Crittografia post-quantistica. Quadro della situazione, rischi e tabella di marcia per la migrazione dell'informatica della Confederazione

Il Consiglio federale è incaricato di illustrare in un rapporto in che modo la Confederazione valuta i rischi che i futuri computer quantistici comportano per la confidenzialità, l’integrità e l’autenticità dei suoi sistemi digitali e quali misure sono necessarie per intraprendere una migrazione graduale verso procedure crittografiche a prova di quantistica.

Tale rapporto dovrà illustrare in particolare:

• quali dati degni di particolare protezione, canali di comunicazione, infrastrutture di gestione di identità, certificati, firme e chiavi crittografiche della Confederazione dipendono a lungo termine da procedure a chiave pubblica in uso oggi;

• come la Confederazione può creare un inventario dei rapporti di dipendenza a livello crittografico e una classificazione dei rischi sulla base della necessità di protezione, del ciclo di vita dei dati e della criticità dei sistemi;

• a quali settori rilevanti in materia di sicurezza attribuire la priorità, come per esempio la difesa nazionale, il servizio informazioni, registri amministrativi critici e dati giudiziari, fiscali, sanitari e relativi all’identità;

• come la Svizzera può applicare gli standard e le raccomandazioni internazionali, in particolare quelli del NIST, dell’ETSI e di autorità simili;

• quali requisiti porre in termini di cripto-agilità, soluzioni transitorie ibride, acquisti, prove che i fornitori devono fornire, test e governance;

• quali progetti pilota, scadenze e competenze sono adeguati a una migrazione orientata ai rischi.

In futuro i computer quantistici più potenti potrebbero indebolire in modo significativo le procedure a chiave pubblica diffuse oggi, come gli algoritmi RSA e la crittografia ellittica. Inoltre, assume particolare rilevanza anche il rischio che i dati vengano raccolti e salvati già ora per essere decriptati in un secondo momento. La Confederazione elabora informazioni la cui confidenzialità talvolta deve essere garantita per decenni.

Tuttavia, intraprendere una migrazione alla crittografia quantistica non è una questione legata solo agli acquisti e non si limita a una semplice sostituzione di algoritmi: riguarda infatti protocolli, certificati, la gestione delle chiavi crittografiche, le infrastrutture di identità, firme, archivi a lungo termine, applicazioni specialistiche e le interfacce con i Cantoni, i Comuni, l’economia e i partner internazionali. Per questo motivo occorre innanzitutto elaborare un quadro della situazione solido, attribuire le priorità sulla base dei rischi e creare una tabella di marcia per la migrazione che sia realistica.

Nell’Amministrazione federale la migrazione verso procedure crittografiche a prova di quantistica è importante per la cibersicurezza dell’Amministrazione federale e il Consiglio federale è intenzionato ad attuare le misure necessarie. Per questo motivo il Consiglio federale propone di adottare la mozione 26.3830 Blunschy «Preparare l’informatica della Confederazione alla crittografia quantistica» e la mozione 26.3628 Juillard «Cibersicurezza e sovranità digitale. Dotare la Svizzera di una tabella di marcia nazionale per la transizione verso la crittografia post-quantistica». Entrambe queste mozioni chiedono già alla Confederazione di definire tabelle di marcia e stabilire quali dati e canali di comunicazione debbano avere la priorità nella migrazione verso procedure a prova di quantistica. Presentare un ulteriore rapporto sullo stesso argomento non apporterebbe un valore aggiunto significativo.

Non è possibile illustrare lo stato attuale in materia di crittografia di dati degni di particolare protezione, i settori prioritari rilevanti in materia di sicurezza e le tabelle di marcia in un rapporto pubblico in adempimento di un postulato, poiché si tratta di informazioni rilevanti per la sicurezza che possono fornire a potenziali aggressori dettagli preziosi su obiettivi particolarmente interessanti all’interno dell’Amministrazione federale nonché sui dispositivi di protezione esistenti. Il Consiglio federale è disposto a informare il Parlamento nelle commissioni parlamentari competenti in merito alla pianificazione e all’attuazione della migrazione verso procedure crittografiche a prova di quantistica.

Il Consiglio federale propone di respingere il postulato.

Respingere