Kvantu skaitļošana un datu drošība: kādi tiesību akti ir piemērojami?

Neviens Nīderlandes vai Eiropas likums neregulē kvantu skaitļošanu kā tādu. Piemērojams ir spēkā esošais informācijas drošības likums, un tas rada vienu konkrētu jautājumu: vai drošības pasākumi, ko veicat šodien, joprojām būs pietiekami, ja tagad šifrētos datus vēlāk varēs atšifrēt? Galvenais izņēmums ir eksporta kontrole un investīciju pārbaude, kas satur īpašus noteikumus kvantu tehnoloģijai.

Jau ir spēkā trīs saistības. Vispārīgās datu aizsardzības regulas (VDAR, nīderlandiešu valodā) 32. pants AVG) prasa drošības pasākumus, kas ņem vērā jaunākās tehnoloģijas. Tas ir mainīgs standarts, nevis fiksēts, un tas attiecas arī uz datiem, kuriem jāpaliek konfidenciāliem gadiem ilgi, piemēram, medicīniskajiem ierakstiem, personāla lietām un juridiskajiem arhīviem. Nīderlandes Kiberdrošības likums (Kibernoziegumu slapjums), which implements the EU NIS2 Directive, requires organisations in the designated essential and important sectors to manage the risks to their networks and information systems, and makes the management body responsible for approving those measures. For financial entities, the Digital Operational Resilience Act (DORA, Regulation (EU) 2022/2554) adds its own requirements on cryptographic controls and third-party risk.

Praktiskais risks nav tas, ka kāds šodien atšifrē jūsu datplūsmu. Tas ir tas, ka šifrētie dati tiek pārtverti un uzglabāti tagad, lai tos atšifrētu, tiklīdz būs pieejama šāda iespēja. Datiem ar ilgu konfidencialitātes periodu tas padara migrāciju uz postkvantu kriptogrāfiju par pašreizējo uzdevumu, nevis nākotnes projektu. Šo algoritmu starptautiskie standarti ir publicēti un tiek pieņemti.

Kvantu tehnoloģija ietver arī eksporta kontroli un investīciju pārbaudi. Saskaņā ar Eiropas eksporta kontroles noteikumiem noteikti kvantu priekšmeti ir divējāda lietojuma preces, un ieguldījumi Nīderlandes uzņēmumos, kas darbojas kvantu tehnoloģiju jomā, var tikt pakļauti drošības pārbaudei.

Kāpēc kvantu skaitļošana rada juridiskus jautājumus par datu drošību?

Jo pietiekami jaudīgs kvantu dators varētu uzlauzt šifrēšanu, uz kuras balstās liela daļa mūsdienu datu aizsardzības. Likums nenosauc kvantu skaitļošanu vārdā, taču tas pieprasa drošību, kas atbilst riskiem.

Tā pati jauda rada drošības problēmu. Publiskās atslēgas šifrēšana, kas aizsargā lielu daļu mūsu digitālās komunikācijas, sākot no tiešsaistes banku pakalpojumiem līdz digitālajiem parakstiem, balstās uz matemātiskām problēmām, kuras parastie datori praktiski nevar atrisināt. Pietiekami liels un stabils kvantu dators varētu atrisināt dažas no šīm problēmām. Nav skaidrs, kad šāds dators pastāvēs, taču valdības un drošības dienesti šo risku uztver nopietni.

Kāds ir galvenais juridiskais izaicinājums?

Izaicinājums ir aizsargāt sensitīvus datus pret nākotnes draudiem, izmantojot jau šodien pieejamos juridiskos rīkus. Šie rīki ir atvērti standarti, piemēram, “jaunākās tehnoloģijas” un “atbilstoši pasākumi”.

