Quando arriverà un computer quantistico capace di rompere la crittografia che usiamo oggi? La domanda torna, prima o poi, in ogni comitato che si occupa di sicurezza. Ed è una domanda legittima.
Nessuno sa rispondere. Negli ultimi giorni, però, due notizie hanno cambiato il modo di affrontarla: il NIST ha pubblicato la versione definitiva del documento che fissa le scadenze della transizione, mentre una nuova stima ha ridotto ancora le risorse necessarie per rompere RSA-2048.
Lette insieme, le due notizie chiariscono un punto: le scadenze non aspettano il Q-Day. Le stime aiutano invece a capire quanto margine abbiamo davvero.
Indice degli argomenti
Il calendario NIST non aspetta il Q-Day
Il 27 ottobre il NIST ha pubblicato la versione finale di IR 8547, Transition to Post-Quantum Cryptography Standards1, dopo la bozza diffusa nel novembre 2024. Il documento è ora definitivo.
Le scadenze restano le stesse. Dopo il 2030 RSA, ECDSA, EdDSA e gli schemi Diffie-Hellman, su campi finiti e su curve ellittiche, diventano deprecati; dopo il 2035 diventano vietati. Non è una distinzione solo terminologica: chi usa un algoritmo deprecato può continuare a farlo, ma se ne assume il rischio. Un algoritmo vietato, invece, non può più proteggere dati in un sistema conforme agli standard NIST.
Il NIST fissa anche altri due vincoli: dal 2030 esclude gli algoritmi simmetrici con sicurezza a 112 bit e non intende standardizzare nuovi schemi di scambio di chiavi che non resistano ai computer quantistici1.
Durante la transizione il NIST accetta gli schemi ibridi, che affiancano un algoritmo classico a uno post-quantum. Li ammetterà anche nella validazione FIPS 140 dei moduli crittografici, purché almeno una componente sia approvata1. Per chi produce o acquista HSM e librerie, è finalmente un’indicazione chiara.
Per i sistemi federali statunitensi più critici, le scadenze sono ancora più ravvicinate: l’Executive Order 14412 impone lo scambio di chiavi post-quantum entro il 2030 e le firme entro il 20312.
Il NIST lega queste scadenze al calendario, non al raggiungimento di un traguardo tecnologico: valgono qualunque sia la data del Q-Day. La transizione, del resto, richiede tempo. Lo stesso documento ricorda che dalla standardizzazione di un algoritmo alla sua piena integrazione nei sistemi informativi possono passare dai 10 ai 20 anni1.
La roadmap europea verso la transizione post-quantum
In Europa le date del NIST non si applicano automaticamente alle organizzazioni, ma seguono la stessa direzione della roadmap coordinata dell’Unione. Anche qui il calendario resta invariato: avvio della transizione entro la fine del 2026, sistemi ad alto rischio entro il 2030 e tutto il resto entro il 20353.
A gennaio la Commissione ha inoltre proposto di modificare la direttiva NIS2, chiedendo agli Stati membri di inserire nelle strategie nazionali di cybersicurezza politiche per la transizione alla crittografia post-quantum4. La proposta è ancora in discussione.
A settembre il gruppo di lavoro G7 sulla cybersicurezza, con il contributo dell’ACN, ha pubblicato una call to action che invita governi e imprese ad accelerare la migrazione5. In Italia l’ACN ha pubblicato a giugno due nuovi volumi delle sue linee guida, dedicati alle firme digitali e ai cifrari a flusso: entrambi chiedono di valutare soluzioni resistenti alla minaccia quantistica. La versione 2.0 del volume su TLS indica invece lo scambio di chiavi ibrido con ML-KEM come risposta all’harvest now, decrypt later6.
Hardware quantistico: la distanza da un attacco reale
Per interpretare le stime occorre distinguere tra qubit fisici e qubit logici. Il qubit fisico è il componente hardware: un circuito superconduttore, un atomo o uno ione. È molto fragile e soggetto a errori frequenti. Il qubit logico è invece un’unità affidabile: per realizzarla si combinano molti qubit fisici attraverso codici di correzione degli errori.
L’algoritmo di Shor opera su qubit logici. Per realizzarne uno possono servire da decine a migliaia di qubit fisici, a seconda della tecnologia. Le stime contano quindi i qubit fisici perché misurano le risorse hardware che occorre costruire.
