Zusammenfassung

  • Das Migrationsziel 2031 gilt für kritische Informationsinfrastrukturen; die Empfehlung bis 2035 richtet sich an weitere Organisationen, die einem Quantenrisiko ausgesetzt sind.
  • Zuerst müssen anfällige Kryptografie in Systemen, bei Lieferanten und in betrieblichen Abhängigkeiten gefunden, Verantwortliche benannt und Ersatzlösungen getestet werden.

Singapurs Zeitplan für den Schutz vor Quantenrisiken beginnt mit einer weniger sichtbaren Aufgabe als der Auswahl eines Algorithmus: Organisationen müssen herausfinden, wo Kryptografie zum Bestandteil des laufenden Betriebs geworden ist.

Am 14. Oktober empfahl die Cyber Security Agency of Singapore (CSA) betroffenen Organisationen, bis Ende 2027 einen Migrationsplan vorzulegen und die Migration bis 2035 abzuschließen. Das ist eine Empfehlung für exponierte Organisationen, keine allgemeine gesetzliche Frist. Für kritische Informationsinfrastrukturen (CII) gilt nach den im Juni veröffentlichten Vorgaben ein engerer Zeitplan: Betreiber sollen ihre Pläne bis zum 31. März 2027 bei der zuständigen Sektorstelle einreichen, die Migration bis zum 31. Dezember 2031 abschließen und bei CII-Beschaffungen ab dem 1.

Januar 2028 Post-Quanten-Kryptografie unterstützen oder bis 2031 dafür bereit sein.

Diese Abgrenzung ist wichtig. Unternehmen außerhalb des CII-Rahmens sollten 2031 nicht als ihre gesetzliche Frist behandeln. Der spätere Horizont bis 2035 macht die Bestandsaufnahme trotzdem nicht optional. CSA empfiehlt, betroffene Systeme und Daten zu identifizieren, Verantwortliche festzulegen, die Produktpläne der Lieferanten zu prüfen und Kompatibilität sowie Leistung zu testen.

Die Schwierigkeit liegt in den Abhängigkeiten. Kryptografie kann in Protokollen, Industrieanlagen, Managed Services oder zugelieferten Komponenten stecken, ohne als eigener Beschaffungsposten aufzutauchen. Langfristig vertrauliche Daten haben einen anderen Zeithorizont als ein Dienst, der rasch ersetzt werden kann. Ein Inventar, das nur interne Code-Repositories erfasst, kann daher gerade die Komponenten übersehen, die die Reihenfolge der Migration bestimmen.

Die Beschaffungsvorgabe für CII macht daraus eine Governance-Frage. Spezifikationen und belastbare Lieferantennachweise müssen vor dem letzten Migrationsfenster vorliegen. Geklärt werden muss auch, wer Integrationskosten trägt und ob sich eine Änderung ohne Dienstunterbrechung zurücknehmen lässt. Eine Roadmap des Herstellers ist noch kein getesteter Upgrade-Pfad.

CSA hält einen kryptografisch relevanten Quantencomputer in fünf bis zehn Jahren für möglich, betont aber die Unsicherheit. Das ist ein Planungsszenario, kein bestätigter Termin und kein Nachweis, dass heutige Systeme bereits gebrochen wurden. NIST hat 2024 drei Post-Quanten-Standards verabschiedet. Sie geben Beschaffern ein gemeinsames Ziel, lösen aber keine lokalen Kompatibilitäts- oder Altgeräteprobleme.

Der Quantum-Safe Kickstarter Grant kann begrenzte Pilotprojekte nichtstaatlicher, in Singapur gegründeter Organisationen fördern. Er übernimmt bis zu 70 Prozent der förderfähigen Kosten; mindestens 30 Prozent müssen als Eigenmittel in bar aufgebracht werden. Die Laufzeit beträgt höchstens sechs Monate. Der Abschlussbericht soll Methode, Ergebnisse und Einschränkungen erläutern. Ein Pilot kann Integrationskosten oder Inkompatibilitäten aufdecken, aber nicht die gesamte IT-Landschaft zertifizieren.

Die unmittelbare Bereitschaft zeigt sich also nicht an der Zahl der Projekte mit dem Etikett „quantensicher“. Entscheidend ist, ob eine Organisation gefährdete Systeme, zuständige Personen, fehlende Lieferantennachweise und die Tests benennen kann, die eine Inbetriebnahme rechtfertigen.

Quellen