Kvantecomputere har en dobbelt natur. På den ene side kan de på sigt få betydning for simuleringer inden for kvantekemi og materialer, udvalgte optimeringsproblemer og visse arbejdsgange inden for kunstig intelligens. Gevinsterne er dog stadig perspektiver og afhænger i høj grad af den konkrete anvendelse.

På den anden side er sikkerhedsproblemet allerede noget, organisationer kan handle på. En tilstrækkeligt stor, fejltolerant kvantecomputer vil i fremtiden kunne underminere udbredte offentlige krypteringssystemer – selv om der i dag ikke findes en kryptografisk relevant kvantecomputer, ofte forkortet CRQC. 52

Den praktiske konklusion er derfor ikke at vente på en maskine, der kan knække krypteringen. Organisationer bør allerede nu kortlægge og udskifte sårbare kryptografiske afhængigheder. Nogle oplysninger skal nemlig forblive hemmelige længere, end det kan tage at gennemføre en komplet migration.

Hvorfor Shors algoritme truer RSA og elliptisk kurvekryptografi

RSA bygger på, at det er svært for klassiske computere at faktorisere meget store heltal. Diffie-Hellman og systemer baseret på elliptiske kurver bygger på tilsvarende vanskelige diskret-logaritmeproblemer. På tilstrækkeligt kraftigt, fejltolerant kvantehardware vil Shors algoritme kunne løse disse problemer langt hurtigere end klassiske computere.

Truslen handler ikke kun om krypterede beskeder. Sårbare offentlige nøglesystemer bruges også til:

• etablering af krypteringsnøgler;
• autentifikation og digitale certifikater;
• signering af software og firmware;
• secure boot og opdateringsmekanismer;
• identitetsinfrastruktur og andre digitale tillidsfunktioner.

En fremtidig angriber vil derfor potentielt kunne ramme både fortroligheden og muligheden for at kontrollere, om software, dokumenter, transaktioner eller arkiver er ægte og uændrede.

Det betyder ikke, at al kryptografi bryder sammen på én gang. Den direkte bekymring gælder især offentlige nøglealgoritmer som RSA og elliptisk kurvekryptografi. Symmetrisk kryptografi trues ikke på samme direkte måde af Shors algoritme, men alle kryptografiske komponenter skal stadig vurderes med hensyn til sikkerhedsniveau og implementering.

»Harvest now, decrypt later« gør dagens data til et mål

Et såkaldt »harvest now, decrypt later«-angreb kræver ikke, at angriberen kan dekryptere kommunikationen med det samme. I stedet kan krypteret trafik opsnappes, eller krypterede arkiver stjæles og gemmes, indtil en kryptografisk relevant kvantecomputer bliver tilgængelig. 51

Det afgørende tidspunkt afhænger derfor af to forhold:

• hvor lang tid organisationen behøver for at udskifte sine systemer; og
• hvor længe de beskyttede oplysninger skal forblive hemmelige.

Særligt udsatte er data med lang fortrolighedshorisont, for eksempel:

• statslige og diplomatiske dokumenter;
• forsvarsoplysninger og ingeniørdesign;
• helbreds- og genomdata;
• identitetsoplysninger;
• finansielle og juridiske sager;
• forretningshemmeligheder;
• oplysninger om kritisk infrastruktur;
• proprietær forskning.

Risikoen gælder også arkiver og digitalt signerede dokumenter, hvor ægtheden skal kunne verificeres i mange år.

Truslen er ikke et bevis på, at alle krypterede arkiver allerede bliver indsamlet, eller at et kvanteangreb er nært forestående. Men den betyder, at det kan være for sent at vente på et endeligt varsel om »Q-Day« – dagen, hvor kvantecomputere kan knække den nuværende offentlige nøglekryptografi.

Tidsplanen er usikker – migrationsarbejdet er allerede i gang

Forudsigelserne om, hvornår en kryptografisk relevant kvantecomputer kan blive virkelighed, varierer betydeligt. Tyske myndigheder har understreget, at der ikke findes en CRQC i dag, mens tidspunktet for en mulig fremkomst fortsat er usikkert. 52 Andre vurderinger peger på en reel risiko i 2030’erne, men det er prognoser – ikke en bekræftet ankomstdato. 5356

En fornuftig migrationsplan bør derfor ikke afhænge af, at man rammer én bestemt Q-Day-dato. I stedet bør organisationer prioritere oplysninger efter følsomhed og opbevaringsperiode og samtidig medregne den tid, der går til at finde afhængigheder, teste alternativer, opdatere leverandører og udfase systemer, der ikke kan opgraderes.

