Kvanteberegning og datasikkerhed: hvilke juridiske regler gælder?

Ingen hollandsk eller europæisk lov regulerer kvanteberegning som sådan. Det, der gælder, er den eksisterende lov om informationssikkerhed, og den rejser et konkret spørgsmål: Vil de sikkerhedsforanstaltninger, I træffer i dag, stadig være tilstrækkelige, når data, der krypteres nu, kan dekrypteres senere? Den primære undtagelse er eksportkontrol og investeringsscreening, som indeholder specifikke regler for kvanteteknologi.

Tre forpligtelser gælder allerede. Artikel 32 i den generelle forordning om databeskyttelse (GDPR, på hollandsk AVG ) kræver sikkerhedsforanstaltninger, der tager hensyn til den nyeste teknologi. Det er en bevægelig standard, ikke en fast, og den dækker også data, der skal forblive fortrolige i årevis, såsom lægejournaler, personalefiler og juridiske arkiver. Den hollandske cybersikkerhedslov ( Cyberbeveiligingswet ), som implementerer EU's NIS2-direktiv, kræver, at organisationer i de udpegede væsentlige og vigtige sektorer styrer risiciene for deres netværk og informationssystemer og gør ledelsesorganet ansvarligt for at godkende disse foranstaltninger. For finansielle enheder tilføjer loven om digital operationel robusthed (DORA, forordning (EU) 2022/2554) sine egne krav om kryptografisk kontrol og tredjepartsrisiko.

Den praktiske risiko er ikke, at nogen dekrypterer din trafik i dag. Det er, at krypterede data opsnappes og lagres nu for at blive dekrypteret, når funktionen er tilgængelig. For data med en lang fortrolighedsperiode gør det migreringen til postkvantekryptografi til en aktuel opgave snarere end et fremtidigt projekt. Internationale standarder for disse algoritmer er blevet offentliggjort og er ved at blive vedtaget.

Kvanteteknologi bringer også eksportkontrol og investeringsscreening i spil. Visse kvanteprodukter er varer med dobbelt anvendelse i henhold til europæiske eksportkontrolregler, og investeringer i hollandske virksomheder, der er aktive inden for kvanteteknologi, kan blive underlagt en sikkerhedsscreening.

Hvorfor rejser kvantecomputere juridiske spørgsmål om datasikkerhed?

Fordi en tilstrækkelig kraftig kvantecomputer kunne bryde den kryptering, som en stor del af nutidens databeskyttelse er afhængig af. Loven nævner ikke kvantecomputere, men det kræver sikkerhed, der matcher risiciene.

Den samme kraft skaber et sikkerhedsproblem. Den offentlige nøglekryptering, der beskytter en stor del af vores digitale kommunikation, fra netbank til digitale signaturer, er afhængig af matematiske problemer, som almindelige computere ikke kan løse på nogen praktisk tid. En tilstrækkelig stor og stabil kvantecomputer kunne løse nogle af disse problemer. Hvornår en sådan computer vil eksistere, er usikkert, men risikoen tages alvorligt af regeringer og sikkerhedstjenester.

Hvad er den centrale juridiske udfordring?

Udfordringen er at beskytte følsomme data mod en fremtidig trussel med de juridiske værktøjer, der findes i dag. Disse værktøjer er åbne standarder såsom 'state of the art' og 'passende foranstaltninger'.

Enhver juridisk tilgang skal håndtere en række hensyn:

• Beskyttelse af eksisterende data: Angribere kan i dag indsamle krypterede data og gemme dem, indtil de kan dekryptere dem. Dette kaldes 'høst nu, dekrypter senere'.
• Nye standarder: Organisationer skal overgå til postkvantekryptografi (PQC), nye krypteringsmetoder designet til at modstå angreb fra både almindelige computere og kvantecomputere.
• Ansvar: Hvis et databrud opstår, fordi krypteringen var forældet, er spørgsmålet, hvem der er ansvarlig: organisationen, dens leverandør eller begge dele.
• Innovation: Regler må ikke unødvendigt hindre forskning i og brugen af ​​kvanteteknologi.

Hvordan truer kvanteberegning moderne kryptering?

