בית לבן: מערכות פדרליות רגישות יעברו ל-PQC, מפתחות עד 2030 וחתימות עד 2031

הנשיא טראמפ חתם ב-22 ביוני 2026 על צו שמחייב מערכות פדרליות רגישות לעבור להצפנה עמידה לקוונטים, PQC. החלפת מפתחות תסתיים עד 31 בדצמבר 2030. חתימות דיגיטליות יעברו עד 31 בדצמבר 2031. הצו חל על גופי ממשל, אבל יש לו משמעות גם לספקים, לקבלנים ולצוותי IT.

PQC: מה קובע הצו ומה המועדים

שם הצו הוא Securing the Nation Against Advanced Cryptographic Attacks, ומספרו 14412. לפי נוסח הצו באתר הבית הלבן, הסיבה היא שמחשבי קוונטים גדולים עלולים לשבור הצפנה שבשימוש רחב. הצו מוסיף שיריבים אוספים מידע אמריקאי כבר עכשיו, כדי לפענח אותו בעתיד.

המעבר חל על נכסים בעלי ערך גבוה ועל מערכות בעלות השפעה גבוהה. מערכות לביטחון לאומי מטופלות בנפרד, תחת ה-NSA.

באותו יום חתם הנשיא גם על צו שני, שעוסק בקידום המחקר הקוונטי. בין היתר הוא מכוון להקמת מחשב קוונטי אחד לפחות עבור משרד האנרגיה.

הצו קובע גם לוח זמנים. כל סוכנות ממנה אחראי PQC תוך 30 יום, כלומר עד 22 ביולי 2026. מכון NIST מתחיל פיילוט מעבר תוך 180 יום, עד 19 בדצמבר 2026, ומסיים אותו עד 31 בדצמבר 2027. הסוכנות CISA מפרסמת עד 19 במרץ 2027 הנחיות לרשימת רכיבי ההצפנה, שנקראת cryptographic bill of materials.

קבלנים וספקים: מה הצו משנה מחוץ לממשל

הצו משפיע גם על מי שמוכר לממשל. מועצת ה-FAR, הגוף שמנסח את כללי הרכש הפדרלי, צריכה לפרסם עד 19 בדצמבר 2026 הצעת כלל. היא תחייב קבלנים מכוסים לעמוד בתקני NIST FIPS, כולל תקני PQC, עד 31 בדצמבר 2030.

הצעת כלל שנייה, עד 19 במרץ 2027, תתייחס לתוכניות לדיווח על חולשות אצל קבלנים. הן יכללו גם דיווחים על חולשות הצפנה, כמו היעדר הצפנה ושימוש באלגוריתם שלא אושר ב-FIPS.

לפי Infosecurity Magazine, הצו מקדים תוכניות קיימות. גוגל, Dell ו-HP כבר הציגו מהלכים רב-שנתיים, ו-Cloudflare מכוונת לסיים את המעבר עד 2029. הסוכנות הצרפתית ANSSI תפסיק להסמיך מ-2027 מוצרים בלי הצפנה עמידה לקוונטים. איגוד התעשייה ITI אמר, לפי Cybersecurity Dive, שהצו קובע ״לוחות זמנים אגרסיביים כראוי״.

ההנחיות של OMB לגבי PQC, יומיים אחרי החתימה

ב-24 ביוני פרסמה OMB, משרד התקציב של הבית הלבן, מזכר שמפרט איך הסוכנויות מבצעות את המעבר. לפי Nextgov, הוא מגדיר שלבים: תכנון, גילוי, פיילוט ומעבר מלא. סוכנויות צריכות להגיש תוכנית מעבר תוך 120 יום. המעבר המלא נמשך עד 2035.

המזכר מחייב גם לבדוק אם התוכנה של הספקים עומדת בדרישות PQC, לפי רשימות של CISA. אין חובה לדרוש מספקים לוחות זמנים. עם זאת, הסוכנויות צריכות לכלול בדרישות מהם את מוכנות ה-PQC ואת ״גמישות קריפטוגרפית״. כלומר, היכולת להחליף אלגוריתם בלי לבנות את המערכת מחדש.

עוד ב-GEEKLIK: פריצת דרך קוונטית של Google: מה היא אומרת על ההצפנה שמגינה על העסק שלכם