Suomen PQC-linjaukset muuttavat salauksen vaatimuksia

Suomen kansallinen kryptotyöryhmä on päivittänyt ohjeistuksensa: 1.1.2026 alkaen tuotteiden salaustarkastuksissa edellytetään kvanttiturvallisia avaintenmuodostusmenetelmiä (PQC KEM) ja kvanttiturvallisia allekirjoitusalgoritmeja tai selkeää riskiselvitystä niiden puuttuessa. Suosituksena on käyttää hybridimenetelmiä, eli yhdistää PQC-algoritmi klassiseen menetelmään varmistaen saumattoman siirtymän.

Miksi muutos koskettaa suomalaisia yrityksiä ja käyttäjiä?

Kvanttilaskennan kehittyessä perinteiset julkisen avaimen järjestelmät voivat tulla helposti haavoittuviksi. Muutos vaikuttaa erityisesti finanssi- ja julkishallinnon palveluihin, IoT-laitteisiin, ohjelmisto- ja laitepäivitysten autentikointiin sekä palveluntarjoajien avainhallintaan. Traficom on ilmoittanut julkaisevansa yksityiskohtaisempaa ohjeistusta PQC-siirtymästä, joten suomalaiset toimittajat ja viranomaiset voivat odottaa käytännön tukea.

Standardit ja hybridimenetelmät

PQC-standardeja kehitetään yhä kansainvälisesti ja monet suositellut käytännöt ovat luonnosvaiheessa. Hybridiratkaisuissa yhdistetään PQC KEM ja klassinen avaintenvaihto tai liitetään eri allekirjoitusten tulokset (konkatenaatio) niin, että kaikki komponentit tarkistetaan hyväksynnän edellyttämällä tavalla. Tarkempi ohjeistus avainten yhdistämisalgoritmeista ja standardoinnista julkaistaan myöhemmin.

Ajanjaksot ja vaatimusten aikataulu

Kansallinen suositus seuraa EU:n linjauksia: korkean riskin järjestelmien (myös ns. "harvest-now-and-decrypt-later" -uhkaan altistuvat) symmetriset avaimet ja ohjelmistopäivitysten autentikointi tulee muuttaa kvanttiturvallisiksi viimeistään vuoteen 2030 mennessä. Kaikkien julkisen avaimen menetelmien odotetaan olevan kvanttiturvallisia vuoteen 2035 mennessä.

Tuoteominaisuudet, vertailu ja edut

PQC-ratkaisuissa tuotteiden tärkeimpiä ominaisuuksia ovat: kvanttiturvallinen avaintenmuodostus (PQC KEM), kvanttiturvalliset allekirjoitukset, mahdollisuus hybridikonfiguraatioihin ja yhteensopivuus olemassa olevien protokollien kanssa. Verrattuna pelkkään klassiseen salaukseen, hybridimenetelmä tarjoaa lyhyellä aikavälillä parannettua turvallisuutta ilman suurta yhteensopivuusriskiä. Käytännössä tämä tarkoittaa parempaa suojaa pitkän arkistointiajan ja tulevaisuuden kvanttiuhkia vastaan.

Käyttötapaukset ja markkinavaikutus Suomessa ja Baltiassa

Suomalaisyritykset, julkinen sektori ja pilvipalvelutoimijat joutuvat arvioimaan tuotetarjontansa PQC-vaatimusten näkökulmasta. Myös alueellinen kilpailu on relevantti: Baltiassa, erityisesti Vilniussa ja Kaunassa (Kaune), kehitystä seuraavat startupit ja palveluntarjoajat voivat tarjota ratkaisuja, jotka vaikuttavat Lietuvos rinka -toimijoihin ja lietuviams liiketoimintamalleihin. Suomen markkinassa odotetaan sekä kotimaisten että kansainvälisten toimittajien tarjoavan suomenkielisiä dokumentaatioita ja tuotteita, jotta käyttöönotto onnistuu sujuvasti.

Suositukset suomalaisille organisaatioille

Arvioi nykyiset salauskomponentit, priorisoi korkean riskin järjestelmät PQC-migraatioon ja aloita pilottiprojektit hybridimenetelmillä. Seuraa Traficomin ohjeistuksia ja varmista, että ohjelmistopäivitysten allekirjoitus ja laitteiden avainhallinta päivitetään aikataulun mukaisesti.

Yhteenvetona: Suomen linjaukset vauhdittavat siirtymää kohti kvanttiturvallisia ratkaisuja. Yrityksille ja viranomaisille tämä on otettava huomioon tuotearvioinneissa, hankinnoissa ja riskienhallinnassa, jotta palvelut pysyvät turvallisina myös kvanttiajassa.