Post-Quanten-Kryptografie: BSI-Leitlinie konkretisiert den Handlungsbedarf für Unternehmen

Am 12. Oktober 2026 haben das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die zuständigen Bundesministerien eine gemeinsame nationale Leitlinie zur Umstellung auf Post-Quanten-Kryptografie veröffentlicht. Sie legt konkrete Zeitmarken fest und gibt Handlungsempfehlungen für den Übergang zu quantensicheren kryptografischen Verfahren. Was bedeutet das für die betriebliche Praxis und worauf sollten Unternehmen jetzt achten?

Kryptografische Verfahren sind eine zentrale Grundlage der IT-Sicherheit. Sie schützen vertrauliche Informationen, sichern digitale Kommunikation und gewährleisten die Integrität und Authentizität von Daten. Die Entwicklung leistungsfähiger Quantencomputer stellt diese Sicherheit jedoch infrage: Aufgrund ihrer besonderen Rechenverfahren könnten sie künftig viele heute eingesetzte Verschlüsselungsmethoden überwinden (mehr dazu lesen Sie hier).

Mit der im Oktober 2026 veröffentlichten nationalen Leitlinie haben das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die zuständigen Bundesministerien nun den zeitlichen Rahmen und die empfohlenen Schritte für die Umstellung auf Post-Quanten-Kryptografie konkretisiert. Die Leitlinie soll Unternehmen und Organisationen bei der systematischen Vorbereitung und Umsetzung unterstützen. Die ersten Vorbereitungs- und Planungsschritte stehen den Empfehlungen zufolge bereits bis Ende 2026 an.

Neue BSI-Leitlinie: Zeitplan und Risikokategorien
Für die Umstellung auf Post-Quanten-Kryptografie (PQC) ist ein Zeitplan vorgesehen, der sich am konkreten Quantenrisiko orientiert. Bei der Einstufung in die Kategorien hoch, mittel und niedrig zählen drei Faktoren: die Angreifbarkeit der eingesetzten Kryptografie, das mögliche Schadensausmaß sowie der Zeit- und Arbeitsaufwand für die Umstellung. Daraus ergeben sich folgende Zeitmarken:

Bis Ende 2026: Die Vorbereitungsphase sollte abgeschlossen sein. Dazu gehören die Festlegung von Verantwortlichkeiten und Umsetzungsplänen inklusive Fristen.
Bis Ende 2030: Anwendungen und Systeme mit hohem Quantenrisiko sollten umgestellt sein. Bei Neubeschaffungen sollten nach Möglichkeit quantensichere Produkte berücksichtigt werden, zumindest aber solche mit quantensicheren Updatemöglichkeiten.
Bis Ende 2035: Für Anwendungen mit mittlerem Risiko sollte die Umstellung auf PQC abgeschlossen sein, für die übrigen Systeme so weit wie möglich.

Der Zeitplan ist eine Empfehlung und begründet für Unternehmen keine allgemeinen gesetzlichen Umstellungsfristen. Allerdings müssen wichtige und besonders wichtige Einrichtungen nach § 30 BSI-Gesetz im Rahmen ihres Risikomanagements bereits den Stand der Technik bei der Kryptografie berücksichtigen.

Umstellung auf Post-Quanten-Kryptografie: Das empfiehlt das BSI
Neben den empfohlenen Zeitmarken beschreibt die Leitlinie auch die konkreten Schritte für den Übergang zu quantensicheren Verfahren. Für Unternehmen lassen sich daraus fünf wesentliche Handlungsempfehlungen ableiten:

Verantwortlichkeiten festlegen: Zur Umstellung auf die Post-Quanten-Kryptografie sollte eine zentrale Stelle festgelegt werden. Diese koordiniert den Prozess, entwickelt einen Umsetzungsplan und überwacht die Fortschritte. Dafür sind ausreichende personelle und finanzielle Ressourcen einzuplanen.
Kryptografie erfassen: Grundlage ist eine genaue Bestandsaufnahme aller eingesetzten kryptografischen Komponenten, Verfahren und Schlüssel, die bis Ende 2026 abgeschlossen sein sollte. Auch interne und externe Abhängigkeiten sollten erfasst werden. Eine regelmäßige Aktualisierung des Verzeichnisses ist erforderlich.
Quantenrisiken bewerten: Anhand des kryptografischen Inventars werden die Risiken einzelner Anwendungen und Systeme eingeschätzt und Prioritäten festgelegt. Die Ergebnisse und die vorgesehenen Fristen sollten im bestehenden Risikomanagement verankert werden.
Quantensichere Verfahren einführen: Empfohlen wird ein schrittweises Vorgehen, beginnend mit den kritischsten Anwendungen. Das BSI rät zu hybriden Verfahren, die klassische Kryptografie mit Post-Quanten-Kryptografie kombinieren. Orientierung bietet die Technische Richtlinie BSI-TR-02102.
Lieferkette und Beschaffung einbeziehen: Eine frühzeitige Abstimmung mit Herstellern, IT-Dienstleistern und Kommunikationspartnern soll die Kompatibilität und Interoperabilität sicherstellen. Bei Neuentwicklungen empfiehlt die Leitlinie ausschließlich quantensichere kryptografische Verfahren; bei Beschaffungen sind die Anforderungen an PQC und Kryptoagilität standardmäßig zu berücksichtigen. Auch die Produktlebenszyklen sollten in die Planung einbezogen werden.

Die vollständige Leitlinie steht auf der Website des BSI zum Download bereit. Weitere Informationen finden Sie in der Pressemitteilung: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/261012_Leitlinie-PQC.html

Fazit: Bedeutung für den Maschinen- und Anlagenbau
Für Maschinen- und Anlagenbauer betrifft die Umstellung auf Post-Quanten-Kryptografie nicht nur die eigene IT-Infrastruktur – auch vernetzte Maschinen, Anlagen und ihre Kommunikationsschnittstellen können betroffen sein. Eine besondere Herausforderung stellen dabei die in der Branche üblichen langen Produktlebenszyklen dar: Maschinen und Anlagen bleiben häufig über viele Jahre im Einsatz, während sich die Anforderungen an die kryptografische Sicherheit weiterentwickeln.

Unternehmen sollten deshalb frühzeitig prüfen, welche kryptografischen Verfahren in ihren Produkten eingesetzt werden und ob diese über die gesamte Nutzungsdauer aktualisiert werden können. Dabei sind auch die Abhängigkeiten von Komponentenherstellern, Softwareanbietern und anderen Technologiepartnern zu berücksichtigen. Wo eine Umstellung durch Updates nicht möglich ist, kann gegebenenfalls der Austausch einzelner Komponenten erforderlich werden.

Ziel sollte es sein, die Umstellung auf quantensichere Verfahren bereits bei der Entwicklung neuer Produkte und bei der Weiterentwicklung bestehender Systeme mitzudenken. Die neue Leitlinie bietet Maschinen- und Anlagenbauern mit ihren Zeitmarken und Empfehlungen eine konkrete Orientierung für die notwendigen Umsetzungsschritte.