Hva som ble publisert

NIS-samarbeidsgruppen publiserte 2. september 2026 resultatene fra en offentlig undersøkelse om «Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography». Undersøkelsen pågikk fra 11. august til 29. september 2025 og mottok 97 bidrag. Av disse ga 73 en samlet vurdering av dokumentet eller kommentarer til innholdet.

Hva respondentene verdsatte

Respondentene trakk særlig frem tydelige tidslinjer og milepæler, handlingsrettede tiltak, en risikobasert tilnærming, samsvar med global beste praksis og konsistente frister. Hybridtilnærminger og krypto-agilitet ble også vurdert som nyttige. Dette peker mot en overgang som må kunne håndtere både nye og eksisterende kryptografiske mekanismer.

FAQ-en

63 respondenter ba om nærmere avklaringer. Som svar utviklet NIS-samarbeidsgruppen en FAQ om estimering av kvantedatarisiko, milepæler, prioritering, hybridskjemaer, EUs rolle og nasjonale veikart. FAQ-en er dermed et presiserende samordningsdokument knyttet til veikartet, ikke en ny forordning eller en selvstendig pliktregel.

Tidslinjene må leses riktig

Kommisjonens omtale av veikartet sier at medlemsstatene, støttet av Kommisjonen, har fastsatt en tidsplan for å begynne overgangen til postkvantekryptografi. Planen sikter mot å starte overgangen innen utgangen av 2026 og ha høy-risiko-bruk over på løsninger som tåler kvanteangrep innen 2030. Disse milepælene uttrykker koordinering og forventet gjennomføring, ikke automatisk samme rettslige frist for alle virksomheter.

Konsekvenser for sikkerhetsarbeidet

Virksomheter bør kartlegge kryptografi, klassifisere data etter hvor lenge konfidensialitet er nødvendig og vurdere leverandøravhengigheter. Hybridordninger kan støtte gradvis migrering, mens krypto-agilitet gjør det mulig å bytte algoritmer, sertifikater og protokoller uten omfattende redesign. Testene bør dekke ytelse, interoperabilitet, nøkkelhåndtering, signaturvalidering og gjenoppretting.

EU og Norge

Dette var et EU-koordinert veikart og resultatet av en konsultasjon, ikke en direkte bindende norsk frist. Norge er EØS-land, men EU-målene kan ikke omtales som norsk lov eller som en automatisk gjennomføringsdato. Norske virksomheter bør samordne arbeidet med NSMs råd, sektorvise krav, kontrakter og risikoen knyttet til langvarig taushetsbehov.

Styret bør følge andel kartlagte kryptografiske avhengigheter, systemer som støtter algoritmebytte og leverandører med en testbar migreringsplan. Disse målene gjør veikartet operativt uten å fremstille det som norsk lov.

Kilder

Europakommisjonen: «EU Roadmap on Post-Quantum Cryptography – survey feedback», 2. september 2026.

NIS-samarbeidsgruppen: «Coordinated roadmap for transition to post-quantum cryptography», 23. juni 2025.

Til diskusjon

Hvilke systemer bør virksomheten prioritere dersom EU-milepælene brukes som styringssignal, men norske krav og egne risikovurderinger fortsatt bestemmer gjennomføringen?