NIST’s foreslåede overgangsramme beskriver en trinvis udfasning af offentlige nøglealgoritmer, der er sårbare over for kvanteangreb. Her foreslås RSA-2048 og ECC-256 udfaset efter 2030 og ikke længere tilladt efter 2035. Da IR 8547 er et overgangsforslag, bør organisationer kontrollere den endelige vejledning, der gælder for deres sektor, i stedet for at opfatte datoerne som universelle lovkrav. 2035

Den amerikanske føderale retning er dog tydelig. Civile myndigheder blev pålagt at indsende prioriterede fortegnelser over systemer og aktiver med kryptografi, der er sårbar over for en CRQC, senest 4. maj 2023 og derefter hvert år frem til 2035. 33 National Security Memorandum 10 fastsatte samtidig et føderalt mål om at begrænse kvante​​risikoen inden 2035. 39

NIST’s standarder giver migrationen et konkret udgangspunkt

Den 13. august 2024 færdiggjorde NIST tre centrale standarder for post-kvantekryptografi, som er udviklet til at modstå fremtidige kvanteangreb: 2425

• FIPS 203, ML-KEM: En modul-gitterbaseret mekanisme til indkapsling af nøgler, som bruges til at etablere fælles hemmeligheder. 23
• FIPS 204, ML-DSA: En modul-gitterbaseret standard for digitale signaturer. 22
• FIPS 205, SLH-DSA: En stateless hash-baseret standard for digitale signaturer, der bygger på et andet matematisk grundlag. 17

Det er ikke en simpel »skift algoritmen«-øvelse, der kan gennemføres overalt fra den ene dag til den anden. Standarderne skal integreres i protokoller, softwarebiblioteker, certifikater, identitetssystemer, hardware-sikkerhedsmoduler, firmware, applikationer og leverandørprodukter.

NIST beskriver selv standarderne som begyndelsen på en omfattende overgang og arbejder fortsat på yderligere algoritmer som reserver eller alternativer. 28

Hvad bør organisationer kortlægge først?

Kryptografi gemmer sig ofte i systemer, der aldrig er designet til hurtig udskiftning af algoritmer. En brugbar kortlægning bør derfor gå længere end de synlige krypteringsindstillinger og blandt andet omfatte:

• TLS, VPN’er, API’er og ældre netværksprotokoller;
• public key-infrastruktur, certifikatudstedelse og certifikatudskiftning;
• identitets-, autentifikations- og adgangssystemer;
• kodesignering, firmware, secure boot og softwareopdateringer;
• hardware-sikkerhedsmoduler, databaser, sikkerhedskopier og arkiver;
• IoT-enheder samt industrielt, medicinsk og andet langtidsholdbart udstyr;
• cloudtjenester, SaaS-leverandører, softwarebiblioteker og andre tredjeparter.

Næste skridt er at prioritere risikoen. Systemer, der beskytter oplysninger, som skal forblive hemmelige i årtier, bør komme før data med kort levetid. Det samme gælder systemer, der styrer softwareoprindelse og tilliden til kritisk infrastruktur.

Organisationer har også brug for krypto-agilitet: evnen til at udskifte algoritmer, nøglestørrelser, certifikater og kryptografiske biblioteker uden at redesigne et helt produkt eller netværk.

Hybridløsninger, hvor klassiske og post-kvantebaserede mekanismer bruges sammen i overgangsperioden, kan mindske migrationsrisikoen. Til gengæld øger de kravene til integration, test og drift.

HAWK-sagen er en advarsel om evaluering – ikke et brud på NIST-standarderne

I juli 2026 oplyste Anthropic, at modellen Claude Mythos Preview havde fundet en hidtil ukendt strukturel svaghed i HAWK, en gitterbaseret kandidat til post-kvantesignaturer. Anthropic oplyste, at HAWK havde overlevet to års og to runder af ekspertgennemgang, mens modellen forbedrede det hidtil kendte angreb på omkring 60 timer. HAWK-teamet trak efterfølgende kandidaten fra NIST’s proces for yderligere signaturer. 5

Den afgørende præcisering er, at HAWK var en kandidat – ikke en færdig NIST-FIPS-standard eller en algoritme, der var udbredt i produktionssystemer. Hændelsen brød derfor ikke FIPS 203, FIPS 204 eller FIPS 205, og rapporteringen om sagen fastslår, at udrullede systemer ikke blev berørt. 56

Den bredere lektie er vigtig: »post-kvantesikker« er ikke et permanent sikkerhedsstempel. Kandidatalgoritmer kræver løbende matematisk granskning, uafhængige implementeringstests, forskellige sikkerhedsantagelser og mulighed for udskiftning, hvis nye angreb dukker op.

