Kvantum-számítástechnika és adatbiztonság: mely jogszabályok vonatkoznak rá?

Semmilyen holland vagy európai törvény nem szabályozza a kvantum-számítástechnikát. Ami érvényes, az a meglévő információbiztonsági törvény, ami egy konkrét kérdést vet fel: vajon a ma hozott biztonsági intézkedések továbbra is megfelelőek lesznek-e, ha a most titkosított adatok később visszafejthetők? A fő kivétel az exportellenőrzés és a befektetések átvilágítása, amelyek tartalmaznak a kvantumtechnológiára vonatkozó külön szabályokat.

Három kötelezettség már most is érvényben van. Az általános adatvédelmi rendelet (GDPR, hollandul AVG ) 32. cikke olyan biztonsági intézkedéseket ír elő, amelyek figyelembe veszik a tudomány és a technológia állását. Ez egy változó, nem rögzített szabvány, és olyan adatokra is vonatkozik, amelyeknek évekig bizalmasnak kell maradniuk, mint például az orvosi feljegyzések, a személyi akták és a jogi archívumok. A holland kiberbiztonsági törvény ( Cyberbeveiligingswet ), amely az EU NIS2 irányelvét végrehajtja, előírja a kijelölt alapvető és fontos ágazatokban működő szervezetek számára, hogy kezeljék hálózataikat és információs rendszereiket fenyegető kockázatokat, és a vezető testületet teszi felelőssé ezen intézkedések jóváhagyásáért. A pénzügyi szervezetek esetében a digitális működési ellenálló képességről szóló törvény (DORA, (EU) 2022/2554 rendelet) saját követelményeket határoz meg a kriptográfiai ellenőrzésekre és a harmadik félre vonatkozó kockázatokra vonatkozóan.

A gyakorlati kockázat nem az, hogy valaki ma visszafejti a forgalmadat. Hanem az, hogy a titkosított adatokat most elfogják és tárolják, majd visszafejtik, amint erre lehetőség nyílik. A hosszú titoktartási időszakkal rendelkező adatok esetében ez a posztkvantum kriptográfiára való átállást jelenlegi feladattá, nem pedig jövőbeli projektté teszi. Ezen algoritmusok nemzetközi szabványait már közzétették és elfogadás alatt állnak.

A kvantumtechnológia az exportellenőrzést és a befektetések átvilágítását is magában foglalja. Bizonyos kvantumtermékek kettős felhasználású áruknak minősülnek az európai exportellenőrzési szabályok értelmében, és a kvantumtechnológiával foglalkozó holland vállalatokba történő befektetések biztonsági átvilágításnak lehetnek kitéve.

Miért vet fel jogi kérdéseket a kvantumszámítástechnika az adatbiztonsággal kapcsolatban?

Mivel egy kellően erős kvantumszámítógép feltörhetné azt a titkosítást, amelyen a mai adatvédelem nagy része alapul. A törvény nem nevezi meg a kvantum-számítástechnikát, de olyan biztonságot követel meg, amely megfelel a kockázatoknak.

Ugyanez a teljesítmény biztonsági problémát is teremt. A nyilvános kulcsú titkosítás, amely digitális kommunikációnk nagy részét védi, az online banki szolgáltatásoktól a digitális aláírásokig, olyan matematikai problémákra támaszkodik, amelyeket a hagyományos számítógépek a gyakorlatban nem tudnak megoldani. Egy kellően nagy és stabil kvantumszámítógép megoldhatná ezen problémák egy részét. Hogy mikor fog létezni egy ilyen számítógép, az bizonytalan, de a kockázatot a kormányok és a biztonsági szolgálatok komolyan veszik.

Mi a legfőbb jogi kihívás?

A kihívás az, hogy a ma létező jogi eszközökkel megvédjük az érzékeny adatokat a jövőbeli fenyegetésekkel szemben. Ezek az eszközök olyan nyílt szabványok, mint a „legkorszerűbb” és a „megfelelő intézkedések”.

