Die Verordnung zur Post-Quanten-Sicherheit

Der Übergang zur Post-Quanten-Kryptografie (PQC) gewinnt für die US-Regierung zunehmend an Bedeutung, da sich Organisationen auf die möglichen Auswirkungen des Quantencomputings auf aktuelle Verschlüsselungstechnologien vorbereiten. Am 22. Juni 2026 erließ das Weiße Haus die die Durchführungsverordnung 14412 mit dem Titel „Securing the Nation Against Advanced Cryptographic Attacks“, heraus, in der ein bundesweiter Ansatz für diesen Übergang dargelegt wird. 

Die Verordnung weist Bundesbehörden an, besonders wertvolle Vermögenswerte (High Value Assets, HVAs) und Systeme mit hoher Auswirkung für die Umstellung auf Post-Quantum-Kryptografie zu identifizieren und zu priorisieren, und legt gleichzeitig Fristen für die Einführung von Post-Quantum-Schutzmaßnahmen für Schlüsselgenerierung und digitale Signaturen fest. Durch vorgeschlagene Änderungen der Beschaffungsvorschriften des Bundes hat sie zudem Auswirkungen auf Auftragnehmer der Bundesregierung. Für Regierungsbehörden und Organisationen, die Aufgaben des Bundes unterstützen, bietet die Verordnung einen klareren Fahrplan zum Verständnis kryptografischer Risiken, zur Priorisierung von Systemen und zur Vorbereitung auf den Übergang zur Post-Quantum-Kryptografie. 

Die Public-Key-Kryptografie bildet die Grundlage für viele der Sicherheitsinstrumente, auf die sich Behörden und kritische Infrastrukturen tagtäglich verlassen. So tragen beispielsweise die RSA- und die Kryptografie mit elliptischen Kurven (ECC) dazu bei, Folgendes zu sichern: 

• Wichtige Einrichtung 

• Authentifizierung 

• Digitale Signaturen 

• Zertifikate und Public-Key-Infrastruktur (PKI) 

• Sichere Kommunikation 

Die Herausforderung besteht darin, dass Quantencomputer letztendlich einige dieser Schutzmaßnahmen untergraben könnten. Noch bevor dies geschieht, könnten heute verschlüsselte sensible Informationen gesammelt und gespeichert werden, um sie später, wenn die Quantenfähigkeiten weiter voranschreiten, zu entschlüsseln. 

Die Durchführungsverordnung 14412 gibt Bundesbehörden einen klareren Rahmen für die Vorbereitung auf dieses Risiko vor – von der Ermittlung vorrangiger Systeme über die Zuweisung der Zuständigkeiten für die PQC-Migration bis hin zur Planung des Übergangs. Für Auftragnehmer der Bundesregierung werden die Auswirkungen davon abhängen, wie die vorgeschlagene FAR-Regelung letztendlich ausgestaltet wird. Die vorgeschlagenen Änderungen könnten neue Anforderungen im Zusammenhang mit PQC mit sich bringen, weshalb die Entwicklungen im Beschaffungsprozess der Bundesregierung aufmerksam verfolgt werden sollten. 

Der Übergang zur Post-Quanten-Kryptografie erfordert eine Abstimmung zwischen Regierungsbehörden, Organisationen für Cybersicherheit und Normung, Beschaffungsstellen sowie Akteuren im Bereich kritischer Infrastrukturen. Die Verordnung weist diesen Gruppen Aufgaben in den Bereichen Migrationsplanung, technische Beratung, Bundesbeschaffung und Vorbereitung auf die Post-Quanten-Kryptografie zu. 

Migrationsanforderungen der Bundesbehörde 

Die Verordnung legt für die Bundesbehörden einen klaren Zeitplan für den Start fest. Innerhalb von 30 Tagen muss jede Behörde einen PQC-Migrationsbeauftragten benennen, der ihr Kryptografie-Inventar überwacht, die Migrationsmaßnahmen koordiniert und einen nach Prioritäten geordneten Plan ausarbeitet. 

Innerhalb von 90 Tagen muss das OMB Leitlinien herausgeben, in denen die Behörden angewiesen werden, ihre besonders wertvollen Vermögenswerte (HVAs) und Systeme mit hoher Auswirkung zu überprüfen, wobei Systeme der nationalen Sicherheit davon ausgenommen sind. 