Kvantecomputere kan effektivt løse de matematiske problemer, som offentlig nøglekryptering er baseret på. Symmetrisk kryptering, såsom AES med lange nøgler, anses for at være langt mindre sårbar.

Hvorfor er kryptografi med offentlig nøgle sårbar?

Offentlig-nøgle-kryptografi er afhængig af problemer som faktorisering af meget store tal. En kvantecomputer kunne løse disse problemer på kort tid.

Dette system ligger til grund for sikre websteder (HTTPS), VPN-forbindelser, e-mail-kryptering og digitale signaturer. Dets styrke ligger i sværhedsgraden af ​​visse matematiske problemer, såsom at faktorisere meget store tal til primtal eller diskret logaritme. For en almindelig computer ville det tage upraktisk lang tid at løse disse problemer for de anvendte nøglestørrelser.

En tilstrækkelig kraftfuld kvantecomputer kunne løse disse problemer effektivt. Symmetrisk kryptering, såsom AES, er påvirket i mindre grad: længere nøgler, såsom AES-256, anses generelt for tilstrækkelige. De juridiske rammer for datasikkerhed skal derfor primært fokusere på public-key-systemer.

Hvad er Shors algoritme?

Shors algoritme, udgivet i 1994, er en kvantealgoritme, der effektivt kan faktorisere store tal. På en stor, stabil kvantecomputer ville den bryde de mest anvendte offentlige nøglesystemer, såsom RSA og elliptisk kurvekryptografi.

Hvad er truslen 'høst nu, dekrypter senere'?

Angribere kan indsamle krypterede data i dag og dekryptere dem senere, når kvantecomputere er kraftige nok. Data, der skal forblive fortrolige i mange år, er derfor allerede i fare.

Dette truer primært oplysninger, der skal forblive fortrolige i lang tid, såsom:

• Stats- og forsvarshemmeligheder med fortrolighedsperioder på årtier.
• Intellektuel ejendomsret af virksomheder, såsom forretningshemmeligheder og forskningsdata.
• Følsomme personlige datasåsom medicinske og biometriske data.
• Finansielle og juridiske optegnelser som skal opbevares sikkert af juridiske og lovgivningsmæssige årsager.

Hvordan forbereder Holland sig på kvanteteknologi?

Holland investerer i kvanteteknologi gennem et nationalt program og har offentliggjort praktisk vejledning til migrering til postkvantekryptografi. Der findes ikke specifik hollandsk lovgivning om kvanteberegning.

Det nationale program Quantum Delta NL samler regeringen, universiteter og virksomheder. Det bygger på den nationale dagsorden for kvanteteknologi fra 2019 og modtager finansiering fra blandt andet den nationale vækstfond ( Nationaal Groeifonds ). Programmet dækker kvanteberegning, kvantenetværk og kvantemåling og lægger vægt på de sociale og etiske aspekter af teknologien. Dette er politiske valg, ikke retsregler, der binder virksomheder.

Hvad gøres der ved postkvantekryptografi?

Den hollandske regering har udgivet en PQC-migrationshåndbog, og organisationer rådes til at begynde at forberede sig nu. Overgangen tager år, så ventetid øger risikoen.

I 2023 udgav den generelle efterretnings- og sikkerhedstjeneste (AIVD), forskningsorganisationen TNO og Centrum Wiskunde & Informatica (CWI) en PQC-migrationshåndbog. Den giver organisationer praktiske trin til at forberede sig på overgangen, startende med en oversigt over den kryptografi, de bruger.

Budskabet er, at overgangen til PQC ikke er et fjernt, teoretisk problem, men en opgave, som organisationer skal planlægge nu, fordi det tager år. Dette stemmer overens med det europæiske NIS2-direktiv, som kræver højere cybersikkerhedsstandarder for essentielle og vigtige enheder, og som er blevet implementeret i Holland af cybersikkerhedsloven. Organisationer, der er omfattet af denne lov, skal vurdere deres risici, herunder risiciene for deres kryptografi.

Hvilke europæiske regler former kvantedatasikkerhed?

