Kvantesikker kryptografi: Derfor bør danske virksomheder begynde i 2026

Af Martin Schulze · 18. august 2026

EU har sat en tydelig retning for overgangen til kvantesikker kryptografi. Medlemsstaterne bør begynde overgangen inden udgangen af 2026, og kritisk infrastruktur bør være omlagt hurtigst muligt og senest ved udgangen af 2030. Det er ikke en generel lovfrist for alle danske virksomheder. Det er derimod et stærkt signal om, at forberedelsen ikke længere hører hjemme i en fjern teknologi plan.

Den praktiske opgave er større end at vælge en ny algoritme. Kryptering og digitale signaturer er bygget ind i identiteter, certifikater, VPN-forbindelser, softwareopdateringer, cloudtjenester, backup og leverandør integrationer. En sikker overgang kræver derfor overblik, prioritering og evnen til at udskifte kryptografiske mekanismer uden at bryde driften.

Kvantesikker kryptografi er også kendt som post-quantum cryptography eller PQC. Det er kryptografiske metoder, som er designet til at modstå angreb fra både klassiske computere og fremtidige, tilstrækkeligt kraftige kvantecomputere. Styrelsen for Samfundssikkerhed bruger netop denne definition i sin danske begrebsoversigt.

Truslen handler især om udbredt asymmetrisk kryptografi, som bruges til nøgleudveksling og digitale signaturer. En kvantecomputer, der er stærk og stabil nok, kan i fremtiden gøre dele af den nuværende beskyttelse utilstrækkelig. Ingen ved præcist, hvornår den kapacitet bliver praktisk tilgængelig, men migreringen kan tage mange år. Derfor er usikkerheden om tidspunktet ikke et godt argument for at vente.

Risikoen begynder før kvantecomputeren er klar

Fortrolige data kan blive opsnappet og gemt i dag med henblik på senere dekryptering. Denne risiko omtales ofte som “harvest now, decrypt later”. Den er mest relevant, når oplysninger skal forblive fortrolige i lang tid, eksempelvis produkt hemmeligheder, helbredsoplysninger, strategiske planer eller data om kritisk infrastruktur.

Digitale signaturer giver en anden udfordring. De skaber tillid til software, identiteter og transaktioner. Hvis organisationen ikke ved, hvor signatur mekanismer og certifikater bruges, kan en senere migration påvirke både sikkerhed, kompatibilitet og mulighed for at dokumentere autenticitet.

EU’s 2026-milepæl er et startsignal

EU’s roadmap er udarbejdet af NIS-samarbejdsgruppen som svar på Kommissionens anbefaling fra 2024. Den fælles tidslinje siger, at medlemsstaterne bør starte overgangen til PQC inden udgangen af 2026. Kritisk infrastruktur skal prioriteres og overgå hurtigst muligt, senest ved udgangen af 2030.

For en almindelig dansk virksomhed er den rigtige læsning ikke, at alle systemer skal være konverteret i år. Milepælen gør 2026 til et naturligt tidspunkt for at etablere styring: Hvilke oplysninger har lang fortroligheds periode? Hvor bruges kryptografi? Hvilke leverandører kontrollerer løsningen? Og kan systemerne skifte algoritmer uden en dyr total udskiftning?

Overblikket bør også omfatte systemer, der let bliver overset: langtids arkiver, offline-backup, maskin identiteter, kode- og dokument signering samt certifikater i netværksudstyr. Her kan levetiden være længere end den normale it-plan, og afhængigheden af en bestemt leverandør eller protokol kan gøre en senere ændring langsom. Prioriteringen bør derfor baseres på både data risiko, system kritikalitet og forventet udskiftningstid.

Standardisering og implementeringsvejledning udvikler sig fortsat. ENISA’s EUCC-side beskrev i 2026 en ny version af de aftalte kryptografiske mekanismer til offentlig høring og særskilt arbejde med hybridisering af klassisk og post-kvantekryptografi. Det understreger, at organisationer bør planlægge med ændringer og undgå at låse sig til én umoden løsning.

PQC er ikke det samme som kvantekommunikation

Post-quantum cryptography er softwarebaseret kryptografi, der kan indføres i almindelige it-systemer og protokoller, når produkter og standarder understøtter den. Quantum Key Distribution, QKD, bruger derimod kvantefysiske egenskaber til nøgleudveksling og kræver særlig infrastruktur. Begreberne løser ikke den samme praktiske opgave og bør ikke blandes sammen i indkøb eller risikovurderinger.

Kortlæg kryptografien. Registrér certifikater, nøgler, algoritmer og protokoller i egne systemer, cloud tjenester, enheder, backup, identitet løsninger og integrationer. Knyt hver forekomst til en systemejer og leverandør.

Prioritér efter dataenes levetid. Vurdér hvor længe fortrolighed og autenticitet skal holde. Langlivede, følsomme data og kritiske tjenester bør komme før information med kort levetid og lav konsekvens.

Stil konkrete leverandør spørgsmål. Bed om roadmap, understøttede standarder, migration mekanismer, testmuligheder og ansvar for certifikat- og nøgleudskiftning. Et løfte om at være “quantum ready” er ikke dokumentation.

Design for krypto agilitet. Nye løsninger bør kunne udskifte algoritmer og nøglelængder gennem kontrollerede opdateringer. Kravet hører hjemme i arkitektur, indkøb og Secure SDLC – ikke kun i sikkerheds teamets risikolog.

Test i afgrænsede miljøer. Begynd med systemer, hvor kompatibilitet, ydelse og rollback kan afprøves uden at påvirke kritisk drift. Dokumentér afhængigheder og læring, før ændringer skaleres.

Målet i 2026 er derfor ikke en dramatisk udskiftning af al kryptering. Det er at skabe et beslutningsgrundlag, der gør virksomheden i stand til at migrere kontrolleret, når standarder, produkter og risikobillede kræver det. Et opdateret kryptografisk inventar og klare leverandørkrav er den mest robuste begyndelse.