Varför nuvarande cybersäkerhet är sårbar
Nästan all digital kommunikation, från banktransaktioner och e-post till digitala ID-system, bygger på kryptografi som i grunden utnyttjar svårigheten i att faktorisera stora primtal eller lösa “det diskreta logaritmproblemet”. RSA och elliptisk kurvkryptografi (ECC) har i decennier utgjort fundamentet för public key infrastructure (PKI). En klassisk dator skulle behöva tusentals år för att knäcka dessa algoritmer – men med en tillräckligt kraftfull kvantdator kan samma problem i framtiden lösas på minuter.
Det betyder att den grund vi byggt vårt digitala förtroende på kan förlora sin bärighet. Och även om kvantdatorerna ännu inte har nått denna kapacitet vet vi att de kommer att göra det.
”Harvest now, decrypt later” – varför hotet är akut redan idag
Ett av de mest missförstådda inslagen i diskussionen är tidsdimensionen. Det är lätt att avfärda kvantdatorer som ett problem för nästa decennium. Men cyberaktörer har redan anpassat sig. Genom strategin harvest now, decrypt later samlas krypterad information in i dag, för att i framtiden kunna dekrypteras när tekniken gör det möjligt. Det gör att data med lång livslängd – exempelvis medicinska journaler, forskningsresultat, immateriella rättigheter och känslig kommunikation – redan är i riskzonen. Med andra ord: även om Q-day – dagen då kvantdatorer praktiskt kan bryta dagens kryptering – ligger tio, femton eller tjugo år bort, är hotet redan här. Den data som spelas in nu kan bli en guldgruva för framtida attacker.
Regulatoriska initiativ som förändrar spelplanen
De globala regulatoriska svaren understryker allvaret. USA:s Quantum Cybersecurity Preparedness Act kräver att federala myndigheter påbörjar övergången till post-kvantkryptografi. NIST har, efter åtta års arbete, presenterat fyra nya kvantresistenta algoritmer (tre för digitala signaturer och en för nyckelutbyte/kryptering) som redan håller på att valideras och implementeras i internationella standarder.
EU har publicerat en gemensam policy-roadmap – som en del av den bredare cybersäkerhetsstrategin och kopplad till NIS2-direktivet – som innebär att kritisk infrastruktur och högriskdata bör vara migrerad senast 2030. Storbritanniens NCSC har samtidigt tagit fram detaljerade tidslinjer som gör klart att organisationer måste påbörja sitt arbete nu för att inte hamna efter.
Budskapet är tydligt: övergången är inte frivillig. Den kommer att drivas fram av regulatoriska krav, och de organisationer som inte förbereder sig riskerar både juridiska och affärsmässiga konsekvenser.
De praktiska utmaningarna – mer än en teknisk uppdatering
Att byta krypteringsalgoritmer låter enkelt i teorin, men i praktiken är det ett av de största teknikskiften organisationer stått inför. Kryptering finns inbäddad i allt från affärskritiska applikationer och operativsystem till molnplattformar, API:er och leverantörskedjor.
Övergången innebär därför ett flerårigt projekt som rör hela ekosystemet. Prestandafrågor uppstår när nya algoritmer med längre nycklar implementeras. Äldre system kan sakna stöd för uppdaterade bibliotek. Under övergångsperioden krävs ofta hybridlösningar där klassiska och kvantresistenta metoder samexisterar. Och även kvantsäkra algoritmer är inte immuna mot hot – implementeringsfel eller side-channel-attacker kan skapa nya risker.
Det är just därför cybersäkerhetsexperter talar om behovet av crypto-agility: förmågan att snabbt kunna byta algoritm när standarder förändras eller nya sårbarheter upptäcks. Det handlar inte längre om att hitta en ”slutlig” lösning, utan om att bygga system som är förberedda på kontinuerlig anpassning.
Vad detta betyder för beslutsfattare
För CIO:er, CSCO:er och CTO:er innebär detta ett nytt strategiskt ansvar. Frågan om kvantdatorer och cybersäkerhet kan inte hanteras enbart i tekniska team – den hör hemma på ledningens agenda. Investeringar i digitalisering, molnmigrering och datahantering riskerar att undergrävas om krypteringsgrunden faller.
De beslut som tas nu avgör hur väl en organisation står rustad när kvantdatorerna når praktisk kapacitet. Att avvakta tills hotet är här är inget alternativ – eftersom det då redan är för sent. Den data som skulle behöva vara skyddad kommer redan vara exponerad.
Vägen framåt
Att förbereda sig för kvantdatorernas tid behöver framöver vara en integrerad del av hur företag och samhällen skyddar sitt förtroendekapital, sin immateriella egendom och sina affärsmodeller.
Det kräver riskanalyser för att förstå vilken data som är mest sårbar och längst livslängd. Det kräver planering och budgetering för en migration som kommer att sträcka sig över åratal. Och det kräver ett nära samspel mellan teknikledning, verksamhet och regulatoriska krav.
På HiQ ser vi att företag som tidigt börjar förbereda sig inte bara minskar sina risker – de stärker också sin position i en marknad där förtroende och cybersäkerhet blir allt mer differentierande. Hör av dig till oss så berättar vi mer.
