NIST, 2030, 2031 ve 2035 federal hedefleriyle PQC geçiş yol haritasını belirledi

NIST, kuantuma karşı savunmasız kriptografiden PQC’ye geçiş için aşamalı federal son tarihler ve tedarik zinciri planlamasına yönelik tavsiyeler içeren nihai kılavuzunu yayımladı.

Bu sayfa İngilizceden çevrilmiştir. Şirket ve ürün adları ile kaynak bağlantıları değiştirilmemiştir. Orijinalini İngilizce okuyun

NIST, gelecekte büyük ölçekli bir kuantum bilgisayar tarafından kırılabilecek açık anahtarlı kriptografinin post-kuantum alternatiflerle değiştirilmesine yönelik nihai bir yol haritası yayımladı. NIST IR 8547 adlı belge, federal kurumlara ve onların tedarikçilerine bu geçiş için bir planlama çerçevesi sunuyor ve süreci ABD politikasında hâlihazırda belirlenmiş son tarihlerle uyumlu hale getiriyor: federal sistemlerin çoğu için 2035, en hassas sistemler içinse daha erken kilometre taşları.

Ne açıklandı

NIST’in Computer Security Resource Center verilerine göre, Transition to Post-Quantum Cryptography Standards (NISTIR 8547) başlıklı rapor 27 Ekim 2026’da nihai hale getirildi. NIST, raporun bugün kuantuma karşı savunmasız olan kriptografik standartları belirlediğini, bunları kuantuma dayanıklı ikameleriyle eşleştirdiğini ve federal kurumlar, sanayi ve standart kuruluşlarının geçişi eşgüdüm içinde yürütmesine yardımcı olmayı amaçladığını söylüyor.

Bu kılavuz, NIST’in Ağustos 2024’te ilk üç nihai post-kuantum şifreleme standardını yayımlamasının ardından geldi. NIST, IR 8547’yi eski algoritmalardan bu yeni standartlara geçişte başlıca üst düzey geçiş belgesi olarak konumlandırıyor.

The Quantum Insider tarafından aktarılan duyuruya göre, rapor pratik bir sorunu ele almayı amaçlıyor: kuruluşlar aynı şekilde ya da aynı takvimle geçiş yapmayacak, ancak yine de ortak kilometre taşlarına ve aşamalı olarak kullanımdan kaldırılacak unsurlara dair ortak bir bakışa ihtiyaç duyacak.

Son tarihler ve politika bağlamı

Yol haritası, federal zaman çizelgelerinin iki katmanını destekliyor. Geniş kapsamlı hedef, federal sistemler genelinde geçişin 2035’e kadar tamamlanması olmaya devam ediyor; haberde bu tarihin National Security Memorandum 10 ile belirlendiği belirtiliyor.

22 Haziran 2026 tarihli bir başkanlık kararnamesi olan Executive Order 14412, yüksek değerli varlıklar ve yüksek etkili sistemler için daha erken son tarihler belirledi. Bu kararname kapsamında kurumlar, bu sistemleri anahtar oluşturma için 31 Aralık 2030’a, dijital imzalar için ise 31 Aralık 2031’e kadar post-kuantum kriptografiye geçirmeli.

NIST’in CSRC sayfası, IR 8547’nin ayrıca kurumlara en hassas sistemlerine öncelik verme talimatı veren Executive Order 14412 ve OMB Memorandum M-26-15’in uygulanmasını da desteklediğini söylüyor.

Teknik ve operasyonel kılavuz

NIST, raporun hem post-kuantum dijital imzaları hem de anahtar oluşturma şemalarını kapsadığını belirtiyor. Haber, öncelikli bir alanı özellikle öne çıkarıyor: “şimdi topla, sonra çöz” riski nedeniyle kuruluşlar, uzun ömürlü hassas verileri önce PQC anahtar oluşturma standardı FIPS 203’e taşımak isteyebilir.

Kılavuz ayrıca kuruluşları kendi ağlarının ve uygulamalarının ötesine bakmaya çağırıyor. NIST, geçişin dış tedarikçilerden satın alınan ürün ve hizmetler de dahil olmak üzere tüm kriptografik tedarik zincirine bağlı olduğunu vurguluyor.

Raporda açıklanan bir diğer seçenek de, geleneksel kriptografi ile PQC’yi birleştiren hibrit dağıtım modeli. Duyuruya göre NIST, bunu daha muhafazakâr bir güvenlik duruşu olarak sunuyor; ancak bunun ek hesaplama kaynakları gerektirdiğini de belirtiyor.

Neden önemli

Raporun önemi, yeni bir algoritma tanıtmasından çok, PQC benimsenmesini takvime bağlı bir modernizasyon programına dönüştürmesinden kaynaklanıyor. Federal sistemlerle bağlantılı kamu yüklenicileri ve özel sektör işletmecileri için pratik mesaj şu: kriptografik envanterlerin, tedarikçi bağımlılıklarının ve sistem yükseltme döngülerinin artık açık tarihlere göre haritalanması gerekiyor.

Ayrıca bu durum, kuantum tehdidinin veri koruma açısından bugünden var olan bir tehdit olarak ele alındığını da pekiştiriyor. Kriptanalitik açıdan anlamlı bir kuantum bilgisayar henüz mevcut olmasa bile, saldırganlar bugün şifrelenmiş verileri toplayıp daha sonra çözmeyi deneyebilir.

İzlenmesi gerekenler

Yakın vadeli başlıklardan biri, kurumlar ile tedarikçilerin savunmasız kriptografinin ürünlere, aygıt yazılımına ve uzun ömürlü altyapıya nerelerde gömülü olduğunu ne kadar hızlı tespit edebileceği olacak. Bir diğeri ise NIST’in National Cybersecurity Center of Excellence bünyesinden gelen uygulama planlarının benimsenmesi olacak; NIST, bu merkezin kriptografik görünürlük, risk yönetimi ve pratik PQC dağıtımlarına odaklanan ayrı bir geçiş projesi yürüttüğünü söylüyor.

NIST’in PQC standardizasyon projesinin başındaki Dustin Moody’nin ifadeleriyle: “Tüm kullanım senaryolarına uyan tek bir strateji olmadığını biliyoruz.”