I qubit fisici esistono già, ma il loro numero e i tassi di errore restano un limite. A fine 2024 Google ha presentato Willow, un processore con 105 qubit, e ha mostrato per la prima volta che ampliando il codice di correzione gli errori diminuiscono anziché aumentare7. Nel 2025 un gruppo del Caltech ha intrappolato 6.100 atomi neutri da usare come qubit8. Su questa scala, però, nessuno corregge ancora gli errori.
Le macchine in grado di condurre un attacco crittografico restano lontane. La distanza dipende anche dalle risorse necessarie per eseguirlo, e le stime continuano a ridurne il numero.
RSA-2048: perché le stime avvicinano il Q-Day
Da anni i ricercatori stimano le risorse necessarie per rompere RSA-2048 con l’algoritmo di Shor. Questi calcoli sono diventati un riferimento per il settore e permettono di confrontare architetture hardware diverse. Le stime indicano una chiara tendenza alla riduzione delle risorse.
Dal 2019 ai qubit gatto: l’evoluzione delle stime
Nel 2019 Craig Gidney e Martin Ekerå stimavano 20 milioni di qubit fisici e circa otto ore di calcolo9. Nel 2025 Gidney, di Google Quantum AI, ha ridotto la stima a meno di un milione di qubit, con meno di una settimana di calcolo10. Nel 2026 sono arrivati nuovi risultati: Iceberg Quantum ha proposto un’architettura da circa 100.000 qubit11, mentre un gruppo di Oratomic e Caltech, con John Preskill tra gli autori, è sceso sotto i 15.000 qubit, ma con tempi di calcolo molto più lunghi12. Le stime hanno anche un ruolo nella comunicazione delle aziende: più di una le usa per promuovere la propria architettura.
Alice & Bob e la stima sui qubit gatto
La stima più recente risale a pochi giorni fa. Alice & Bob, azienda francese che sviluppa i cosiddetti qubit «gatto», ha pubblicato un preprint secondo cui per rompere RSA-2048 basterebbero 22.593 qubit fisici e 3,14 giorni13. Il numero di qubit è circa quaranta volte inferiore a quello stimato da Gidney nel 2025.
I qubit gatto prendono il nome dal celebre gatto di Schrödinger. Sopprimono direttamente nell’hardware uno dei due tipi di errore quantistico, l’inversione di bit. La correzione degli errori deve quindi gestire solo l’altro, l’inversione di fase: questo riduce di molto il numero di qubit fisici necessari.
Come valutare le stime sugli attacchi quantistici
Per valutare l’attendibilità di queste stime, occorre considerare quattro aspetti.
Quattro domande per valutare le stime quantistiche
• Quanto dura l’attacco? Ridurre il numero di qubit comporta spesso tempi di esecuzione più lunghi. La stima di Oratomic e Caltech richiede pochi qubit, ma anni di calcolo. Un attacco che dura anni ha un peso molto diverso, e minore, rispetto a uno che richiede giorni.
• Quali ipotesi sull’hardware? Ogni stima assume determinati tassi di errore, una durata dei cicli di correzione e tempi di reazione dell’elettronica di controllo. Le stime più recenti partono quasi tutte dagli stessi valori: errore fisico dello 0,1 per cento, ciclo di correzione di un microsecondo e reazione entro dieci microsecondi. I progressi degli ultimi anni derivano quindi soprattutto da algoritmi e codici migliori, non da miglioramenti dell’hardware. Oggi nessuna macchina garantisce quei valori su larga scala.
• Quanto è lontana la macchina? Una stima quantifica le risorse necessarie per un attacco. Non dimostra che qualcuno sia in grado di costruire la macchina che le mette a disposizione.
• Chi firma la stima e dove la pubblica? Un preprint non ha ancora superato la revisione scientifica. Spesso, inoltre, gli autori sviluppano proprio l’hardware di cui stimano le prestazioni. Alcune stime non hanno nemmeno un articolo scientifico a supporto: a ottobre Iceberg Quantum ha annunciato una nuova versione da circa 72.000 qubit attraverso un semplice comunicato14. IonQ, nella sua stima sulle curve ellittiche, non ha reso pubblici i circuiti, impedendo così la verifica indipendente dei conteggi15.
Il divario tra stime e hardware reale
Il caso di Alice & Bob mostra come applicare questi criteri. La stima presuppone qubit che subiscono un’inversione di bit circa ogni cento anni. Il miglior valore misurato dall’azienda su un singolo qubit inattivo è invece di 44 minuti16. Il suo chip più grande con correzione degli errori ha 12 qubit e non ha ancora superato la soglia oltre la quale aggiungere qubit riduce gli errori16. La stessa azienda riconosce che restano sfide ingegneristiche sostanziali e prevede che hardware e stime convergano nei primi anni Trenta.
