Wie beantworten wir eine Ausschreibungsfrage zur Post-Quanten-Bereitschaft?
Mit Fakten zu Ihrem Plan, nicht mit Schlagworten. Bewerter suchen meist vier Dinge: dass Sie wissen, wo Sie quantenanfällige Kryptografie einsetzen, dass Sie priorisiert haben, dass Sie einen Zeitplan haben und dass jemand verantwortlich ist. Eine starke Antwort nennt das Inventar und sein Datum; die Methode der Priorisierung, etwa die Mosca-Ungleichung angewandt auf Aufbewahrungsfristen; die bereits getanen Schritte, etwa hybrider Schlüsselaustausch auf öffentlichen Diensten und geprüfte VPN- und SSH-Versionen; die Abhängigkeiten von Lieferanten mit deren erklärten Plänen; und Meilensteine entlang des koordinierten EU-Fahrplans: erste Schritte bis Ende 2026 und Anwendungsfälle mit hohem Risiko bis Ende 2030. Nennen Sie die NIST-Standards FIPS 203, 204 und 205 beim Namen. Behaupten Sie nicht, Ihr Dienst sei immun gegen Quantenangriffe; ein kundiger Bewerter zieht dafür Punkte ab. Stammt Ihr Inventar teilweise aus Netzbeobachtung, sagen Sie das und auch, was es nicht abdeckt. Eine ehrliche Teilantwort mit Terminen schneidet besser ab als eine selbstbewusste Lücke.
Diese Antwort steht mit mehr Kontext auch hier: Post-Quanten-Kryptografie