AI-assisteret kryptanalyse kan blive en del af denne evaluering, men den erstatter ikke menneskelig kontrol eller gennemsigtigt standardiseringsarbejde.

Det er en systemovergang – ikke bare en ny algoritme

En overgang til post-kvantekryptografi kan kræve ændringer i software og protokoller, nye biblioteker, arbejde med certifikater og PKI, opgraderinger af hardware-sikkerhedsmoduler og firmware, interoperabilitetstests, leverandørkoordinering og dokumentation af efterlevelse.

Udstyr, der ikke kan opdateres, skal muligvis udskiftes. Større nøgler eller signaturer kan også påvirke båndbredde, lagerplads, svartider og ydeevne på enheder.

Det er vanskeligt at sætte en enkelt, universel pris på overgangen. Omkostningerne afhænger af organisationens teknologilandskab, krav til dataopbevaring, leverandørkontrakter og regulering. Den mest holdbare konklusion er, at overgangen bliver omfattende, fordi offentlig nøglekryptografi er indlejret i mange langvarige digitale tillidsrelationer – ikke fordi alle systemer skal udskiftes på én gang.

Konklusionen

Kvantecomputere kan på længere sigt give vigtige videnskabelige fremskridt, men gevinsterne er fortsat usikre, specialiserede og under udvikling. Sikkerhedsudfordringen er mere konkret: RSA og elliptisk kurvekryptografi kan blive sårbare over for Shors algoritme, og krypterede data, der opsamles i dag, kan blive læsbare senere.

Der findes ingen CRQC i dag. Det er en grund til at planlægge omhyggeligt – ikke til at udskyde arbejdet. Den praktiske rækkefølge er at kortlægge kryptografien, klassificere data efter hvor længe de skal være fortrolige, prioritere kritiske afhængigheder, teste NIST’s færdige post-kvantesstandarder og opbygge krypto-agilitet.

Migrationsdatoer bør bruges som planlægningsmål. Organisationer bør ikke vente på den dag, hvor nogen officielt erklærer, at Q-Day er kommet.

Kvantecomputere har en dobbelt natur. På den ene side kan de på sigt få betydning for simuleringer inden for kvantekemi og materialer, udvalgte optimeringsproblemer og visse arbejdsgange inden for kunstig intelligens. Gevinsterne er dog stadig perspektiver og afhænger i høj grad af den konkrete anvendelse.

På den anden side er sikkerhedsproblemet allerede noget, organisationer kan handle på. En tilstrækkeligt stor, fejltolerant kvantecomputer vil i fremtiden kunne underminere udbredte offentlige krypteringssystemer – selv om der i dag ikke findes en kryptografisk relevant kvantecomputer, ofte forkortet CRQC. 52

Den praktiske konklusion er derfor ikke at vente på en maskine, der kan knække krypteringen. Organisationer bør allerede nu kortlægge og udskifte sårbare kryptografiske afhængigheder. Nogle oplysninger skal nemlig forblive hemmelige længere, end det kan tage at gennemføre en komplet migration.

Hvorfor Shors algoritme truer RSA og elliptisk kurvekryptografi

RSA bygger på, at det er svært for klassiske computere at faktorisere meget store heltal. Diffie-Hellman og systemer baseret på elliptiske kurver bygger på tilsvarende vanskelige diskret-logaritmeproblemer. På tilstrækkeligt kraftigt, fejltolerant kvantehardware vil Shors algoritme kunne løse disse problemer langt hurtigere end klassiske computere.

Truslen handler ikke kun om krypterede beskeder. Sårbare offentlige nøglesystemer bruges også til:

• etablering af krypteringsnøgler;
• autentifikation og digitale certifikater;
• signering af software og firmware;
• secure boot og opdateringsmekanismer;
• identitetsinfrastruktur og andre digitale tillidsfunktioner.

En fremtidig angriber vil derfor potentielt kunne ramme både fortroligheden og muligheden for at kontrollere, om software, dokumenter, transaktioner eller arkiver er ægte og uændrede.

Det betyder ikke, at al kryptografi bryder sammen på én gang. Den direkte bekymring gælder især offentlige nøglealgoritmer som RSA og elliptisk kurvekryptografi. Symmetrisk kryptografi trues ikke på samme direkte måde af Shors algoritme, men alle kryptografiske komponenter skal stadig vurderes med hensyn til sikkerhedsniveau og implementering.