GDPR, NIS2-direktivet, DORA og Cyber ​​Resilience Act kræver alle sikkerhed, der matcher risiciene og den aktuelle teknologi. Sammen med EU's køreplan for PQC skubber de organisationer mod kvantesikker kryptering.

Hvordan gælder GDPR i en kvanteverden?

GDPR nævner ikke kvanteberegning, men den er teknologineutral. Pligten til at træffe passende sikkerhedsforanstaltninger, der afspejler den aktuelle teknologi, dækker også kvanterisikoen.

To bestemmelser er centrale. Artikel 25 i GDPR kræver databeskyttelse gennem design og databeskyttelse gennem standardindstillinger : organisationer skal fra starten integrere tekniske sikkerhedsforanstaltninger for personoplysninger i nye processer. Artikel 32 i GDPR kræver passende tekniske og organisatoriske foranstaltninger, der tager hensyn til det aktuelle tekniske niveau, omkostningerne og risiciene. Efterhånden som post-kvantestandarder modnes, vil "state of the art" i stigende grad betyde brug af kvantesikker kryptering til personoplysninger, der skal forblive fortrolige i lang tid. En organisation, der ikke planlægger denne overgang, risikerer, at dens sikkerhed ikke længere vil blive betragtet som tilstrækkelig. Læs mere om disse principper i vores vejledning til den generelle forordning om databeskyttelse.

Hvis utilstrækkelig sikkerhed fører til et databrud, kan organisationen være nødt til at anmelde det til den hollandske databeskyttelsesmyndighed inden for 72 timer (artikel 33 i GDPR). Myndigheden kan pålægge bøder på op til 20 millioner euro eller 4 % af den globale årlige omsætning, og berørte personer kan kræve erstatning i henhold til artikel 82 i GDPR.

Hvilke nye EU-regler skubber organisationer mod kvanteparathed?

NIS2-direktivet, DORA og Cyber ​​Resilience Act pålægger bredere cybersikkerhedsforpligtelser. Ingen af ​​dem foreskriver specifikke kvantesikre algoritmer, men alle kræver risikobaseret sikkerhed, der tager højde for den nyeste teknologi.

Udover GDPR styrker tre EU-instrumenter cybersikkerhedsforpligtelserne uden at nævne kvantesikre standarder:

• Lov om cybermodstandsdygtighed (CRA, forordning (EU) 2024/2847): Denne forordning fastsætter cybersikkerhedskrav for produkter med digitale elementer, såsom forbundne enheder og software. Producenter skal indbygge sikkerhed i deres produkter og håndtere sårbarheder. Rapporteringsforpligtelserne gælder fra den 11. september 2026, og de fleste andre forpligtelser fra den 11. december 2027. CRA foreskriver ikke kvantesikker kryptering, men den kræver sikkerhed, der er passende i forhold til risiciene.
• NIS2-direktivet: Dette direktiv udvider cybersikkerhedsforpligtelser til en bred vifte af væsentlige og vigtige enheder, såsom energi, sundhedsvæsen og digital infrastruktur. Det kræver risikostyring, herunder politikker for kryptografi og kryptering (artikel 21) og rapportering af væsentlige hændelser. I Holland er det implementeret ved cybersikkerhedsloven.
• DORA: Siden den 17. januar 2025 skal finansielle enheder have en ramme for IKT-risikostyring, der omfatter politikker for kryptering og kryptografisk kontrol, og de skal styre risiciene hos deres IKT-leverandører.

Disse regler viser en klar retning. Overgangen til kvantesikker kryptering er endnu ikke et eksplicit juridisk krav, men for organisationer med langsigtede fortrolige data følger det i stigende grad af den generelle pligt til at træffe passende, avancerede foranstaltninger.

Hvordan er nuværende og forventede overholdelsesstandarder i forhold til hinanden?

Tabellen sammenligner den nuværende tilgang med, hvad der sandsynligvis kan forventes, når post-kvantestandarder er etableret. Højre kolonne beskriver den forventede udvikling, ikke den gældende lovgivning.

Hvad er den europæiske tilgang til kvantesikker sikkerhed?

