Il quantum computing non è solo una promessa tecnologica: è anche un nuovo rischio per la sicurezza delle infrastrutture digitali.

Capire perché il rischio cyber security riguarda il presente, non il futuro, è il primo passo per una transizione quantum-safe credibile.

Il paradosso di un rischio ancora invisibile

C’è una caratteristica insolita nella minaccia quantistica alla cybersicurezza: non arriva quando la tecnologia sarà matura, ma si manifesta già ora, mentre i computer quantistici crittograficamente rilevanti non esistono ancora.
Il meccanismo si chiama harvest now, decrypt later. Un attaccante può intercettare oggi comunicazioni cifrate, conservarle e decifrarle nel momento in cui disporrà della capacità computazionale necessaria.

I dato viene compromesso, quindi, non al Q-day (ovvero il momento in cui un computer quantistico diventerà sufficientemente potente da violare alcuni degli algoritmi crittografici oggi più utilizzati), ma nel momento in cui il dato stesso viene trasmesso.

Il calcolo del rischio

Per documenti classificati, dati sanitari con lunga vita utile o proprietà intellettuale critica, questo cambia radicalmente il calcolo del rischio.
Non è uno scenario speculativo.

È la ragione per cui 18 nazioni europee, tra cui l’Italia, hanno firmato nel novembre 2024 un white paper comune raccomandando di avviare immediatamente la protezione dei casi d’uso più sensibili, con orizzonte target fissato al 2030.
Si segnala che gli Stati Uniti hanno recentemente rafforzato il proprio impegno in questo ambito: nel giugno 2026 il presidente Usa Donald Trump ha firmato due Executive Orders volti ad accelerare sia lo sviluppo delle Tecnologie Quantistiche sia la migrazione delle infrastrutture federali alla crittografia post-quantistica.

In particolare, per i sistemi federali ad alto valore e ad alto impatto, viene fissato il termine del 31 dicembre 2030 per la migrazione dei meccanismi di key establishment e del 31 dicembre 2031 per la migrazione dei sistemi di firma digitale, confermando la crescente rilevanza strategica della Quantum Readiness a livello globale.

Crittografia asimmetrica: il vero punto debole

Per capire dove la minaccia quantistica colpisce davvero, bisogna partire da due algoritmi elaborati negli anni ’90, prima ancora che esistessero computer quantistici operativi: Grover e Shor.
L’algoritmo di Grover è progettato per accelerare la ricerca all’interno di un insieme di possibilità: applicato alla crittografia simmetrica, come lo standard AES, consente di dimezzare la lunghezza effettiva della chiave.

La contromisura è relativamente semplice, raddoppiare la lunghezza della chiave, passando da AES-128 ad AES-256, basta a ristabilire il livello di sicurezza. Il sistema rimane strutturalmente valido.

La crittografia asimmetrica invece è esposta al rischio quantistico. RSA e gli algoritmi su curve ellittiche, che governano autenticazione, firme digitali e scambio di chiavi praticamente ovunque, si fondano su problemi matematici che l’algoritmo di Shor risolve con uno speedup esponenziale.

Aumentare la lunghezza delle chiavi non è una contromisura: un computer quantistico di scala adeguata ridurrebbe i tempi di attacco da millenni a poche ore.

L’intera famiglia di protocolli diventa quindi insicura.

La selezione di nuovi algoritmi da parte del NIST

È questa la ragione per cui il NIST, dal 2016, ha condotto un processo internazionale di selezione di nuovi algoritmi. Nel 2024 ha pubblicato i primi tre standard ufficiali di Post-Quantum Cryptography, con una raccomandazione chiara: deprecare la crittografia a chiave pubblica vulnerabile entro il 2030, vietarne l’uso entro il 2035.

PQC e QKD: due tecnologie, un obiettivo

La risposta alla minaccia si articola attorno a due direttrici complementari che agiscono su livelli diversi dell’architettura di sicurezza.
La Post-Quantum Cryptography (PQC) è la soluzione più immediata e scalabile.
Funziona su computer classici, non richiede nuove infrastrutture hardware e
sostituisce gli algoritmi vulnerabili con schemi basati su problemi matematici resistenti al calcolo quantistico, tra cui sistemi su reticoli e codici correttori di errore.