Bei der Planung der Umstellung einer Behörde müssen folgende Punkte berücksichtigt werden: 

• Bestehende kryptografische Technologien und Abhängigkeiten 

• HVAs und Systeme mit hohen Auswirkungen, die einer vorrangigen Bewertung bedürfen 

• Wichtige Mechanismen der Etablierung 

• Mechanismen für digitale Signaturen 

• Prioritäten im Bereich Migration und Umsetzungspläne 

• Übereinstimmung mit den geltenden NIST-Standards und den Vorgaben der Bundesregierung 

Die Verordnung legt zwei wesentliche Fristen auf Bundesebene im Bereich Migration fest: 

• 31. Dezember 2030 – Umstellung von HVAs und Systemen mit hoher Auswirkung auf PQC zur Etablierung von Schlüsselelementen 

• 31. Dezember 2031 – Umstellung von HVAs und Systemen mit hoher Auswirkung auf PQC für digitale Signaturen 

NIST, CISA und die Koordinierung auf Bundesebene 

Die Verordnung bringt mehrere Bundesbehörden zusammen, um den Übergang zu PQC zu unterstützen. NIST, CISA, NSA, OMB und der Nationale Cyber-Direktor haben jeweils die Aufgabe, die Behörden bei der Planung des Übergangs, der Einschätzung der Risiken und der Einführung geeigneter Sicherheitsmaßnahmen zu unterstützen. 

Das NIST wird in Zusammenarbeit mit der CISA und der NSA Leitlinien zur Umsetzung von PQC und zum Umgang mit den mit dem Übergang verbundenen Risiken bereitstellen. Die CISA und das NIST werden zudem Leitlinien für eine „Cryptographic Bill of Materials“ (CBOM) entwickeln, die Organisationen einen klareren Überblick über die in ihrer Hardware und Software integrierte Kryptografie verschaffen soll. 

Ein CBOM kann Unternehmen dabei helfen, den Überblick über folgende Aspekte zu behalten: 

• Kryptografische Algorithmen 

• Kryptografische Bibliotheken 

• Zertifikate 

• Protokolle 

• Hardware- und Software-Abhängigkeiten 

• Kryptografische Module 

Der Erlass sieht außerdem vor, dass das NIST ein Pilotprojekt zur Umstellung auf PQC für eine ausgewählte Gruppe seiner Informationssysteme durchführt. Ziel ist es, praktische Erfahrungen mit der Umstellung zu sammeln und die daraus gewonnenen Erkenntnisse als Orientierung für umfassendere Umstellungsbemühungen auf Bundesebene zu nutzen. 

Bundesweite Beschaffungsvorschriften 

Die Verordnung richtet sich auch an Auftragnehmer der Bundesregierung. Innerhalb von 180 Tagen muss der FAR-Rat einen Regelungsentwurf veröffentlichen, der die betroffenen Auftragnehmer verpflichtet, bis zum 31. Dezember 2030 die geltenden NIST-FIPS-Standards einzuhalten, einschließlich FIPS-Standards, die PQC-konforme Algorithmen enthalten. Die Verordnung sieht außerdem vor, dass die Anforderungen an Auftragnehmer zur Offenlegung von Sicherheitslücken innerhalb von 270 Tagen aktualisiert werden. Diese Aktualisierungen würden die Meldung kryptografischer Sicherheitslücken sowie die Identifizierung von Systemen betreffen, die keine Verschlüsselung aufweisen oder nicht von der FIPS zugelassene Algorithmen verwenden. 

Die praktischen Auswirkungen der Verordnung unterscheiden sich je nach Bundesbehörde, Auftragnehmer und Betreiber kritischer Infrastrukturen. 

Bundesbehörden 

Die Bundesbehörden müssen klare Zuständigkeiten für die Umstellung auf PQC festlegen und sich ein detailliertes Bild von den Systemen machen, die unter die Anordnung fallen. 

Zu den wichtigsten Prioritäten gehören: 

• Identifizierung von HVAs und Systemen mit hoher Auswirkung 

• Überprüfung bestehender kryptografischer Bestände 

• Identifizierung der wichtigsten Mechanismen zur Verbindungsherstellung und zur digitalen Signatur 

• Erstellung von Migrationsplänen 

• Bewertung von Technologie- und Lieferantenabhängigkeiten 

• Anpassung der Migrationsmaßnahmen an die NIST-Standards und die Vorgaben der Bundesregierung 

Der Migrationsprozess geht über einzelne Algorithmen hinaus. Die Behörden müssen verstehen, wie Kryptografie in Anwendungen, Infrastruktur, Zertifikate, Sicherheitsmodule, Kommunikationsprotokolle und andere Systeme integriert ist. 