Bármely jogi megközelítésnek számos szempontot kell figyelembe vennie:

• A meglévő adatok védelme: A támadók ma titkosított adatokat gyűjthetnek és tárolhatnak, amíg vissza nem tudják fejteni azokat. Ezt „azonnal learatjuk, később visszafejtjük” módszernek nevezik.
• Új szabványok: a szervezeteknek posztkvantum kriptográfiára (PQC) kell áttérniük, amely új titkosítási módszereket kínál, amelyek mind a hagyományos, mind a kvantumszámítógépek támadásainak ellenállnak.
• Felelősség: Ha az adatvédelmi incidens azért történik, mert az elavult titkosítás történt, a kérdés az, hogy ki a felelős: a szervezet, a beszállítója, vagy mindkettő.
• Innováció: A szabályok nem akadályozhatják szükségtelenül a kvantumtechnológia kutatását és használatát.

Hogyan fenyegeti a kvantumszámítástechnika a modern titkosítást?

A kvantumszámítógépek hatékonyan képesek megoldani azokat a matematikai problémákat, amelyeken a nyilvános kulcsú titkosítás alapul. A szimmetrikus titkosítás, mint például a hosszú kulcsú AES, sokkal kevésbé sebezhetőnek tekinthető.

Miért sebezhető a nyilvános kulcsú titkosítás?

A nyilvános kulcsú titkosítás olyan problémákra támaszkodik, mint a nagyon nagy számok szorzattá alakítása. Egy kvantumszámítógép ezeket a problémákat gyakorlatilag rövid idő alatt megoldhatná.

Ez a rendszer a biztonságos weboldalak (HTTPS), a VPN-kapcsolatok, az e-mail titkosítás és a digitális aláírások alapját képezi. Erőssége bizonyos matematikai problémák nehézségében rejlik, mint például a nagyon nagy számok prímszámokká bontása vagy a diszkrét logaritmus probléma. Egy átlagos számítógép számára ezeknek a problémáknak a megoldása a használatban lévő kulcsméretek mellett irreálisan hosszú időt venne igénybe.

Egy kellően nagy teljesítményű kvantumszámítógép hatékonyan megoldhatná ezeket a problémákat. A szimmetrikus titkosítást, mint például az AES, kisebb mértékben érinti: a hosszabb kulcsokat, mint például az AES-256, általában megfelelőnek tekintik. Az adatbiztonság jogi keretének ezért főként a nyilvános kulcsú rendszerekre kell összpontosítania.

Mi a Shor algoritmusa?

Shor 1994-ben publikált algoritmusa egy kvantumalgoritmus, amely hatékonyan képes nagy számokat szorzattá alakítani. Egy nagy, stabil kvantumszámítógépen feltörné a legszélesebb körben használt nyilvános kulcsú rendszereket, mint például az RSA és az elliptikus görbékkel rendelkező titkosítás.

Mi a „most aratsz, később visszafejted” fenyegetés?

A támadók ma titkosított adatokat gyűjthetnek, és később, amint a kvantumszámítógépek elég erősek lesznek, visszafejthetik azokat. Azoknak az adatoknak, amelyeknek évekig bizalmasnak kell maradniuk, ezért már most veszélyben vannak.

Ez főként azokat az információkat veszélyezteti, amelyeknek hosszú ideig bizalmasnak kell maradniuk, például:

• Állam- és védelmi titkok évtizedes titoktartási időszakokkal.
• Szellemi tulajdon a vállalatok, például üzleti titkok és kutatási adatok.
• Érzékeny személyes adatok, például orvosi és biometrikus adatok.
• Pénzügyi és jogi nyilvántartások amelyet jogi és szabályozási okokból biztonságban kell tartani.

Hogyan készül Hollandia a kvantumtechnológiára?

Hollandia egy nemzeti programon keresztül fektet be a kvantumtechnológiába, és gyakorlati útmutatót tett közzé a posztkvantum kriptográfiára való áttéréshez. A kvantum-számítástechnikára vonatkozóan nem létezik külön holland jogszabály.

A Quantum Delta NL nemzeti program összefogja a kormányt, az egyetemeket és a vállalatokat. A 2019-es Kvantumtechnológiai Nemzeti Menetrendre épül, és többek között a Nemzeti Növekedési Alaptól ( Nationaal Groeifonds ) kap finanszírozást. A program a kvantum-számítástechnikát, a kvantumhálózatokat és a kvantumérzékelést fedi le, és figyelmet fordít a technológia társadalmi és etikai aspektusaira. Ezek politikai döntések, nem pedig a vállalatokat kötelező érvényű jogszabályok.

Mi a teendő a posztkvantum kriptográfiával?