La migrazione ha però impatti tecnici reali, come dimensioni di chiavi e firme digitali più elevate, con effetti sul traffico di rete e sui requisiti di storage, ma non impone di dismettere le infrastrutture esistenti.

Quantum Key Distribution

La Quantum Key Distribution (QKD) utilizza i principi della meccanica quantistica per distribuire chiavi crittografiche con una proprietà fondamentale: qualsiasi tentativo di intercettazione altera lo stato delle particelle trasmesse, rendendo l’intrusione rilevabile.

La sicurezza della QKD non dipende dalla difficoltà computazionale di un problema matematico, ma dalle leggi fisiche, il che la rende teoricamente sicura anche di fronte a futuri computer quantistici.

I limiti attuali, hardware dedicato e difficoltà di trasmissione su lunghe distanze, la confinano per ora a contesti ad alta sicurezza specifici.

La differenza fra PQC e QKD

PQC e QKD non sono in competizione: la prima agisce sulla crittografia applicativa, la seconda sulla distribuzione delle chiavi. I

l percorso verso infrastrutture quantum-safe passa verosimilmente dalla combinazione di entrambe.

Crypto-agility: il prerequisito organizzativo

La transizione non è solo una questione tecnica. Molte infrastrutture IT sono state progettate in un’epoca in cui la crittografia era considerata stabile, con algoritmi integrati in profondità in protocolli e applicazioni.

Questa inerzia rende la sostituzione complessa e costosa.

Il concetto di crypto-agility indica la capacità di aggiornare componenti crittografiche in modo rapido e controllato senza riprogettare l’intera infrastruttura.

In pratica richiede due step: un inventario crittografico, cioè una ricognizione strutturata di chiavi, certificati, librerie, protocolli e sistemi di autenticazione; e una governance crittografica, che stabilisca chi decide gli aggiornamenti, chi gestisce le chiavi, quali standard sono accettati e con quali criteri si gestiscono le priorità.

Senza questa visibilità, qualsiasi piano di migrazione resta astratto.

Il quadro regolatorio e lo scenario italiano

Nel giugno 2025 il NIS Cooperation Group ha pubblicato la roadmap raccomandata per gli Stati Membri: roadmap nazionali entro fine 2026, protezione dei casi d’uso ad alto rischio entro il 2030, completamento per i casi a medio rischio entro il 2035.

Le indicazioni si applicano, con i necessari adattamenti, anche alle organizzazioni soggette alla Direttiva NIS2.
Sul lato dell’offerta, il censimento dell’Osservatorio Quantum Computing & Communication del Politecnico di Milano ha identificato 167 attori attivi nel mercato quantum-safe a livello globale: la PQC è il segmento più popolato, con circa il 45% degli operatori.

Sul fronte italiano va segnalata un’eccellenza nella fotonica integrata applicata alla QKD, con la prima rete quantistica metropolitana permanente inaugurata a Napoli nel 2024 come segnale concreto di maturità operativa.
Invece, sul lato della domanda italiana emerge un divario caratteristico: nel settore finanziario quasi nove organizzazioni su dieci riconoscono il potenziale impatto del quantum computing sulla sicurezza dei dati, ma le imprese che hanno avviato sperimentazioni concrete restano una minoranza. La cautela di fronte a standard ancora in evoluzione è razionale, ma rischia di trasformarsi in un accumulo di complessità difficile da smaltire rapidamente.

Quantum computing e cyber security: cosa fare adesso

Il quantum-safe non richiede di migrare tutto subito, ma di capire cosa non può aspettare.

L’urgenza dipende dall’intersezione tra tre variabili: la durata di sensibilità dei dati, il grado di esposizione alla crittografia asimmetrica vulnerabile e il tempo necessario per completare la migrazione.

Finance, assicurazioni, difesa, pubblica amministrazione e life sciences sono i settori più esposti: per queste organizzazioni il rischio operativo inizia già nel momento in cui si trasmettono i dati oggi, non al Q-day.
Le azioni prioritarie sono tre: costruire l’inventario crittografico, prerequisito per qualsiasi piano credibile; integrare la minaccia quantistica nei processi di risk assessment; avviare progettualità pilota su casi d’uso specifici per acquisire esperienza operativa prima di adottare approcci ibridi su larga scala.

Chi agisce ora potrà contare su un vantaggio difficile da colmare quando la pressione normativa e la maturità tecnologica si faranno più intense.