La stima resta utile, purché la si legga per ciò che offre: una direzione di sviluppo, non una data di arrivo.
Gli annunci senza fondamento
Diverso è il caso degli annunci senza fondamento. Nel 2022 un gruppo di ricercatori sostenne che sarebbero bastati 372 qubit per rompere RSA-2048. La comunità scientifica, Peter Shor compreso, mostrò che il metodo non offriva alcun vantaggio pratico: il tempo di calcolo restava proibitivo. Nel 2026 un fornitore ha dichiarato di aver rotto RSA-4096 senza fornire alcuna prova17. Per chi valuta il rischio, riconoscere questi casi è parte del lavoro.
Curve ellittiche: il fronte più esposto alla minaccia quantistica
Il dibattito pubblico si concentra su RSA, ma per molte organizzazioni la minaccia più vicina riguarda le curve ellittiche. Su queste si basano ECDSA ed ECDH, oggi lo standard per lo scambio di chiavi in TLS, per molte firme digitali e per i portafogli di criptoattività. Le chiavi sono più corte di quelle RSA e anche un attacco quantistico richiede meno risorse.
Le stime per Bitcoin e P-256
Anche per le curve ellittiche aumentano le stime disponibili. Il preprint di Alice & Bob indica 29.588 qubit e circa un’ora per tentativo sulla curva di Bitcoin13. A marzo 2026 Google Quantum AI ha stimato meno di 500.000 qubit fisici e circa venti minuti per la stessa curva18. Google non ha pubblicato i circuiti, ma ha diffuso una prova crittografica che ne attesta le risorse senza rivelarli. A settembre IonQ ha indicato circa 19.400 qubit a ioni intrappolati e circa 26 giorni per tentativo15.
Il dato più solido riguarda però i qubit logici, cioè la componente algoritmica, indipendente dall’hardware. Google ne stima tra 1.200 e 1.450. Un gruppo di ricercatori francesi è arrivato a 1.193 per la curva P-256, rispetto ai 2.124 della stima precedente19. Un gruppo cinese è sceso a 835, ma con un numero di operazioni molto più alto20. Il fatto che gruppi indipendenti arrivino a ordini di grandezza simili è un segnale da prendere sul serio.
Harvest now, decrypt later e scambio di chiavi
Per chi gestisce infrastrutture critiche, queste stime hanno implicazioni concrete. Lo scambio di chiavi è il bersaglio dell’harvest now, decrypt later: chi intercetta il traffico oggi potrà decifrarlo quando esisterà la macchina capace di farlo. Per questo IR 8547 assegna allo scambio di chiavi la massima priorità e ne incoraggia l’adozione in forma ibrida, affiancando ML-KEM a ECDH1.
Quando arriverà il Q-Day secondo gli esperti
Le stime delle risorse indicano che cosa serve per un attacco, non quando sarà disponibile una macchina in grado di eseguirlo. Per valutare i tempi, occorre considerare anche le previsioni degli esperti.
Nel 2025 il BSI, l’ufficio federale tedesco per la sicurezza informatica, ha concluso che un computer quantistico crittograficamente rilevante sarà «probabilmente disponibile entro 16 anni», una stima che definisce prudente21. Il Global Risk Institute ha raccolto le valutazioni di 26 esperti internazionali in un rapporto curato da Michele Mosca e Marco Piani, uscito a marzo 202622. La probabilità media che una macchina del genere arrivi entro dieci anni oscilla tra il 28 e il 49 per cento, a seconda di come si interpretano le risposte. Su un orizzonte di quindici anni, il 69 per cento degli esperti stima una probabilità pari o superiore al 50 per cento.
Sono valutazioni, non certezze. Ma una probabilità del 30-50 per cento su dieci anni non sarebbe trascurabile per nessun risk manager, soprattutto quando i dati devono restare riservati a lungo.
Pianificare la migrazione prima che arrivi il Q-Day
La disuguaglianza di Michele Mosca offre un criterio per valutare l’esposizione al rischio23. Si sommano il tempo per cui un dato deve restare riservato (X) e quello necessario per migrare (Y). Se la somma supera il tempo che manca all’arrivo del computer quantistico (Z), il dato è già esposto. Le nuove stime incidono su Z: ogni riduzione delle risorse rende plausibile un orizzonte più breve. X e Y dipendono invece dalle scelte dell’organizzazione.
Quattro priorità operative per la migrazione
Questo criterio orienta quattro priorità operative.