Jebkurai juridiskajai pieejai jāņem vērā vairāki jautājumi:

• Esošo datu aizsardzība: Uzbrucēji var apkopot šifrētus datus jau šodien un uzglabāt tos, līdz tos var atšifrēt. To sauc par "novākt tagad, atšifrēt vēlāk".
• Jauni standarti: organizācijām ir jāpāriet uz postkvantu kriptogrāfiju (PQC) — jaunām šifrēšanas metodēm, kas paredzētas, lai pretotos gan parasto, gan kvantu datoru uzbrukumiem.
• Atbildība: Ja datu noplūde notiek novecojušas šifrēšanas dēļ, rodas jautājums, kurš ir atbildīgs: organizācija, tās piegādātājs vai abi.
• Inovācija: Noteikumi nedrīkst nevajadzīgi kavēt kvantu tehnoloģiju izpēti un izmantošanu.

Kā kvantu skaitļošana apdraud mūsdienu šifrēšanu?

Kvantu datori var efektīvi atrisināt matemātiskās problēmas, uz kurām balstās publiskās atslēgas šifrēšana. Simetriskā šifrēšana, piemēram, AES ar garām atslēgām, tiek uzskatīta par daudz mazāk ievainojamu.

Kāpēc publiskās atslēgas kriptogrāfija ir neaizsargāta?

Publiskās atslēgas kriptogrāfija balstās uz tādām problēmām kā ļoti lielu skaitļu faktorizācija. Kvantu dators varētu atrisināt šīs problēmas praktiskā laikā.

Šī sistēma ir drošu tīmekļa vietņu (HTTPS), VPN savienojumu, e-pasta šifrēšanas un digitālo parakstu pamatā. Tās stiprā puse ir noteiktu matemātisku problēmu, piemēram, ļoti lielu skaitļu sadalīšanas pirmskaitļos vai diskrētā logaritma problēmas, sarežģītība. Parastam datoram šo problēmu risināšana izmantotajiem atslēgu izmēriem prasītu nepraktiski ilgu laiku.

Pietiekami jaudīgs kvantu dators varētu efektīvi atrisināt šīs problēmas. Simetriskā šifrēšana, piemēram, AES, tiek ietekmēta mazākā mērā: garākas atslēgas, piemēram, AES-256, parasti tiek uzskatītas par atbilstošām. Tāpēc datu drošības tiesiskajam regulējumam galvenokārt jākoncentrējas uz publiskās atslēgas sistēmām.

Kas ir Šora algoritms?

Šora algoritms, kas publicēts 1994. gadā, ir kvantu algoritms, kas var efektīvi faktorizēt lielus skaitļus. Lielā, stabilā kvantu datorā tas uzlauztu visplašāk izmantotās publiskās atslēgas sistēmas, piemēram, RSA un eliptisko līkņu kriptogrāfiju.

Kas ir drauds “novākt ražu tagad, atšifrēt vēlāk”?

Uzbrucēji var apkopot šifrētus datus jau šodien un atšifrēt tos vēlāk, kad kvantu datori būs pietiekami jaudīgi. Tādēļ dati, kuriem daudzus gadus jāpaliek konfidenciāliem, jau ir apdraudēti.

Tas galvenokārt apdraud informāciju, kurai ilgstoši jāpaliek konfidenciālai, piemēram:

• Valsts un aizsardzības noslēpumi ar konfidencialitātes periodiem, kas ilgst desmitiem gadu.
• Intelektuālais īpašums uzņēmumu, piemēram, komercnoslēpumu un pētījumu datu.
• Sensitīvi personas dati, piemēram, medicīniskos un biometriskos datus.
• Finanšu un juridiskie dokumenti kas juridisku un normatīvu iemeslu dēļ ir jāglabā drošībā.

Kā Nīderlande gatavojas kvantu tehnoloģijai?

Nīderlande iegulda kvantu tehnoloģijās, izmantojot valsts programmu, un ir publicējusi praktiskas vadlīnijas pārejai uz postkvantu kriptogrāfiju. Nīderlandē nav īpašu tiesību aktu par kvantu skaitļošanu.