EU koordinerer overgangen til PQC med en henstilling fra Kommissionen af ​​11. april 2024 og en køreplan fra juni 2025. Køreplanen sigter mod at beskytte højrisikosystemer senest i 2030.

For at forhindre en fragmenteret tilgang arbejder EU på en koordineret overgang. Den 11. april 2024 vedtog Europa-Kommissionen en henstilling om en køreplan for koordineret implementering af overgangen til postkvantekryptografi. På dette grundlag offentliggjorde medlemsstaterne, støttet af Kommissionen, en køreplan den 23. juni 2025. Den fastsætter, at medlemsstaterne skal påbegynde overgangen inden udgangen af ​​2026, at højrisikosystemer, såsom kritisk infrastruktur, beskyttes med PQC senest inden udgangen af ​​2030, og at så mange systemer som praktisk muligt følger efter inden 2035.

Køreplanen er en politisk forpligtelse, ikke en bindende lov. Men den viser, hvad regulatorer og tilsynsmyndigheder forventer, og den vil sandsynligvis påvirke, hvordan de åbne standarder i GDPR, NIS2 og DORA fortolkes.

I juli 2025 vedtog Kommissionen også en kvantestrategi for Europa, og dens arbejdsprogram for 2026 bebuder et lovforslag til en kvantelov. På tidspunktet for skrivningen er en sådan lov ikke EU-lovgivning; tjek den aktuelle status, før du støtter dig til den.

Hvordan forbereder man sig på kvantesikkerhedsoverholdelse?

Start med en opgørelse over din kryptografi, vurder derefter hvilke data og systemer der er mest udsatte, og migrer i faser. Målet er kryptoagilitet: at kunne erstatte algoritmer hurtigt.

Målet er kryptoagilitet : evnen til hurtigt at erstatte dine kryptografiske metoder, når nye trusler eller standarder opstår. Processen starter med ét spørgsmål: Hvor er du mest sårbar? Brug kravene i GDPR og, hvor det er relevant, NIS2 og DORA som din ramme.

Fase 1: Hvordan laver man en kryptografisk opgørelse?

Du kortlægger al kryptografi, som din organisation bruger, inklusive i software og enheder fra leverandører. Uden det overblik kan du ikke prioritere.

Se ud over dine primære servere. Inventaret bør dække:

• Data under overførsel: Hvordan er dine e-mail-, VPN- og cloud-forbindelser sikret?
• Data i hvile: Hvilken kryptering beskytter dine databaser, sikkerhedskopier og bærbare computere?
• Indlejrede systemer: kryptografi i tredjepartssoftware, tilsluttede enheder og netværksudstyr.
• Ældre systemer: Gamle applikationer indeholder ofte forældet og sårbar kryptering.

Tjek også dine kontrakter. Aftaler med IT-leverandører og cloud-udbydere bør forpligte dem til at give oplysninger om den kryptografi, de bruger, til at understøtte opdateringer og til at samarbejde om en migrering. I henhold til artikel 28 i GDPR skal en databehandler også tilbyde tilstrækkelige garantier for passende sikkerhed.

Fase 2: Hvordan vurderer du risici og prioriterer?

Vurder dine systemer ud fra dataenes følsomhed og hvor længe de skal forblive fortrolige. Data, der skal beskyttes i mere end ti år, kommer først.

Brug disse spørgsmål til at prioritere:

1. Hvilke data skal forblive fortrolige i mere end ti år? Tænk på intellektuel ejendom, langsigtede finansielle optegnelser og følsomme personoplysninger. Dette er hovedmålet for angreb, der kaldes "høst nu, dekrypter senere".
2. Hvilke systemer er mest udsatte for eksterne trusler? Offentlige applikationer og dataoverførselsprotokoller er i frontlinjen.
3. Hvad er dine juridiske og kontraktlige pligter? GDPR, sektorregler og klientaftaler bestemmer, hvilket sikkerhedsniveau du skal opfylde for bestemte data, og hvor længe du skal opbevare dem.

Fase 3: Hvordan migrerer man til postkvantekryptografi?

Du udskifter sårbare algoritmer i faser, startende med de højeste risici, og tester omhyggeligt. Hvor det er muligt, kombinerer du klassiske og post-kvante metoder under overgangen.