• Mantenere il calendario come riferimento. Il calendario è fissato e non cambia a ogni preprint. Le stime servono a misurare il margine disponibile, non a spostare le scadenze.
• Dare priorità allo scambio di chiavi. È il fronte esposto all’attacco differito e anche il più maturo: le soluzioni ibride sono già presenti nei principali browser e nelle librerie più diffuse.
• Pianificare per tempo la migrazione delle firme. L’attacco differito le minaccia meno, ma la migrazione richiede più tempo perché coinvolge PKI, certificati e HSM.
• Monitorare l’evoluzione con metodo. Una funzione di monitoraggio, anche leggera, può seguire stime, standard e indicazioni delle autorità. Consente di aggiornare le priorità senza rincorrere ogni nuovo annuncio.
La data del Q-Day resta incerta, ma le scadenze della transizione sono già fissate. Il piano deve basarsi su quelle; le stime aiutano a stabilire da dove cominciare.
Il settore finanziario prepara la transizione post-quantum
FCiR26 – Financial Cryptography in Rome. Al convegno di Banca d’Italia e De Cifris del 6 ottobre, Ludovic Perret ha dedicato parte del suo intervento alla riduzione delle stime di risorse per attaccare RSA e le curve ellittiche, richiamando anche la valutazione del BSI19.
La transizione quantistica a Sibos 2026
Sibos 2026. Anche alla conferenza annuale di Swift, a Miami dal 28 settembre al 1° ottobre, la transizione post-quantum ha avuto un proprio spazio. Il 29 settembre la Banca centrale europea ha portato sul palco una sessione dedicata, «Resilience redefined: Building a quantum-safe future for financial services», insieme ai rappresentanti di Swift. Secondo le cronache, molti relatori hanno descritto la sfida come ormai più organizzativa che tecnica24. Due appuntamenti diversi, lo stesso segnale: il tema è entrato stabilmente nell’agenda del settore finanziario.
Il prossimo passo: gli inventari crittografici
Nella prossima puntata: a un mese dalla prima scadenza della roadmap europea, la rubrica affronta il tema degli inventari crittografici: a che punto sono e come si costruisce, nella pratica, un Cryptographic Bill of Materials?
Note
1. D. Moody, R. Perlner, A. Regenscheid, A. Robinson, D. Cooper, Transition to Post-Quantum Cryptography Standards, NIST IR 8547, versione finale, 27 ottobre 2026. https://csrc.nist.gov/pubs/ir/8547/final
2. NIST, NIST Report Provides Guidelines for Transition to Post-Quantum Cryptography, comunicato del 27 ottobre 2026. https://www.nist.gov/news-events/news/2026/10/nist-report-provides-guidelines-transition-post-quantum-cryptography
3. NIS Cooperation Group, A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, giugno 2025, https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography; risultati della consultazione e FAQ, settembre 2026. https://digital-strategy.ec.europa.eu/en/library/eu-roadmap-post-quantum-cryptography-survey-feedback
4. Commissione europea, COM(2026) 13 final, proposta di direttiva che modifica la direttiva (UE) 2022/2555 (NIS2), 20 gennaio 2026, nuovo art. 7, par. 2, lett. k). Per un’analisi: PostQuantum.com, https://postquantum.com/security-pqc/eu-pqc-nis2/
5. G7 Cybersecurity Working Group, Preparing for the Post-Quantum Era: A Call to Action, 3 settembre 2026, presidenza francese del G7 con il coordinamento dell’ANSSI. https://cyber.gouv.fr/en/news/post-quantum-cryptography-transition-anssi-and-its-g7-partners-rally-public-and-private-sectors-with-urgent-call-to-action/. Sul contributo dell’ACN: ImpiantiNews, 8 ottobre 2026, https://www.impiantinews.it/sicurezza/attualita/transizione-alla-crittografia-post-quantistica-call-to-action-del-gruppo-di-lavoro-g7-sulla-cybersicurezza/
6. Agenzia per la Cybersicurezza Nazionale, Aggiornate le Linee guida sulle funzioni crittografiche, comunicato dell’11 giugno 2026, che annuncia i nuovi volumi «Firme digitali» (versione 1.0) e «Cifrari a flusso», https://www.acn.gov.it/portale/w/aggiornate-le-linee-guida-sulle-funzioni-crittografiche; «Transport Layer Security (TLS)», versione 2.0, datata 12 maggio 2026. Tutti i volumi: https://www.acn.gov.it/portale/crittografia/linee-guida-funzioni-crittografiche
7. Google Quantum AI, Quantum error correction below the surface code threshold, Nature 638, 2025 (online dicembre 2024).
