Il governo degli Stati Uniti anticipa la scadenza per la migrazione interna alla PQC dal 2035 al 2031

Il 22 giugno 2026, la Casa Bianca ha emanato l’Ordine Esecutivo 14409, intitolato «Proteggere la nazione dagli attacchi crittografici avanzati», anticipando la scadenza per la migrazione alla crittografia post-quantistica (PQC) dal 2035 al 2031. L’ordine va oltre le precedenti linee guida federali, fissando scadenze a breve termine e vincolanti e collegandole direttamente agli appalti federali. Di fatto, rende operativi gli standard PQC del NIST per il 2024 e li inserisce in una tempistica definita.

Cosa prevede concretamente il decreto esecutivo?

Le agenzie devono:

1. Effettuare la transizione di tutte le risorse di alto valore e dei sistemi ad alto impatto affinché utilizzino la PQC per la generazione delle chiavi entro il 31 dicembre 2030
2. Utilizzare la PQC per le firme digitali entro il 31 dicembre 2031

È importante precisare due aspetti:

In primo luogo, queste scadenze si applicano solo alle risorse di alto valore e ai sistemi ad alto impatto, e non a tutti i sistemi federali. I sistemi di sicurezza nazionale rimangono su un percorso separato sotto l’egida della NSA, con requisiti di rendicontazione indipendenti.

In secondo luogo, l’ordine non introduce una nuova crittografia. Esso codifica gli standard NIST esistenti:

• ML-KEM per la generazione delle chiavi
• ML-DSA e SLH-DSA per le firme digitali

Cosa succede ora: azioni immediate

L'ordinanza stabilisce un calendario di attuazione rapida:

• Entro 30 giorni: le agenzie devono nominare un responsabile della migrazione PQC che riferisca al CIO
• Entro 90 giorni: l’OMB deve richiedere l’inventario dei sistemi critici e piani di migrazione formali

Entro la fine del 2027: il NIST completerà una migrazione pilota che fungerà da modello.

Perché la sequenza è più importante delle date

Le due scadenze sono distanziate di un anno, ed è giusto che il decreto le separi. La generazione delle chiavi ha la priorità nel 2030, poiché la minaccia alla riservatezza è quella già in atto.

Il principio «Harvest now, decrypt later» (HNDL) rende l’impostazione delle chiavi una questione urgente. Una chiave di sessione protetta oggi dalla crittografia classica protegge dati che potrebbero dover rimanere segreti per dieci, venti o trent’anni. Se quel traffico viene intercettato e archiviato ora, la migrazione è già in ritardo.

Le firme digitali sono diverse. Una firma contraffatta è un attacco in tempo reale. Non è possibile contraffare retroattivamente un aggiornamento software distribuito nel 2026. È proprio per questo che le firme possono essere inserite per seconde. L’autenticazione è un evento di firma, ma anche un evento in tempo reale. L’ordine consiste nel sequenziare il lavoro in modo che il problema sfruttabile retroattivamente venga risolto per primo. Questa distinzione è importante, perché l’urgenza in questo caso è reale senza bisogno di esagerare ciò che chiunque sappia effettivamente sulle tempistiche quantistiche.

Perché la scadenza per il PQC è stata anticipata dal 2035 al 2031?

Chiariamo un punto. Lo spostamento non è indice di improvvisi progressi nel campo quantistico. Riflette invece tre realtà:

• Gli standard PQC sono ora definitivi
• I tempi di migrazione sono lunghi e complessi
• I dati sensibili superano già i tempi di vita crittografici sicuri

In altre parole, la politica non ha accelerato i tempi; ha semplicemente raggiunto i ritmi della matematica.

Come iniziare oggi stesso il percorso di migrazione verso la PQC

1. Crea un inventario crittografico: non puoi proteggere ciò che non vedi
2. Identificate i sistemi che contengono dati sensibili di lunga durata e assegnate loro la priorità
3. Sollecitate subito i vostri fornitori a garantire agilità crittografica e chiedete loro l’equivalente di una distinta base crittografica (CBOM)
4. Iniziate dalla generazione delle chiavi, dove il rischio HNDL è maggiormente concentrato
5. Considerate il 2031 come un orizzonte di pianificazione immediato

Iniziate oggi stesso il vostro percorso verso la crittografia post-quantistica (PQC) con una consulenza gratuita: https://www.sectigo.com/it/quantum-labs