Med klare prioriteter kan du starte den fasede migrering til post-kvantekryptografi (PQC) . Dette er ikke en simpel erstatning. Det kræver planlægning, test og omhyggelig implementering, så forretningsdriften ikke forstyrres. En almindelig tilgang under overgangen er en hybridløsning, hvor klassiske og post-kvante metoder anvendes sammen.

Registrer dine valg, risikovurderingen og planlægningen. Hvis en tilsynsmyndighed eller en domstol senere spørger, om din sikkerhed var tilstrækkelig, er den dokumentation dit bevis.

Hvilke juridiske spørgsmål er stadig åbne?

Udover kryptering rejser kvanteteknologi spørgsmål om ansvar, intellektuel ejendomsret, privatliv og eksportkontrol. Nogle af disse kan besvares under gældende lov; andre vil være op til domstolene og lovgiverne.

Et af hovedspørgsmålene er ansvar. Hvis en virksomhed lider under et databrud, fordi dens kryptering var forældet, hvem er så ansvarlig? I henhold til hollandsk lov starter svaret med de eksisterende regler. Over for de personer, hvis data blev berørt, er organisationen ansvarlig i henhold til GDPR og kan være forpligtet til at betale erstatning (artikel 82 i GDPR). Over for kunder kan den være ansvarlig for manglende opfyldelse af en kontrakt (artikel 6:74 i den hollandske borgerlige lovbog). Om den kan få erstatning for skaden fra en softwareleverandør, der ikke leverede kvantesikre opdateringer, afhænger af kontrakten og af, hvad der med rimelighed kunne forventes på det tidspunkt. Domstolene bliver nødt til at finde ud af, hvordan "state of the art" udvikler sig over tid.

Hvem ejer opfindelser lavet med kvantecomputere?

I henhold til gældende patentlovgivning kan kun en fysisk person udnævnes til opfinder. En opfindelse udviklet ved hjælp af en kvantecomputer kan patenteres, men opfinderen skal være et menneske.

Kvantecomputere kan muligvis hjælpe med at designe molekyler, materialer og algoritmer, der ikke kan designes i dag. Det rejser spørgsmålet om, hvem der ejer sådanne opfindelser. Den Europæiske Patentmyndigheds appelnævn besluttede i 2021 (sag J 8/20), at en opfinder, der er navngivet i en patentansøgning, skal være en fysisk person, ikke en maskine. Opfindelser lavet med computerværktøjer kan stadig patenteres, med det menneske, der ledede arbejdet, som opfinder. Kontrakter bør klart angive, hvem der ejer resultater skabt med kvantecomputertjenester, især når man bruger en tredjeparts computerkapacitet.

Kvanteberegninger kan også øge evnen til at analysere store mængder data. GDPR-principperne om formålsbegrænsning, dataminimering og proportionalitet gælder fuldt ud for sådanne analyser, og en konsekvensanalyse vedrørende databeskyttelse (artikel 35 i GDPR) er påkrævet, hvor behandling sandsynligvis vil resultere i en høj risiko for enkeltpersoner.

Hvilke eksport- og investeringsregler gælder for kvanteteknologi?

Visse kvanteprodukter er varer med dobbelt anvendelse i henhold til EU's eksportkontrolregler. Investeringer i hollandske virksomheder, der er aktive inden for kvanteteknologi, kan blive underlagt en sikkerhedsscreening i henhold til Wet Vifo.

Kvanteteknologi er strategisk følsom. EU's forordning om dobbelt anvendelse (forordning (EU) 2021/821) og nationale foranstaltninger kan kræve en licens til eksport af visse kvantecomputere, komponenter og relateret software og teknologi. Listerne ændres regelmæssigt, så tjek den aktuelle version, før du eksporterer eller deler teknologi med parter uden for EU.