8. H. J. Manetsch et al., A tweezer array with 6100 highly coherent atomic qubits, Nature, settembre 2025 (arXiv:2403.12021).
9. C. Gidney, M. Ekerå, How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits, Quantum 5, 433, 2021 (arXiv:1905.09749, 2019).
10. C. Gidney, How to factor 2048 bit RSA integers with less than a million noisy qubits, arXiv:2505.15917, maggio 2025.
11. P. Webster et al., The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes, arXiv:2602.11457, febbraio 2026 (v2 maggio 2026).
12. M. Cain, J. Preskill, D. Bluvstein et al., Shor’s algorithm is possible with as few as 10,000 reconfigurable atomic qubits, arXiv:2603.28627, marzo 2026.
13. A. Pappalardo, D. Goudarzi, V. Hertz, H. Jacinto, L. Kroell, A. Schrottenloher, P. Shanahan, É. Gouzien, R. de La Vieuville, V. Londe, Shor’s algorithm compiled on cat qubits: 22 593 qubits for RSA-2048 in 3.14 days, Alice & Bob, con Université Paris-Saclay (CEA, CNRS), Inria Rennes e University of Edinburgh, IACR ePrint 2026/2665, ottobre 2026. Preprint non ancora sottoposto a revisione. https://eprint.iacr.org/2026/2665
14. M. Ivezic, Alice & Bob: 22,593 Qubits Could Break RSA-2048, PostQuantum.com, ottobre 2026, con il confronto tra le stime e l’annuncio di Iceberg Quantum «Pinnacle 1.2», privo di paper. https://postquantum.com/security-pqc/alice-bob-rsa-2048-cat-qubits/
15. T. Häner, F. Tripier, J. Young, M. Naehrig, A. Maksymov, M. Roetteler et al. (IonQ), Computing 256-bit elliptic curve discrete logarithms in 26 days on a fault-tolerant trapped-ion quantum computer with 20,000 qubits, arXiv:2609.05625, settembre 2026. https://arxiv.org/abs/2609.05625. Per un’analisi critica: PostQuantum.com, settembre 2026, https://postquantum.com/quantum-research/ionq-secp256k1-resource-estimate/
16. Quantum Brief, 22,593 qubits and 3.14 days to break RSA-2048, from a lab whose best chip is still above threshold, 30 ottobre 2026. https://quantum-brief.com/blog/news-2026-10-30-alice-bob-rsa-2048-cat-qubits/
17. M. Ivezic, analisi degli annunci di rottura di RSA-2048 e RSA-4096 privi di riscontro, PostQuantum.com, 6 marzo 2026. https://postquantum.com/post-quantum/no-broken-rsa-2048-4096/
18. R. Babbush, C. Gidney, D. Boneh et al., Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations, Google Quantum AI, 31 marzo 2026. https://research.google/blog/safeguarding-cryptocurrency-by-disclosing-quantum-vulnerabilities-responsibly/
19. L. Perret, Post-Quantum Migration in the Financial Sector, intervento a FCiR26 – Financial Cryptography in Rome, Banca d’Italia e De Cifris, Roma, 6 ottobre 2026; le slide riportano anche il lavoro di Chevignard, Fouque e Schrottenloher (maggio 2026) sulla curva P-256. Slide: https://bit.ly/4zuOSzp; pagina dell’evento: https://www.decifris.it/fcir26
20. H. Luo et al., circuito per il logaritmo discreto su secp256k1 con 835 qubit logici, arXiv:2607.13816, luglio 2026.
21. BSI – Bundesamt für Sicherheit in der Informationstechnik, The status of quantum computer development, versione 2.1, 2025. https://www.bsi.bund.de/dok/study_status_quantum_computer
22. M. Mosca, M. Piani, Quantum Threat Timeline Report 2025, Global Risk Institute, marzo 2026. https://globalriskinstitute.org/publication/quantum-threat-timeline-report-2025b/
23. M. Mosca, Cybersecurity in an Era with Quantum Computers: Will We Be Ready?, IEEE Security & Privacy, 16(5), 2018.
24. Banca centrale europea, The ECB at Sibos 2026, programma delle sessioni (Miami, 28 settembre – 1° ottobre 2026), https://www.ecb.europa.eu/press/intro/events/html/20260928_sibos.en.html; per una cronaca: Fintech Garden, 30 settembre 2026, https://fintech.garden/news/2026-09-30-post-quantum-cryptography-tops-sibos-2026-agenda-as-banks-begin-encryption-overh/
Partecipa alla community