Referanse
Regelverk og frister for kvantemigrasjon
Hvilke frister myndighetene har satt, og hvor du finner gjeldende veiledning i Norge.
Oversikt over frister
| Myndighet | Dokument | Hovedpunkter |
|---|---|---|
| NIST (USA) | IR 8547 (endelig, okt. 2026; utkast nov. 2024) | Kvantesårbare offentlig-nøkkel-algoritmer frarådes etter 2030 og er ikke tillatt etter 2035. Utkastet fra 2024 gjaldt bare algoritmer med 112 bits sikkerhet (som RSA-2048) for 2030-fristen. Ifølge sekundærkilder har den endelige versjonen i tillegg føderale frister: 31. desember 2030 for nøkkelutveksling og 31. desember 2031 for signaturer i de mest kritiske amerikanske systemene. |
| NSA (USA) | CNSA 2.0 | Krav til nasjonale sikkerhetssystemer. Blant annet signering av programvare og firmware skal bruke post-kvante-algoritmer innen omtrent 2030, nettlesere, servere og skytjenester innen omtrent 2033, og hele overgangen innen 2035. |
| EU | Koordinert veikart (juni 2025) | Første steg innen utgangen av 2026 (fristen nærmer seg): inventar, nasjonale planer og pilotprosjekter. Høyrisikobruk innen 2030. Så mange systemer som mulig innen 2035. |
| NCSC (Storbritannia) | Veiledning for migrasjon (mars 2025) | 2028: definer mål, kartlegg og lag plan. 2031: gjennomfør de viktigste migrasjonene. 2035: fullfør. |
| BSI (Tyskland) og ANSSI (Frankrike) | Tekniske anbefalinger | Anbefaler hybrid, altså klassisk og post-kvante sammen, i overgangsperioden. |
Selv om dokumentene skiller seg i detaljer, er hovedbildet det samme: start nå, gjennomfør de viktigste migrasjonene innen 2030–2031, og vær ferdig innen 2035. Hold deg til primærkildene for gjeldende ordlyd. Lenker finnes under kilder.
Hva gjelder i Norge?
Så langt vi kjenner til finnes det ingen norsk lov som setter en datofrist for kvantemigrasjon. Det betyr ikke at det er uten føringer:
- NSM (Nasjonal sikkerhetsmyndighet) oppfordrer alle virksomheter til å imøtekomme kvantetrusselen innen 2030, anbefaler kvanteresistent kryptografi (PQC) og fraråder kvantenøkkeldistribusjon (QKD). NSM har også en veileder om kvantemigrasjon. Sjekk nsm.no for gjeldende veiledning. Virksomheter som er underlagt sikkerhetsloven bør vurdere dette som en del av sin sikring.
- Risikostyring og sikkerhetsregelverk. NIS2-direktivet krever blant annet retningslinjer for bruk av kryptografi og kryptering som del av risikostyringen. NIS2 er etter våre kilder per november 2026 ikke gjennomført i norsk rett. Regjeringen har ifølge sekundærkilder sagt at direktivet skal gjennomføres ved endringer i digitalsikkerhetsloven, som gjennomfører det første NIS-direktivet. Kvantetrusselen er en forutsigbar risiko som en god risikovurdering vil fange opp.
- Personvern. GDPR krever «egnede tekniske tiltak» ut fra risiko og teknologiens stand. For personopplysninger med lang levetid kan det bli vanskelig å forsvare klassisk nøkkelutveksling når alternativet finnes.
- Finanssektoren. DORA stiller krav til IKT-risikostyring og kryptografiske kontroller i finanssektoren. I Norge er DORA gjennomført ved DORA-loven og tilhørende forskrift, som trådte i kraft 1. juli 2025.
- Anskaffelser. Offentlige og private kunder begynner å stille krav om post-kvante-støtte, og leverandører som ikke har en plan risikerer å falle ut.
Regelverket utvikler seg raskt. Denne siden er oppdatert som angitt øverst. Verifiser alltid mot gjeldende kilder før du bruker informasjonen i en risikovurdering.
Hva betyr fristene for planleggingen din?
Fordi migrasjon ofte tar fem til ti år i store virksomheter, må de tidlige fristene tas som startskudd, ikke som sluttdato:
- 2026–2027: eierskap, kryptografisk inventar, risikovurdering og leverandørkrav.
- 2027–2030: hybrid nøkkelutveksling i eksterne og interne forbindelser, post-kvante-signaturer i nye produkter og firmware.
- 2030–2035: utfasing av kvantesårbare algoritmer, rotering av langlivede sertifikater og nøkler.
Vanlige spørsmål
Hva er NIST IR 8547?
NIST Interagency Report 8547, «Transition to Post-Quantum Cryptography Standards», beskriver hvordan og når kvantesårbare algoritmer skal fases ut i NIST-standardene. Utkastet kom i november 2024, og den endelige versjonen ble publisert i oktober 2026.
Hva er CNSA 2.0?
Commercial National Security Algorithm Suite 2.0 er NSAs krav til algoritmer i amerikanske nasjonale sikkerhetssystemer, med frister for overgang til post-kvante-algoritmer.
Finnes det norske krav?
Det finnes etter vår kunnskap ingen norsk lovfestet frist for kvantemigrasjon, men NSM oppfordrer virksomheter til å møte kvantetrusselen innen 2030, og risikostyringskrav i sikkerhets-, digitalsikkerhets- og sektorregelverk omfatter kryptografi. Sjekk gjeldende veiledning.