Nacionālā programma Kvantu delta NL apvieno valdību, universitātes un uzņēmumus. Tā balstās uz 2019. gada Nacionālo kvantu tehnoloģiju programmu un saņem finansējumu, cita starpā, no Nacionālā izaugsmes fonda (Nacionālais fonds). The programme covers quantum computing, quantum networks and quantum sensing, and pays attention to the social and ethical aspects of the technology. These are policy choices, not rules of law that bind companies.

Kas tiek darīts ar postkvantu kriptogrāfiju?

Nīderlandes valdība ir publicējusi PQC migrācijas rokasgrāmatu, un organizācijām ieteicams sākt gatavoties jau tagad. Pāreja ilgst gadiem, tāpēc gaidīšana palielina risku.

2023. gadā Vispārējais izlūkošanas un drošības dienests (AIVD), pētniecības organizācija TNO un Centrum Wiskunde & Informatica (CWI) publicēja PQC migrācijas rokasgrāmatu. Tajā organizācijām sniegti praktiski soļi, lai sagatavotos pārejai, sākot ar to izmantotās kriptogrāfijas inventarizāciju.

Vēstījums ir tāds, ka pāreja uz PQC nav tāla, teorētiska problēma, bet gan uzdevums, kas organizācijām jāplāno jau tagad, jo tas prasa gadus. Tas atbilst Eiropas NIS2 direktīvai, kas nosaka augstākus kiberdrošības standartus būtiskām un svarīgām struktūrām un kas Nīderlandē ir ieviesta ar Kiberdrošības likumu. Organizācijām, uz kurām attiecas šis likums, ir jānovērtē savi riski, tostarp riski, kas saistīti ar to kriptogrāfiju.

Kādi Eiropas noteikumi veido kvantu datu drošību?

GDPR, NIS2 direktīva, DORA un Kibernoturības likums – visi šie noteikumi paredz drošību, kas atbilst riskiem un jaunākajām tehnoloģijām. Kopā ar ES ceļvedi PQC jomā tie mudina organizācijas virzīties uz kvantu drošu šifrēšanu.

Kā GDPR attiecas uz kvantu pasauli?

GDPR nepiemin kvantu skaitļošanu, taču tā ir tehnoloģiski neitrāla. Pienākums veikt atbilstošus drošības pasākumus, kas atspoguļo jaunākos sasniegumus, attiecas arī uz kvantu risku.

Divi galvenie noteikumi ir GDPR 25. pants paredz datu aizsardzību pēc noklusējuma un integrētu datu aizsardzību : organizācijām jau no paša sākuma ir jāiestrādā tehniskie personas datu aizsardzības pasākumi jaunos procesos. GDPR 32. pants paredz atbilstošus tehniskus un organizatoriskus pasākumus, ņemot vērā jaunākās tehnoloģijas, izmaksas un riskus. Pēckvantu standartiem nobriestot, “jaunākās tehnoloģijas” arvien vairāk nozīmēs kvantu drošas šifrēšanas izmantošanu personas datiem, kuriem ilgstoši jāpaliek konfidenciāliem. Organizācija, kas neplāno šo pāreju, riskē, ka tās drošība vairs netiks uzskatīta par atbilstošu. Vairāk par šiem principiem lasiet mūsu Vispārīgās datu aizsardzības regulas ceļvedī.

Ja nepietiekama drošība izraisa datu noplūdi, organizācijai, iespējams, 72 stundu laikā par to jāziņo Nīderlandes Datu aizsardzības iestādei (VDAR 33. pants). Iestāde var uzlikt naudas sodus līdz 20 miljoniem eiro vai 4% no gada apgrozījuma visā pasaulē, un skartās personas var pieprasīt zaudējumu atlīdzību saskaņā ar VDAR 82. pantu.

Kuri jaunie ES noteikumi virza organizācijas uz kvantu gatavību?

