Hongkongs Bankenaufsicht und HKUST geben Banken ein Toolkit für den Post-Quanten-Umstieg

HKMA und HKUST veröffentlichen ein PQC-Toolkit mit 23 Arbeitsbereichen und vier Werkzeugen; der Quanten-Bereitschaftsindex soll bis 2030 von 2,3 auf 10 steigen.

Diese Seite wurde aus dem Englischen übersetzt. Unternehmens- und Produktnamen sowie Quellenlinks bleiben unverändert. Original auf Englisch lesen

Hongkongs Bankenaufsicht misst die Quantenbereitschaft der Branche nicht mehr nur, sie erklärt den Banken jetzt auch, wie sie diese aufbauen. Am 2. November veröffentlichten die Hong Kong Monetary Authority (HKMA) und The Hong Kong University of Science and Technology (HKUST) ein Post-Quantum Cryptography (PQC) Toolkit, das mit Beiträgen aus der Branche entstand. Es soll Banken beim Austausch von Verschlüsselung anleiten, die ein künftiger Quantencomputer brechen könnte.

Was angekündigt wurde

Laut HKMA ist das Toolkit ein strukturierter Rahmen, mit dem Banken Governance und Verantwortlichkeiten für den Übergang festlegen, ihre kryptografische Angreifbarkeit bewerten, den Änderungsbedarf ermitteln und den Fortschritt verfolgen können. Die praktischen Werkzeuge decken die Inventur kryptografischer Bestände und Abhängigkeiten, die Festlegung von Prioritäten, die Zusammenarbeit mit Lieferanten und realistische Zeitpläne ab.

Ein Rundschreiben an alle zugelassenen Institute vom selben Tag nennt weitere Details. Das Toolkit enthält ein Referenzhandbuch mit 23 Arbeitsbereichen, die von Sensibilisierung und Planung über Pilotprojekte bis zur praktischen Vorbereitung reichen; es liegt auch in maschinenlesbarer Form vor. Dazu kommen vier Werkzeuge:

ein Datenmodell zur Erfassung und Verwaltung von Informationen über den Übergang;
ein Fragebogen zur Abhängigkeitsbewertung für den Austausch mit Dienstleistern und anderen Gegenparteien über deren PQC-Bereitschaft;
Referenzarchitekturen, die mögliche technische Zielzustände skizzieren;
ein Projektplanungswerkzeug für eine Übergangs-Roadmap mit Richtwerten für die Vorlaufzeiten zentraler Aufgaben.

Was von den Banken erwartet wird

Das Rundschreiben ermutigt die Banken nachdrücklich, das Toolkit entsprechend ihrem Risikoprofil, ihrer Technologieumgebung und ihrer Komplexität zu nutzen. Zudem wird erwartet, dass sie klare Meilensteine setzen und diese regelmäßig von der Geschäftsleitung überprüfen lassen. Als Prioritäten werden genannt: eine priorisierte Roadmap, die die Bereitschaft kritischer Lieferanten und konzerninterner Dienstleister berücksichtigt, klare Verantwortlichkeiten für Quantenrisiken unter Aufsicht der Geschäftsleitung, ein kryptografisches Inventar mit schrittweise wachsender Abdeckung und mehr kryptografische Agilität, also die Fähigkeit, Algorithmen schnell und ohne größere Störungen auszutauschen.

Die Zahlen zur Bereitschaft

Das Toolkit baut auf dem Quantum Preparedness Index (QPI) auf, den die HKMA im Juli 2026 eingeführt hat. Der erste Wert der Branche lag bei 2,3 von 10, was die Aufsicht als frühes Stadium der Vorbereitung wertete. Erklärtes Ziel ist die volle Bereitschaft, also ein QPI von 10, bis 2030. Im Rundschreiben erwartet die HKMA, dass die Branche bei der nächsten QPI-Erhebung im zweiten Quartal 2028 einen Wert von 5 bis 6 erreichen könnte.

Der stellvertretende HKMA-Chef Arthur Yuen sagte, der Index habe einen Ausgangspunkt geschaffen; nun gehe es darum, den Banken zu helfen, dieses Verständnis in "clear responsibilities, informed priorities and practical plans" (klare Zuständigkeiten, fundierte Prioritäten und praktische Pläne) umzusetzen. Frederik Anseel, Dekan der HKUST Business School, bezeichnete die Quantenvorbereitung als Führungsaufgabe, an der Banken arbeiten können, auch wenn der Zeitpunkt der Bedrohung ungewiss ist.

Warum das wichtig ist

Die Post-Quanten-Migration im Finanzwesen ist vor allem eine Frage von Inventur und Governance: Banken müssen zunächst herausfinden, wo in ihren eigenen Systemen und bei ihren Lieferanten Public-Key-Kryptografie steckt, bevor sie diese ersetzen können. Mit gemeinsamen Vorlagen, einem erwarteten Verlauf und einer terminierten Folgeerhebung gibt die HKMA den Hongkonger Banken einen konkreten Maßstab und anderen Aufsichtsbehörden ein Referenzmodell.

Worauf zu achten ist

Die HKMA will das Toolkit an technologische Entwicklungen, internationale Standards und Umsetzungserfahrungen anpassen und hat die Banken um Rückmeldungen gebeten. Der nächste öffentliche Prüfpunkt ist die QPI-Erhebung 2028 und die Frage, ob die Branche den erwarteten Bereich von 5 bis 6 erreicht.