新聞

德國政府正式提出後量子密碼學（Post-Quantum Cryptography，PQC）的國家遷移時程與方向。10月12日，德國聯邦內政部（BMI）、數位化與國家現代化部（BMDS）及聯邦資訊安全辦公室（BSI）共同公布PQC遷移指引，承接歐盟2025年發布的PQC轉型路線圖，進一步訂出德國國內的準備工作與遷移時程。

首個重點時程落在2026年底，依據該指引，當地組織應在此之前完成PQC遷移的初步準備與規畫，包括：建立使用中的密碼元件清冊（cryptographic inventory），並掌握相關元件的內外部相依關係；同時可利用密碼資產盤點工具、程式碼儲存庫掃描及CBOM等方式協助盤點，作為後續量子風險評估與遷移排序的基礎。初始密碼清冊應在2026年底前完成，後續持續更新。

在後續時程上，德國沿用歐盟PQC Roadmap的風險分級做法。高風險應用應儘早開始轉換，並最晚於2030年底完成；中等風險應用則以2035年底前完成為目標，其他應用也應盡可能在2035年前完成遷移。

除了時程，文件也特別強調密碼敏捷性（crypto-agility）。指引中要求組織在系統架構、採購流程與風險管理上保留調整彈性，當出現新的研究成果或威脅情勢改變時，能快速且在受控的狀態下，更換密碼演算法或相關設定。換言之，PQC遷移不只是將現有RSA或ECC替換成特定PQC演算法，也必須考量未來再次調整密碼機制的能力。