NIS2 direktīva, DORA un Kibernoturības likums nosaka plašākus kiberdrošības pienākumus. Neviens no tiem neparedz konkrētus kvantu drošus algoritmus, bet visi pieprasa uz risku balstītu drošību, kas ņem vērā jaunākās tehnoloģijas.

Next to the GDPR, three EU instruments strengthen cybersecurity obligations without naming quantum-safe standards:

• Kibernoturības likums (CRA, Regula (ES) 2024/2847): Šī regula nosaka kiberdrošības prasības produktiem ar digitāliem elementiem, piemēram, savienotām ierīcēm un programmatūrai. Ražotājiem ir jāiestrādā drošības pasākumi savos produktos un jārisina ievainojamības. Ziņošanas pienākumi ir spēkā no 2026. gada 11. septembra, bet lielākā daļa citu pienākumu – no 2027. gada 11. decembra. Kvantu drošu šifrēšanu reglamentējošā pārvalde (CRA) neparedz kvantu drošu šifrēšanu, taču tā pieprasa riskiem atbilstošu drošību.
• NIS2 direktīva: Šī direktīva paplašina kiberdrošības pienākumus, iekļaujot plašu būtisku un svarīgu vienību loku, piemēram, enerģētiku, veselības aprūpi un digitālo infrastruktūru. Tā paredz riska pārvaldību, tostarp kriptogrāfijas un šifrēšanas politiku (21. pants), un ziņošanu par būtiskiem incidentiem. Nīderlandē to īsteno ar Kiberdrošības likumu.
• DORA: Kopš 2025. gada 17. janvāra finanšu iestādēm ir jābūt IKT risku pārvaldības sistēmai, kas ietver šifrēšanas un kriptogrāfiskās kontroles politikas, un tām ir jāpārvalda savu IKT piegādātāju riski.

Šie noteikumi parāda skaidru virzienu. Pāreja uz kvantu drošu šifrēšanu vēl nav skaidri noteikta juridiskā prasība, taču organizācijām ar ilgtermiņa konfidenciāliem datiem tā arvien vairāk izriet no vispārējā pienākuma veikt atbilstošus, mūsdienīgus pasākumus.

Kā salīdzināt pašreizējos un paredzētos atbilstības standartus?

Tabulā ir salīdzināta pašreizējā pieeja ar to, kas, visticamāk, būs sagaidāms pēc tam, kad tiks noteikti pēckvantu standarti. Labajā kolonnā ir aprakstītas paredzamās norises, nevis spēkā esošie tiesību akti.

Kāda ir Eiropas pieeja kvantu drošai drošībai?

ES koordinē pāreju uz PQC ar Komisijas 2024. gada 11. aprīļa ieteikumu un 2025. gada jūnija ceļvedi. Ceļveža mērķis ir aizsargāt augsta riska sistēmas vēlākais līdz 2030. gadam.

Lai novērstu sadrumstalotu pieeju, ES strādā pie koordinētas pārejas. Eiropas Komisija 2024. gada 11. aprīlī pieņēma ieteikumu par koordinētas īstenošanas ceļvedi pārejai uz postkvantu kriptogrāfiju. Pamatojoties uz to, dalībvalstis ar Komisijas atbalstu 2025. gada 23. jūnijā publicēja ceļvedi. Tajā paredzēts, ka dalībvalstis sāk pāreju līdz 2026. gada beigām, ka augsta riska sistēmas, piemēram, kritiskā infrastruktūra, tiek aizsargātas ar PQC ne vēlāk kā līdz 2030. gada beigām un ka līdz 2035. gadam tam seko tik daudz sistēmu, cik praktiski iespējams.

Ceļvedis ir politiska apņemšanās, nevis saistošs likums. Taču tas parāda, ko regulatori un uzraudzības iestādes sagaidīs, un tas, visticamāk, ietekmēs to, kā tiek interpretēti GDPR, NIS2 un DORA atvērtie standarti.