Bundesauftragnehmer 

Für Auftragnehmer des Bundes besteht die unmittelbare Priorität darin, die vorgeschlagenen Änderungen am Rahmenwerk für das öffentliche Beschaffungswesen des Bundes zu verstehen. 

Organisationen, die Bundesaufträge abwickeln, sollten Folgendes prüfen: 

• Bestehende kryptografische Algorithmen und Module 

• Abhängigkeiten von NIST FIPS 

• An Kunden des Bundes gelieferte Software und Hardware 

• Kryptografische Komponenten von Drittanbietern 

• Prozesse zur Zertifikats- und Schlüsselverwaltung 

• Verfahren zur Offenlegung von Sicherheitslücken 

• Technologie-Roadmaps und geplante Produktaktualisierungen 

Die Beobachtung des FAR-Regelungsprozesses wird von großer Bedeutung sein, da die Bundesregierung von den durch die Durchführungsverordnung festgelegten Leitlinien hin zu durchsetzbaren Beschaffungsvorschriften übergeht. 

Organisationen mit kritischer Infrastruktur 

Für Organisationen mit kritischer Infrastruktur sieht die Verordnung einen anderen Weg vor. Anstatt die gleichen bundesweiten Migrationsfristen vorzuschreiben, weist die Verordnung die für das Risikomanagement zuständigen Behörden der einzelnen Sektoren sowie die CISA an, Eigentümer und Betreiber bei der Planung der Umstellung auf PQC zu unterstützen. 

Unternehmen können diesen Planungsprozess nutzen, um zu ermitteln, in welchen Bereichen Kryptografie folgende Funktionen unterstützt: 

• Systemrelevante Dienstleistungen 

• Betriebstechnik 

• Sichere Kommunikation 

• Identitäts- und Zugriffssysteme 

• Vertrauliche Informationen 

• Vernetzte Infrastruktur 

Systeme mit langen Erneuerungszyklen oder komplexen technologischen Abhängigkeiten erfordern unter Umständen besondere Aufmerksamkeit, da kryptografische Änderungen die Interoperabilität, Verfügbarkeit, Leistung und Betriebskontinuität beeinträchtigen können. 

Der Übergang zur Post-Quanten-Ära rückt bereits zu einer Planungspriorität für Organisationen, die die Bundesregierung unterstützen. Die Durchführungsverordnung 14412 gibt den Behörden einen klareren Zeitplan für den Einstieg vor, während vorgeschlagene Änderungen im Beschaffungswesen neue Anforderungen für Auftragnehmer der Bundesregierung mit sich bringen könnten. 

Behörden können damit beginnen, vorrangige Systeme zu ermitteln und Verantwortlichkeiten für die Migration zuzuweisen. Auftragnehmer können ihre Technologie- und Lieferantenabhängigkeiten überprüfen und gleichzeitig die Entwicklungen hinsichtlich der FAR-Vorschrift verfolgen. Für beide Seiten kann ein klarer Überblick über die aktuelle kryptografische Umgebung dazu beitragen, den Übergang zu PQC zu vereinfachen, sobald die Migration beginnt. 

Die ersten Vorbereitungen können sich auf Folgendes konzentrieren: 

• Erstellung eines aktuellen Kryptografie-Bestandsverzeichnisses 

• Ermittlung von Systemen, die auf Public-Key-Kryptografie basieren 

• Priorisierung von HVAs und Systemen mit hoher Wirkung 

• Bewertung von Lieferanten- und Technologieabhängigkeiten 

• Bewertung von PQC und hybriden Implementierungsoptionen 

• Planung von Änderungen bei der Zertifikats- und Schlüsselverwaltung 

• Verfolgung der geltenden Bundesnormen und regulatorischen Entwicklungen 

Ein klarer Überblick über die bestehende kryptografische Umgebung bietet Unternehmen eine solidere Grundlage, um Prioritäten bei der Migration zu setzen, betriebliche Abhängigkeiten zu verwalten und sich auf bundespolitische Anforderungen vorzubereiten.