A holland kormány kiadott egy PQC migrációs kézikönyvet, és a szervezeteknek azt tanácsolják, hogy már most kezdjék meg a felkészülést. Az átmenet évekig tart, így a várakozás növeli a kockázatot.

2023-ban az Általános Hírszerző és Biztonsági Szolgálat (AIVD), a TNO kutatóintézet és a Centrum Wiskunde & Informatica (CWI) kiadott egy PQC migrációs kézikönyvet. Ez gyakorlati lépéseket tartalmaz a szervezetek számára az átállásra való felkészüléshez, kezdve az általuk használt kriptográfia leltárával.

Az üzenet az, hogy a PQC-re való áttérés nem egy távoli, elméleti probléma, hanem egy olyan feladat, amelyet a szervezeteknek most kell megtervezniük, mert éveket vesz igénybe. Ez összhangban van az európai NIS2 irányelvvel, amely magasabb kiberbiztonsági szabványokat ír elő az alapvető és fontos szervezetek számára, és amelyet Hollandiában a kiberbiztonsági törvény hajtott végre. Az e törvény hatálya alá tartozó szervezeteknek fel kell mérniük a kockázataikat, beleértve a kriptográfiájukra jelentett kockázatokat is.

Milyen európai szabályok alakítják a kvantumadatok biztonságát?

A GDPR, a NIS2 irányelv, a DORA és a kiberbiztonsági törvény mind olyan biztonságot ír elő, amely megfelel a kockázatoknak és a legmodernebb technológiáknak. Az EU PQC-re vonatkozó ütemtervével együtt a szervezeteket a kvantumbiztonságos titkosítás felé terelik.

Hogyan vonatkozik a GDPR egy kvantumvilágra?

A GDPR nem említi a kvantum-számítástechnikát, de technológiasemleges. A megfelelő, a tudomány jelenlegi állását tükröző biztonsági intézkedések megtételének kötelezettsége a kvantumkockázatra is kiterjed.

Két rendelkezés központi szerepet játszik. A GDPR 25. cikke előírja a beépített és az alapértelmezett adatvédelmet : a szervezeteknek a kezdetektől fogva technikai biztosítékokat kell beépíteniük a személyes adatokra vonatkozóan az új folyamatokba. A GDPR 32. cikke megfelelő technikai és szervezési intézkedéseket ír elő, figyelembe véve a tudomány és a technológia állását, a költségeket és a kockázatokat. Ahogy a posztkvantum szabványok érnek el, a „csúcstechnológia” egyre inkább a kvantumbiztonságos titkosítás alkalmazását jelenti majd olyan személyes adatok esetében, amelyeknek hosszú ideig bizalmasnak kell maradniuk. Az a szervezet, amely nem tervezi meg ezt az átmenetet, fennáll annak a veszélye, hogy a biztonsága már nem tekinthető megfelelőnek. További információ ezekről az elvekről az Általános Adatvédelmi Rendeletről szóló útmutatónkban található.

Ha a nem megfelelő biztonság adatvédelmi incidenshez vezet, a szervezetnek 72 órán belül jelentenie kell azt a holland adatvédelmi hatóságnak (a GDPR 33. cikke). A hatóság akár 20 millió eurós vagy a világméretű éves forgalom 4%-át kitevő bírságot is kiszabhat, az érintett személyek pedig a GDPR 82. cikke alapján kártérítést követelhetnek.

Milyen új uniós szabályok segítik a szervezeteket a kvantumfelkészültség felé?

A NIS2 irányelv, a DORA és a kiberbiztonsági ellenálló képességről szóló törvény szélesebb körű kiberbiztonsági kötelezettségeket ír elő. Egyik sem ír elő konkrét kvantumbiztonságos algoritmusokat, de mindegyik kockázatalapú biztonságot követel meg, amely figyelembe veszi a tudomány jelenlegi állását.