»Harvest now, decrypt later« gør dagens data til et mål

Et såkaldt »harvest now, decrypt later«-angreb kræver ikke, at angriberen kan dekryptere kommunikationen med det samme. I stedet kan krypteret trafik opsnappes, eller krypterede arkiver stjæles og gemmes, indtil en kryptografisk relevant kvantecomputer bliver tilgængelig. 51

Det afgørende tidspunkt afhænger derfor af to forhold:

• hvor lang tid organisationen behøver for at udskifte sine systemer; og
• hvor længe de beskyttede oplysninger skal forblive hemmelige.

Særligt udsatte er data med lang fortrolighedshorisont, for eksempel:

• statslige og diplomatiske dokumenter;
• forsvarsoplysninger og ingeniørdesign;
• helbreds- og genomdata;
• identitetsoplysninger;
• finansielle og juridiske sager;
• forretningshemmeligheder;
• oplysninger om kritisk infrastruktur;
• proprietær forskning.

Risikoen gælder også arkiver og digitalt signerede dokumenter, hvor ægtheden skal kunne verificeres i mange år.

Truslen er ikke et bevis på, at alle krypterede arkiver allerede bliver indsamlet, eller at et kvanteangreb er nært forestående. Men den betyder, at det kan være for sent at vente på et endeligt varsel om »Q-Day« – dagen, hvor kvantecomputere kan knække den nuværende offentlige nøglekryptografi.

Tidsplanen er usikker – migrationsarbejdet er allerede i gang

Forudsigelserne om, hvornår en kryptografisk relevant kvantecomputer kan blive virkelighed, varierer betydeligt. Tyske myndigheder har understreget, at der ikke findes en CRQC i dag, mens tidspunktet for en mulig fremkomst fortsat er usikkert. 52 Andre vurderinger peger på en reel risiko i 2030’erne, men det er prognoser – ikke en bekræftet ankomstdato. 5356

En fornuftig migrationsplan bør derfor ikke afhænge af, at man rammer én bestemt Q-Day-dato. I stedet bør organisationer prioritere oplysninger efter følsomhed og opbevaringsperiode og samtidig medregne den tid, der går til at finde afhængigheder, teste alternativer, opdatere leverandører og udfase systemer, der ikke kan opgraderes.

NIST’s foreslåede overgangsramme beskriver en trinvis udfasning af offentlige nøglealgoritmer, der er sårbare over for kvanteangreb. Her foreslås RSA-2048 og ECC-256 udfaset efter 2030 og ikke længere tilladt efter 2035. Da IR 8547 er et overgangsforslag, bør organisationer kontrollere den endelige vejledning, der gælder for deres sektor, i stedet for at opfatte datoerne som universelle lovkrav. 2035

Den amerikanske føderale retning er dog tydelig. Civile myndigheder blev pålagt at indsende prioriterede fortegnelser over systemer og aktiver med kryptografi, der er sårbar over for en CRQC, senest 4. maj 2023 og derefter hvert år frem til 2035. 33 National Security Memorandum 10 fastsatte samtidig et føderalt mål om at begrænse kvante​​risikoen inden 2035. 39

NIST’s standarder giver migrationen et konkret udgangspunkt

Den 13. august 2024 færdiggjorde NIST tre centrale standarder for post-kvantekryptografi, som er udviklet til at modstå fremtidige kvanteangreb: 2425

• FIPS 203, ML-KEM: En modul-gitterbaseret mekanisme til indkapsling af nøgler, som bruges til at etablere fælles hemmeligheder. 23
• FIPS 204, ML-DSA: En modul-gitterbaseret standard for digitale signaturer. 22
• FIPS 205, SLH-DSA: En stateless hash-baseret standard for digitale signaturer, der bygger på et andet matematisk grundlag. 17

Det er ikke en simpel »skift algoritmen«-øvelse, der kan gennemføres overalt fra den ene dag til den anden. Standarderne skal integreres i protokoller, softwarebiblioteker, certifikater, identitetssystemer, hardware-sikkerhedsmoduler, firmware, applikationer og leverandørprodukter.

NIST beskriver selv standarderne som begyndelsen på en omfattende overgang og arbejder fortsat på yderligere algoritmer som reserver eller alternativer. 28

Hvad bør organisationer kortlægge først?

