La crittografia che oggi protegge connessioni Internet, firme digitali e accessi ai sistemi aziendali ha una data di uscita dagli standard statunitensi. Dal 2031 il NIST considererà deprecati RSA, ECDSA, EdDSA e gli schemi tradizionali di scambio delle chiavi vulnerabili ai computer quantistici; dopo il 2035 non ne ammetterà più l’impiego per gli usi disciplinati dai suoi standard. È la novità della versione definitiva di Transition to Post-Quantum Cryptography Standards (NIST IR 8547), pubblicata il 27 ottobre 2026 dal National Institute of Standards and Technology.
Per alcuni sistemi federali degli Stati Uniti i tempi sono ancora più stretti: entro il 31 dicembre 2030 dovranno essere protetti con algoritmi post-quantistici i meccanismi di scambio delle chiavi; entro il 31 dicembre 2031 le firme digitali. Il rapporto fornisce così indicazioni concrete anche a produttori di software, fornitori cloud e imprese che devono programmare aggiornamenti destinati a durare anni. Le date americane hanno un perimetro preciso e non si trasformano automaticamente in obblighi per le imprese italiane.
La fretta si spiega con un rischio che precede l’arrivo dei computer quantistici capaci di violare gli algoritmi attuali. Un aggressore può registrare oggi traffico cifrato e tentare di leggerlo in futuro, quando disporrà della potenza di calcolo necessaria: è il modello harvest now, decrypt later. Una cartella sanitaria, un segreto industriale o una comunicazione istituzionale possono avere valore riservato anche fra dieci o quindici anni. Proteggerli dopo che sono stati intercettati sarebbe troppo tardi.
La nuova guida trasforma questo rischio in un programma di sostituzione, ma prevede scadenze diverse secondo la sensibilità dei sistemi e il tipo di funzione crittografica. La distinzione aiuta a capire che cosa deve essere fatto prima e quali componenti potranno seguire una migrazione più lunga.
Crittografia post-quantistica: le scadenze da distinguere
| Quando | Perimetro | Che cosa cambia |
|---|---|---|
| Fine 2026 | Unione europea | Avvio raccomandato della transizione negli Stati membri |
| 31 dicembre 2030 | Sistemi federali USA più sensibili | Adozione di meccanismi post-quantistici per lo scambio delle chiavi |
| Entro il 2030 | UE, casi ad alto rischio | Obiettivo della roadmap per la protezione delle infrastrutture e dei casi prioritari |
| 31 dicembre 2031 | Sistemi federali USA più sensibili | Adozione di firme digitali post-quantistiche |
| Dopo il 2030 | Standard NIST, impieghi ordinari | Algoritmi asimmetrici vulnerabili classificati come deprecated |
| Dopo il 2035 | Standard e linee guida NIST | Uso degli algoritmi asimmetrici vulnerabili disallowed per le finalità previste |
Fonti: NIST IR 8547, ottobre 2026; Commissione europea, roadmap PQC. Le date USA non sono scadenze generali per il settore privato italiano.
Indice degli argomenti
Perché RSA e le curve ellittiche diventano vulnerabili
I sistemi digitali usano la crittografia a chiave pubblica per due operazioni distinte: mettere d’accordo due interlocutori su una chiave segreta e dimostrare chi ha firmato un messaggio o un software. Per decenni RSA, Diffie-Hellman e la crittografia a curva ellittica hanno reso queste operazioni sicure contro i computer convenzionali. Un computer quantistico sufficientemente potente potrebbe invece usare l’algoritmo di Shor per risolvere i problemi matematici su cui si basa la loro sicurezza.
Prendiamo una connessione protetta con TLS, il protocollo usato dai siti web e da molti servizi cloud. Il browser e il server si scambiano informazioni pubbliche per ricavare una chiave di sessione, che serve poi a cifrare i dati con un algoritmo simmetrico, spesso AES. Se lo scambio iniziale dipende da un meccanismo vulnerabile ai computer quantistici, un attaccante che ne conserva la registrazione potrebbe ricostruire in futuro quella chiave e decifrare il traffico catturato oggi. È questo il punto sul quale diventa urgente intervenire.