Az általános adatvédelmi rendelet (GDPR) mellett három uniós eszköz is erősíti a kiberbiztonsági kötelezettségeket anélkül, hogy megnevezné a kvantumbiztonsági szabványokat:

• A kiberbiztonsági ellenálló képességről szóló törvény (CRA, 2024/2847/EU rendelet): Ez a rendelet kiberbiztonsági követelményeket határoz meg a digitális elemeket tartalmazó termékek, például a csatlakoztatott eszközök és szoftverek számára. A gyártóknak be kell építeniük a biztonságot termékeikbe, és kezelniük kell a sebezhetőségeket. A jelentéstételi kötelezettségek 2026. szeptember 11-től, a legtöbb egyéb kötelezettség pedig 2027. december 11-től lépnek hatályba. A CRA nem ír elő kvantumbiztonságos titkosítást, de a kockázatoknak megfelelő biztonságot követel meg.
• A NIS2 irányelv: Ez az irányelv kiterjeszti a kiberbiztonsági feladatokat számos alapvető és fontos szervezetre, például az energiaszektorra, az egészségügyre és a digitális infrastruktúrára. Előírja a kockázatkezelést, beleértve a kriptográfiára és titkosításra vonatkozó politikákat (21. cikk), valamint a jelentős incidensek jelentését. Hollandiában a kiberbiztonsági törvény hajtja végre.
• DÓRA: 2025. január 17. óta a pénzügyi szervezeteknek rendelkezniük kell egy olyan IKT-kockázatkezelési keretrendszerrel, amely magában foglalja a titkosításra és a kriptográfiai ellenőrzésekre vonatkozó szabályzatokat, és kezelniük kell IKT-beszállítóik kockázatait.

Ezek a szabályok egyértelmű irányt mutatnak. A kvantumbiztonságos titkosításra való áttérés még nem explicit jogi követelmény, de a hosszú távú bizalmas adatokkal rendelkező szervezetek számára egyre inkább az általános kötelezettségből következik, hogy megfelelő, korszerű intézkedéseket tegyenek.

Hogyan viszonyulnak egymáshoz a jelenlegi és az elvárt megfelelőségi szabványok?

A táblázat összehasonlítja a jelenlegi megközelítést azzal, ami valószínűleg várható lesz, miután a posztkvantum szabványokat létrehozzák. A jobb oldali oszlop a várható fejleményeket írja le, nem a jelenlegi jogszabályokat.

Mi az európai megközelítés a kvantumbiztonságos biztonsághoz?

Az EU a 2024. április 11-i bizottsági ajánlással és a 2025. júniusi ütemtervvel koordinálja a PQC-re való áttérést. Az ütemterv célja, hogy legkésőbb 2030-ra védelmet nyújtson a magas kockázatú rendszereknek.

A széttagolt megközelítés elkerülése érdekében az EU egy összehangolt átmeneten dolgozik. 2024. április 11-én az Európai Bizottság ajánlást fogadott el a posztkvantum kriptográfiára való áttérés összehangolt végrehajtási ütemtervéről. Ennek alapján a tagállamok a Bizottság támogatásával 2025. június 23-án közzétettek egy ütemtervet. Az ütemterv előírja, hogy a tagállamok 2026 végéig megkezdik az átállást, hogy a magas kockázatú rendszereket, például a kritikus infrastruktúrát legkésőbb 2030 végéig PQC-vel védik, és hogy 2035-ig annyi rendszer kövesse ezt, amennyi gyakorlatilag lehetséges.

Az ütemterv politikai kötelezettségvállalás, nem kötelező érvényű jogszabály. De megmutatja, hogy mit várnak el a szabályozók és a felügyeleti hatóságok, és valószínűleg befolyásolja majd a GDPR, a NIS2 és a DORA nyílt szabványainak értelmezését.

2025 júliusában a Bizottság elfogadta a Quantum Europe stratégiát, és a 2026-os munkaprogramjában bejelenti a Quantum Actre vonatkozó jogalkotási javaslatot. Jelen írás pillanatában egy ilyen jogszabály nem uniós jogszabály; mielőtt rá hivatkozna, ellenőrizze a jelenlegi státuszt.

Hogyan készüljünk fel a kvantumbiztonságos megfelelőségre?

Kezdje a kriptográfia leltárával, majd mérje fel, mely adatok és rendszerek vannak a leginkább kitéve kockázatnak, és szakaszosan végezze el a migrációt. A cél a kriptoagilitás: az algoritmusok gyors lecserélésének képessége.

A cél a kriptoagilitás : a kriptográfiai módszerek gyors lecserélésének képessége új fenyegetések vagy szabványok megjelenésekor. A folyamat egyetlen kérdéssel kezdődik: hol vagy a legsebezhetőbb? Használd a GDPR, és ahol alkalmazható, a NIS2 és a DORA követelményeit keretrendszerként.