Kryptografi gemmer sig ofte i systemer, der aldrig er designet til hurtig udskiftning af algoritmer. En brugbar kortlægning bør derfor gå længere end de synlige krypteringsindstillinger og blandt andet omfatte:

• TLS, VPN’er, API’er og ældre netværksprotokoller;
• public key-infrastruktur, certifikatudstedelse og certifikatudskiftning;
• identitets-, autentifikations- og adgangssystemer;
• kodesignering, firmware, secure boot og softwareopdateringer;
• hardware-sikkerhedsmoduler, databaser, sikkerhedskopier og arkiver;
• IoT-enheder samt industrielt, medicinsk og andet langtidsholdbart udstyr;
• cloudtjenester, SaaS-leverandører, softwarebiblioteker og andre tredjeparter.

Næste skridt er at prioritere risikoen. Systemer, der beskytter oplysninger, som skal forblive hemmelige i årtier, bør komme før data med kort levetid. Det samme gælder systemer, der styrer softwareoprindelse og tilliden til kritisk infrastruktur.

Organisationer har også brug for krypto-agilitet: evnen til at udskifte algoritmer, nøglestørrelser, certifikater og kryptografiske biblioteker uden at redesigne et helt produkt eller netværk.

Hybridløsninger, hvor klassiske og post-kvantebaserede mekanismer bruges sammen i overgangsperioden, kan mindske migrationsrisikoen. Til gengæld øger de kravene til integration, test og drift.

HAWK-sagen er en advarsel om evaluering – ikke et brud på NIST-standarderne

I juli 2026 oplyste Anthropic, at modellen Claude Mythos Preview havde fundet en hidtil ukendt strukturel svaghed i HAWK, en gitterbaseret kandidat til post-kvantesignaturer. Anthropic oplyste, at HAWK havde overlevet to års og to runder af ekspertgennemgang, mens modellen forbedrede det hidtil kendte angreb på omkring 60 timer. HAWK-teamet trak efterfølgende kandidaten fra NIST’s proces for yderligere signaturer. 5

Den afgørende præcisering er, at HAWK var en kandidat – ikke en færdig NIST-FIPS-standard eller en algoritme, der var udbredt i produktionssystemer. Hændelsen brød derfor ikke FIPS 203, FIPS 204 eller FIPS 205, og rapporteringen om sagen fastslår, at udrullede systemer ikke blev berørt. 56

Den bredere lektie er vigtig: »post-kvantesikker« er ikke et permanent sikkerhedsstempel. Kandidatalgoritmer kræver løbende matematisk granskning, uafhængige implementeringstests, forskellige sikkerhedsantagelser og mulighed for udskiftning, hvis nye angreb dukker op.

AI-assisteret kryptanalyse kan blive en del af denne evaluering, men den erstatter ikke menneskelig kontrol eller gennemsigtigt standardiseringsarbejde.

Det er en systemovergang – ikke bare en ny algoritme

En overgang til post-kvantekryptografi kan kræve ændringer i software og protokoller, nye biblioteker, arbejde med certifikater og PKI, opgraderinger af hardware-sikkerhedsmoduler og firmware, interoperabilitetstests, leverandørkoordinering og dokumentation af efterlevelse.

Udstyr, der ikke kan opdateres, skal muligvis udskiftes. Større nøgler eller signaturer kan også påvirke båndbredde, lagerplads, svartider og ydeevne på enheder.

Det er vanskeligt at sætte en enkelt, universel pris på overgangen. Omkostningerne afhænger af organisationens teknologilandskab, krav til dataopbevaring, leverandørkontrakter og regulering. Den mest holdbare konklusion er, at overgangen bliver omfattende, fordi offentlig nøglekryptografi er indlejret i mange langvarige digitale tillidsrelationer – ikke fordi alle systemer skal udskiftes på én gang.

Konklusionen

Kvantecomputere kan på længere sigt give vigtige videnskabelige fremskridt, men gevinsterne er fortsat usikre, specialiserede og under udvikling. Sikkerhedsudfordringen er mere konkret: RSA og elliptisk kurvekryptografi kan blive sårbare over for Shors algoritme, og krypterede data, der opsamles i dag, kan blive læsbare senere.

Der findes ingen CRQC i dag. Det er en grund til at planlægge omhyggeligt – ikke til at udskyde arbejdet. Den praktiske rækkefølge er at kortlægge kryptografien, klassificere data efter hvor længe de skal være fortrolige, prioritere kritiske afhængigheder, teste NIST’s færdige post-kvantesstandarder og opbygge krypto-agilitet.

Migrationsdatoer bør bruges som planlægningsmål. Organisationer bør ikke vente på den dag, hvor nogen officielt erklærer, at Q-Day er kommet.