Til sin rapport 2026 State of Post-Quantum Cryptography (PQC) har F5 Labs scannet verdens én million største websites for at vurdere deres parathed til fremkomsten af kvantecomputere, som vil true den udbredte kryptografi med offentlige nøgler.

Analysen af brancher og lande omfattede de 100.000 største domæner. Den viste, at kun 34 procent af websiderne i olie- og gasindustrien, 35 procent i telekommunikationssektoren, 35 procent i den offentlige sektor og 39 procent i forsyningssektoren har taget postkvantekryptografi (PQC) i brug, som kan modstå angreb fra kvantecomputere. På tværs af hele undersøgelsen af verdens én million største websites var andelen 54 procent.

Organisationer i disse brancher beskytter kritiske aktiver, følsomme personoplysninger og klassificeret statslig kommunikation. Alligevel er de blandt de dårligst forberedte på den kommende trussel fra kvantecomputere, som vil vende op og ned på årtiers etablerede principper inden for kryptering og cybersikkerhed.

Farligt paradoks

– Det farlige paradoks ved kvantesikkerhed er, at de brancher, der administrerer kritisk infrastruktur, befinder sig i den nederste fjerdedel, når det gælder parathed, siger rapportens forfatter David Warburton, Director of F5 Labs.

– Mange organisationer i disse brancher er begrænset af en kombination af krav om datasuverænitet, SCADA-systemer (Supervisory Control and Data Acquisition) og langvarige indkøbsprocesser. Netop den kontrol, de udøver over deres data og leverandører, begrænser deres fleksibilitet og udsætter dem for truslen fra kvantecomputere, som potentielt kan bryde traditionelle krypteringsmetoder.

– Billedet af PQC-paratheden ser umiddelbart roligt ud, men der gemmer sig isbjerge under overfladen, tilføjer Warburton.

– Selv om størstedelen af verdens én million største websites nu understøtter postkvante-nøgleudveksling, skyldes det ikke proaktiv teknisk udvikling, men snarere en passiv afhængighed af en håndfuld edge-platforme.

– Det skaber en illusion af beskyttelse mod kvanteangreb, men beskytter kun hovedindgangen, mens store dele af infrastrukturen og mange adgangspunkter forbliver ubeskyttede. Selv om eksterne websider og betalingsprocesser kan være godt beskyttet, er interne applikationslag, private API-økosystemer og virksomhedsdatabaser ofte fortsat baseret på ældre kryptografisk infrastruktur og dermed sårbare over for fremtidig dekryptering ved hjælp af kvantecomputere.

Regionale forskelle: Et blandet billede

Paratheden til postkvantekryptografi varierer lige så meget mellem regioner som mellem brancher. Valg af cloudarkitektur, lokale hostingmiljøer og regler om digital suverænitet har alle væsentlig betydning.

Ukraine er førende med den højeste andel af organisationer, der har implementeret PQC med succes (65 procent). Det skyldes en omfattende migrering af offentlig infrastruktur til amerikanskbaserede platforme for at styrke den operationelle modstandsdygtighed som følge af hybrid krigsførelse med en betydelig cyberdimension.

Five Eyes-landene klarede sig også godt. Australien (63 procent), USA (62 procent) og Storbritannien (61 procent) nyder tilsvarende godt af amerikansk infrastruktur samt tidsplaner for overgangen til PQC, som de nationale cybersikkerhedsmyndigheder har koordineret på tværs af Five Eyes-samarbejdet.

Derimod halter de store EU-lande betydeligt bagefter. Indførelsen af PQC hæmmes af en kombination af præferencer for lokale datacentre, europæiske cloududbydere, der ikke har aktiveret PQC som standard på edge-niveau, og forsigtige anbefalinger fra cybersikkerhedsmyndighederne om postkvantealgoritmer.

Danmark (49 procent), Holland (46 procent) og Spanien (45 procent) klarede sig bedst blandt de undersøgte europæiske lande og lå et godt stykke foran Italien (40 procent), Frankrig (39 procent) og Tyskland (36 procent).

Indsaml nu – dekryptér senere

– Organisationer, der halter bagefter med hensyn til modstandsdygtighed over for kvanteangreb, skubber ikke blot problemer foran sig. De står allerede nu over for operationelle risici, forklarer Warburton.

– Ud over de lovpligtige tidsfrister for implementering af postkvantekryptografi skal virksomhederne erkende, at deres krypterede data allerede bliver indsamlet af angribere som led i såkaldte Harvest Now, Decrypt Later-kampagner (HNDL).

– Det betyder, at truslen allerede er her, og at tiden, hvor man kunne tillade sig at være ubekymret, er forbi. For at opbygge modstandsdygtighed skal organisationer gennemføre omfattende kortlægninger af alle steder, hvor de anvender kryptografi, afvikle teknisk gæld, der gør dem sårbare, etablere overgangsbeskyttelse for ældre systemer, modernisere håndteringen af certifikaters livscyklus og sikre kryptografisk fleksibilitet i hele deres forsyningskæde.

Ved at anvende F5 Application Delivery and Security Platform (ADSP) sammen med BIG-IP SSL Orchestrator kan virksomheder straks aktivere hybrid postkvante-nøgleudveksling på den offentligt tilgængelige internetside og samtidig bevare klassisk kryptografi til ældre applikationer internt. Det gør det muligt for organisationer med det samme at etablere postkvantebeskyttelse af deres offentligt tilgængelige forbindelser, forklarer Warburton.

– Q-Day – det tidspunkt, hvor kvantecomputere bliver i stand til at bryde traditionel kryptering – er måske endnu ikke nært forestående, men tidspunktet, hvor man burde være begyndt at opbygge modstandsdygtighed mod denne trussel, er allerede passeret, konkluderer han.