1. fázis: hogyan készítünk kriptográfiai leltárt?

Feltérképezi a szervezete által használt összes kriptográfiai módszert, beleértve a beszállítóktól származó szoftvereket és eszközöket is. Ezen áttekintés nélkül nem tud prioritásokat meghatározni.

Tekintsen túl a fő szerverein. A leltárnak a következőket kell tartalmaznia:

• Átvitt adatok: Hogyan vannak biztosítva az e-mail-, VPN- és felhőkapcsolataid?
• Inaktív adatok: Melyik titkosítás védi az adatbázisokat, a biztonsági mentéseket és a laptopokat?
• Beágyazott rendszerek: kriptográfia harmadik féltől származó szoftverekben, csatlakoztatott eszközökben és hálózati berendezésekben.
• Örökös rendszerek: A régi alkalmazások gyakran elavult és sebezhető titkosítást tartalmaznak.

Ellenőrizze a szerződéseit is. Az IT-beszállítókkal és a felhőszolgáltatókkal kötött megállapodásoknak kötelezniük kell őket arra, hogy információt szolgáltassanak az általuk használt kriptográfiáról, támogassák a frissítéseket és működjenek együtt a migrációban. Az Általános Adatvédelmi Rendelet (GDPR) 28. cikke értelmében az adatfeldolgozónak a megfelelő biztonság érdekében kellő garanciákat is kell nyújtania.

2. fázis: hogyan értékeli a kockázatokat és határozza meg a prioritásokat?

Értékelje rendszereit az adatok érzékenysége és a bizalmasságuk megőrzésének időtartama alapján. Azok az adatok, amelyeket több mint tíz évig kell védeni, az első helyen állnak.

Használd ezeket a kérdéseket a prioritások meghatározásához:

1. Mely adatoknak kell tíz évnél hosszabb ideig bizalmasnak maradniuk? Gondoljunk csak a szellemi tulajdonra, a hosszú távú pénzügyi nyilvántartásokra és az érzékeny személyes adatokra. Ezek a „learatás most, visszafejtés később” támadások fő célpontjai.
2. Mely rendszerek vannak leginkább kitéve a külső fenyegetéseknek? A nyilvános alkalmazások és az adatátviteli protokollok állnak az élvonalban.
3. Mik a jogi és szerződéses kötelezettségeid? A GDPR, az ágazati szabályok és az ügyfélszerződések határozzák meg, hogy bizonyos adatok esetében milyen biztonsági szintnek kell megfelelni, és mennyi ideig kell azokat megőrizni.

3. fázis: hogyan lehet átállni a posztkvantum kriptográfiára?

A sebezhető algoritmusokat szakaszosan cseréli le, a legnagyobb kockázattal kezdve, és gondosan teszteli. Ahol lehetséges, az átmenet során kombinálja a klasszikus és a posztkvantum módszereket.

Világos prioritásokkal megkezdheti a posztkvantum kriptográfiára (PQC) való szakaszos átállást . Ez nem egy egyszerű csere. Tervezést, tesztelést és gondos megvalósítást igényel, hogy az üzleti működés ne zavaródjon. Az átmenet során egy gyakori megközelítés a hibrid megoldás, amelyben a klasszikus és a posztkvantum módszereket együttesen alkalmazzák.

Jegyezze fel a döntéseit, a kockázatértékelést és a tervezést. Ha egy szabályozó hatóság vagy a bíróság később megkérdezi, hogy megfelelő volt-e a biztonsága, ez a dokumentáció szolgál bizonyítékként.

Milyen jogi kérdések maradtak még nyitottak?

A titkosítás mellett a kvantumtechnológia kérdéseket vet fel a felelősséggel, a szellemi tulajdonnal, a magánélettel és az exportellenőrzéssel kapcsolatban is. Ezek közül néhányra a hatályos jogszabályok alapján lehet választ adni; mások a bíróságok és a törvényhozók feladatai lesznek.