I Holland har loven om sikkerhedsscreening af investeringer, fusioner og opkøb ( Wet veiligheidsstoots investeringen, fusies en overnames , Wet Vifo) været gældende siden 1. juni 2023. Opkøb af og visse investeringer i virksomheder, der er aktive inden for følsom teknologi, som kan omfatte kvanteprodukter på listerne over dobbelt anvendelse, skal anmeldes til investeringsscreeningsbureauet ( Bureau Toetsing Investeringen , BTI) og må ikke gennemføres før godkendelse. Nystartede virksomheder og investorer i kvanteteknologi bør derfor tidligt kontrollere, om en transaktion er anmeldelsespligtig.

Hvad skal man som organisation, der opbevarer følsomme data, kontrollere?

I henhold til artikel 32 i GDPR og, hvor det er relevant, cybersikkerhedsloven, er du fortsat ansvarlig for sikkerheden af ​​dine data, også når leverandører driver dine systemer. Tjek disse punkter:

• Identificer data, der skal forblive fortrolige i mere end ti år, såsom personalemapper, medicinske data og forretningshemmeligheder.
• Tjek om din organisation er omfattet af cybersikkerhedsloven eller DORA, og om ledelsesorganet har godkendt risikoforanstaltningerne.
• Spørg dine IT- og cloudleverandører skriftligt, hvilken kryptografi de bruger, og hvornår de vil understøtte post-kvantemetoder.
• Kontrollér, at dine databehandleraftaler i henhold til artikel 28 i GDPR forpligter databehandlere til at opdatere deres sikkerhed til den nyeste teknologi.
• Registrer din opgørelse, risikovurdering og migrationsplanlægning, så du kan vise en tilsynsmyndighed eller domstol, hvad du gjorde.

Hvad skal man som leverandør af software eller enheder kontrollere?

Dine kunder vil overdrage deres sikkerhedsforpligtelser til dig via kontrakt, og Cyber ​​Resilience Act tilføjer direkte produktforpligtelser fra 11. september 2026. Tjek disse punkter:

• Tjek om dine produkter med digitale elementer falder ind under CRA, og hvilke forpligtelser der gælder fra 11. september 2026 og 11. december 2027.
• Gennemgå sikkerheds-, opdaterings- og ansvarsklausulerne i dine klientkontrakter og generelle vilkår.
• Definer den supportperiode, hvor du leverer sikkerhedsopdateringer, herunder kryptografiske opdateringer.
• Tjek om din kvantehardware, -software eller -teknologi kræver en eksportlicens i henhold til forordning (EU) 2021/821.
• Tjek om en investering i din virksomhed skal anmeldes til BTI i henhold til Wet Vifo.

Hvad kan vi gøre for dig inden for kvanterelateret datasikkerhed?

Vores IT-advokater rådgiver virksomheder om databeskyttelse, cybersikkerhedsforpligtelser og kontrakter med IT-leverandører:

• Vi vurderer, om din organisation er omfattet af cybersikkerhedsloven, DORA eller CRA, og hvad det kræver af dig.
• Vi gennemgår og udarbejder sikkerheds-, opdaterings- og ansvarsklausuler i IT-, cloud- og databehandleraftaler.
• Vi hjælper dig med at dokumentere din risikovurdering og migreringsplan, så den kan holde til en tilsynsmyndighed.
• Vi rådgiver om at underrette databrud til den hollandske databeskyttelsesmyndighed inden for 72-timersfristen.
• Vi kontrollerer, om en transaktion skal anmeldes i henhold til Wet Vifo, eller om en eksport kræver en tilladelse.

Resumé

• Ingen lov regulerer kvanteberegning som sådan; GDPR, cybersikkerhedsloven (NIS2) og DORA kræver sikkerhed, der matcher den nyeste teknologi og risiciene.
• 'Høst nu, dekrypter senere' betyder, at data med en lang fortrolighedsperiode allerede er i fare.
• EU's køreplan fra juni 2025 forventer, at højrisikosystemer vil bruge postkvantekryptografi senest inden udgangen af ​​2030; det er en politisk forpligtelse, ikke en bindende lov.
• Start med en kryptografisk opgørelse, prioritér efter følsomhed og opbevaringsperiode, og migrer i faser med kryptoagilitet som mål.
• Kvanteteknologi er også underlagt eksportkontrol og, for investeringer i hollandske virksomheder, muligvis screening under Wet Vifo.

Ofte stillede spørgsmål