2025. gada jūlijā Komisija pieņēma arī Kvantu Eiropas stratēģiju, un tās 2026. gada darba programmā ir paziņots par likumdošanas priekšlikumu Kvantu aktam. Rakstīšanas brīdī šāds akts nav ES tiesību akts; pirms paļaušanās uz to pārbaudiet tā pašreizējo statusu.

Kā jūs gatavojaties kvantu drošai atbilstībai?

Sāciet ar savas kriptogrāfijas inventarizāciju, pēc tam novērtējiet, kuri dati un sistēmas ir visvairāk apdraudētas, un migrējiet pa posmiem. Mērķis ir kriptoagilitāte: spēja ātri aizstāt algoritmus.

Mērķis ir kriptoelastība : spēja ātri aizstāt savas kriptogrāfiskās metodes, parādoties jauniem draudiem vai standartiem. Process sākas ar vienu jautājumu: kur jūs esat visneaizsargātākie? Izmantojiet GDPR prasības un, attiecīgā gadījumā, NIS2 un DORA kā savu sistēmu.

1. fāze: kā veikt kriptogrāfisko inventarizāciju?

Jūs kartējat visu kriptogrāfiju, ko jūsu organizācija izmanto, tostarp piegādātāju programmatūrā un ierīcēs. Bez šī pārskata jūs nevarat noteikt prioritātes.

Neskatieties uz saviem galvenajiem serveriem. Inventāram jāietver:

• Pārsūtīšanā esošie dati: Kā tiek nodrošināti jūsu e-pasta, VPN un mākoņa savienojumi?
• Dati miera stāvoklī: Kura šifrēšana aizsargā jūsu datubāzes, dublējumus un klēpjdatorus?
• Iegultās sistēmas: kriptogrāfija trešo pušu programmatūrā, pievienotajās ierīcēs un tīkla iekārtās.
• Mantotās sistēmas: Vecās lietojumprogrammās bieži ir novecojusi un neaizsargāta šifrēšana.

Pārbaudiet arī savus līgumus. Līgumiem ar IT piegādātājiem un mākoņpakalpojumu sniedzējiem vajadzētu būt par pienākumu sniegt informāciju par izmantoto kriptogrāfiju, atbalstīt atjauninājumus un sadarboties migrācijas procesā. Saskaņā ar GDPR 28. pantu apstrādātājam ir jāsniedz arī pietiekamas garantijas atbilstošai drošībai.

2. fāze: kā jūs novērtējat riskus un nosakāt prioritātes?

Novērtējiet savas sistēmas pēc datu sensitivitātes un pēc tā, cik ilgi tiem jāpaliek konfidenciāliem. Vispirms ir dati, kas jāaizsargā ilgāk par desmit gadiem.

Izmantojiet šos jautājumus, lai noteiktu prioritātes:

1. Kuriem datiem jāpaliek konfidenciāliem ilgāk par desmit gadiem? Padomājiet par intelektuālo īpašumu, ilgtermiņa finanšu uzskaiti un sensitīviem personas datiem. Tas ir galvenais mērķis uzbrukumiem “novākt informāciju tagad, atšifrēt vēlāk”.
2. Kuras sistēmas ir visvairāk pakļautas ārējiem draudiem? Publiski pieejamas lietojumprogrammas un datu pārsūtīšanas protokoli ir priekšplānā.
3. Kādi ir jūsu juridiskie un līgumiskie pienākumi? GDPR, nozares noteikumi un klientu līgumi nosaka, kādam drošības līmenim ir jāatbilst noteiktiem datiem un cik ilgi tie ir jāglabā.

3. fāze: kā jūs pārejat uz postkvantu kriptogrāfiju?

Jūs aizstājat ievainojamus algoritmus fāzēs, sākot ar visaugstākajiem riskiem, un rūpīgi testējat. Ja iespējams, pārejas laikā apvienojiet klasiskās un postkvantu metodes.

