Hvem berøres av kvantetrusselen?

To spørsmål avgjør hastigheten

For hver virksomhet er det to enkle spørsmål som avgjør hvor tidlig du bør begynne:

1. Hvor lenge må dataene dine være hemmelige? Jo lengre, desto større risiko fra harvest now, decrypt later.
2. Hvor lenge lever produktene og systemene dine, og kan de oppdateres? Utstyr du ikke kan oppdatere må enten leveres med post-kvante-kryptografi nå eller byttes ut.

Finans og bank

Hvorfor: Mye finansiell informasjon har lang levetid, og sektoren er avhengig av tillit i signaturer, betalingsnettverk og identitet. Sektoren er også sterkt regulert, og for finans stiller DORA (i Norge gjennomført som DORA-loven fra 1. juli 2025) krav til IKT-risikostyring, inkludert kryptografiske kontroller.

Typisk eksponering: TLS mot kunder og partnere, betalingsterminaler, HSM-er, kortutstedelse, interbank-meldinger, digitale signaturer på avtaler, kodesignering.

Første steg: Inventar over HSM-er og PKI, og krav til kortnettverk og leverandører om støtte for post-kvante-algoritmer.

Helse og omsorg

Hvorfor: Helseopplysninger og genetiske data er fortrolige livet ut. Det gjør sektoren til en typisk risiko for HNDL. Mye medisinsk utstyr har dessuten lang levetid og begrenset mulighet for oppdatering.

Typisk eksponering: Utveksling mellom sykehus, fastleger og registre, fjernaksess, medisinsk utstyr (pacemakere, pumper, bildediagnostikk), biobanker.

Første steg: Prioriter nettverk der pasientdata går mellom organisasjoner. Still krav om kryptoagilitet i utstyrsanskaffelser.

Offentlig forvaltning

Hvorfor: Forvaltningen forvalter data som må bevares i tiår (folkeregister, skatt, sak og arkiv) og leverer digital identitet og signaturer som resten av samfunnet bygger på.

Typisk eksponering: Portaler, autentisering og eID, arkiver, fellesløsninger og sertifikatinfrastruktur, e-post og dokumentsignering.

Første steg: Etabler eierskap og kartlegg fellesløsninger. Følg veiledning fra NSM, og se regelverk og frister.

Energi, vann og annen kritisk infrastruktur

Hvorfor: Styringssystemer (OT) har levetid på 15–30 år og oppdateres sjelden. Konsekvensene av å miste integritet i signaler og kommandoer er alvorlige.

Typisk eksponering: SCADA og fjernstyring, firmware-oppdateringer, signaturer på kommandoer, VPN mellom anlegg, smarte målere.

Første steg: Sørg for at nytt utstyr støtter oppdaterbar kryptografi og kan verifisere post-kvante-signerte oppdateringer (LMS, XMSS eller ML-DSA).

Telekom og nettverk

Hvorfor: Telekom bærer trafikken som kan høstes, og leverer kryptografi i SIM-kort, signalering og tilgangsnett. Utskiftingssyklusene er lange.

Typisk eksponering: Kjernenett, IPsec mellom noder, SIM- og eSIM-infrastruktur, abonnentautentisering.

Første steg: Hybrid IPsec/IKEv2 for lenker mellom noder, og leverandørkrav til radio- og kjernenettutstyr.

Programvare, sky og SaaS

Hvorfor: Dere velger kryptografien kundene deres bruker. Dere kan oppgradere hurtig, men har avhengigheter i hele stakken.

Typisk eksponering: TLS, API-signaturer (JWT), kodesignering, tokens, lagringskryptering og nøkkelhåndtering (KMS), biblioteker i tredjepartskode.

Første steg: Lag et kryptografisk inventar (CBOM) for produktet, og tilby hybrid TLS som standard.

Industri, bil og maskinvare

Hvorfor: Produkter som selges i dag kan være i drift i 15–20 år. Firmware verifiseres mot en innebygd offentlig nøkkel som kanskje ikke kan byttes.

Typisk eksponering: Sikker oppstart (secure boot), over-the-air-oppdateringer, kjøretøyidentitet, IoT-enheter, smartkort.

Første steg: Legg inn støtte for post-kvante-signaturer i bootloaderen i nye produkter, helst hashbasert (LMS eller XMSS), og la oppdateringsmekanismen kunne rotere nøkler.

Jus, revisjon og arkiv

Hvorfor: Dokumenter og signaturer må kunne verifiseres i flere tiår. Tidsstempling og langtidsarkivering er spesielt utsatt.

Første steg: Vurder fornyet tidsstempling og signaturer med post-kvante-algoritmer for dokumenter som skal ha bevisverdi lenge.

Små virksomheter og privatpersoner

Du slipper det meste av arbeidet ved å velge oppdaterte produkter og tjenester. Hold nettleser, operativsystem og apper oppdatert, bruk VPN- og meldingstjenester som kommuniserer om post-kvante-støtte, og still spørsmål til leverandører av alt du binder deg til i mange år.

Vanlige spørsmål

Må alle virksomheter gjøre noe nå?

Alle bør vite hvor de bruker kvantesårbar kryptografi og ha en plan. Den tyngste jobben ligger hos dem med langlivede data eller langlivet utstyr.

Er små virksomheter berørt?

Ja, men oftest gjennom leverandørene sine. Å velge oppdaterte produkter og følge leverandørenes veikart er i hovedsak nok.