Die EU-Roadmap für Post-Quanten-Kryptografie sieht vor, dass die Mitgliedstaaten bis Ende 2026 mit dem Übergang beginnen. Kritische Infrastrukturen sollen spätestens bis Ende 2030 auf quantenresistente Verfahren umgestellt sein. Das schreibt Andreas Baresel, CEO der Datagroup, in einem Gastbeitrag vom 2026-11-02. Für Unternehmen setzt die Roadmap derzeit keine unmittelbare Frist. Sie verlangt wegen der technischen Abhängigkeiten aber mehrere Jahre Vorlauf. Die im September 2026 veröffentlichte Auswertung der EU-Konsultation hebt den risikobasierten Ansatz, konkrete Umsetzungsschritte und Krypto-Agilität hervor. Das Risiko beginnt vor dem Q-Day, dem Tag, an dem ein ausreichend leistungsfähiger Quantencomputer verfügbar ist. Beim Verfahren „Harvest now, decrypt later“ speichern Angreifer verschlüsselte Daten heute und entschlüsseln sie später. Betroffen wären verbreitete asymmetrische Verfahren wie RSA und Verfahren auf Basis elliptischer Kurven. Sie sichern Schlüsselaustausch, digitale Signaturen und Identitäten. Mit heutigen Quantencomputern lassen sich diese Verfahren in praxisrelevanten Größen nicht brechen. So gehen Banken und Versicherer in fünf Schritten vor: 1. Krypto-Inventar anlegen. Es zeigt, wo Kryptografie eingesetzt wird und welche Anwendungen, Schnittstellen und Geschäftsprozesse davon abhängen. Zuerst kommen geschäftskritische Bereiche, sensible Daten und Systeme mit langer Restlaufzeit. 2. Schutzdauer der Daten und verbleibende Betriebsdauer der Systeme gemeinsam bewerten. Treffen langfristig schützenswerte Daten auf langlebige Systeme, steigt die Priorität. 3. Roadmaps von Herstellern und Providern einholen. Bei Standardsoftware, Netzwerkkomponenten und Cloud-Services bestimmen Unternehmen den Zeitpunkt der Umstellung nur begrenzt selbst. Kundenspezifische Anwendungen und externe Schnittstellen stellt der Hersteller nicht automatisch um. 4. Krypto-Agilität in der Architektur verankern: Algorithmen, Schlüssel und Zertifikate sollen ohne grundlegende Umbauten austauschbar sein. 5. Die Vorbereitung an ohnehin geplante Modernisierungen, Erneuerungen und Beschaffungen koppeln. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank gelingt der Einstieg am besten, wenn CISO und IT das Inventar gemeinsam mit den Fachbereichen aufbauen. Die Einordnung der Verantwortlichkeiten stammt von Qvestcon, nicht aus der Quelle. Der Beitrag nennt als Kernaussage: Entscheidend ist nicht die Wahl künftiger Verfahren, sondern wie migrationsfähig die bestehende IT ist.