NCSC-Workshop unterstreicht die Notwendigkeit einer koordinierten Migration zur Post-Quanten-Kryptografie

Das britische National Cyber Security Centre (NCSC), Vodafone und das National Cyber Advisory Board haben zu einer engeren Zusammenarbeit zwischen Regierung, Wirtschaft und Wissenschaft aufgerufen, während sich Organisationen auf die Einführung der Post-Quanten-Kryptografie (PQC) vorbereiten.

Diese Forderung wurde nach einem im Dezember 2025 abgehaltenen Migrations-Workshop laut, an dem Sicherheitsverantwortliche und Fachleute teilnahmen, die für Kryptografie und technologische Resilienz zuständig sind. Im Mittelpunkt der Veranstaltung standen der Austausch über praktische Herausforderungen und Vorgehensweisen. Die Teilnehmer betonten, dass keine Organisation den Übergang isoliert bewältigen kann.

Warum die Vorbereitungen jetzt beginnen müssen

Quantencomputer könnten künftig viele der derzeit zum Schutz von Netzwerken, Anwendungen und Daten eingesetzten Public-Key-Kryptosysteme gefährden. PQC-Algorithmen sollen Schutz vor Angriffen sowohl durch Quantencomputer als auch durch herkömmliche Computer bieten.

Das NCSC hat Meilensteine für die Migration veröffentlicht, darunter Zielvorgaben für 2028 und 2031. Auch wenn diese Termine noch weit entfernt erscheinen mögen, hat der Workshop gezeigt, dass komplexe Technologielandschaften, langlebige Hardware und Abhängigkeiten von Lieferanten bedeuten, dass die Bestandsaufnahme und Planung sofort beginnen sollten.

Unterstützung auf Vorstandsebene schaffen

Die Teilnehmer erklärten, dass eine Migration eher erfolgreich ist, wenn sie als Frage der geschäftlichen Resilienz und des Risikomanagements und nicht ausschließlich als technisches Upgrade dargestellt wird. Organisationen wurden dazu aufgefordert, einen verantwortlichen Sponsor auf Führungsebene zu benennen, die Kosten und Folgen einer Verzögerung zu erläutern und die PQC-Arbeiten mit bestehenden Prioritäten wie dem Austausch von Altsystemen, Compliance und einer umfassenderen Cyberresilienz zu verknüpfen.

Frühzeitige Vorbereitung kann die geschäftliche Begründung stärken. Dazu können die Identifizierung kritischer Systeme und sensibler Daten, die Bewertung von Abhängigkeiten in der Lieferkette und die Ermittlung derjenigen Anlagen gehören, deren Aktualisierung am längsten dauern wird. Eine schrittweise Roadmap mit klaren Meilensteinen, Finanzierungsanforderungen und erforderlichen Kompetenzen kann den Entscheidungsträgern anschließend ein praxisnahes Bild des Programms vermitteln.

Lieferketten sind Teil der Migration

Der Workshop identifizierte zudem die Bereitschaft der Lieferanten als zentrale Abhängigkeit. Organisationen sollten das Thema PQC frühzeitig mit ihren Anbietern besprechen, deren Migrationspläne verstehen und die Anforderungen bei Beschaffungsprozessen und Sicherheitsbewertungen klar formulieren.

Wo möglich, sollten PQC-Funktionen in reguläre Technologie-Erneuerungszyklen integriert werden. Produkte, die die relevanten Algorithmen unterstützen oder entsprechend aktualisiert werden können, können dazu beitragen, Unterbrechungen zu reduzieren und einen späteren kostspieligen, unter hohem Zeitdruck erfolgenden Übergang zu vermeiden.

Das NCSC erklärte, dass eine kontinuierliche Zusammenarbeit und der Austausch praktischer Erfahrungen entscheidend sein werden, wenn Organisationen Leitlinien in koordinierte Migrationspläne überführen.