Ar skaidrām prioritātēm varat sākt pakāpenisku migrāciju uz postkvantu kriptogrāfiju (PQC) . Tā nav vienkārša aizstāšana. Tā prasa plānošanu, testēšanu un rūpīgu ieviešanu, lai netiktu traucēta uzņēmuma darbība. Izplatīta pieeja pārejas laikā ir hibrīds risinājums, kurā kopā tiek izmantotas klasiskās un postkvantu metodes.

Pierakstiet savu izvēli, riska novērtējumu un plānošanu. Ja regulators vai tiesa vēlāk jautā, vai jūsu drošība bija pietiekama, šī dokumentācija ir jūsu pierādījums.

Kādi juridiskie jautājumi joprojām ir atklāti?

Papildus šifrēšanai kvantu tehnoloģija rada jautājumus par atbildību, intelektuālo īpašumu, privātumu un eksporta kontroli. Uz dažiem no šiem jautājumiem var atbildēt saskaņā ar spēkā esošajiem tiesību aktiem; citi būs jārisina tiesām un likumdevējam.

Viens no galvenajiem jautājumiem ir atbildība. Ja uzņēmums cieš no datu noplūdes novecojušas šifrēšanas dēļ, kurš ir atbildīgs? Saskaņā ar Nīderlandes tiesību aktiem atbilde sākas ar spēkā esošajiem noteikumiem. Pret personām, kuru dati tika skarti, organizācija ir atbildīga saskaņā ar VDAR un tai var būt jāatlīdzina zaudējumi (VDAR 82. pants). Pret klientiem tā var būt atbildīga par līguma neizpildi (Nīderlandes Civilkodeksa 6:74. pants). Tas, vai tā var atgūt zaudējumus no programmatūras piegādātāja, kurš nenodrošināja kvantu drošus atjauninājumus, ir atkarīgs no līguma un no tā, ko pamatoti varēja sagaidīt tajā laikā. Tiesām būs jāizlemj, kā laika gaitā attīstās "jaunākās tehnoloģijas".

Kam pieder izgudrojumi, kas radīti ar kvantu datoriem?

Saskaņā ar spēkā esošajiem patentu likumiem par izgudrotāju var nosaukt tikai fizisku personu. Izgudrojumu, kas izstrādāts ar kvantu datora palīdzību, var patentēt, bet izgudrotājam ir jābūt cilvēkam.

Kvantu datori varētu palīdzēt izstrādāt molekulas, materiālus un algoritmus, ko mūsdienās nevar izstrādāt. Tas rada jautājumu par to, kam pieder šādi izgudrojumi. Eiropas Patentu iestādes Juridiskā apelācijas padome 2021. gadā (lieta J 8/20) nolēma, ka patenta pieteikumā norādītajam izgudrotājam ir jābūt fiziskai personai, nevis mašīnai. Izgudrojumus, kas radīti ar datorrīkiem, joprojām var patentēt, un par izgudrotāju tiek uzskatīta persona, kas vadījusi darbu. Līgumos skaidri jānorāda, kam pieder rezultāti, kas radīti ar kvantu skaitļošanas pakalpojumiem, īpaši, ja tiek izmantota trešās puses skaitļošanas jauda.

Kvantu skaitļošana var arī palielināt spēju analizēt lielu datu apjomu. Uz šādām analīzēm pilnībā attiecas GDPR principi par mērķa ierobežošanu, datu minimizēšanu un samērīgumu, un, ja apstrāde varētu radīt augstu risku personām, ir nepieciešams datu aizsardzības ietekmes novērtējums (VDAR 35. pants).

Kādi eksporta un investīciju noteikumi attiecas uz kvantu tehnoloģijām?

Saskaņā ar ES eksporta kontroles noteikumiem noteikti kvantu priekšmeti ir divējāda lietojuma preces. Ieguldījumi Nīderlandes uzņēmumos, kas darbojas kvantu tehnoloģiju jomā, var tikt pakļauti drošības pārbaudei saskaņā ar Wet Vifo likumiem.