Il quadro cambia per la crittografia simmetrica. Il NIST non prevede di sostituire AES e le principali funzioni hash nell’ambito della migrazione post-quantistica: gli algoritmi simmetrici approvati con parametri adeguati sono molto meno esposti agli attacchi quantistici oggi conosciuti. Il problema prioritario riguarda la crittografia asimmetrica impiegata per scambiare le chiavi e generare firme, non la sostituzione indiscriminata di ogni algoritmo presente nei sistemi aziendali.
Per le firme il calendario tecnico è diverso. Il rischio di leggere domani una comunicazione intercettata oggi riguarda soprattutto la riservatezza; la falsificazione quantistica di una firma diventerebbe praticabile quando esistesse un computer capace di violarne l’algoritmo. La migrazione richiede comunque molto anticipo, perché certificati, dispositivi e sistemi di verifica possono restare in servizio per anni senza possibilità di aggiornamento.
I tre standard da adottare e gli algoritmi da sostituire
Il NIST aveva già pubblicato nell’agosto 2024 i primi tre standard post-quantistici. Il rapporto del 27 ottobre 2026 chiarisce dove devono prendere il posto degli schemi tradizionali e come programmare la convivenza dei due mondi durante la transizione. Le funzioni sono differenti: un algoritmo destinato allo scambio delle chiavi non sostituisce una firma digitale.
Da quali algoritmi partire nella migrazione
| Funzione | Schemi vulnerabili | Standard post-quantistico |
|---|---|---|
| Scambio delle chiavi | RSA, Diffie-Hellman, ECDH e altri schemi basati su logaritmi discreti | FIPS 203 – ML-KEM |
| Firma digitale | RSA, ECDSA, EdDSA | FIPS 204 – ML-DSA; FIPS 205 – SLH-DSA |
| Cifratura simmetrica | AES con parametri adeguati non rientra tra gli algoritmi da abbandonare | Mantenimento degli standard simmetrici approvati |
Fonte: NIST IR 8547, sezioni 2 e 4, e standard FIPS 203, 204 e 205 (2024).
ML-KEM serve a stabilire in modo sicuro una chiave condivisa; ML-DSA e SLH-DSA verificano l’autenticità e l’integrità delle informazioni firmate. Per ML-KEM il NIST raccomanda la configurazione ML-KEM-768 come opzione predefinita, ritenendo che offra un margine di sicurezza elevato a un costo di prestazioni ragionevole. L’istituto ha selezionato anche HQC come futura alternativa, ma il relativo standard è ancora in preparazione: non va presentato come già approvato al pari di ML-KEM.
Le sigle individuano le soluzioni matematiche, mentre il lavoro delle aziende è soprattutto nei prodotti che dovranno utilizzarle. OpenSSL e altre librerie, moduli hardware di sicurezza, certificati, sistemi di autenticazione, client VPN e firme del firmware sono componenti collegati fra loro. La modifica di un protocollo può richiedere aggiornamenti di server e client, nuove dimensioni di chiavi e firme, verifiche di prestazioni e compatibilità con i sistemi meno recenti.
Il NIST descrive per questo anche la possibilità di configurazioni ibride, nelle quali lo scambio delle chiavi combina un algoritmo tradizionale e uno post-quantistico nella stessa operazione. L’obiettivo è mantenere la protezione se uno dei due componenti dovesse rivelarsi debole. Il rapporto avverte però che l’approccio comporta complessità ingegneristica, costi di calcolo e necessità di test indipendenti. Far convivere due algoritmi in connessioni separate, invece, non equivale a una configurazione ibrida.
Il punto più delicato per le imprese: trovare tutta la crittografia nascosta
Una grande organizzazione conosce spesso i certificati dei propri siti pubblici, ma ha meno visibilità sulla crittografia incorporata in gateway, software gestionali, apparati industriali e servizi acquistati da terzi. È qui che la migrazione rischia di bloccarsi: un singolo componente non aggiornabile può impedire di sostituire un algoritmo lungo un’intera catena di comunicazione. Un dispositivo progettato oggi per restare in funzione fino agli anni Quaranta, per esempio, potrebbe conservare per tutta la sua vita un sistema di verifica delle firme vulnerabile.
Il National Cybersecurity Center of Excellence del NIST propone di partire da un inventario crittografico che associ algoritmi, protocolli, certificati e librerie ai singoli servizi, alle applicazioni e ai dati protetti. Deve comprendere anche componenti IT e OT, pipeline di sviluppo software e dipendenze dai fornitori: gli strumenti automatici di discovery possono rilevare l’uso di certi protocolli di rete, ma non sempre la crittografia incorporata all’interno dei prodotti.