Az egyik fő kérdés a felelősség. Ha egy vállalatot adatvédelmi incidens ér elavult titkosítás miatt, ki a felelős? A holland jog szerint a válasz a meglévő szabályokkal kezdődik. Azokkal a személyekkel szemben, akiknek az adatai érintettek, a szervezet a GDPR értelmében felelős, és kártérítést kell fizetnie (a GDPR 82. cikke). Az ügyfelekkel szemben felelősségre vonható a szerződés nem teljesítése miatt (a holland Polgári Törvénykönyv 6:74. cikke). Az, hogy megtérítheti-e a kárt egy olyan szoftverszállítótól, amely nem biztosított kvantumbiztonságos frissítéseket, a szerződéstől és attól függ, hogy mi volt ésszerűen elvárható az adott időpontban. A bíróságoknak kell majd kidolgozniuk, hogy a „tudományos csúcstechnológia” hogyan fejlődik az idők során.

Kinek a tulajdonában vannak a kvantumszámítógépekkel készült találmányok?

A jelenlegi szabadalmi törvény értelmében csak természetes személy nevezhető meg feltalálónak. Egy kvantumszámítógép segítségével kifejlesztett találmány szabadalmaztatható, de a feltalálónak embernek kell lennie.

A kvantumszámítógépek segíthetnek olyan molekulák, anyagok és algoritmusok tervezésében, amelyeket ma már nem lehetne megtervezni. Ez felveti a kérdést, hogy ki a tulajdonosa az ilyen találmányoknak. Az Európai Szabadalmi Hivatal Fellebbezési Tanácsa 2021-ben úgy döntött (J 8/20. sz. ügy), hogy a szabadalmi bejelentésben megnevezett feltalálónak természetes személynek kell lennie, nem pedig gépnek. A számítógépes eszközökkel készült találmányok továbbra is szabadalmaztathatók, a munkát irányító embert feltalálónak tekintve. A szerződéseknek egyértelműen ki kell térniük arra, hogy ki a tulajdonosa a kvantumszámítástechnikai szolgáltatásokkal létrehozott eredményeknek, különösen akkor, ha harmadik fél számítási kapacitását használják.

A kvantumszámítástechnika növelheti a nagy mennyiségű adat elemzésének képességét is. A GDPR célhoz kötöttségének, adatminimalizálásának és arányosságának elvei teljes mértékben alkalmazandók az ilyen elemzésekre, és adatvédelmi hatásvizsgálatot (GDPR 35. cikk) kell végezni, ha az adatkezelés valószínűleg magas kockázatot jelent az egyénekre nézve.

Milyen export- és befektetési szabályok vonatkoznak a kvantumtechnológiára?

Bizonyos kvantumtermékek kettős felhasználású áruknak minősülnek az EU exportellenőrzési szabályai értelmében. A kvantumtechnológiával foglalkozó holland vállalatokba történő befektetések biztonsági átvilágításnak vethetők alá a Wet Vifo program keretében.

A kvantumtechnológia stratégiailag érzékeny terület. Az EU kettős felhasználású termékekről szóló rendelete ((EU) 2021/821 rendelet) és a nemzeti intézkedések engedélyt írhatnak elő bizonyos kvantumszámítógépek, alkatrészek és kapcsolódó szoftverek és technológiák exportjához. A listák rendszeresen változnak, ezért a technológia EU-n kívüli felekkel történő exportja vagy megosztása előtt ellenőrizze az aktuális verziót.

Hollandiában a Befektetések, Összeolvadások és Felvásárlások Biztonsági Átvilágításáról Szóló Törvény ( Wet veiligheidstoets investeringen, fusies en overnames , Wet Vifo) 2023. június 1. óta hatályos. Az érzékeny technológiával – beleértve a kettős felhasználású listákon szereplő kvantumtermékeket is – foglalkozó vállalatok felvásárlásait és bizonyos befektetéseit be kell jelenteni a Befektetési Átvilágítási Irodának ( Bureau Toetsing Investeringen , BTI), és ezek a tranzakciók a jóváhagyás előtt nem fejezhetők be. A kvantumtechnológiába befektető startupoknak és befektetőknek ezért korai szakaszban ellenőrizniük kell, hogy az adott tranzakció bejelentési kötelezettség alá esik-e.

Mit kell ellenőriznie egy olyan szervezetnek, amely érzékeny adatokat kezel?

