FAQ · Datenschutz, Informationssicherheit und Notfallmanagement
Wie starten Banken und Versicherer die PQC-Umstellung?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
BMI, BMDS und BSI haben am 12.10.2026 die Leitlinie zur Umsetzung der EU-Roadmap für Post-Quanten-Kryptografie (PQC) veröffentlicht. Anwendungsfälle mit hohem Risiko sollen spätestens bis Ende 2030 umgestellt sein, die gesamte Umstellung soll bis 2035 weitgehend abgeschlossen sein. Die Leitlinie richtet sich auch an Unternehmen und Betreiber kritischer Infrastrukturen (KRITIS).
Für Vorstand, COO und CISO ist das ein Thema des Risikomanagements und der Dienstleistersteuerung. Die Leitlinie empfiehlt klare Verantwortlichkeiten mit verbindlichen Fristen, eine Bewertung des Quantenrisikos im Risikomanagement und die frühe Einbindung von Herstellern und Lieferketten, bei Banken und Versicherern also auch der IKT-Drittparteien. Der Startpunkt ist eine Bestandsaufnahme. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank beginnt die Umsetzung mit einer Übersicht, wo welche kryptografischen Verfahren laufen und welche Systeme das höchste Risiko tragen.
Kryptoagilität bedeutet, Verfahren und Schlüssellängen bei neuen Erkenntnissen zügig und kontrolliert austauschen zu können. Markus Junge empfiehlt, die Übersicht im ISMS zu führen und Architektur, Beschaffung und Risikomanagement darauf auszurichten.
In der Praxis
Erstellen Sie eine Übersicht aller eingesetzten kryptografischen Verfahren je System und kennzeichnen Sie die Systeme mit hohem Risiko, die bis Ende 2030 umzustellen sind.
- Der CISO benennt je System einen Verantwortlichen und einen verbindlichen Umstellungstermin.
- Das Quantenrisiko ist als eigener Punkt im Risikomanagement bewertet und der Geschäftsleitung berichtet.
- Das Vertragsmanagement fragt bei Herstellern und Dienstleistern den PQC-Stand ab und legt die Antworten mit Datum ab.
- Neue Beschaffungen verlangen den kontrollierten Austausch von Verfahren und Schlüssellängen.
Nachweis: Als Nachweis dienen die Kryptoübersicht mit Risikoeinstufung, die Terminliste mit Verantwortlichen und die abgelegten Lieferantenantworten.