Dal censimento discende la priorità. Le comunicazioni che trasportano dati destinati a rimanere riservati per molti anni devono essere esaminate prima, perché potrebbero essere intercettate e archiviate già oggi. Seguono i sistemi che proteggono funzioni critiche, gli apparati difficili da sostituire, la firma degli aggiornamenti software e le infrastrutture di certificazione. Un piano utile deve indicare per ogni dipendenza il responsabile, il fornitore, la disponibilità di una versione compatibile e la data prevista di sostituzione o dismissione.
Il passo successivo riguarda gli acquisti. Nei capitolati per VPN, cloud, apparati di rete, HSM e software con lunghi cicli di vita diventa essenziale chiedere quali algoritmi post-quantistici siano supportati, quando arriveranno e come potranno essere aggiornati. Anche un prodotto già compatibile va verificato nell’architettura effettiva, per evitare guasti di interoperabilità o peggioramenti delle prestazioni nelle applicazioni più sensibili. La versione aggiornata a giugno 2026 del documento NIST Considerations for Achieving Crypto Agility definisce questa capacità di cambiare algoritmi senza interrompere i servizi crypto-agility.
Europa e Italia: la transizione è già iniziata, con regole proprie
Le scadenze del NIST hanno un impatto commerciale anche oltre gli Stati Uniti, perché interessano fornitori e catene tecnologiche internazionali. Per gli operatori italiani il calendario di riferimento resta però quello europeo, definito nella roadmap coordinata adottata dagli Stati membri nel giugno 2025 su impulso della Commissione. La raccomandazione è di avviare la transizione entro la fine del 2026 e di completare entro il 2030 la protezione dei casi ad alto rischio e delle infrastrutture prioritarie.
Il documento europeo è una roadmap di coordinamento, da cui non deriva automaticamente una scadenza legislativa identica per tutte le aziende. Le autorità stanno precisando criteri di rischio, soluzioni ibride e priorità nazionali: la Commissione ha pubblicato nel settembre 2026 i risultati di una consultazione con 97 contributi, accompagnata da chiarimenti sulle modalità di migrazione. Il lavoro di standardizzazione e attuazione prosegue quindi mentre le organizzazioni iniziano a pianificare gli investimenti.
In Italia l’Agenzia per la cybersicurezza nazionale ha aggiornato l’11 giugno 2026 le proprie linee guida sulle funzioni crittografiche, aggiungendo documenti sulle firme digitali e sui cifrari a flusso e aggiornando le indicazioni per TLS alla versione 2.0, con attenzione alle soluzioni post-quantistiche. Nel settembre 2026 l’ACN ha inoltre partecipato alla posizione congiunta del G7, documentata in Preparing for the Post-Quantum Era: A Call to Action, che invita settore pubblico e privato ad avviare la migrazione.
Questi indirizzi si innestano su responsabilità di sicurezza già previste dal diritto europeo e italiano. La direttiva NIS2 include le politiche sull’uso della crittografia fra le misure di gestione del rischio; per il settore finanziario, il regolamento delegato DORA 2024/1774, articolo 6, richiede una politica documentata sui controlli crittografici, costruita sulla classificazione dei dati e sulla valutazione del rischio. La legge italiana 90/2024, articolo 9, dispone inoltre verifiche sul rispetto delle linee guida crittografiche per le strutture e i soggetti specificamente richiamati dalla norma. Queste disposizioni non fissano per tutti una data generale di passaggio ai tre standard PQC, ma rendono rilevanti la conoscenza degli algoritmi impiegati e la valutazione documentata dei rischi.
Per un’impresa italiana la decisione concreta può arrivare ben prima del 2030: rinnovare oggi un contratto cloud pluriennale, installare un gateway VPN con lunga vita utile o acquistare un dispositivo industriale senza percorso di aggiornamento significa scegliere quanto sarà onerosa la transizione nei prossimi anni.
La guida NIST dà una direzione tecnica e scadenze precise per i suoi standard; l’adempimento più urgente per molte organizzazioni è capire dove si trova la crittografia vulnerabile, quali dati protegge e chi potrà sostituirla.
Partecipa alla community