Kvantu tehnoloģija ir stratēģiski sensitīva. ES Divējāda lietojuma regula (Regula (ES) 2021/821) un valstu pasākumi var pieprasīt licenci noteiktu kvantu datoru, komponentu un saistītās programmatūras un tehnoloģiju eksportam. Saraksti regulāri mainās, tāpēc pirms tehnoloģiju eksportēšanas vai kopīgošanas ar pusēm ārpus ES pārbaudiet jaunāko versiju.

Nīderlandē Investīciju, apvienošanās un pārņemšanas drošības pārbaudes likums (Wet veiligheidstoets investeringen, fusies en overnames, Wet Vifo) has applied since 1 June 2023. Acquisitions of, and certain investments in, companies active in sensitive technology, which can include quantum items on the dual-use lists, must be notified to the Investment Screening Bureau (Investīciju birojs “Toetsing Investeringen”, SIT), un to nedrīkst pabeigt pirms apstiprināšanas. Tāpēc jaunuzņēmumiem un investoriem kvantu tehnoloģijās jau agrīnā posmā jāpārbauda, ​​vai darījumam ir jāpaziņo.

What should you check as an organisation that holds sensitive data?

Under Article 32 GDPR and, where it applies, the Cybersecurity Act, you remain responsible for the security of your data, also when suppliers run your systems. Check these points:

• Identify data that must remain confidential for more than ten years, such as personnel files, medical data and trade secrets.
• Check whether your organisation falls under the Cybersecurity Act or DORA, and whether the management body has approved the risk measures.
• Ask your IT and cloud suppliers in writing which cryptography they use and when they will support post-quantum methods.
• Check that your data processing agreements under Article 28 GDPR oblige processors to update their security to the state of the art.
• Record your inventory, risk assessment and migration planning, so you can show a regulator or court what you did.

What should you check as a supplier of software or devices?

Your clients will pass their security duties on to you by contract, and the Cyber Resilience Act adds direct product duties from 11 September 2026. Check these points:

• Check whether your products with digital elements fall under the CRA and which obligations apply from 11 September 2026 and 11 December 2027.
• Review the security, update and liability clauses in your client contracts and general terms.
• Define the support period during which you deliver security updates, including cryptographic updates.
• Check whether your quantum hardware, software or technology requires an export licence under Regulation (EU) 2021/821.
• Check whether an investment in your company must be notified to the BTI under the Wet Vifo.

What can we do for you with quantum-related data security?

mūsu IT juristi advise businesses on data protection, cybersecurity obligations and contracts with IT suppliers:

• We assess whether your organisation falls under the Cybersecurity Act, DORA or the CRA, and what that requires of you.
• We review and draft security, update and liability clauses in IT, cloud and data processing agreements.
• We help you document your risk assessment and migration plan so that it stands up to a regulator.
• We advise on the data breach notification to the Dutch Data Protection Authority within the 72-hour deadline.
• We check whether a transaction must be notified under the Wet Vifo or an export requires a licence.

Kopsavilkums

• Neviens likums neregulē kvantu skaitļošanu kā tādu; GDPR, Kiberdrošības likums (NIS2) un DORA pieprasa drošību, kas atbilst jaunākajām tehnoloģijām un riskiem.
• “Ievāc tagad, atšifrē vēlāk” nozīmē, ka dati ar ilgu konfidencialitātes periodu jau ir apdraudēti.
• ES 2025. gada jūnija ceļvedī ir paredzēts, ka augsta riska sistēmās postkvantu kriptogrāfija tiks izmantota ne vēlāk kā līdz 2030. gada beigām; tā ir politiska apņemšanās, nevis saistošs likums.
• Sāciet ar kriptogrāfisku inventarizāciju, prioritizējiet pēc sensitivitātes un saglabāšanas perioda un migrējiet pa posmiem, mērķim pozicionējot kriptogrāfisko elastību.
• Quantum technology is also subject to export control and, for investments in Dutch companies, possibly to screening under the Wet Vifo.

Biežāk uzdotie jautājumi