Az Általános Adatvédelmi Rendelet (GDPR) 32. cikke, és ahol alkalmazandó, a Kiberbiztonsági Törvény értelmében továbbra is Ön felelős adatai biztonságáért, akkor is, ha beszállítók üzemeltetik a rendszereit. Ellenőrizze a következőket:

• Azonosítsa azokat az adatokat, amelyeknek tíz évnél hosszabb ideig bizalmasnak kell maradniuk, például a személyi akták, az orvosi adatok és az üzleti titkok.
• Ellenőrizze, hogy szervezete a kiberbiztonsági törvény vagy a DORA hatálya alá tartozik-e, és hogy a vezető testület jóváhagyta-e a kockázati intézkedéseket.
• Írásban kérdezd meg az informatikai és felhőszolgáltatóidat, hogy milyen kriptográfiát használnak, és mikor fogják támogatni a posztkvantum módszereket.
• Ellenőrizze, hogy az adatfeldolgozási megállapodásai a GDPR 28. cikke értelmében kötelezik-e az adatfeldolgozókat arra, hogy a biztonságukat a legmodernebb szintre frissítsék.
• Jegyezze fel a leltárát, a kockázatértékelését és az átállási tervet, hogy be tudja mutatni a szabályozó hatóságnak vagy a bíróságnak, mit tett.

Mit kell ellenőriznie szoftver- vagy eszközszállítóként?

Az ügyfelei szerződés útján átruházzák Önre a biztonsági feladataikat, a kiberbiztonsági ellenálló képességről szóló törvény pedig 2026. szeptember 11-től közvetlen termékfeladatokat is bevezet. Ellenőrizze a következőket:

• Ellenőrizze, hogy a digitális elemeket tartalmazó termékei a CRA hatálya alá tartoznak-e, és mely kötelezettségek érvényesek 2026. szeptember 11-től és 2027. december 11-től.
• Tekintse át az ügyfélszerződésekben és az általános szerződési feltételekben található biztonsági, frissítési és felelősségi záradékokat.
• Határozza meg a támogatási időszakot, amely alatt biztonsági frissítéseket, beleértve a kriptográfiai frissítéseket is, szállít.
• Ellenőrizze, hogy a kvantumhardverhez, -szoftverhez vagy -technológiához szükséges-e exportengedély az (EU) 2021/821 rendelet értelmében.
• Ellenőrizze, hogy a vállalatába történő befektetést be kell-e jelenteni a BTI-nek a Wet Vifo alapján.

Mit tehetünk Önért a kvantumtechnológiával kapcsolatos adatbiztonság terén?

IT-jogászaink adatvédelmi , kiberbiztonsági kötelezettségekkel és IT-beszállítókkal kötött szerződésekkel kapcsolatos tanácsadást nyújtanak a vállalkozásoknak:

• Felmérjük, hogy szervezete a kiberbiztonsági törvény, a DORA vagy a CRA hatálya alá tartozik-e, és mit írnak elő ezek Öntől.
• Biztonsági, frissítési és felelősségi záradékokat felülvizsgálunk és fogalmazunk meg IT, felhő és adatfeldolgozási megállapodásokban.
• Segítünk dokumentálni a kockázatértékelést és az átállási tervet, hogy az megfeleljen a szabályozó hatóság elvárásainak.
• 72 órás határidőn belül tájékoztatjuk Önt az adatvédelmi incidens bejelentéséről a Holland Adatvédelmi Hatóságnál.
• Ellenőrizzük, hogy egy tranzakciót be kell-e jelenteni a Wet Vifo keretében, vagy az exporthoz engedély szükséges.

Összegzésként

• Nincs olyan törvény, amely a kvantum-számítástechnikát mint olyat szabályozná; a GDPR, a kiberbiztonsági törvény (NIS2) és a DORA olyan biztonságot ír elő, amely megfelel a legmodernebb technológiáknak és a kockázatoknak.
• A „Most learatod, később visszafejted” azt jelenti, hogy a hosszú titoktartási időszakkal rendelkező adatok már veszélyben vannak.
• Az EU 2025 júniusi ütemterve szerint a magas kockázatú rendszerek legkésőbb 2030 végére posztkvantum kriptográfiát fognak használni; ez politikai kötelezettségvállalás, nem kötelező érvényű jogszabály.
• Kezdj egy kriptográfiai leltárral, rangsorolj az érzékenység és a megőrzési időszak szerint, és fázisokban migrálj, a kriptoagilitás céljával.
• A kvantumtechnológia exportellenőrzésnek is alávetendő, és holland vállalatokba történő befektetések esetén esetleg a Wet Vifo keretében történő átvilágításnak is.

Gyakran Ismételt Kérdések