arte” e cita espressamente la cifratura: man mano che gli algoritmi post-quantistici diventano lo stato dell’arte, la soglia di ciò che è considerato adeguato si sposta. Nel settore finanziario, l’articolo 9 del Regolamento (UE) 2022/2554 (DORA) e le relative norme tecniche impongono controlli crittografici tarati sulla classificazione dei dati e sul rischio. La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, colloca all’articolo 21 le politiche sull’uso della crittografia tra le misure minime di gestione del rischio.
Approfondimento: Scadenza NIS2 31 ottobre 2026: cosa deve essere operativo
Qui si decide se la migrazione del 2030 sarà un progetto o un aggiornamento. Se la cifratura è una proprietà del canale o dell’ambiente, sostituire un algoritmo significa rimettere mano a ogni applicazione, ogni integrazione, ogni flusso. Se è una proprietà del dato, gestita in modo centralizzato, la sostituzione diventa un’operazione di piattaforma.
C’è un secondo effetto, più immediato. Un file cifrato in transito torna leggibile appena il canale viene decifrato a destinazione. Un archivio protetto a riposo perde ogni difesa nel momento in cui viene copiato altrove, e la copia è esattamente ciò che un attacco harvest now, decrypt later vuole ottenere. È lo stesso meccanismo che si vede nei breach di Booking, Eataly e Trenitalia: i dati erano protetti finché restavano dove erano previsti.
La protezione che regge nel tempo è quella che appartiene al dato e lo accompagna. Se un documento resta cifrato anche fuori dal perimetro, un’eventuale sottrazione consegna all’attaccante byte inutilizzabili, oggi come nel 2032.
FileGrant, la piattaforma file-centric di CyberGrant, cifra ogni documento alla creazione con algoritmi quantum-safe basati su CRYSTALS-Kyber (NIST FIPS 203) e mantiene la protezione attaccata al file per tutto il suo ciclo di vita, dentro e fuori la rete aziendale. È l’impianto che chiamiamo DLP file-centric, e per un CIO la conseguenza architetturale è questa: la cifratura smette di essere una proprietà di ciascuna applicazione e diventa un servizio di piattaforma, con chiavi a conoscenza zero, audit trail e revoca degli accessi che continuano a valere dopo che il file è stato condiviso con un fornitore o un consulente. Il deployment on-premise mantiene chiavi e dati sotto controllo diretto, che è il requisito con cui di solito si apre un capitolato sulla sovranità del dato.
Per i documenti che vivono già in Microsoft 365, Connector di CyberGrant è l’estensione che porta la stessa cifratura quantum-safe dentro SharePoint e OneDrive senza migrazione: i file restano dove sono, gli utenti mantengono login e abitudini Microsoft, e la cifratura copre anche i formati non Office che Microsoft Purview lascia scoperti. Connector si affianca allo stack Microsoft, non lo sostituisce.
Approfondimento: Come cifrare i file su SharePoint senza sostituirlo né migrare nulla
Cinque passi, nell’ordine in cui conviene metterli a budget.
L’orizzonte 2030-2035 non è una scadenza di calendario. È il momento in cui si scoprirà che cosa è stato copiato negli anni precedenti.
La crittografia quantum-safe, detta anche post-quantistica, è l’insieme degli algoritmi progettati per restare sicuri anche di fronte a un calcolatore quantistico. Il NIST ne ha finalizzati i primi standard ad agosto 2024: FIPS 203 (ML-KEM, derivato da CRYSTALS-Kyber) per lo scambio di chiavi, FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA) per le firme digitali. Il termine indica una resistenza attesa sulla base delle conoscenze attuali, non una garanzia assoluta.
La crittografia post-quantistica usa algoritmi classici, eseguibili su hardware ordinario, costruiti su problemi matematici che si ritengono difficili anche per un calcolatore quantistico: è il percorso standardizzato dal NIST con FIPS 203, 204 e 205. La crittografia quantistica, come la distribuzione quantistica delle chiavi, richiede invece hardware dedicato e infrastruttura ottica. Per una migrazione aziendale a dodici o ventiquattro mesi il riferimento praticabile è la crittografia post-quantistica.
È l’inventario delle operazioni crittografiche di un’organizzazione, unito alla mappa delle dipendenze tra applicazioni, piattaforme, fornitori e dati protetti. Si parte individuando dove avvengono cifratura e firma, con quali algoritmi, su quali dati e per quanti anni quei dati devono restare riservati, includendo librerie di terze parti, firmware e supply chain. È il presupposto di ogni piano di migrazione post-quantistica e la prima azione che le indicazioni europee chiedono di completare.
Vanno migrati per primi i dati che devono restare riservati per almeno dieci anni: proprietà intellettuale e segreti industriali, dati clinici e sanitari, contratti e documentazione legale di lungo periodo, fascicoli KYC e antiriciclaggio, credenziali e chiavi a lunga persistenza. La tabella di marcia europea usa proprio la soglia dei dieci anni di riservatezza, insieme ai prodotti con vita attesa oltre il 2030, per definire i casi ad alto rischio.
La Raccomandazione (UE) 2024/1101 e la roadmap del gruppo di cooperazione NIS indicano tre tappe: avvio della transizione entro la fine del 2026, messa in sicurezza dei casi d’uso ad alto rischio entro la fine del 2030, estensione ai casi a rischio medio e completamento per quanti più sistemi possibile entro la fine del 2035. Dopo il 2030 i meccanismi a chiave pubblica vulnerabili non andrebbero più usati da soli.
L’agilità crittografica è la capacità di sostituire un algoritmo senza riprogettare le applicazioni che lo usano. Conta perché la transizione post-quantistica non è un passaggio unico: gli standard evolveranno ancora. Se la cifratura è una proprietà del canale, ogni cambio di algoritmo tocca ogni integrazione; se è una proprietà del dato, come in FileGrant, la piattaforma file-centric di CyberGrant, la sostituzione diventa un’operazione centralizzata di piattaforma.
Connector di CyberGrant è l’estensione di FileGrant che cifra automaticamente i documenti dentro SharePoint e OneDrive senza migrazione: i file restano dove sono, gli utenti mantengono login e abitudini Microsoft, la cifratura è a conoscenza zero e copre anche i formati non Office che Microsoft Purview lascia scoperti. Connector si affianca a Microsoft 365, non lo sostituisce.