Seminar Post-Quantum Cryptography – Governance, Beschaffung und Compliance

Eine PQC-Migration betrifft nicht nur Kryptografie-Teams. Entscheidungen zu Lebenszyklen, Beschaffung, Budget, Risikoakzeptanz, Lieferanten und Nachweisen müssen über Jahre konsistent getroffen werden. Das Seminar überführt die technische Aufgabenstellung in ein steuerbares Programm mit klaren Zuständigkeiten und überprüfbaren Vorgaben.

Zielsetzung

Die Teilnehmenden entwickeln ein Governance-Modell, das Kryptoinventar, Risikobewertung, Beschaffungsentscheidungen und technische Migration miteinander verbindet und auch bei sich ändernden Standards handlungsfähig bleibt.

Steuerungsmodell und Verantwortlichkeiten

• Programmauftrag, Geltungsbereich und Entscheidungsbefugnisse festlegen
• Rollen für Informationssicherheit, Architektur, Entwicklung, Betrieb, PKI, Einkauf und Fachbereiche zuordnen
• Inventareigentümer, Risikoverantwortliche und technische Maßnahmenverantwortliche benennen
• Ausnahmen, Eskalationen und befristete Risikoakzeptanzen nachvollziehbar behandeln
• PQC-Governance in bestehende ISMS-, Architektur- und Änderungsprozesse integrieren

Richtlinien und Nachweise

• Kryptografische Richtlinie um zugelassene, auslaufende und untersagte Verfahren ergänzen
• Anwendungsprofile für Schlüsselvereinbarung, Signaturen, Zertifikate und Langzeitdaten definieren
• Nachweisführung aus Kryptoinventar, Risikoanalyse, Tests und Freigaben strukturieren
• Den europäischen Start der PQC-Umstellung bis Ende 2026 und die Zielmarke für kritische Infrastrukturen bis Ende 2030 in die eigene Planung einordnen
• Technische Standards, nationale Empfehlungen und sektorale Anforderungen voneinander abgrenzen
• Dokumentationsstände und Entscheidungsgrundlagen versionieren

Beschaffung und Lieferantensteuerung

• PQC-Fähigkeit, Crypto Agility und Migrationszusagen in Anforderungsprofile aufnehmen
• Unterstützte Algorithmen, Protokolle, Zertifikate, HSM- und KMS-Funktionen überprüfbar abfragen
• Roadmaps, Supportzeiträume, Firmwareabhängigkeiten und Interoperabilität bewerten
• Vertragliche Aktualisierungs-, Informations- und Nachweispflichten fachlich vorbereiten
• Marketingaussagen von getesteter Produktfähigkeit und verbindlicher Lieferplanung trennen

Programmsteuerung

• Meilensteine, Migrationswellen, Budgetpositionen und Abhängigkeiten festlegen
• Kennzahlen für Inventarabdeckung, Risikoreduktion, Lieferantenstatus, Pilotfortschritt und Ausnahmen definieren
• Entscheidungsgremien mit aussagekräftigen Statusbildern versorgen
• Standards und Produktaussagen regelmäßig neu bewerten, ohne das Programm jedes Mal neu aufzusetzen

Praxisübungen

• Eine RACI-Zuordnung für ein PQC-Programm erstellen
• Einen Lieferantenfragebogen und Mindestanforderungen für eine Beschaffung entwerfen
• Ein kompaktes Kennzahlenset mit Eskalationsschwellen ausarbeiten